Mis juhtub pärast nupuvajutust? Nii töötab pangapõhine sisselogimine

Veebiteenuses kuvatakse nupp „Jätka pangaga”. Kasutaja valib panga, kinnitab toimingu Smart-ID, Mobiil-ID või muu autentimisvahendiga ning jõuab mõne sekundi pärast tagasi teenuse lehele. Parooli ei loodud ja pikka vormi ei täidetud. Mis nende sekundite jooksul tegelikult juhtus?

Kõigepealt tuleb lahutada neli mõistet, mida turundustekstides sageli üheks sulatatakse: autentimine, makse algatamine, isikusamasuse kontroll ja kasutajakonto. Üks sujuv kasutajaliides võib sisaldada neid kõiki, kuid ühe toimingu läbimine ei tähenda automaatselt, et ülejäänud kolm on lõplikult tehtud.

Autentimine vastab ainult ühele küsimusele

Autentimine tõendab, et inimene kontrollib konkreetset elektroonilist identiteeti või maksevahendit. Eesti riiklikes e-teenustes tähendab see näiteks ID-kaardi, Mobiil-ID või Smart-ID abil turvalise seansi loomist. ID.ee autentimisjuhendi järgi suunatakse kasutaja autentimisteenusesse, ta kinnitab toimingu ning teenusele luuakse pärast edukat kontrolli uus seanss.

See ei ole sama mis raha liigutamine. Samuti ei anna autentimine teenusepakkujale õigust näha kasutaja internetipanga paroole või PIN-koode. Kinnitamine toimub panga või identiteediteenuse keskkonnas ja teenus saab tagasi üksnes protsessi jaoks ette nähtud kinnituse ning lubatud andmed.

Makse algatamine on eraldi korraldus

Kui samas voos tehakse ka sissemakse, antakse pangale eraldi maksekorraldus. Euroopa Liidu PSD2 reeglid lõid makse algatamise teenustele ühise raamistiku ning tõid internetimaksetesse tugeva kliendiautentimise nõude. Euroopa Komisjoni selgituse järgi on nõude eesmärk muuta veebimaksed turvalisemaks ja vähendada pettusi.

Tugev autentimine kasutab vähemalt kahte sõltumatut elementi kolmest liigist: midagi, mida kasutaja teab; midagi, mis tal on; või midagi, mis ta on. Telefonis kinnitatud toiming võib seega ühendada seadme valdamise ja PIN-koodi või biomeetrilise tunnuse. Täpne lahendus sõltub pangast ja kasutatavast teenusest.

Makse algatamise teenuse roll on edastada kasutaja kinnitatud korraldus pangale ja anda veebiteenusele makse staatuse kohta vajalik teave. See ei tähenda, et vahendaja saaks vabalt kasutaja kontol ringi vaadata. Ligipääs peab põhinema konkreetsel nõusolekul ja piirduma teenuse osutamiseks vajaliku teabega.

„Ilma registreerimiseta” ei tähenda anonüümselt

Pangapõhist teekonda kasutatakse finantsteenustes, e-kaubanduses ja vanusepiiranguga keskkondades. Üks näide on Pay N Play mudel, kus traditsiooniline kasutajanime ja parooli loomine asendatakse pangapõhise tuvastamise ja maksega.

Selle mudeli kohta tekib sageli vale mulje, et kontot ei eksisteerigi. Tegelikult võib teenus luua kliendisuhte või tehnilise kasutajaprofiili automaatselt. Pay N Play lahendusi tutvustav PayNPlayKasiinod.com eristab samuti vormita registreerimist anonüümsusest: operaator peab teadma, kellega ta tehingu teeb, ning võib vajaduse korral küsida lisadokumente.

Siin tuleb mängu KYC ehk tunne oma klienti kontroll. Pangaga sisselogimine võib anda osa vajalikust teabest, kuid teenusepakkuja vastutab endiselt selle eest, et kontroll vastaks tema valdkonna reeglitele. Suurema tehingu, andmete vastuolu, makseriski või rahapesukahtluse korral võib tekkida täiendav kontroll isegi siis, kui esimene sissemakse õnnestus sekunditega.

Kiire sissemakse ei luba sama kiiret väljamakset

Kasutaja näeb sageli ainult kahte ajatemplit: millal raha kontolt lahkus ja millal see teenuses nähtavaks muutus. Taustal on rohkem etappe. Pank peab makse autoriseerima, makseteenus edastab staatuse ning teenusepakkuja seob tehingu õige kliendiseansiga.

Väljamakse liigub vastupidises suunas, kuid ei ole sissemakse peegelpilt. Enne raha väljasaatmist võib teenusepakkuja kontrollida makseviisi kuuluvust, kontoandmeid, tehingu ajalugu või muid riske. Seetõttu võib „kohene makse” kirjeldada makserööpa tehnilist kiirust, mitte kogu väljamakseprotsessi garanteeritud kestust.

Euroopa maksetaristu ise liigub siiski kiirema arvelduse poole. Euroopa Komisjoni makseteenuste ülevaate järgi peavad euroala teenusepakkujad alates 2025. aasta oktoobrist võimaldama klientidel saata eurodes välkmakseid ning kontrollima kavandatud saajat. See parandab makserööbast, kuid ei kaota teenusepakkuja enda kontrolle.

Mugav liides ei tõesta teenuse usaldusväärsust

Pangapõhine sisselogimine võib vähendada paroole ja käsitsi sisestamist, kuid selle turvalisust ei tohiks hinnata ainult selle järgi, kui kiiresti ekraanid vahetuvad. Enne kinnitamist tasub kontrollida vähemalt nelja asja:

Kas aadressiriba ja panga nimi on õiged?

Mida täpselt kinnitusekraanil heaks kiidetakse: sisselogimist, andmete jagamist või makset?

Milline ettevõte teenust pakub ja millise järelevalve all ta tegutseb?

Kuidas saab seansi lõpetada, nõusoleku tagasi võtta või probleemi korral tehingu vaidlustada?

Kõige tähtsam info asub sageli panga kinnitusekraanil. Kui seal näidatud summa, saaja või toimingu kirjeldus ei vasta ootusele, tuleb protsess katkestada. Smart-ID või Mobiil-ID kinnitus ei muuda ekslikku korraldust õigeks; see kinnitab korralduse, mida kasutaja ekraanil näeb.

Üks klõps, mitu süsteemi

Pangapõhise kasutajateekonna edu seisneb selles, et mitu keerulist süsteemi on kasutaja jaoks kokku pakitud. Identiteediteenus tõendab ligipääsu, pank kinnitab makse, vahendaja edastab staatuse ning veebiteenus loob või avab kliendiseansi.

Hea lahendus ei peida neid erinevusi täielikult. See näitab enne kinnitamist selgelt, millist toimingut tehakse, kellele raha saadetakse ja milliseid andmeid jagatakse. Kiirus on väärtuslik, kuid digitaalse usalduse loob arusaadavus.

Viited

Euroopa Komisjon: makseteenused

ID.ee: autentimine e-teenustes