בנקאות מובייל

הערוץ מפוקח. הוראת ניהול בנקאי תקין 367 מחייבת את הדירקטוריון וההנהלה הבכירה של כל תאגיד בנקאי לוודא שסיכוני אבטחת המידע בבנקאות בתקשורת מנוהלים, ומחייבת בקרות זיהוי ואימות לפי סוג הלקוח, סוג הפעולה ורמת הסיכון. הסיכון העיקרי אינו באפליקציה עצמה אלא בהתנהגות המשתמש: רשת Wi-Fi ציבורית, לחיצה על קישורי פישינג או אי-עדכון האפליקציה. הפעילו אימות דו-שלבי, נעלו את הטלפון ואל תיכנסו לבנק מרשת ציבורית.

פעלו מיד: התקשרו לבנק ובקשו לחסום גישה לאפליקציה. שנו את הסיסמה לחשבון הבנק מהמחשב. השתמשו בשירות "מצא את המכשיר שלי" (Find My iPhone / Google) כדי לנעול או למחוק את הטלפון מרחוק. הודיעו לחברת הסלולר כדי לחסום את הסים. רוב הבנקים מאפשרים חסימת גישה מיידית דרך מוקד טלפוני 24/7. ככל שתפעלו מהר יותר, הסיכון נמוך יותר.

כמעט הכול. לפי סקירת מערכת הבנקאות של בנק ישראל, העברות תשלומים וקנייה או מכירה של ניירות ערך הן הפעולות השכיחות ביותר בערוצים הישירים (97% ו-95% בהתאמה), ואפילו הגשת בקשת הלוואה והעברת מטבע חוץ, הפעולות עם שיעור הביצוע הנמוך ביותר בערוץ הזה, מבוצעות בו ב-74% ו-79% מהמקרים. גם פתיחת חשבון חדש כבר אינה פעולה שמחייבת סניף: הוראה 367 של בנק ישראל מסדירה פתיחת חשבון מקוון עם זיהוי ואימות חזותיים מרחוק.

בנקאות פתוחה בישראל אינה יוזמה וולונטרית אלא הסדר חקיקתי: חוק שירות מידע פיננסי, התשפ"ב-2021, מגדיר "איסוף" של מידע פיננסי כגישה למידע שנמצא אצל מקור מידע דרך מערכת הממשק למידע פיננסי. מי שרוצה לאסוף עבורכם את הנתונים חייב רישיון או אישור למתן שירות מידע פיננסי, והרגולטור שמפקח על נותני השירות הוא רשות ניירות ערך. בפועל זה מאפשר לאפליקציה מורשית להציג את כל החשבונות שלכם במקום אחד, בכפוף להסכמתכם.

הבסיס הרגולטורי זהה בכל הבנקים: הוראה 367 קובעת את אותן דרישות זיהוי, אימות ואבטחת מידע לכולם. ההבדלים הם בחוויית המשתמש ובעומק התכונות, והם משתנים מגרסה לגרסה, ולכן אנחנו לא מדרגים כאן אפליקציה מול אפליקציה. הדרך הנכונה לבדוק היא לפתוח את האפליקציה של הבנק שלכם ולראות אילו פעולות שאתם באמת עושים זמינות בה.

כלל מספר אחד: הבנק לעולם לא יבקש ממכם סיסמה, קוד אימות או פרטי כרטיס אשראי בהודעה, מייל או שיחה. אם קיבלתם הודעה "מהבנק" עם קישור, אל תלחצו עליו. במקום, פתחו את האפליקציה הרשמית ישירות או התקשרו למספר שרשום בגב הכרטיס. שימו לב לשגיאות כתיב, כתובות URL חשודות, ותחושת דחיפות מלאכותית ("החשבון שלך ייחסם!"). דווחו על ניסיונות פישינג לבנק.