Numer dowodu dostępny na infolinii banku. Wystarczy kilka pytań

"Inteligentni" cyfrowi doradcy czasem nie do końca błyszczą inteligencją. Na infolinii PKO Banku Polskiego dało się pozyskać numer dowodu osobistego, jeśli tylko znało się imię, nazwisko i numer PESEL jego posiadacza. Nie było to wcale trudne zadanie.

Na infoliniach coraz częściej obsługują nas boty, zanim zostaniemy połączeni z człowiekiem, który zechce udzielić nam pomocy. Taka praktyka może generować różne problemy – od błahych, takich jak brak zrozumienia naszej sprawy, do poważnych, jak podanie numeru dowodu osobistego na życzenie, bez wystarczającej weryfikacji rozmówcy.

Ten drugi przypadek został opisany przez redakcję serwisu niebezpiecznik.pl. Jeden z czytelników poinformował redakcję o tym, że w trakcie rozmowy da się doprowadzić do sytuacji, w której "inteligentny bot" wyrecytuje numer dokumentu tożsamości, przypisanego do określonego klienta.

Dalsza część artykułu pod materiałem wideo

Dziennikarze Niebezpiecznika opublikowali nagranie z próbą zastrzeżenia dokumentu. Okazuje się, że po podaniu imienia, nazwiska i numeru PESEL, możliwe było zastrzeżenie dowodu osobistego. Zanim jednak doszło do zastrzeżenia dokumentu, bot wyrecytował jego numer.

Dalsza część artykułu pod materiałem wideo

Błąd został już usunięty. Redakcja Niebezpiecznika zadała pracownikom PKO Banku Polskiego trzy pytania odnośnie procesu zastrzegania dokumentu. Pytano, czy pozyskanie numeru dokumentu było możliwe też w trakcie rozmowy z konsultantem, od kiedy bot obsługuje tę czynność, a także ile osób do tej pory skorzystało z takiej opcji i czy wiadomo, ile razy mogło dojść do nieuprawnionego pozyskania danych, na przykład w sytuacji, gdy ktoś kontaktuje się z infolinią z numeru innego, niż ten przypisany do konta. PKO BP udzielił odpowiedzi jednak tylko na jedno pytanie:

"Klient może zablokować dokument tożsamości na naszej infolinii zarówno podczas rozmowy z konsultantem, jak i podczas obsługi przez bota. Zastrzeganie dokumentów drogą telefoniczną z wykorzystaniem bota jest dostępne dla klientów od prawie 3 lat. Do prawidłowego przejścia przez proces zablokowania dokumentu niezbędna jest identyfikacja i weryfikacja klienta, jednak o szczegółach procesu nie informujemy. Obecnie został on zmieniony – klienci otrzymują informację o ostatnich 3 cyfrach zastrzeganego numeru dokumentu tożsamości. Nie odnotowaliśmy reklamacji związanych z procesem blokady dokumentów".

Po stronie banku doszło do dwóch podstawowych błędów. Po pierwsze – nie zweryfikowano dokładnie klienta. Dokument można było zastrzec, podając wyłącznie imię, nazwisko i PESEL, a dane te są często dostępne w publicznych rejestrach. Drugim błędem było nadmierne ujawnienie informacji. Do zastrzeżenia dokumentu nie było potrzeby podania pełnego numeru dokumentu – wystarczyło odczytać pierwsze lub ostatnie znaki.