Όταν άνοιξα την εταιρεία πίσω από το Techmaniacs.gr, ήταν νομικά απαραίτητο να ανοίξω και έναν εταιρικό λογαριασμό όψεως. Τότε, η επιλογή της Τράπεζας Πειραιώς φαινόταν η πιο λογική, καθώς το υποκατάστημα βρισκόταν σε απόσταση αναπνοής από το σπίτι και τον χώρο εργασίας μου. Από τότε όμως έχουν αλλάξει πολλά. Τα περισσότερα υποκαταστήματα έκλεισαν και πλέον, για μια απλή φυσική συναλλαγή, πρέπει να διασχίσω τη μισή πόλη.
Αυτό όμως είναι το λιγότερο. Το πραγματικό πρόβλημα ξεκινά με μια αναλογική τακτική, που εγείρει σοβαρά ερωτήματα ασφαλείας και ιδιωτικότητας.
Χρέωση 4€ το μήνα για χαρτί που δεν ζήτησε κανείς
Κάθε μήνα, η τράπεζα στέλνει ταχυδρομικώς τις κινήσεις και το υπόλοιπο του λογαριασμού όψεως. Μια επιστολή που ουδέποτε ζήτησα, η οποία χρεώνεται 4 ευρώ τον μήνα. Τέσσερα ευρώ για 2-3 σελίδες χαρτί, την ώρα που όλες οι επιχειρήσεις λειτουργούν πλέον αμιγώς ψηφιακά.
Όμως, το οικονομικό σκέλος είναι το λιγότερο. Το ουσιαστικό ζήτημα είναι η προστασία των προσωπικών και εταιρικών δεδομένων.
Εκτεθειμένα οικονομικά δεδομένα: Ένας ανοιχτός φορέας απειλής
Η Τράπεζα Πειραιώς επιλέγει να στέλνει αυτές τις επιστολές, που περιέχουν πλήρη οικονομικά δεδομένα της εταιρείας, υπόλοιπα καταθέσεων, κινήσεις και επενδύσεις, με απλό ταχυδρομείο μέσω ΕΛΤΑ και όχι με συστημένη επιστολή.
Στην πράξη, αυτό σημαίνει ότι η επιστολή αφήνεται στην πιλοτή της πολυκατοικίας, προσβάσιμη στον οποιονδήποτε. Όταν ένα έντυπο αποκαλύπτει ακριβή υπόλοιπα καταθέσεων και οικονομικές ροές μιας επιχειρηματικής δραστηριότητας, δημιουργείται ένας άμεσος φορέας απειλής (Vector of Attack). Δεδομένα τέτοιου βεληνεκώς μπορούν να χρησιμοποιηθούν για στοχευμένες απάτες (Spear Phishing, CEO Fraud), εκβιασμούς, αλλά και για τη φυσική στοχοποίηση του κατόχου και του χώρου του.
Σε έναν χώρο όπου μπαινοβγαίνουν καθημερινά διανομείς, couriers και άγνωστοι τρίτοι, πώς ακριβώς διασφαλίζεται ότι αυτά τα ευαίσθητα δεδομένα δεν θα περάσουν σε χέρια επιτηδείων;
Η απάντηση της Πειραιώς, το ebanking και το νομικό σκέλος (GDPR)
Επικοινωνήσαμε με την Τράπεζα Πειραιώς για το θέμα. Η επίσημη θέση που λάβαμε ήταν πως κατά το άνοιγμα του λογαριασμού, στους όρους της σύμβασης που υπογράφηκαν, προβλεπόταν η τακτική αποστολή των μηνιαίων εκκαθαριστικών (statements). Ωστόσο, γεννάται το εξής εύλογο ερώτημα: Αναγράφεται πουθενά ρητά ότι η αποστολή αυτή θα γίνεται με απλό, απροκάλυπτο ταχυδρομείο και όχι με ασφαλή, συστημένη αλληλογραφία ή ψηφιακό μέσο;
Με βάση τον Γενικό Κανονισμό Προστασίας Δεδομένων (GDPR) και το Άρθρο 32 για την Ασφάλεια της Επεξεργασίας, οι οργανισμοί οφείλουν να εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα για τη διασφάλιση του κατάλληλου επιπέδου ασφαλείας. Η απόρριψη ευαίσθητων οικονομικών εγγράφων σε κοινόχρηστους χώρους μέσω απλού ταχυδρομείου απέχει πολύ από αυτή την αρχή.
Το ακόμα πιο παράλογο; Στο ebanking για επιχειρήσεις δεν υπάρχει καμία επιλογή διαγραφής ή απενεργοποίησης της αποστολής. Για να διακοπεί η υπηρεσία, η τράπεζα απαιτεί φυσική παρουσία στο κατάστημα εξυπηρέτησης κατόπιν ραντεβού, τη στιγμή που τα διαθέσιμα ραντεβού είναι πρακτικά ανύπαρκτα.
Γιατί η αλλαγή τράπεζας είναι μονόδρομος
Ιδιαίτερα κατά τις περιόδους αδειών, όταν οι χώροι μένουν άδειοι για μέρες, η αλληλογραφία αυτή παραμένει εκτεθειμένη. Όταν ένας τραπεζικός οργανισμός αδυνατεί να προσφέρει μια απλή ψηφιακή επιλογή απενεργοποόιησης της αποστολής επιστολών και ταυτόχρονα εκθέτει τα οικονομικά δεδομένα των πελατών του σε κοινόχρηστους χώρους, τίθεται σοβαρό ζήτημα εμπιστοσύνης. Γι’ αυτόν τον λόγο, η έναρξη διαδικασιών μεταφοράς σε άλλο ίδρυμα αποτελεί πλέον μονόδρομο.
