SMS кодовете за вход и публичният Wi-Fi: правните и реалните рискове

Два ежедневни навика носят повече правен риск, отколкото изглежда: кодът от SMS, с който влизате в банкирането и профилите си, и гост-мрежата на кафенето, към която се свързвате по навик. И двата са удобни — и двата имат конкретни слаби места, които законът и практиката вече са очертали.

SMS кодът: какво защитава и къде се чупи

Кодът от SMS работи като втори фактор: той доказва, че лицето, което въвежда паролата, държи и телефона със SIM картата. Проблемът е, че SMS каналът зависи от едно слабо звено — самата SIM. Атаката „подмяна на SIM“ работи така: измамникът се свързва с вашия оператор, представя се за вас (изгубен или повреден телефон) и убеждава служителя да издаде нова SIM карта с вашия номер. От този момент вашият телефон мълчи, а всичките ви SMS — включване на кодовете за банка, поща и профили — пристигат при нападателя.

Най-често срещаната част от схемата е старата измама: обажда се „банката“ и иска кода, „за да спрем злонамерена операция“. При този сценарий отговорността по българското платежно право пада върху вас — и си струва да знаете точно защо.

Дадохте кода: какво казва законът

По Закона за платежните услуги и платежните системи вие сте длъжни да пазите персонализираните средства за сигурност на платежния си инструмент (чл. 75 ЗПУПС). Кодът за потвърждение на плащане е точно такова средство. Последиците са подредени:

• при неразрешена операция банката възстановява сумата незабавно и не по-късно от края на следващия работен ден (чл. 79 ЗПУПС);
• но ако сами сте причинили загубите — измама, умисъл или груба небрежност при задълженията по чл. 75 — поемате всички загуби (чл. 80, ал. 3 ЗПУПС);
• даването по телефона на кодове от SMS на някого, който се представи за служител, се преценява по правило като груба небрежност — и върху сумата не се прилага възстановяването по чл. 79.

Правилото е без изключение: банката, полицията, НАП и никоя институция не искат вашия SMS код. Верификацията на код става само вътре в приложението на банката, а не в разговор.

SIM swap: чия е отговорността

Българското право няма специална норма „отговорност при подмяна на SIM“. Ако измамникът е получил нова SIM карта с вашия номер, а операторът не е проверил надлежно самоличността на лицето пред гишето, отговорността на оператора може да се претендира по общите правила — за неизпълнение на договора или за непозволено увреждане (чл. 45 ЗЗД) — и съдилищата ще проверят как е издадена смяната. Това не е автоматично обезщетение: доказва се каква проверка е направена и как е действала жертвата. Затова защитата на практика се гради от две страни: от вашите действия преди — и от банката, ако тя е допуснала плащане с кода от подменената SIM в необичайно време или от ново устройство.

Какво можете да направите сега: проверете при оператора си дали има допълнителна защита за издаване на нова SIM или пренасяне на номера (парола, забрана без лично явяване); включете банковите известия за движение по сметките; а където услугата го позволява — използвайте по-силните фактори: код от приложение за автентикация или хардуерен ключ.

Публичен Wi-Fi: какво вижда кой

Гост-мрежите в кафенетата, хотелите и летищата са открит канал. Трите основни риска:

• Подменена или фалшива мрежа. Нападател пуска точка „Free_WiFi“ или „Cafe_Guest“ до истинската и пуска вашия трафик през себе си.
• Незащитен трафик. По мрежи без криптография паролите, данните за вход и кодовете, въведени в сайтове, могат да бъдат прочетени от околните.
• Регистрация и данни. Операторът на публичното място и доставчикът на мрежата обработват данни за връзката ви — публичните безжични услуги в България изискват идентификация на ползвателя, затова вход-страниците искат телефон или поща. След въвеждане вие предоставяте лични данни, които трябва да се обработват по GDPR — но какво се случва след това, зависи от оператора на обекта.

Правилата, които отменят риска

1. По публична мрежа не въвеждайте данни за банкиране, карти, пароли и SMS кодове; за тях — мобилните данни.
2. Проверявайте адреса на сайта (https и точния домейн), особено на вход-страниците, които ви пренасочват.
3. Защитете трафика си с VPN, когато работите с чувствителна информация.
4. Изключете автоматичното свързване с познати мрежи и „заемането“ на точки — телефонът ви може да се свърже с фалшив двойник на мрежата, която вече познава.
5. Съобщавайте за подозрителни мрежи и съобщения — при престъпна схема сигналът е до полицията (районното управление или cybercrime.bg).

От другата страна на гишето правилата гледат и собственика на обекта: гост-мрежата с вход през телефон означава обработване на лични данни — със законово основание, информация за клиента и защита на данните, а сайтът с вход-страница — коректни политики за поверителност и общи условия. Advokatami покрива и двете: GDPR услуги за съответствието с Регламента и общи условия и политики за сайта ви.

Статията има информативен характер и не е правен съвет.

Източници

• Закон за платежните услуги и платежните системи — задължения на ползвателя и отговорност (публикуван от БНБ)
• Регламент (ЕС) 2016/679 (GDPR)
• ГДБОП-МВР — сигнали и съвети за киберсигурност (cybercrime.bg)
• КЗЛД — подаване на жалби и сигнали