S-Pankki kertoo Googlelle verkkopankkikäynnistäsi, kiistää tietoturvaongelman (päivitetty)
Googlella on yksi verkon suosituimmista verkkosivustojen analytiikkasovelluksista, joka ei varmasti yllätä. Yksinkertaisen koodin avulla verkkosivustot luovuttavat datan Googlen käsiteltäväksi, mutta onko S-Pankki mennyt liian pitkälle verkkopankkinsa kanssa?
Verkkosivustot käyttävät Google Analytics -nimistä työkalua tallentamaan tietoa käyttäjistään ja niiden käyttäytymisestä. Tiedon avulla voidaan tarkkailla käyttäjiin liittyvää dataa esimerkiksi käyntitiheyden, sivullaoloajan, paikkakunnan ja ladatun sisällön suhteen.
Huolestunut S-Pankin käyttäjä Jesse Sandberg on kertonut Twitterissä havainnoista, joiden mukaan S-Pankki olisi lisännyt javascript-koodin myös sisäänkirjautumisen vaativalle verkkopankille. Tämä tarkoittaa, että vielä kirjautumisen jälkeenkin verkkosivusto lähettää tietoa Googlelle.
S-Pankki on kommentoinut Twitterissä, että henkilötietoja ei siirry Googlelle vaan palvelua käytetään mm. markkinoinnin kehittämiseen. Keskustelussa on kuitenkin arvuuteltu siirtyykö esimerkiksi henkilön paikkatieto ja IP-osoite Googlen haltuun ja sitä myöten käyttöön.
Toistaiseksi vaikuttaa, että Google Analytics seuraa pääosin vain tietoturvallisia perustietoja, mutta pienillä muutoksilla koko verkkopankkinäkymän sisältö lähetettäisiin Googlelle. Samalla Twitterissä kysytään, onko edes näennäisesti haitattoman tiedon lähettäminen kuluttajan verkkopankki-istunnosta tarpeellista?
Kerro Googlelle mm. lainanhakuaikeesi @S_Pankki'ssa. #yksityisyydensuoja on yliarvostettua. #vakoilu #foliohattu #vmp pic.twitter.com/zkT2BfC5ku
-- Jesse Sandberg (@0spi) February 21, 2015Seuraamme s-pankki.fi:n&verkkopankin kävijöitä Google Analyticsilla. Käytämme tietoa markkinoinnin kohdentamiseen&palvelukehitykseen. (1/2)
-- S-Pankin arkea (@S_Pankki) February 23, 2015Asiakkaidemme henkilötietoja ei missään tapauksessa siirry Googlen käyttöön. Kiitos kaikille keskusteluun osallistuneille! (2/2)
-- S-Pankin arkea (@S_Pankki) February 23, 2015Päivitys 25.2.2015 klo 10:11 S-Pankki on reagoinut Google Analytics -seurannasta nousseeseen kohuun ja poistanut seurannan käytöstä toistaiseksi.
Suhtaudumme tietoturvakysymyksiin ja asiakkaidemme huoleen vakavasti. Tästä syystä olemme päättäneet arvioida kävijäseurannasta tarvitsemamme tiedot uudelleen ja olemme kytkeneet seurannan pois verkkopankistamme toistaiseksi.
S-Pankin tiedote
20 KOMMENTTIA
raiku921/20
Käytän Chromea, niin... kai google tietää musta enemmän ku minä itse :D
arcanix2/20
Enpä luottaisi muutenkaan "pankkiin", joka on syntynyt duopoliasemassa olevan kauppaketjun bonusjärjestelmästä. Käytännössä kaikki asiakkaan tiedot ovat kauppaketjun saatavilla ostokäyttäytymisestä ja palkkatiedoista lähtien.
Mysticiza3/20
Niin, siis mikä ongelma tässä on takana? Nykyisellään S-Pankki tarjoaa kyllä pankeista parhaat palvelut, kun muut supistavat toimipisteverkostoaan niin S-Pankin palvelupisteissä on joka Prismassa, lähes joka Sokoksessa ja joissakin S-marketeissa. Lisäksi käteisnostot ja -panot onnistuvat kaikissa S-ryhmän kaupoissa.
Lumikki4/20
Kyse ei ole palvelun hyvyydestä tai palvelupisteistä, vaan yksityisyydestä ja luotettavuudesta. Nämä on kaksi täysin eri asiaa.
Kyse on siis siitä että luottaako pankkiin kun asioi sen kanssa eli että se yksityinen asia jää yksityiseksi. Ilmeisesti web-palvelujen ostalta tätä luottamusta ei ole. Koska pankki katsoo että heidän markkinoinnin kehittämistarpeensa on tärkeämpää heille kuin heidän asiakkaiden luottamuksen säilyttäminen pankin toimintaan. Todella tyypillinen nykypäivän yritys, eli laittaa omat tarpeensa asiakkaiden tarpeiden edelle.
Tämä ongelma alkaa olla paljon suurempi kuin joku pankki, ainakin minulla henkilökohtaisesti alkaa karista luottamus moneen muuhunkin yhteiskunnassa tärkeään palveluun jossa on yksityistä tietoa. Kun tietää kuinka huonosti on asiat niin luottamus häviää. Vain tietämätön voi olla luottavainen, omaa tietämättömyyttään.
Sinänsä minusta koko uutinen on lähinnä huvittava kun lähes joka paikassa tapahtuu samaa, tälläkin Afterdawn sivustolla käytetään ihan samoja Googlen seuranta palveluita. Onneksi ne Googlen seuranta palvelut on erittäin helppo blockata kokonaan pois.
user@org (vahvistamaton)5/20
Totta, vähän huvittava, tai no enemmänkin uutisoidaan jonkun yksittäisen some jutustelua.
Sinä liippasit sitä oikeaa asiaa, siis sitä että mosita sontaa on joka paikassa.
Helppoudesta on kovasti eri mieltä, pidän estämistä enemminkin työläänä joissain tilanteissa liki tekemättömäksi paikaksi loppukäyttäjälle.
Suosittelen kyllä hommaan ryhtymistä, kun Googlen jälkeen voi sitten jatkaa suodattelua muihin seuraajiin, sitten kun hoksaa että käytännössä jokainen palvelin logittaa , joita osaa joka tapauksessa analysoidaan....
(joihinkin selaimiin saa lisäosia joilla homman voi tehdä, lisäosa voi olla valmiilla listoilla, jolloin vaivalta sielä pienimmästä päästä, ne eivät välttämättä Google kokonaan suodata oletuksena)
Ketola6/20
Tärkein ero tässä on siinä, että esimerkiksi AfterDawn on mainosrahoitteinen palvelu, jossa kävijäluvut ovat yksi "tuote". Verkkopankissa ainakaan kolmannen osapuolen suorittamaan kävijäseurantaan ei ole perusteita.
Googlen palvelimelta ladattavalla Javascriptillä on pääsy kaikkeen verkkopankin sivuilla näkyvään tietoon. Halutessaan Google (tai joku, jolla on pääsy Googlen analytics.js -scriptiin) voisi muuttaa seurantaa siten, että selaimen perustietojen lisäksi sivuilta poimittaisi esim. asiakkaan nimi ja tilin saldo. Mutta jo nykyinen seuranta kertoo Googlen suuntaan esimerkiksi tapahtumatunnuksia.
user@org (vahvistamaton)7/20
Kuinka yleisesti selaimet nykyään päästää esim tuossa S-pankin toteutuksessa ? Oletan että puhutaan salatusta yhteydestä S-pankkiin ja ainakin joskus oli selaimia jotka eri palvelimilta ladattua koodia eivät päästäneet käpisteleen silloin toisiaan.
No missään tapauksessa turvallisuus ei saa nojautua selaimeen.
Missä osassa niitä Googlen palvelimien scriptejä oli, nyt ei taida olla kirjautumisen jälkeen kuin S-pankin omilta palvelimilta tulevaa, itse kirjautumis sivulla kyllä kamaa monelta palvelimelta.
Ja vaikka kumppanit olisikin luotettavia, niin palveluiden pitää olla käyttäjälle myös luotettavan tuntuisi. Tarkoitan sitä että jos "palomuuri" alkaa pankkiin kirjatuessa hälyttään " Google, Twitter, FB, WebTrens, ties mistä," niin ei hän pian pysty arvioimaan onko kaikki ok. Erään pankin etusivulta jos haluaa mennä verkkopankkiin, niin nappi ei toimi jos toisen domainin sisältöä ei salli. Nämä vielä muuttuu aina välillä, joten, kun , joskus onkin se pahis välillä, niin ei kellot enään soi.
Ketola8/20
Salatulle sivulle ei voi ladata scriptejä ei-salatusta lähteestä (ainakaan ilman varoituksia), mutta scripteillä on kyllä pääsy koko DOM:iin. Ainakin näin on ollut.
Analytics.js ladattiin ihan verkkopankin sisällä olevilla sivuilla, eli https://online.s-pankki.fi/ebank/ alkuisilla sivuilla.
Lumikki9/20
Samaa mieltä ja sen lisäksi web-sivut eivät saisi sisältää 3-osapuolelta ladattavia aktiivisia osia. Koska tällöin ne eivät ole missään mielessä turvallisia, koska 3-osapuoli voi muuttaa turvallisuutteen liittyvän tilanteen täysin palvelun tietämättä.
On täysin käsittämätöntä kuinka välinpitämättömiä web-palveluiden tekijät ovat tietoturva asioissa. Helppous ja halpuus menee usein ohi turvallisuuden. Samat asiat voisi toteuttaa turvallisesti myös itse.
user_org (vahvistamaton)10/20
Ok, kiitos, oli sitten tavanomaisesta poikkeava toteutus jossa oli estetty.
Kiitos lisätiedosta. S-pankin sivuilla näyttää olevan tiedote (25.2) että ovat poistaneet ns verkkopankinpuolelta.
user@org (vahvistamaton)11/20
Samaa mieltä, toki voi se yhtäturvallista ja tiedettyä olla kuin omakin. Mutta näyttä olevan vallalla että sivuille lisätään juuri kuvailemasi tapaista vierasta sisältöä jossa lähde pidättää oikeuden muttaa etukäteen ilmoittamatta. Lisäksi varaa oikeuden kaikkeen, myös sellaiseen mitä varsinaisen sivunpitäjä ei ehkä edes saisi itse tehdä.
ns passiivinenkin matskua vai olla vaarallista, ellei kyse luotetusta lähteestä.
Lisäksi, muuten turvallisen sisällön osalta syntyy iso tietomäärä jota voi käyttää sellaisenaan monella tavalla, esim seurantaan.
Oma lukunsa sitten ne sivut joissa annetaan ulkopuolisen suht vapaasti upottaa sisältöä. esim. Afterdawn uutissivuille on voinut ulkopuolinen lisätä omaa vieraan palvelimen sisältöä, yksinkertaisesti vain upottamalla kommentiin haluamansa. (en tiedä voiko enään)
Ketola12/20
Reagoivat tosiaan palautteeseen, ja kirjoittelinkin tuosta uutista noin tunti sitten http://fin.afterdawn.com/uutiset/artikk...oogle-seurannan
En voi muiden puolesta puhua, mutta ainakaan AfterDawnin tapauksessa kyse ei ole välinpitämättömyydestä sekä käytännön pakosta että optimoinnista. Rahoitamme toimintaamme mainosmyynnillä, joten mainosten näyttäminen kolmansien osapuolien palveluiden kautta on välttämätöntä. Mikäli olisimme riittävän iso toimija, voisimme toki rakentaa oman mainonnanhallintajärjestelmän ja tarjota mainokset sitä kautta, mutta en äkkiseltään keksi (edes maailmalta) yhtään esimerkkiä tällaisesta toiminnasta.
Mainosten lisäksi myös joitain Javascript-kirjastoja ja käyttölaskentaa ladataan ulkopuolisilta palvelimilta.
XSS-aukkoja on korjattu aktiivisesti (ja pro-aktiivisesti), eikä niitä pitäisi sivuilta löytyä. Jos löytyy, korjaamme ne välittömästi. Mahdollisista ongelmista tai epäilyistä voi aina ilmoittaa meille palautteella tai vaikka pingaamalla suoraan minua tai Petteriä Twitterissä (@ketola, @pyyny).
user_org (vahvistamaton)13/20
Ymmärettävää että tälläisessä yksittäisen toimijan pelimerkit on nykyään vähissä. Tähän on ajauduttu.
Esim Google, FB jne voi sanella.
Osa ulkopuolisesta varmaan voisi karsia, toinen asia onko sillä sitten muunjälkeen merkitystä.
Homman on vain räjähtänyt webissa käytännössä oletukseksi, jokainen vetoaa rahoitukseen jonka varjolla tehdään asioita.
Asiakkaat syyttä palveluntarjoajia, jotka vetoaa rahoitukseen, vaikka syys pitkälti käyttäjien halusta myydä itsena mielummin kuin maksaa.
Jopa ns harrastuspohjallin toimivat sivut rahoittaa toimintaa samoilla kikkareilla. Harvassa ne kotisivut missä tekijä on maksanut kaiken, siis myös seurannan toteuttanut "omalla rahalla". ja kuinka moni niin kuvittelevistakin on mennyt lykkään jonkin FBn oma tykkää kikkareen mainostaakseen sivuaan FBssä
Ei tuosta pääse irti ilman lainsäätäjän apua, mutta voisi edes julkisenpuolen palvelut siivota sivunsa ulkopuolisesta. Joissain maissa taitaa olla osittain kielletty esim FBn omat tykkää napit.
En tarkoittanut aukkoja, vaan sitä että kommenteihin on voinut upottaa vierastasisältöä, jonka sitten lukijan selain oletuksena latasi.
Hienoa että kommentoit aihetta.
Ketola14/20
Tykkää-napeilla (kuten myös Twitterin ja muiden vastaavien palveluiden napeilla) FB ja muut palvelut saavat todellakin kerättyä varsin kattavasti tietoa siitä, mitä käyttäjät (etenkin Facebookiin kirjautuneet käyttäjät) netissä lueskelevat.
En tarkoittanut aukkoja, vaan sitä että kommenteihin on voinut upottaa vierastasisältöä, jonka sitten lukijan selain oletuksena latasi.
Kuvia pystyy kommentteihin lisäämään, joten sitä kautta seurantaa voisi tosiaankin tehdä. Vaihtoehtoisesti kuvien lisäämisen voisi toteuttaa siten, että kaikki kuvat lähetetään erikseen meille näytettäväksi. Pidän nykyistä toteutustapaa kuitenkin ihan toimivana, vaikka sitä harvoin käytetäänkin. Tuskin kovin moni jäisi kuvien upottamista kaipaamaan vaikka toiminto poistettaisiinkin.
Lumikki15/20
Ilmeisesti kommenttini Afterdawnista johti asian pikkuisen raiteiltaan. Täällä Afterdawnissa nyt ei ole pahemmin mitään yksityistä asiaa tai ainakaan itse en sellaista keksi. Koska suurin osa asioista on julkisia ja yksityiseksi taitaa jäädä vain ainoat pakolliset asiat asia eli sähköpostiosoite ja salasana. Eikä se nyt ole mikään iso riski. Mitä tulee perusteluihin ja prioriteettihin niin mielipiteitä on monia, kyse on ihan siitä miten haluaa katsoa asioita.
Tarkoitukseni on sanoa että yleinen huolimattomuus näissä web-palvelu asioissa alkaa vaarantaa jo yksityisyyden ja luottamuksen osalta tärkeitäkin palveluja. Esimerkiksi, pankit, terveyspalvelut, kela, työvoimapalvelut, västörekisterit, verotoimistot, postit jne... Kun yritykset, kunnat ja valtiot siirtää palveluitaan halvempiin internet pohjaisiin sähköisiin ratkaisuihin niin samalla vaarannetaan kansalaisten yksityisyyden turvallisuus todella pahasti. Se kiva internet pohjainen web-käyttöliittymä siihen asioiden hoitoon on ihan helvetin iso riski tietoturvan osalta. Kun vertaa suljettuun asiaan, jonka asioimiseen vaaditaan fyysinen käynti palvelussa. Koska kyse on myös pääsystä yrittämään murtautumista ei pelkästään siitä kuinka suojaus on tehty.
En tarkoita että edistystä asioiden hoitoon ei saisi tapahtua niille jotka sitä haluavat ja ovat valmiita ottamaan riskin, mutta...
Yksi todella iso ongelma vielä näissä asioissa on että se tehdään ilman sen asiakkaan (kansalaisen) lupaa eli hänen tietonsa vaarannetaan pelkästään sen yrityksen, kunnan tai valtion omista haluista johtuen. Kansalainen joka ei edes käytä noita web-palveluita ei voi sanoa asialle ei, koska ne tiedot on siellä internet yhteydellisessä järjestelmässä joka tapauksessa. Aina siis ei riitä pelkästään se että ei käytä web-palvelua takaamaan yksityisyysturvaa. Tai jos pystyy suojaamaan itseään kuten tässä pankki tapauksessa olematta käyttämättä palvelua niin näistä tietoturvan rikkovista asioista ei aina edes kerrota sille asiakkaalle, koska se palvelun tarjoajat ei edes miellä asiaa asiakkaan luottamuksen rikkomiseksi. Usein kaikki tietoturvan vaarantavat asiat paljastuu myöhemmin sille asiakkaalle, kun se vahinko on jo tapahtunut. Puhumattakaan että tietoturvan rikkeen kohteeksi joutunut taho ei edes tahdo julkistaa asiaa asiakkailleen vaan yrittää usein pitää sen salassa.
user@org (vahvistamaton)16/20
Onko tuosta jotain merkittävää hyötyä sivustolla jotka noita pistää vs että pistäisivät itse tekemänsä tykkää napin. (FB palkitsee paremmin "markkinoinnissa" ?)
Jos joskus ko. selaimella (valtaselaimella, oletus asetuksin )on ollut kirjautuneena ?
Vai onko jotain merkittävää eroa onko nyt kirjautuneena. Tuota arvioidessa kai pitää luottaa FB sanaan.
Kirjautuessa esim. henkilötietoja ?
Lumikki17/20
Ei tälläisiin palveluihin tarvitse laittaa oikeita tietoja.
Ketola18/20
Ei suinkaan. Ihan hyvä on käydä keskustelua myös aD:ta tarkastellen, vaikkei se uutisen aiheena ollutkaan.
Tämä on hyvin totta. Pinnan alla oleviin ongelmiin on lähes mahdotonta yksilön puuttua, joten on mielestäni tärkeää, että epäkohtiin, myös pieniin, puututaan kun sellaisia havaitaan. Vain näin saadaan asioista päättävien ja niistä vastaavien tietoon se, että tietoturvasta ollaan aidosti kiinnostuneita ja huolestuneita.
user_org (vahvistamaton)19/20
Oho.
Lähtisin kuitenkin siitä että jos henkilötietoja käsitellään, niin niitä käsitellään, vaikka joku voisi vääriätieto antaakkin.
Näissä vielä se ongelma että nimetön data voi saada enemmän tai vähemmän selkeän nimen jälkeenkinpäin.
mareta20/20
tapiola pankin sivuilla on kanssa Google Analytics työkalu kun olet kirjautunut pankkiin.olen ollut yhteydessä pankkiin tässä vastaus.
"LähiTapiola käyttää Google Analyticsia anonyymiin kävijäseurantaan. Kävijäseurannalla pyrimme parantamaan palvelumme käytettävyyttä. Emme vie yksittäisen kuluttajan tunnistettavia tietoja kävijäseurantaan, vaan pidämme sen täysin anonyymina selaintietona. Käyttäjää ei voida tunnistaa pelkkien evästeiden tai muiden tekniikoiden avulla.
Google Analytics seuranta on kirjautuneiden palvelun etusivulla. Seuranta on siellä palvelujen kehittämisen takia. Palvelun ensimmäinen sivu on erillinen sovellus, ei pankin sivu tai sovellus. Millään muulla kirjautuneiden palvelun sivulla ei ole seurantaa, ei pankin puolella eikä vakuutuspuolella.
Voit estää seurannan muokkaamalla selaimestanne evästeiden käyttöä. Palvelumme käyttö onnistuu kuitenkin parhaiten, jos evästeet ovat sallittuja, joten emme voi suositella tätä. Jos haluat estää kävijäseurannan sekä verkkomainonnan kohdentamisen, niin voit tehdä sen täällä: http://www.youronlinechoices.com/fi/omat-mainokset valitsemalla kohdasta Google kohdan ”Kielletty.” Sivustolla tarjotaan paljon tietoa myös liittyen mainontaan sekä evästeiden käyttöön."
TÄMÄN UUTISEN KOMMENTOINTI ON PÄÄTTYNYT