Trumf endrer ikke bonusprogram: – Et sikkerhetshull, mener IT-ekspert

Rema har endret en kunde-app som kan misbrukes til overvåking, men Trumf beholder en lignende løsning. – Det virker litt hjelpeløst, vi må forvente bedre sikkerhet, mener IT-ekspert.

Illustrasjon av selvbetjent kasse

FORTSETTER SOM FØR: Ved å legge inn en annen persons kontonummer i bonussystemet, er det mulig å overvåke vedkommendes kjøp. Rema har endret sin app, men Trumf gjør ikke endringer i sitt kundeprogram.

Foto: Fredrik Hagen / NTB scanpix

Etter at NRK skrev om muligheten for å overvåke andre gjennom Remas Æ-app, har selskapet gjort endringer.

Den samme muligheten finnes hos Trumf, men de vil ikke forandre på noe nå.

Sårbarheten ligger i at en person som ønsker å overvåke en annen kan legge inn den andres kontonummer, og på den måten få informasjon om når, hvor og hva den andre handler.

Det forutsetter riktignok at overvåkeren bryter vilkårene i kundeprogrammet.

– Det er mulig å legge inn en annens bankkort eller kontonummer også i Trumf. Men det er ikke mulig å legge det inn uten å gjøre det bevisst, sier Truls Fjeldstad, daglig leder i Trumf.

Truls Fjeldstad

VIL IKKE ENDRE: Truls Fjeldstad, daglig leder i Trumf, vil ikke gjøre det samme som Rema, som gjorde endringer etter NRKs sak om hvordan appen kunne misbrukes.

Foto: Hallgeir Aunan / NRK

Hva betyr det?

– Det betyr at du må verifisere hvem du er med en to-faktor, du mottar en SMS-kode, og du må bekrefte at det er ditt bankkort. Man må altså bevisst lyve – og det blir logget, påpeker Fjeldstad.

Dere kommer ikke til å gjøre som Rema – å endre dette inntil en ny løsning er på plass?

– Nei, vår vurdering er at vi nå ønsker å rådføre oss med Datatilsynet for å høre hva de mener. Vi synes selv at vi har en innsynsmulighet som er påkrevd. Hvis vi skal ta vekk alt dette, blir det en stor ulempe for kunden. Innsynet vil da ta lang tid i stedet for at du får det på ti minutter, svarer Fjeldstad.

– Et sikkerhetshull

Simen Sommerfeldt er teknologidirektør i konsulentselskapet Bouvet og medforfatter av boken «Personvern og GDPR i praksis».

Han mener det er uholdbart av de store kjedene å skylde på at det er vanskelig å finne en bedre løsning.

– Det blir å skyve ansvaret over på publikum. Det blir som å si at man ikke gadd å installere lås på bilen, og stole på at folk ikke bryter seg inn. Det virker litt hjelpeløst. Vi må forvente bedre sikkerhet. Dette er noe de må ordne opp i, sier Sommerfeldt til NRK.

Simen Sommerfeldt

KRITISK: Simen Sommerfeldt er teknologidirektør i konsulentselskapet Bouvet og medforfatter av boken Personvern og GDPR i praksis.

Foto: Pressefoto

Selv om du i Trumfs system må verifisere din identitet med en kode på SMS, er det ingen måte å verifisere at du eier kontoen utover et vilkår i avtaleteksten.

Sommerfeldt mener de burde ha en verifiseringsmekanisme knyttet til det man henter informasjonen fra, i dette eksempelet kontonummeret.

– Jeg synes de bør ha en sikrere løsning. Å bare kunne taste inn et kontonummer for å vite hva en annen har kjøpt, det er et sikkerhetshull, sier han.

Mulige løsninger

Sommerfeldt nevner ett eksempel på hvordan man kunne kontrollert at det er eieren av en konto som legger inn kontonummeret: Vedkommende kunne for eksempel verifisert de siste transaksjonene.

En annen metode er en overføring av ti øre sammen med en kode til et kontonummer. Da er det eieren av den kontoen som kan mottar koden.

En tredje løsning er å skanne en strekkode når man handler. Slik fungerer det blant annet hos Ikea.

Ønsker å sjekke kontonumre

Truls Fjeldstad i Trumf sier de jobber med bedre løsninger for fremtiden. Trumf har i likhet med Rema ikke mulighet til å sjekke kontonumre.

– Forslagene fra Sommerfeldt løser ikke utfordringen fordi det strengt tatt ikke bekrefter at eier av bankkonto er den det snakkes med. Forslaget hans om verifikasjon av siste transaksjoner vil, slik jeg ser det, være et alvorlig brudd på personvernloven. Det forutsetter at vi sitter på detaljkunnskaper om tidligere kjøp uten lovgrunnlag eller samtykke.

Betalingsterminal Trumf-registrert

MERKET: Kunden som betaler får opp en melding om at Trumf er registrert. Terminalene kan se forskjellige ut, men beskjeden kommer på alle.

Foto: privat

Fjeldstad mener at den perfekte løsningen er tilgangen til å «vaske» navn og identitet mot kontonummer.

– Det har vi ikke lov til per i dag. Men vi har et lite håp om at vi skal få lov til det. Da må vi ha en konsesjon fra Finanstilsynet for å sjekke kontonumre. Finansbransjen har registre (BankAxept) som kan brukes. Men vi har ikke fått tilgang når vi har undersøkt dette tidligere. Det ser vi på igjen, sier Fjeldstad.

Han sier at kommunikasjonen i butikk er viktig, fordi det minner kortbrukeren på koblingen til Trumf hver gang.

– Vi vil se på om vi kan tydeliggjøre denne kommunikasjonen ytterligere, og blant annet utrede en løsning hvor du i butikk bekrefter innmeldingen av bankkortet.

Lyspunkt

AKTUELT NÅ

SISTE NYTT

Siste meldinger