Bank-bank yang membela hak mereka atas keamanan tidak memahami pentingnya kepercayaan konsumen

Ketika bisnis mengesampingkan keputusan keamanan pelanggan, apakah hal ini membuat mereka bertanggung jawab penuh ketika terjadi pelanggaran? Ini adalah pertanyaan yang perlu dipertimbangkan oleh bank-bank seperti di Singapura sebelum mereka meluncurkan fitur keamanan berikutnya.

Dengan angka-angka pasar yang menunjukkan bahwa serangan keamanan siber semakin meningkat baik volume maupun kecanggihannya, tidak mengherankan jika dunia usaha akan mencari cara untuk melindungi aset mereka dengan lebih baik. Bank, khususnya, menginginkan parit yang lebih besar karena kerugiannya akan lebih besar.

Namun, pertahanan yang diperkuat tentu berarti pengguna yang sah harus menggali lebih dalam untuk mendapatkan akses ke layanan. Hasilnya adalah perdebatan abadi tentang menemukan keseimbangan yang tepat antara keamanan dan kegunaan.

Dan tampaknya salah satu bank di Singapura mungkin perlu mengatasi saldo tersebut setelah memperkenalkan fungsi keamanan yang membuat beberapa nasabahnya frustrasi.

OCBC pekan lalu meluncurkan fitur yang mengunci akses ke layanan perbankan digitalnya jika aplikasi seluler yang belum diunduh dari toko aplikasi tidak resmi, seperti Google Play Store dan Huawei AppGallery, terdeteksi di perangkat pengguna.

Mengutip kebutuhan untuk melindungi nasabah dari malware, bank tersebut mengatakan "peningkatan" ini memungkinkan aplikasinya mengidentifikasi aplikasi yang salah di perangkat nasabah. Fitur keamanan juga memeriksa pengaturan izin aplikasi terhadap apa yang dianggap bank berpotensi menimbulkan risiko atau yang biasa digunakan oleh aplikasi yang mengandung malware.

Ketika aplikasi yang tidak memenuhi kedua kriteria tersebut terdeteksi, nasabah tidak akan dapat masuk ke akun mereka melalui aplikasi seluler OCBC atau situs perbankan online sampai mereka menghapus atau menghapus aplikasi "nakal" tersebut.

Tingkat keamanan yang tinggi ini terdengar bagus -- hingga keluhan mulai bermunculan. Nasabah mendapati diri mereka terkunci, meskipun aplikasi yang ditandai oleh fitur keamanan baru bank sebenarnya telah diunduh dari toko aplikasi resmi. Aplikasi ini termasuk Microsoft Authenticator, LG ThinQ, CCleaner, dan Trend Micro. Bahkan aplikasi yang dibersihkan oleh aplikasi seluler antivirus milik pelanggan pun ditandai sebagai aplikasi berisiko oleh fitur keamanan OCBC.

Pelanggan yang terkena dampak mengatakan solusi yang direkomendasikan bank untuk menghapus dan menginstal ulang aplikasi tertentu dari toko aplikasi resmi tidak berhasil.

Untuk sebagian besar kasus, respons OCBC bersifat standar -- fitur keamanan baru ini merupakan bagian dari upaya memerangi penipuan dan "melindungi pelanggan kami" dari dugaan aplikasi berbahaya. "Kami mohon maaf atas ketidaknyamanan yang ditimbulkan," katanya beberapa kali yang membuat pelanggan marah di halaman Facebook-nya. “Kami mohon kesabaran Anda karena fitur ini bertujuan untuk melindungi pelanggan dari penipuan malware.”

Situasi ini tampak seperti kasus di mana keamanan mengalahkan kegunaan. Saya merasa lega, setelah membaca anekdot nasabah OCBC yang merasa dirugikan, bahwa saya telah memilih untuk melakukan transaksi perbankan dengan perusahaan lain. Namun kemudian regulator industri Otoritas Moneter Singapura (MAS) menyuarakan dukungannya terhadap fitur keamanan bank tersebut.

“Langkah-langkah keamanan akan menambah ketidaknyamanan bagi nasabah, namun hal ini diperlukan untuk menjaga keamanan dan kepercayaan terhadap perbankan digital,” kata MAS. “Ditambah dengan masyarakat yang waspada dan cerdas, langkah-langkah keamanan yang kuat akan membantu kita memperkuat pertahanan kita terhadap penipuan.”

Mengingat peran regulator sebagai pemandu sorak, saya sekarang mengantisipasi bahwa dua bank lokal besar lainnya, termasuk bank saya, akan mengikuti langkah serupa dalam waktu dekat dan meluncurkan "peningkatan" keamanan serupa.

Mungkin OCBC sedang menjalani hukuman karena menjadi pusat perhatian dalam penipuan phishing tahun lalu, atau mungkin OCBC kalah dalam permainan batu, kertas, gunting, dan terpilih menjadi bank pertama yang meluncurkan fitur keamanan -- dan, karenanya, harus menanggung akibatnya. beban kemarahan pelanggan?

Apa pun masalahnya, peluncuran OCBC yang kacau masih menyisakan banyak hal yang tidak diinginkan dan menimbulkan pertanyaan yang perlu ditangani secara kolektif oleh seluruh industri, termasuk regulatornya.

Kepercayaan konsumen dan tanggung jawab bersama

Pertama, mari kita luruskan satu hal. Ini bukan hanya masalah privasi, tapi kepercayaan pengguna. Ketika segala sesuatunya tidak berjalan sebagaimana mestinya, kepercayaan akan terkikis.

Gunakan hanya aplikasi dari toko aplikasi resmi dan Anda baik-baik saja, pelanggan OCBC yakin. Namun pendekatan itu ternyata bermasalah.

'Oh, maka masalahnya adalah pengaturan izin aplikasi Anda,' pelanggan diberitahu. Namun, bank tersebut masih merahasiakan rincian pengaturan izin ini, mungkin sehingga pelaku kejahatan tidak diberi tahu tentang cara menghindari tanda-tanda ini.

Secara umum, kurangnya informasi dan transparansi membuat pengguna bertanya-tanya apa sebenarnya yang salah dengan aplikasi tersebut -- aplikasi yang mereka unduh dari toko resmi dan dibuat oleh perusahaan yang sah. Apakah ini berarti perusahaan seperti Microsoft, LG, dan Trend Micro merilis aplikasi yang mengandung risiko keamanan, seperti yang dianggap oleh OCBC?

Dan jika bukan itu masalahnya, apakah itu berarti aplikasi salah diidentifikasi oleh 'peningkatan' keamanan bank besar? Peningkatan keamanan yang seharusnya diperiksa dan diuji secara ketat dan diperiksa kembali sebelum dirilis ke publik?

Oleh karena itu, seberapa besar kepercayaan yang harus diberikan konsumen pada fitur keamanan yang tidak dapat membedakan dengan baik antara aplikasi yang sah dan aplikasi yang membawa risiko sebenarnya?

Juga: Para ahli ini berlomba untuk melindungi AI dari peretas

Terlebih lagi, pengguna diberitahu bahwa keputusan mereka tentang bagaimana mereka ingin mengoperasikan perangkat mereka tidak valid. Dengan kata lain, peningkatan keamanan ini menyiratkan 'hapus aplikasi nakal Anda atau Anda tidak dapat menggunakan aplikasi kami'.

Jadi, ketika sebuah bisnis mengesampingkan keputusan pelanggan mengenai bagaimana mereka ingin perangkat mereka diamankan, apakah hal ini membuat mereka bertanggung jawab sepenuhnya ketika terjadi pelanggaran? Saya yakin hal ini berpotensi terjadi, karena pelanggan tidak mempunyai banyak hak untuk menentukan aplikasi, termasuk alat antivirus, yang dapat mereka miliki di ponsel mereka jika mereka ingin terus mengakses rekening bank mereka.

Baru-baru ini saya melakukan percakapan serupa dengan beberapa pelaku industri, di mana saya menyebutkan kekesalan pribadi sehubungan dengan izin aplikasi dan ketidakmampuan atau keengganan organisasi untuk menjelaskan mengapa mereka memerlukan akses ke fitur yang tidak diperlukan untuk memfasilitasi layanan mereka.

Saya kemudian diberitahu bahwa kurangnya transparansi mungkin dapat diatasi dengan jaminan bahwa bisnis-bisnis ini, demi kepentingan mereka sendiri, tidak ingin mengembangkan aplikasi yang membahayakan pelanggan mereka, sehingga merusak reputasi merek mereka sendiri.

Saya berpendapat bahwa sikap ini tidak boleh membebaskan pelanggan dari tanggung jawab atas kondisi keamanan mereka sendiri.

Faktanya, pemerintah Singapura, mungkin untuk menyenangkan para pelaku bisnis, telah berulang kali menekankan perlunya konsumen memikul tanggung jawab bersama dalam menjaga kebersihan dunia maya mereka.

“Perjuangan melawan penipuan memerlukan pendekatan ekosistem, dengan semua pemangku kepentingan memainkan peran mereka untuk tetap waspada dan menjaga diri dari penipuan,” kata MAS. Regulator sedang menyusun kerangka pertanggungjawaban yang akan memperjelas peran dan tanggung jawab lembaga keuangan, perusahaan telekomunikasi, dan pelanggan untuk waspada terhadap penipuan online.

Juga: 5 langkah mudah untuk menjaga ponsel cerdas Anda aman dari peretas

Jika konsumen diminta untuk memikul tanggung jawab dan tanggung jawab atas kebersihan online mereka, bukankah mereka berhak mengambil keputusan sendiri tentang cara terbaik untuk melindungi diri mereka sendiri?

Dan bukankah seharusnya ada lebih banyak transparansi dan akses terhadap informasi tentang bagaimana organisasi tempat konsumen bertransaksi mengamankan layanan mereka?

Demi nasabah mereka (dan kewarasan saya), saya berharap bank-bank lain yang akan mengikuti jejak OCBC telah mencatat dan berupaya untuk memastikan mereka menghindari peluncuran yang berantakan serupa.

Misalnya, dapatkah OCBC meringankan beberapa masalah dengan menawarkan 'daftar putih' pribadi kepada nasabah yang dapat menyertakan aplikasi yang awalnya ditandai oleh fitur keamanan bank? Aplikasi ini dapat diperiksa dan dinilai berdasarkan kebijakan keamanan, dan ditambahkan ke daftar putih hanya setelah dipastikan aman.

Bank dapat membatasi, misalnya, tiga aplikasi dalam daftar putih, sehingga nasabah termotivasi untuk memprioritaskan aplikasi yang benar-benar diperlukan dan bank dapat mengelola sumber daya yang diperlukan untuk memfasilitasi pendekatan ini. Mereka juga dapat menggunakan alat kecerdasan buatan untuk mengotomatiskan beberapa proses dan mengoptimalkan siklus penilaian aplikasi, serta memelihara penyimpanan aplikasi yang disetujui, sehingga semakin mengurangi upaya yang diperlukan untuk mempertahankan daftar putih.

Dan jika mereka belum melakukan hal tersebut, bank harus berhubungan dengan pengembang aplikasi besar, termasuk vendor perangkat lunak antivirus, mengenai bagaimana pengaturan izin mereka dapat lolos atau tidak dalam daftar periksa keamanan mereka. Hal ini dengan asumsi mereka juga memilih untuk tidak membocorkan secara spesifik di balik izin aplikasi yang mereka anggap berisiko.

Yang terpenting, satu pertanyaan penting yang ingin ditanyakan oleh semua bank kepada diri mereka sendiri adalah apakah mereka siap mengambil tanggung jawab penuh jika terjadi pelanggaran keamanan, apakah mereka memilih untuk mengesampingkan pilihan keamanan nasabahnya.