Pankkitunnukset tunnistusvälineenä: näin tunnistus etenee

Pankkitunnukset ovat Suomessa yleisin tapa todistaa sähköisesti kuka on. Samalla välineellä maksat laskut, haet Kelan etuutta, katsot verotustietosi ja kirjaudut vakuutusyhtiön palveluun. Se on käyttäjälle helppoa, mutta se myös hämärtää yhden tärkeän rajan: samat tunnukset tekevät kahta täysin eri asiaa, ja niiden sekoittaminen on juuri se kohta, jota huijarit hyödyntävät.

Verkkopankissa tunnukset avaavat pääsyn rahoihisi. Muualla ne eivät avaa rahojasi kenellekään. Ne todistavat pelkästään henkilöllisyytesi. Tämä artikkeli seuraa ketjua vaihe vaiheelta ja kertoo, mitä tietoa missäkin kohdassa liikkuu.

Miksi pankki tunnistaa sinut viranomaiselle

Pankki on tehnyt sinusta jotain, mitä viranomaisen ei kannata tehdä uudelleen: se on tarkastanut henkilöllisyytesi asiakirjasta ja pitää yllä asiakassuhdetta, jossa tiedot pysyvät ajan tasalla. Rahanpesun estämistä koskeva sääntely velvoittaa pankin tuntemaan asiakkaansa muutenkin.

Kun tämä työ on kerran tehty, on tehokkaampaa käyttää tulosta uudelleen kuin rakentaa jokaiselle virastolle oma tunnistusjärjestelmä. Sitä varten Suomessa on tunnistusvälineiden tarjoajien ja välityspalvelujen luottamusverkosto, jota Liikenne- ja viestintävirasto Traficom valvoo. Miten koko järjestely on säädetty ja mitä sanalla vahva siinä tarkoitetaan, on selitetty tarkemmin artikkelissa vahva tunnistautuminen.

Tämä selittää myös sen, miksi pankki voi lopettaa tunnistusvälineesi. Väline on sidottu asiakassuhteeseen. Jos asiakkuus päättyy tai pankki ei saa pidettyä asiakastietojaan ajan tasalla, myös tunnistusväline lakkaa. Se on hyvä syy pitää huolta siitä, että käytössä on useampi kuin yksi vahva tunnistusväline.

Pankkitunnukset täyttävät vahvan tunnistautumisen vaatimukset, koska niissä yhdistyy kaksi eri tyyppistä tekijää: jotain minkä tiedät, kuten käyttäjätunnus ja salasana, ja jotain mikä on hallussasi, kuten avainlukulista tai pankin sovellukseen rekisteröity puhelin.

Ketju vaihe vaiheelta

Tunnistuksessa on neljä osapuolta. Käyttäjä eli sinä, asiointipalvelu johon olet menossa, tunnistuksen välityspalvelu ja pankki. Näin pyyntö kulkee.

1. Painat kirjaudu-painiketta asiointipalvelussa. Palvelu ei ala kysyä tunnuksia vaan ohjaa selaimesi eteenpäin.
2. Välityspalvelu näyttää valikon eri tunnistusvälineistä. Julkishallinnon palveluissa välittäjä on Digi- ja väestötietoviraston Suomi.fi-tunnistus, yksityisissä palveluissa jokin kaupallinen välityspalvelu.
3. Valitset pankkisi. Selain siirtyy pankin omaan verkkotunnukseen tai pankin sovellukseen.
4. Tunnistaudut pankille. Annat tunnukset ja vahvistat kirjautumisen. Tämä vaihe tapahtuu kokonaan sinun ja pankin välillä.
5. Pankki palauttaa tuloksen välityspalvelulle. Mukana ei ole tunnuslukuja vaan tieto siitä, kuka tunnistautui.
6. Välityspalvelu välittää tuloksen asiointipalvelulle, joka avaa istunnon ja päättää mitä saat siellä tehdä.

Ketjun kaksi tärkeintä havaintoa ovat nämä. Ensinnäkin tunnukset kulkevat vain yhteen suuntaan yhdelle osapuolelle. Toiseksi tieto palaa takaisin ohuena: pelkkänä vastauksena kysymykseen kuka.

Ketju on myös aikarajattu. Tunnistuspyyntö vanhenee muutamassa minuutissa, ja keskeytyneestä tunnistautumisesta ei jää mitään roikkumaan auki. Jos siis painat vahingossa väärää nappia tai suljet ikkunan kesken, mitään ei tapahtunut. Kirjaudu vain uudelleen.

Jos jokin vaihe puuttuu, se on merkki. Aito tunnistus siirtää sinut aina pois asiointipalvelun sivulta. Jos tunnuksia kysytään samalla sivulla, jolla juuri olit, kyse ei ole tunnistusketjusta lainkaan.

Mitä pankki välittää ja mitä se ei välitä

Tunnistustapahtumassa siirtyvät tiedot ovat tarkoituksella suppeat. Alla oleva taulukko kokoaa tyypillisen tilanteen.

Henkilötunnuksen kohdalla kannattaa olla tarkkana. Sitä ei saa luovuttaa palvelulle, jolla ei ole perustetta sen käsittelyyn. Ikärajan varmistava palvelu voi saada pelkän tiedon siitä, että olet täysi-ikäinen. Jos jokin palvelu pyytää vahvaa tunnistautumista pelkän ikärajan takia ja kerää samalla henkilötunnuksesi, tieto päätyy paikkaan, jossa sen ei tarvitsisi olla. Miksi tämä on merkityksellistä, selviää artikkelista henkilötunnus vuoti.

Miksi tunnistautuminen ei anna pääsyä tilillesi

Sekaannus syntyy siitä, että sama käyttäjätunnus toimii molempiin. Tekniikassa ne ovat kuitenkin eri asioita.

Kun kirjaudut verkkopankkiin, pankki avaa sinulle istunnon omaan järjestelmäänsä. Näet tilit ja voit tehdä maksuja, koska olet pankin järjestelmän sisällä.

Kun tunnistaudut pankkitunnuksilla johonkin muualle, pankki ei avaa kenellekään istuntoa omaan järjestelmäänsä. Se tekee yhden rajatun asian: allekirjoittaa lausuman siitä, että tässä on tämä henkilö, ja lähettää lausuman eteenpäin. Ulkopuolinen palvelu saa lausuman, ei avaimia.

Ero näkyy myös siinä, mitä palvelu voi tehdä jälkikäteen. Verkkopankki-istunto päättyy kun kirjaudut ulos, mutta pankki muistaa sinut asiakkaana. Ulkopuolinen palvelu ei saa mitään pysyvää oikeutta pankkiin, vaan sen käsissä on pelkkä kertaluonteinen tieto siitä, kuka tunnistautui ja milloin. Seuraavalla kerralla koko ketju käydään uudelleen.

Kolmas, usein sekoittuva tapaus on tilitietopalvelu. Jos annat esimerkiksi kirjanpito-ohjelmalle tai budjetointisovellukselle luvan lukea tilitapahtumiasi, se on erillinen suostumus erilliselle palvelulle, joka toimii maksupalvelusääntelyn nojalla pankin rajapinnan kautta. Sekin tehdään pankin omalla sivulla, mutta kyse ei ole tunnistautumisesta vaan pääsyoikeuden antamisesta. Jos et tiedä kumpaa olet tekemässä, lue mitä pankin sivulla lukee ennen hyväksymistä.

Tunnukset ovat henkilökohtaiset myös perheen sisällä

Tämä on kohta, jossa moni tekee hyvässä uskossa vakavan virheen. Ikääntynyt vanhempi ei osaa käyttää verkkopalveluita, joten lapsi hoitaa asiat vanhemman tunnuksilla. Se tuntuu käytännölliseltä ja hyväntahtoiselta. Se on silti ongelma kolmesta syystä.

• Sopimusehdot. Pankkitunnusten luovuttaminen toiselle on käytännössä aina kielletty, myös puolisolle ja lapselle. Jos tunnukset on luovutettu, väärinkäytöstä aiheutunut vahinko voi jäädä tunnusten haltijan vastuulle.
• Oikeudellinen jälki. Tunnuksilla tehty toimi katsotaan tunnusten haltijan tekemäksi. Jos hakemuksen jättää tosiasiassa joku muu, kukaan ei voi jälkikäteen osoittaa niin, ja epäselvässä tilanteessa se on ongelma molemmille.
• Suoja katoaa. Kun tunnukset ovat useamman käytössä, kukaan ei enää tiedä varmasti, kuka tietää tunnusluvut. Se poistaa suurimman osan siitä hyödystä, jonka vuoksi kaksivaiheista tunnistautumista ylipäätään käytetään.

Auttaminen onnistuu ilman tunnusten luovuttamista. Voit istua vieressä ja neuvoa, kun toinen kirjautuu itse, tai hoitaa asian valtuutuksella omilla tunnuksillasi. Kumpikin tapa säilyttää sen, että jokainen käyttää omaa välinettään. Kolmaskin vaihtoehto on olemassa: monet asiat hoituvat edelleen puhelimitse tai käymällä paikan päällä, eikä sähköinen asiointi ole pakollista.

Sama koskee tilanteita, joissa tunnuksia pyydetään puhelimessa. Pankki, poliisi tai mikään viranomainen ei koskaan pyydä tunnuslukujasi eikä pyydä sinua tunnistautumaan puhelun aikana. Millaisiin tarinoihin tämä puetaan, on käsitelty erikseen artikkeleissa tietojenkalastelu ja pankkihuijaus.

Toisen puolesta asiointi: valtuutus on oikea reitti

Tarve auttaa toista on aito, ja siihen on rakennettu oikea ratkaisu. Valtuutuksessa toinen henkilö saa oikeuden hoitaa nimettyjä asioita puolestasi, mutta käyttää siihen omia tunnuksiaan.

1. Valtuuttaja päättää mitä asioita valtuutus koskee ja kuinka kauan se on voimassa. Valtuudet ovat asiakohtaisia, eivät yleisiä.
2. Valtuutus tehdään sähköisesti Suomi.fi-valtuuksissa, jolloin molemmat tunnistautuvat omilla välineillään.
3. Valtuutettu kirjautuu omilla tunnuksillaan ja valitsee asioivansa toisen puolesta. Palvelu näyttää, kenen asioita hän hoitaa.
4. Tapahtumasta jää oikea merkintä. Lokista näkyy, että asian hoiti valtuutettu, ei valtuuttaja itse.

Jos henkilö ei enää kykene itse tekemään valtuutusta, käytössä ovat muut keinot, kuten edunvalvontavaltuutus tai virkailijan vahvistama valtuus. Näissä lähtökohta on sama: kukaan ei käytä toisen tunnuksia. Käytännön kulku on kuvattu artikkelissa Suomi.fi-viestit ja valtuudet.

Alaikäisen lapsen asioissa huoltaja voi usein asioida ilman erillistä valtuutusta, koska huoltajuus näkyy väestötietojärjestelmästä. Tässäkin huoltaja käyttää omia tunnuksiaan.

Mitä tunnistustapahtumasta jää talteen

Tunnistautuminen ei ole jäljetön. Sekä pankki että välityspalvelu tallentavat tiedon siitä, että tunnistautuminen tapahtui: milloin, millä välineellä ja mihin palveluun. Näitä tietoja tarvitaan riitojen ja väärinkäytösten selvittämiseen, ja niiden säilytysajoista on säädetty.

Säilytys ei ole itsestään selvä asia vaan seuraus siitä, että sähköisen tunnistautumisen pitää olla jälkikäteen todennettavissa. Ilman lokia kukaan ei pystyisi selvittämään, tapahtuiko tunnistautuminen oikeasti vai ei, ja silloin kiistat menisivät aina sen tappioksi, jonka nimissä toimi tehtiin.

Lokit eivät kerro, mitä teit palvelussa sisään päästyäsi. Pankki ei näe verotustietojasi eikä terveystietojasi sillä perusteella, että tunnistauduit sen tunnuksilla. Se näkee tunnistuspyynnön, ei sen takana olevaa asiointia.

Sinun kannaltasi merkitys on käytännöllinen. Jos epäilet, että joku on käyttänyt tunnuksiasi, tunnistustapahtumien historia on ensimmäinen paikka, josta asiaa aletaan selvittää. Ota siis yhteyttä pankkiin, älä vain vaihda salasanaa ja unohda asiaa.

Näin toimit, kun jokin ei täsmää

Käytä tätä listaa aina, kun tunnistautumispyyntö tulee yllättäen tai tuntuu oudolta.

1. Kysy itseltäsi, kuka pyynnön aloitti. Jos et painanut kirjaudu-painiketta itse, älä hyväksy mitään. Aito tunnistuspyyntö on aina seurausta sinun omasta toimestasi.
2. Katso, kenen sivulla annat tunnukset. Tunnusluvut kuuluvat vain pankin omaan osoitteeseen tai sen sovellukseen. Osoitteen lukemisen opettelu auttaa tässä, ja siitä on oma juttunsa URL-osoitteen osista.
3. Lue mitä vahvistat. Pankin sovellus kertoo, mihin palveluun tunnistaudut ja koskeeko vahvistus maksua. Jos teksti puhuu maksusta etkä ole maksamassa, keskeytä.
4. Älä koskaan lue tunnuslukuja puhelimessa. Ei pankille, ei poliisille, ei tuelle. Kukaan aito ei niitä kysy.
5. Jos annoit tunnukset epäilyttävään paikkaan, soita pankkisi sulkupalveluun heti. Nopeus ratkaisee enemmän kuin se, kuinka nolottaa.
6. Tee tarvittaessa rikosilmoitus poliisille. Se on edellytys monelle jatkotoimelle, myös vakuutus- ja korvausasioissa.