On 2020-12-28, Krzysztof Halasa <k...@p...waw.pl> wrote:

[...]

>> Twój numer telefonu
>> i spora część danych osobowych będzie na stronie banku dostępna.
>
> To to chyba niekoniecznie? A jeśli już, to na skutek błędu banku.

A który nie poda Ci imion + nazwiska, adresu zamieszkania i salda?
PESEL (lub NIP) masz np. w numerze rachunku do skarbówki, wystarzy że
np, opłacasz co miesiąc przelew za podatek PPE (ryczałtowy).

Poza tym wektor ataku może być inny, tzn. po przejęciu przeglądarki
można poczekać na to by użytkownik sam zechciał zrobić jakąś operację
wymagającą potwierdzenia, podmienić wywołanie na definiujące przelew
zaufany i potem już z górki. 2FA nie ma chronić przed przejęciem dostępu
do konta ze znanego urządzenia, tylko przed przejęciem dostępu z poziomu
nieznanego, niezaufanego urządzenia.

--
Wojciech Bańcer
w...@g...com