Kuluttaja-asiamiehelle on tullut Vastaamon tietomurron jälkeen kysymyksiä henkilötunnuksen käytöstä ja identiteettivarkauksista verkkokauppaostoksista, kertoo ryhmäpäällikkö Paula Hannula Kilpailu- ja kuluttajavirastosta (KKV).
Varsinaisia identiteettivarkauksia ei KKV:n tietoon Vastaamon tapauksen jälkeen ole Hannulan mukaan tullut. Toisaalta Hannula muistuttaa, ettei kuluttaja-asiamies ole varsinainen tietoturvaviranomainen.
Kysymys on kuulunut, voiko pelkällä henkilötunnuksella ostaa netistä tavaraa?
Tietosuojavaltuutetun virassa tällä viikolla aloittanut Anu Talus totesi muun muassa Ylen aamun haastattelussa, ettei henkilötunnusta ja nimeä saisi yksistään käyttää ihmisten tunnistamiseen.
Kertaluottoa saa ilman verkkopankkitunnuksia
Rahaa ei saa verkossa lainaksi pelkillä henkilötiedoilla eikä maksukorttia voi vinguttaa netissä nykylain mukaan ilman vahvaa tunnistamista. Vahva tunnistaminen tarkoittaa henkilöllisyyden todentamista esimerkiksi verkkopankkitunnuksilla tai mobiilivarmenteella.
Sen sijaan netistä voi tilata vaikkapa sohvan osamaksulla ilman vahvaa tunnistautumista. Syynä on kuluttajansuojalain seitsemännen luvun kuluttajaluottosäädökseen kirjattu poikkeus, joka sallii hyödykesidonnaisen kertaluoton myöntämisen nettiostoksen yhteydessä ilman vahvaa tunnistamista.
– Tarkoituksena on varmasti ollut, että henkilö pitää tunnistaa huolellisesti, mutta (säädökseen) on jäänyt tarkentamatta, miten. Ehkä perustelut eivät ole enää tätä päivää, tuumaa Finanssivalvonnan johtava lakimies Sanna Atrila.
Ilman vahvaa tunnistamista peliin astuu väärinkäytön riski, jota voisi Atrilan mukaan ehkäistä vahvan tunnistamisen edellyttäminen.
Klarna on noussut esiin yhteydenotoissa
Kuluttaja-asiamiehelle tulleet yhteydenotot koskevat nimenomaan hyödykesidonnaisia kertaluottoja. Sellaisia tarjoaa esimerkiksi ruotsalainen pankki ja maksupalveluyritys Klarna, joka on mainittu joissakin KKV:lle Vastaamon tapauksen jälkeen tulleissa yhteydenotoissa.
Hannulan mukaan Klarna on toisinaan noussut lukuisten nettikaupoissa maksuvaihtoehtoja tarjoavien yritysten joukosta esiin myös viime vuosina tulleissa yhteydenotoissa, jotka koskivat identiteettivarkauksia tai niiden yrittämistä.
Epäilyt Klarnan tietoturvariskeistä ovat olleet otsikoissa aiemminkin. Myös Yle on käsitellyt aihetta viime vuonna.
Klarnan verkkosivuilla omia ostoksiaan voi katsoa sähköpostiosoitteen ja henkilötunnuksen avulla, joskin kirjautuakseen täytyy vahvistaa sähköpostiviesti.
Klarnan Suomen maajohtaja Jacob Segercrantz vastaa, ettei pelkällä henkilötunnuksella ja sähköpostilla voi tehdä ostoksia Klarnan kautta.
– Teknologiamme huomioi monia datapisteitä, joista henkilötunnus ja sähköpostiosoite ovat vain kaksi.
Klarna ei aina edellytä vahvaa tunnistautumista, kun hakee osamaksua nettiostoksen tilaushetkellä. Yhtiöstä huomautetaan, että vahva tunnistautuminen pyydetään aina laskun maksamisen koittaessa.
– Raha ei siis koskaan lähde kuluttajalta ilman lisätunnistautumista verkkopankkitunnuksilla, Segercrantz sanoo.
Segercrantzin mukaan turvatarkaistuksen havaitessa merkkejä vilpistä, vahvaa tunnistautumista edellytetään. Jos vahvistusta ei tule, Klarnan teknologia hylkää ostoksen.
– Taustalla toimii aina edistyksellinen teknologia petosten estämiseksi. Tämä ei välttämättä näy ulospäin, mutta teemme turvallisuustarkastuksia taustalla aina tilausvaiheessa myös silloin, kun valitset maksutavaksi lasku- tai osamaksun, Segercrantz kirjoittaa sähköpostitse.
Vuonna 2005 perustettu ruotsalainen Klarna kertoo verkkosivuillaan (siirryt toiseen palveluun) olevansa yksi Euroopan suurimmista pankeista. Klarnalla on ollut vuodesta 2017 ruotsalaisen finanssivalvojan pankkilisenssi.
Klarna-konserni on laajentunut maailmalle vauhdilla ja kasvu (siirryt toiseen palveluun) on ollut voimakasta myös koronaviruspandemian aikana. Tammi-kesäkuussa Klarna käsitteli kaikkiaan 22 miljardin dollarin edestä maksuja.
Konsernin Suomnen yhtiö, Klarna oy, takoi lähes 1,8 miljoona euroa liikevoittoa – miltei miljoona euroa edeltävää vuotta enemmän.
KKV on puuttunut luotosta kertomisen epäselvyyksiin
Mikäli henkilötunnukset kaapataan väärinkäyttöön, tietosuojavaltuutetun toimisto voi lätkäistä väärinkäyttäjälle seuraamusmaksun.
Kuluttaja-asiamies on puolestaan saanut heinäkuussa lisäkeinoja puuttua kuluttajansuojarikkomuksiin.
Aiemmissa selvityksissään KKV on puuttunut verkkokauppamaksamiseen liittyviin epäselvyyksiin, esimerkiksi epämääräisyyteen eronteossa laskun ja luoton välillä ja luoton kustannusten kertomisessa.
– Kun kuluttajille tarjottiin verkkokauppaostosten yhteydessä eri maksutapoja, monella toimijalla sekoittui toisiinsa se, onko kyse laskusta vai luotosta, Hannula kertoo muutaman vuoden takaisesta tilanteesta.
KKV:n puututtua peliin monet maksupalvelun tarjoajat ovat Hannulan mukaan parantaneet tapojaan.
Lue myös: