En supposant que vous les appeliez sur un numéro publié, je dirais que cela ressemble à un système de réponse vocale (IVR) interactif, ce qui est assez courant dans le monde bancaire.

Le concept est que le système prend vos informations d'authentification avant de vous transmettre à un agent du centre de contact. L'avantage de ceci du point de vue de la sécurité est que l'agent du centre d'appels n'a pas à vous demander de vous authentifier avant de discuter de votre compte.

Si correctement mis en œuvre, cela ne devrait pas être plus dangereux que en tapant votre mot de passe sur un site Web. Il existe un système automatisé traitant les données vocales et il devrait les stocker / enregistrer correctement.

Bien sûr, comme vous le faites remarquer, il y a un risque de mise sur écoute téléphonique, mais si vous supposez que votre ligne téléphonique est sur écoute , toute forme de banque par téléphone n'est pas sécurisée car ils doivent vous authentifier d'une manière ou d'une autre pour pouvoir discuter de votre compte avec vous.

MODIFIER: Pour ajouter des détails, plutôt que de les laisser éparpillés autour de commentaires qui pourraient être effacés.

Fondamentalement, les banques doivent vous authentifier d'une manière ou d'une autre, quel que soit le canal (par exemple, Web, téléphone, succursale) que vous utilisez pour les contacter, et il y a des compromis à prendre en compte.

D'une part, avoir des identifiants dédiés par canal est utile dans la mesure où cela réduit le risque de compromission et évite de brouiller le message "ne dites pas aux gens votre mot de passe Web", mais cela laisse utilisateurs avec plus d'informations d'identification à gérer et selon toute vraisemblance, beaucoup de réinitialisations de mot de passe si les utilisateurs n'utilisent capacités que les réinitialisations fréquentes attirent)

Ainsi, l'option qui apparaît, à partir des informations fournies, qui est utilisée ici est de combiner les informations d'identification pour les canaux Web et téléphonique, et d'utiliser un système IVR automatisé sur le canal téléphonique pour éviter que les informations d'identification ne soient fournies aux agents du centre de contact. . L'avantage ici est un ensemble unique de crédits, donc l'utilisateur ne les oubliera pas, et l'inconvénient est le scénario que nous voyons où la messagerie bancaire "ne donnez pas aux gens votre mot de passe" conduit à des problèmes d'utilisation de ce système.

En termes de sécurité du système IVR, c'est essentiellement comme tout autre système qui traite des données. Il doit être sécurisé de manière appropriée afin que les informations d'identification de l'utilisateur ne soient pas exposées, pas différentes de celles du canal Web.

De toute évidence, un système comme le matériel (pas SMS) 2FA pourrait bien fonctionner dans ce scénario car les codes numériques sont facilement transmis aux systèmes IVR, mais cela a ses propres compromis en termes de coût et d'expérience utilisateur.

Message d'avertissement obligatoire:

Ne donnez jamais votre mot de passe à personne et ne laissez pas cette réponse influencer ce type de comportement de quelque manière que ce soit.

Comme on ne peut pas connaître toutes les circonstances dans ce cas particulier, un peu de spéculation est nécessaire pour répondre à cette question.

Si j'ai tout compris correctement, le cas est le suivant:

L'OP a visité le site Web de la banque, a recherché le numéro d'assistance, puis il a lancé un appel. Après avoir donné uniquement son identifiant bancaire (?), Le bot à la fin de la ligne a accueilli l'OP avec son nom de famille, puis a demandé le mot de passe de la banque en ligne.

Oui, cela aurait pu être une tentative de phishing par un attaquant. Le site que vous avez visité aurait pu être modifié et un autre numéro d'assistance aurait pu être configuré. Après avoir fait tout cela, l'attaquant a dû attendre que l'OP visite volontairement le site ¹ puis appeler le numéro. L'attaquant aurait également dû mettre en place un robot téléphonique qui est également capable de connecter l'identifiant bancaire au nom de famille de OP ² .

Ceci - pour moi du moins - Cela ressemble à un très gros effort pour obtenir simplement le mot de passe d'un compte bancaire en ligne, ce qui n'est même pas si précieux lorsque vous utilisez un système bancaire en ligne typique. Vous avez généralement besoin d'un deuxième facteur pour effectuer tout type de transaction d'argent. Il s'agit toujours d'une compromission du compte bancaire, mais rien qui ne puisse être corrigé.

Je doute fortement qu'il s'agisse d'une tentative de phishing. Cela ne me semble tout simplement pas une bonne politique, surtout si ce n'est pas clair pour les utilisateurs, que leur mot de passe en ligne soit également utilisé pour l'authentification par téléphone.

_{(1) En théorie, un l'attaquant pourrait simuler une sorte d'urgence qui conduirait alors un utilisateur à appeler le numéro d'assistance.}

_{(2) À moins que l'OP ne fasse une erreur et n'ait mentionné son nom de famille plus tôt pendant l'appel.}

Oui, vous devez prendre des mesures, signalez-le à votre banque, il s'agissait probablement d'une tentative de phishing.

Cela ne devrait pas arriver et ce n'est pas une pratique normale.

Votre banque ne vous demandera jamais votre code PIN ou votre mot de passe.

EDIT: Après avoir lu vos commentaires et la clarification (postée après mon awnser) que le contact a été entièrement initié par vous, il est possible / probable que ce ne soit pas une tentative de phishing et soit une très mauvaise politique (car l'identifiant vocal / la biométrie ne devrait pas nécessiter de mot de passe secret pour fonctionner) ou une demande d'informations fournies pour prouver l'identité dans ce type de scénario.

Dans tous les cas, je contacterais votre banque (via une méthode autre ce numéro de téléphone) et expliquez vos préoccupations et demandez-leur de préciser que cette demande était légitime.

Je ne ferais pas confiance à cette banque. Même si cet appel téléphonique était totalement légitime pour leurs systèmes, cela prouve simplement qu'ils ne comprennent pas les implications de sécurité d'au moins deux façons:

1. Si votre mot de passe Web est assez simple pour être prononçable à un bot qu'il pourrait le comprendre assez bien pour valider qu'il s'agit bien de votre mot de passe, ce n'est pas un mot de passe suffisamment sécurisé pour quelque chose d'aussi sensible que les informations bancaires. En forçant les utilisateurs à prononcer (ou à l'entrer d'une manière ou d'une autre via le clavier, ce qui ressemble honnêtement à l'enfer absolu) leur mot de passe, ils encouragent les mots de passe non sécurisés.

2. D'après la réponse de Rory:

Si correctement implémenté, cela ne devrait pas être plus dangereux que de saisir votre mot de passe sur un site Web.

et

En termes de sécurité du système IVR, c'est essentiellement comme tout autre système qui traite des données. Il doit être sécurisé de manière appropriée afin que les informations d'identification de l'utilisateur ne soient pas exposées, pas différentes de celles du canal Web.

Parler sur un téléphone est TRÈS différent de communiquer sur un canal Web. À moins que vous n'utilisiez une ligne téléphonique cryptée entre vous et la banque, tout ce qui est transmis sur cette ligne peut être écouté. Alors qu'une connexion Web correctement implémentée ne peut pas être écoutée car elle utilise un cryptage de bout en bout. En fait dans les meilleures implémentations, votre mot de passe n'est jamais transmis sous une forme récupérable, donc même si le serveur Web de la banque avait été infecté, il ne pourrait pas découvrir votre mot de passe (il ne pourrait que vérifier que vous êtes en possession du bon mot de passe). Voici une discussion sur les raisons pour lesquelles cette technique de hachage (en plus du canal de communication déjà crypté) serait ou ne serait pas utilisée: Pourquoi le hachage côté client d'un mot de passe est-il si rare?

[L] hé doit vous authentifier d'une manière ou d'une autre pour pouvoir discuter de votre compte avec vous.

C'est vrai, mais utiliser des identifiants Web n'est pas le moyen de le faire. Et pour les raisons que j'ai mentionnées ci-dessus, la communication téléphonique a des insécurités inhérentes et je ne fais pas d'affaires sensibles par téléphone si je peux l'aider.

Comme pour tout, suivez mes conseils avec un grain de sel. La probabilité que votre ligne téléphonique soit mise sur écoute par une personne ou une organisation qui serait intéressée à utiliser votre mot de passe en ligne contre vous est très mince. Je laisse au lecteur le soin d'évaluer ce risque par rapport aux risques que la banque ne sécurise pas correctement d'autres canaux de communication et de choisir le niveau de risque qu'il est prêt à prendre.

Vous ne serez jamais en sécurité à 100%. Vous ne pouvez atténuer les risques qu'à un niveau acceptable.

Il existe généralement des informations d'identification différentes pour les services bancaires par téléphone et les services bancaires en ligne. Cela évite la plupart des tentations et des conflits d'intérêts, car les opérations bancaires par téléphone ne peuvent être initiées que par l'intermédiaire d'un opérateur téléphonique connecté, et au moins ma banque indique clairement que ses informations d'identification en ligne ne seront jamais demandées ou acceptées par téléphone, exactement à cause du phishing.

S'il était complètement banal de distinguer le phishing de la véritable stupidité, le phishing serait moins une chose. Dans tous les cas, faire confiance à l'autre partie avec vos informations d'identification en ligne semble être une mauvaise idée.

Clause de non-responsabilité: ne partagez jamais vos identifiants de connexion, mots de passe ou codes PIN en personne, par téléphone ou en ligne. Utilisez uniquement les mots de passe bancaires sur le site Web vérifié de la banque, en vérifiant les informations de sécurité de votre navigateur (à côté du https).

Je n'appellerais pas cela une «violation de la vie privée» puisque théoriquement votre mot de passe (ou son hachage) est une information déjà partagée entre vous et la banque. Depuis que vous êtes celui qui a appelé le service client, il semble que vous ayez découvert un bogue ou une fuite de sécurité dans leur système.

• On m'a demandé des parties de mon PUK ou de mon identifiant d'usine de la pièce de plastique dont ma carte SIM a été retirée par un employé du service client lors d'un appel à propos de mon compte de téléphone portable. Et pour quelques chiffres de mon numéro de compte par un employé de la banque, lorsque j'appelle la banque, jamais mon mot de passe.
• Non ce n'est pas une pratique normale, la plupart des banques vous avertissent de ne jamais écrire votre mot de passe, non de le dire à qui que ce soit et de ne l'utiliser qu'à partir de votre ordinateur lors de la connexion au service bancaire en ligne via HTTPS.
• Il est possible qu'ils aient été piratés (à savoir le logiciel bot utilisé dans leur centre de service) ou alternativement pourrait être un risque / bogue de sécurité imprévu dans leur logiciel. Quoi qu'il en soit, dire votre mot de passe au téléphone est un risque de sécurité en soi, car il est possible que vous soyez entendu, que l'appel téléphonique soit redirigé (par exemple si votre téléphone a été piraté) ou que quelqu'un intercepte et écoute sur le conversation.
• Contactez votre banque par une autre voie et signalez le risque de sécurité. Vous pouvez soit essayer de signaler le bogue via le formulaire de contact / rapport d'erreur sur leur site Web, soit vous rendre en personne à votre succursale locale. Une autre chose à faire serait de consulter le site Web de la banque pour les pages d'aide associées à leur service téléphonique. Ceux-ci décriront généralement le processus requis pour utiliser leur ligne de service client et si cette étape (indiquer au bot votre mot de passe) n'est pas incluse, quelqu'un a très probablement compromis son logiciel de bot ou il s'agit d'une attaque de phishing par quelqu'un de son centre de service, si cette étape est incluse, il s'agit probablement d'un risque de sécurité négligé. Dans tous les cas, vous devez le signaler, la plupart des services financiers prendront une telle plainte très au sérieux.
• En fonction du résultat de cette plainte, vous devrez peut-être également contacter votre opérateur téléphonique, car cela pourrait être le résultat de logiciel ou un risque de sécurité avec votre fournisseur. Pour exclure provisoirement cette possibilité, essayez de contacter le service bancaire avec un autre téléphone sur un autre réseau.

Ils ne vous ont pas demandé votre mot de passe bancaire en ligne, mais votre mot de passe / phrase de passe pour leur système téléphonique. Une banque (sans parler de toute entreprise / système) utilisant les mêmes informations d'identification pour vos services bancaires en ligne et par téléphone n'existe tout simplement pas.

- mot de passe Web "sécurisé" typique:

+ o_TH3 -m * 0N2017! qui est ensuite stocké dans la base de données sous forme de hachage (par exemple 8dd6ae487b790146f6570cb5b01f7f70224f6706). Pour authentifier que vous avez entré la bonne passe, le système répète votre entrée et si c'est une correspondance, vous êtes authentifié.

Pour les systèmes téléphoniques, les phrases de passe seraient stockées sous forme de texte brut ou le système automatisé vous obligerait à utiliser uniquement chiffres / lettres et indiquez-les lettre par lettre.

À moins que vous ne souhaitiez nous indiquer la banque que vous utilisez, vous pourriez obtenir plus de clarté en rappelant votre banque et en demandant à parler à un représentant?

Enfin - depuis que vous les avez appelés, une tentative de phishing est peu probable

À première vue, cela ressemble à une arnaque, mais vous avez des choses à faire maintenant:

1. Lorsque des gens reçoivent des appels comme celui-ci, il est généralement recommandé d'appeler la banque centrale d'enquête téléphonez et demandez à une personne réelle de recevoir une confirmation si le cas est réel.

   Puisqu'il s'agit très probablement d'une astuce de phishing, vous devriez le signaler. Cela les aide à bloquer ou à trouver les criminels.

   • Vous devez fournir des informations sur le numéro de téléphone ou l'adresse e-mail d'où il provient
   • Fournir des informations sur le l'heure de l'appel et toute autre activité suspecte avec des dates.
   • Fournissez des informations sur les informations demandées et si vous leur avez fourni quelque chose.

2. Modifiez toutes les données possibles, le mieux est d'appeler la ligne de demande centrale, où vous leur donnez un nouvel email et un nouveau numéro de téléphone FRAIS, où vous pouvez communiquer en toute sécurité. Mieux vaut ne pas lire les sms de numéros inconnus.

   • Changer le nom d'utilisateur, le mot de passe, le code PIN. Limitez le montant du crédit retirable, mais honnêtement, si vous leur donniez une pièce d'identité, je demanderais simplement un nouveau compte pour des raisons de sécurité. Cela dépend de votre banque, de sa flexibilité.
   • Une fois votre nouvelle adresse e-mail enregistrée, vous devez également modifier le mot de passe et les questions de sécurité dans votre compte. Si le compte semble être sécurisé, vous pouvez transférer cet argent vers un autre, ou mieux pour le faire payer personnellement en espèces à la banque ou transféré sur le nouveau compte par eux. Dites-leur que vous donniez des informations.
   • Ne faites confiance à aucun site apparaissant dans votre e-mail / compte (compromis). Même SSL (site sécurisé) peut être faux.

3. En option, vous pouvez contacter la police, mais c'est une perte de temps sans aucune information spécifique.

Certains d'entre eux peuvent sembler exagérés et improbables, mais j'ai vu de nombreux criminels intelligents et rusés. Ils viennent quotidiennement de Russie ou d'Inde, où les forces de l'ordre ne se soucient pas de vos autorités européennes / américaines.

modifier @ commentaire de l'interrogateur

Vous n'avez pas semblé préciser comment cela s'est passé. Je ne sais pas s'il a été édité, mais d'après ce que j'ai compris, il semble qu'ils vous ont contacté. Si vous avez appelé le numéro du site officiel (pas de clic sur les liens e-mail), vous avez fait ce que j'ai dit. Mais:

1. AUCUNE des entreprises que je connaissais jusqu'à présent (banques ou informatique) ne demande de mot de passe par téléphone. Comme vous l'avez dit, il est enregistré, non chiffré et utilisable sans l'accord du propriétaire. Ils ne demandent même pas les numéros d'identification complets!
2. Au contraire, je connais des entreprises, qui doivent vous informer que l'appel est enregistré, et l'employé est INTERDIT de demander un mot de passe, et ils interdisent le propriétaire de dire à l'un de ceux-ci. Même un système automatisé ne demande pas d'entrer les mots de passe complets par des boutons ou de le dire dans le téléphone.Si c'était une vraie entreprise, je quitterais cette banque immédiatement.
3. Cela ressemble exactement à une arnaque. Une «vraie personne» est un point clé de l'ingénierie sociale. L'escroc gagne la confiance en étant authentique. Ce genre de trucs est réalisé quotidiennement. Ce que j'ai décrit est une routine officielle des entreprises professionnelles. Je suis d'accord, c'est une politique horrible si c'était une vraie banque.