Një incident i fundit që përfshin “Revolut” në Britaninë e Madhe, një prej kompanive më të mëdha fintech në Evropë, duhet të shërbejë si një alarm serioz edhe për Shqipërinë. Jo sepse një grup hakerësh depërtoi në sistemet e kësaj banke të njohur digjitale, por se, për një arsye ndoshta edhe më shqetësuese të dhënat e klientëve iu dorëzuan një pale të paautorizuar si pasojë e një kërkese të rreme që dukej krejtësisht zyrtare.
Sipas njoftimeve të dërguara klientëve të prekur, banka “Revolut” dorëzoi të dhëna jashtëzakonisht sensitive: kopje pasaportash ose dokumentesh identifikimi, selfie verifikimi, emra, data lindjeje, adresa, numra telefoni, të dhëna të llogarive dhe histori të plota transaksionesh, përfshirë edhe transaksione me Bitcoin. Kërkesa vinte nga një llogari e paautorizuar, por brenda një domeni real qeveritar dhe kalonte kontrollet e autentifikimit të domenit.
Revolut më pas konstatoi se kërkesa nuk ishte legjitime.
Ky rast tregon edhe njё herё qartё se siguria kibernetike nuk është vetëm çështje firewall-esh, enkriptimi dhe programesh antivirus. Ajo është mbi të gjitha, çështje e verifikimit të autoritetit.
Në një sistem financiar modern, dokumenti i identitetit nuk është thjesht një dokument. Ai është çelësi që mund të hapë dyert e identitetit financiar, kredive, llogarive, pasurisë dhe jetës private të individit. Kur një bankë ose institucion financiar ruan kopje pasaportash, adresa, numra telefoni dhe histori transaksionesh, ajo nuk administron thjesht “të dhëna klientësh”; administron një inventar të fuqishëm të identitetit njerëzor.
Mësimi për Shqipërinë dhe modeli “JET BANK”
Historia e hack-imit të Revolut, gjigandit anglez të bankave digjitale, duhet të na bëjë veçanërisht të vëmendshëm në Shqipëri, sidomos me krijimin e bankës së parë elektronike “Jet bank” që tashmë raportohet se ka mbledhur me mijëra të dhëna klientësh online.
Ashtu si Revolut apo Jet Bank, bankat, institucionet financiare, kompanitë e pagesave, platformat fintech dhe institucionet publike shqiptare mbledhin sot sasi gjithnjë e më të mëdha të të dhënave personale dhe financiare. Në emër të KYC-së, AML-së, parandalimit të mashtrimit dhe detyrimeve ligjore, qytetarët dorëzojnë dokumente identifikimi, të dhëna bankare, adresa, numra telefoni, të ardhura dhe informacione mbi transaksionet. Ata “zhvishen” nga asetet e tyre personale duke i dorëzuar me “dëshirë” në sportelet elektronike.
Por, cilët janë “ata” që mund t’i kërkojë këto të dhëna? Si verifikohet autoriteti i kërkuesit dhe kush mban përgjegjësi nëse verifikimi dështon?
Në epokën digjitale, një email me pamje zyrtare mund të jetë më i rrezikshëm se një sulm i drejtpërdrejtë teknik. Kёshtu, një punonjës që beson një kërkesë të rreme mund të bëhet, pa dashje, “çelësi” që hap një bazë të tërë të dhënash.
Rasti “Revolut” tregon gjithashtu një paradoks: sa më shumë të dhëna kërkojmë për të luftuar mashtrimin, aq më të mëdha bëhen pasojat e një gabimi në administrimin e tyre.
Revolut ka deklaruar se fondet, llogaritë dhe asetet e klientëve nuk u komprometuan dhe se kredencialet e hyrjes, numrat e kartave dhe çelësat privatë nuk ishin pjesë e informacionit të ekspozuar. Megjithatë, vetë natyra e të dhënave të zbuluara është mjaft serioze për të krijuar rreziqe të mëtejshme të mashtrimit dhe vjedhjes së identitetit.
Përgjegjësia nuk mbaron me “nuk na hakuan”
Për institucionet shqiptare, rasti “Revolut” duhet të jetë më shumë se një paralajmërim.
Një institucion nuk mund të konsiderohet i sigurt vetëm sepse askush nuk ka depërtuar akoma në serverët e tij. Nëse ai mund t’i dorëzojë të dhënat një personi të gabuar për shkak të një kërkese të rreme, rezultati për qytetarin do jetë i njëjtë: të dhënat s’kanë më kontroll institucional.
Për këto arsye, siguria moderne kërkon jo vetëm mbrojtje teknike, por edhe procedura të dyfishta verifikimi, ndarje kompetencash, gjurmueshmëri të çdo kërkese për të dhëna, auditim dhe përgjegjësi reale individuale e institucionale.
Në Shqipëri, ku mbrojtja e të dhënave personale trajtohet si një çështje burokratike dhe jo si komponent i sigurisë kombëtare, financiare dhe të shtetit ligjor, rasti Revolut është një alarm për të kujtuar se, të dhënat personale nuk janë thjesht informacion.
Ato janë pasuri, identitet dhe pushtet.
Dhe institucioni që i mbledh ato ka një detyrim shumë më të madh sesa thjesht t’i ruajë nga hakerët. Ai duhet të sigurohet që të mos ia japë vetë personit të gabuar. Se nëse ndodh, zhveshja përfundon në “përdhunim”.
Ky është artikull ekskluziv i KontrasT.al, që gëzon të drejtën e autorësisë sipas Ligjit Nr. 35/2016, “Për të drejtat e autorit dhe të drejtat e lidhura me to” / Artikulli mund të ripublikohet vetёm i shoqëruar me linkun e artikullit origjinal.
