Perché gli estratti conto bancari hanno una password?

Le banche cifrano i PDF degli estratti con una password costruita con i tuoi dati, così il contenuto resta illeggibile se l'email arriva alla persona sbagliata.

Le banche proteggono con password gli estratti inviati per email perché l'email è facile da sbagliare destinatario, inoltrare o violare. Il PDF è cifrato e la password è costruita con dati che dovresti conoscere solo tu e la banca, così chi ottiene il file non può leggere i tuoi movimenti, il saldo o il numero di conto.

Cosa fa davvero la password

La password di apertura di un PDF cifra il contenuto del documento. Senza password, un lettore PDF vede dati illeggibili, non testo nascosto. È diverso da una password dei "permessi", che limita solo stampa o copia nei lettori che la rispettano (Adobe: Password security overview). Gli estratti conto usano una password di apertura, perché l'obiettivo è tenere privato il contenuto.

Le banche lo descrivono in termini simili. Standard Chartered UAE, ad esempio, dice che i suoi eStatement sono "cifrati con una password univoca" (Standard Chartered UAE).

Da cosa protegge

• Indirizzo email sbagliato. Un errore di battitura quando si registra un indirizzo, o un vecchio indirizzo che ora appartiene a un altro, potrebbe mandare il tuo estratto a uno sconosciuto.
• Caselle condivise o violate. I familiari su un dispositivo condiviso, o un malintenzionato che entra nella tua email, non possono leggere l'allegato senza la password.
• Inoltro e archiviazione. Gli estratti finiscono nelle cartelle Download, nei backup cloud e nelle app di chat. La cifratura viaggia con il file.
• Frodi. Un estratto mostra numero di conto, indirizzo, saldo e abitudini di spesa, materiale utile per truffe e furti d'identità.

Perché la password è fatta con i tuoi dati

Le banche non possono mandare una password casuale nella stessa email, perché chiunque la leggesse la vedrebbe. Quindi la maggior parte usa un formato, di solito una combinazione di nome, data di nascita, numero di cellulare, ID cliente o numero di conto. Tu puoi ricavarla, uno sconosciuto di solito no, e la banca non deve inviare nessun segreto. Il formato stesso è normalmente indicato nell'email dell'estratto o sul sito della banca.

Lo svantaggio è che questi dati non sono davvero segreti. Una persona vicina a te può conoscere la tua data di compleanno e il tuo numero di telefono. Considera la password una protezione contro l'esposizione casuale, non una cassaforte.

È un obbligo di legge?

Dipende dal paese, e le norme raramente dicono "usa una password PDF". In India, il Cyber Security Framework in Banks della Reserve Bank of India (2 giugno 2016) dice alle banche che sono responsabili dei dati che detengono e devono preservarne riservatezza, integrità e disponibilità, aggiungendo che "la riservatezza di tali informazioni in custodia non dovrebbe essere compromessa in nessuna circostanza" (circolare RBI). La circolare non cita specificamente gli estratti via email né le password PDF. Gli estratti protetti da password sono un modo comune con cui le banche adempiono a quel dovere più ampio. Non abbiamo trovato una norma RBI che imponga le password PDF per gli estratti.

Altrove, le leggi sulla protezione dei dati in genere richiedono alle organizzazioni di proteggere i dati personali. Cifrare gli estratti è un modo comune per farlo, ma il metodo preciso di solito è lasciato alla banca.

Cosa significa per te

• Non condividere la password nello stesso messaggio del PDF.
• Se togli la password per comodità, conserva la copia sbloccata in un posto privato.
• Conserva la password stessa in modo sicuro, non in una nota normale.
• Se un'email di "estratto conto" ti chiede di cliccare un link e inserire le credenziali dell'home banking per aprirlo, considerala un possibile phishing. I veri estratti chiedono solo la password del PDF.

Se riscrivere la password ogni mese ti pesa, puoi salvare una copia sbloccata con Anteprima su Mac, o con UnKey su iPhone, iPad o Mac (offline, nulla viene caricato). Fallo solo su un dispositivo che usi solo tu.

Domande

Fonti

• Reserve Bank of India – Cyber Security Framework in Banks (2 June 2016)
• Standard Chartered UAE – Online eStatements
• Adobe – Password security overview in Acrobat

I formati possono cambiare. Se una password non funziona, controlla l’email che accompagnava il documento o contatta l’emittente. UnKey non è affiliata a nessuna banca, datore di lavoro o ente citato qui.

Tradotto dall’inglese. In caso di differenze fa fede la pagina in inglese.