1 Inntasting i nettbank – en ”case” Kai A. Olsen Høgskolen i Molde/Universitetet i Bergen.

Presentasjon om: "1 Inntasting i nettbank – en ”case” Kai A. Olsen Høgskolen i Molde/Universitetet i Bergen."— Utskrift av presentasjonen:

1 1 Inntasting i nettbank – en ”case” Kai A. Olsen Høgskolen i Molde/Universitetet i Bergen

2 Kai A. Olsen, 22.09.09 2 Tapte 500.000 Tapte en halv million etter tastefeil Tastefeil: Ett fem-tall for mye kostet Grete Fossbakk en halv million. Hun tastet feil kontonummer i nettbanken. Stakk av: Kunden i DnB Nor som fikk beløpet tok umiddelbart ut pengene - og gamblet bort det meste.

3 Kai A. Olsen, 22.09.09 3 Hva skjedde Fossbakk skulle taste: 70581555022 Men tastet: 705815555022 Dvs. et femtall for mye Banksystemet aksepterte bare 11 siffer Overføringen gikk til 70581555502

4 Kai A. Olsen, 22.09.09 4 Uheldig (1) Det siste sifferet er et kontrollsiffer, men uheldigvis er også 70581555502 et gyldig kontonummer Kontrollsifferet tar alle feil i ett siffer og alle ombyttinger av to etterfølgende siffer. Gjør vi flere feil stopper denne kontrollen i snitt bare 92% av alle gale kontonummer. Fossbakks feiltasting resulterte derfor i et gyldig kontonummer

5 Kai A. Olsen, 22.09.09 5 Uheldig (2) Det er 10 siffer i kontonummeret, pluss kontrollsiffer Dette gir 10 milliarder mulige kontonummer Bare en liten del er i bruk Derfor er det lite sannsynlig at et feil nummer gir en eksisterende konto (noe avhengig hvor i kontonummeret feilen gjøres) I Fossbakk’s tilfelle resulterte feiltastingen i et kontonummer som var i bruk

6 Kai A. Olsen, 22.09.09 6 Uheldig (3) Pengene gikk til en uføretrygdet person Som brukte opp nesten 400.000 på spill i løpet av en uke Ikke praktisk mulig å få noe tilbake her Men personen som bruke pengene fikk fengselsstraff Du er uheldig om du treffer på en kontoeier som dette i et land som Norge

7 Kai A. Olsen, 22.09.09 7 Problem Banken hevdet at dette er Fossbakk’s feil De ville ikke erstatte tapet

8 Kai A. Olsen, 22.09.09 8 Hva gjør en bankkunde nå? Aksepterer tapet – 400.000 kroner er mange penger for de fleste Men en kan klage til bankklagenemda Denne skal ta seg av konflikter mellom forbrukere og banker Her sitter 5 representanter: To som representerer bankene To som representerer forbrukerne En formann

9 Kai A. Olsen, 22.09.09 9 Hva skjedde her Fossbakk tapte Hun fikk to stemmer fra forbrukerrepresentantene Hun fikk to stemmer imot fra bankrepresentantene Formannen, en professor i jus, stemte med bankene Derfor tapte hun

10 Kai A. Olsen, 22.09.09 10 Begrunnelse Leder jusprofessor Viggo Hagstrøm mener Bankklagenemnda ikke hadde noen annen mulighet, etter som lovverket ikke sier noe om ansvarsbegrensning når bankkunder gjøre feil i nettbanken. ”Det er vanskelig å se at det er noe feil med systemet. Det er like feil å slå inn feil nummer som et nummer for mye. Det gjorde ikke noe fra eller til for avgjørelsen”, sier Hagstrøm Det burde vært en grense for hvor stort ansvar forbrukeren skal ta for egne feil, men lovgiveren har altså ikke sagt noe om det, og da kan ikke vi endre det, sier Hagstrøm.

11 Kai A. Olsen, 22.09.09 11 Hagstrøm Fokuserer altså på erstatningsdelen av jussen Ikke på hvilken feil brukeren eller eventuelt banken har gjort

12 Kai A. Olsen, 22.09.09 12 Stor mediaomtale

13 Kai A. Olsen, 22.09.09 13 Rettssak Fossbakk med støtte av Forbrukerrådet gikk til sak mot banken (Sparebank 1 Nord-Norge) Saken skulle opp våren 2008 Undertegnede ble bedt av Forbrukerrådet om å stille som ekspertvitne Det store spørsmålet blir

14 Kai A. Olsen, 22.09.09 14 Hvem har ansvaret? Banken eller Kunden

15 Kai A. Olsen, 22.09.09 15 Banken hevdet at 1.At det ikke er bevis for at hun tastet et siffer for mye 2.At hun godkjente den endelige giroen 3.Fossbakk må ta konsekvensen av egne feil (og banken har altså fått støtte av dette i klagenemnda)

16 Kai A. Olsen, 22.09.09 16 Skal Fossbakk vinne fram Må vi plukke fra hverandre bankens argumentasjon For å få til dette kan vi argumentere Men helst bør vi ha håndfaste data La oss se på argumentene igjen:

17 Kai A. Olsen, 22.09.09 17 Banken hevder at 1.At det ikke er bevis for at hun tastet et siffer for mye 2.At hun godkjente den endelige giroen 3.Fossbakk må ta konsekvensen av egne feil (og banken har altså fått støtte av dette i klagenemnda)

18 Kai A. Olsen, 22.09.09 18 Et siffer for mye (1) Fossbakk tastet 705815555022, men systemet registrerte kun 70581555502 Kan vi bevise at hun tastet 12 siffer? I grensesnittet ble alle siffer ut over 11 ignorert. Det eksisterer derfor ingen logg-informasjon. (Kanskje litt frekt av banken å komme med dette argumentet, når deres system ikke har logget det som skjedde) Dette er av vesentlig betydning, har hun tastet 11 er det åpenbart hun som har gjort feil, har hun tastet 12 er saken etter min mening helt annerledes (lederen for klagenemnda mener derimot ikke det)

19 Kai A. Olsen, 22.09.09 19 Sannsynlighet (1) Hun har gjort en feil om hun tastet et siffer for mye (et ekstra 5-tall) Men må ha gjort to feil om hun likevel tastet 11 siffer (et 5 tall for mye, utelatt et 2-tall på slutten) Det er åpenbart lettere å gjøre en feil enn to Men det er vanskelig å regne på sannsynligheter her Men en test kan gi interessante data

20 Kai A. Olsen, 22.09.09 20 En banksimulator Vi utviklet et datasystem som simulerte bankens Web-system Men dette registrerte også alt som ble gjort, inntasting, feil, tider brukt, m.m. Vi hentet inn: En skoleklasse fra Molde Videregående En fra Romsdal Videregående (også i Molde) Studenter fra Høgskolen i alt 69 personer

21 Kai A. Olsen, 22.09.09 21 Inndata Datasettet ble presentert på papir, i alt 30 giroer. Hver testperson tastet inn alle disse. Det ble 1778 giroer tilsammen (etter at vi fjernet noen “outlayers”) Hver giro besto av kontonummer, KID eller melding, dato og beløp. Siden vi var spesielt interessert i kontonummer med flere like siffer i sekvens, hadde vi mange av disse i datagrunnlaget.

22 Kai A. Olsen, 22.09.09 22 Simulatoren Identisk til det Grete Fossbakk brukte (Sparebank 1 og mange andre banker)

23 Kai A. Olsen, 22.09.09 23 Resultater FeltLengdeAnt. feil% feilrateFeilrate/lengde KID 12443.60.3 Kontonummer 1188*5.10.5 Dato 6201.10.2 Beløp (kr-del) 4160.90.2 *) Vi har ekskludert feil der det ble tastet fra galt datasett

24 Kai A. Olsen, 22.09.09 24 Feiltype - kontonummer FeiltypeAntallProsent For langt kontonummer3641 % (et ekstra tall i en sekvens)(18)(50 %) For kort kontonummer3135 % (et siffer for lite i sekvens)(21)(68 %) Feil 11-sifret kontonummer2124 % Sum88100 %

25 Kai A. Olsen, 22.09.09 25 Forkortning er farlig Når et for langt kontonummer blir kortet ned til 11 siffer vil dette bli det riktige kontonummeret i 2 av 3 tilfeller (en gjør ofte feil på slutten) Modulo 11 testen (kontrollsiffer) tar de fleste av de resterende Men i testen slapp 3 giroer (0.2%) forbi denne testen

26 Kai A. Olsen, 22.09.09 26 Testen viser at Dersom en taster et siffer for mye i en sekvens Ender en opp med et kontonummer som er for langt Vi kan da vise, med meget stor sannsynlighet, at Fossbakk har tastet et 12 sifret kontonummer Sannsynligheten for at hun i stedet gjorde to feil er marginal

27 Kai A. Olsen, 22.09.09 27 Banken hevder at 1.At det ikke er bevis for at hun tastet et siffer for mye 2.At hun godkjente den endelige giroen 3.Fossbakk må ta konsekvensen av egne feil (og banken har fått støtte av dette i klagenemda)

28 Kai A. Olsen, 22.09.09 28 Godkjenning 97101112345

29 Kai A. Olsen, 22.09.09 29 Godkjenning 88 studenter godkjente transaksjonen – til tross for at de hadde tastet galt kontonummer I tillegg, for tre transaksjoner av de tretti, fikset (den sleipe) simulatoren det inntastede kontonummeret til ett som lignet Dette ble gjort i 178 tilfeller I bare 5 av disse 178 tilfellene (3 %) ble dette oppdaget av brukeren

30 Kai A. Olsen, 22.09.09 30 Testen viser at Godkjenning er ingen sikkerhet mot feil Vi ”godkjenner” det vi har tastet inn

31 Kai A. Olsen, 22.09.09 31 Banken hevdet at 1.At det ikke er bevis for at hun tastet et siffer for mye 2.At hun godkjente den endelige giroen 3.Fossbakk må ta konsekvensen av egne feil (og banken har fått støtte av dette i klagenemnda)

32 Kai A. Olsen, 22.09.09 32 Hvem har gjort feil (3) Fossbakk har åpenbart gjort en feil Hun har tastet 12 siffer …og må ta ansvaret for det! Men banken har også gjort en feil De har endret det inntastede kontonummeret, fra 12 til 11 siffer …og må ta ansvaret for det!

33 Kai A. Olsen, 22.09.09 33 Konsekvensen av feil (3) Fossbakks feil skulle medføre at hun skulle få en feilmelding Konsekvensen av det skulle være at hun måtte rette opp nummeret

34 Kai A. Olsen, 22.09.09 34 Konsekvensen av feil (3) Bankens feil, å endre et 12 sifret nummer til et 11 sifret, medfører at 500.000 kroner gikk til feil konto Det er da rimelig at banken tar konsekvensen av dette, og erstatte beløpet Vi ser dette klart om vi overfører problemstillingen til den fysiske verden: Vi skriver et brev til banken og ber de overføre 500.000 kroner til et ugyldig 12-sifret kontonummer. Hva gjør funksjonæren?

35 Kai A. Olsen, 22.09.09 35 I tillegg - Grov uaktsomhet? Banken har aldri brukertestet det grensesnittet de brukte (og som hele Sparebank 1 gruppen og andre banker benyttet) De visste ikke engang hva en brukertest er Da vi spurte om brukertester svarte de at de hadde gjennomført en spørreundersøkelse Ja visst, vi finner spørreundersøkelser under brukertesting på Wikipedia – men da under kapittelet om hva brukertester ikke er!

36 Kai A. Olsen, 22.09.09 36 Hva skjedde? Banken kastet inn håndkleet to dager før saken skulle opp i retten Fossbakk fikk erstatning for det tapte beløpet, inklusive renter Fossbakk, Forbrukerrådet og Sparebank 1 Nord-Norge gjorde en avtale Men som professor er jeg ikke bundet av denne (som dere ser i dag)

37 Kai A. Olsen, 22.09.09 37 Er dette viktig? 500.000 kroner er et stort beløp. Men saken gjelder langt mer enn dette! Hva når dårlige systemer fører til at: Pasienten får dobbel dose av smertestillende på sykehuset og dør av det Flygelederen misoppfatter situasjonen og fly kolliderer Banksystemet, strømnettet eller mobilnettet faller ut fordi noen utfører en gal operasjon … Derfor er denne Fossbakk-saken en viktig prinsippsak

38 Kai A. Olsen, 22.09.09 38 Mer informasjon Inntasting i nettbank, arbeidsrapport, Høgskolen i Molde, 28.02.2008 A $100,000 Keying Error, IEEE Computer, April 2008 Kronikk/debatt i Aftenposten (08.04.08)