کدهای دستوری چقدر امنیت دارند؟

ممنوعیت استفاده از کدهای USSD برای انجام تراکنش های بانکی از اول مهرماه و پس از ان انصراف از اجرای آن از طرفی و تغییر در شیوه استفاده از این کدها از طرف دیگر دو عاملی بود که توانست USSD را به موضوع بحث بیشتر محافل صنعت پرداخت الکترونیکی تبدیل کند.

اکنون در روزهای نخستین آبان ماه هستیم و علی رغم اینکه بانک مرکزی کدهای دستوری را ناامن می‏داند، تا به امروز تغییر و تحول چشمگیری در نحوه ارائه این سرویس اتفاق نیفتاده است و آینده این کانال پرداختی همچنان مبهم به نظر می رسد.

در این رابطه گفت گو با فرهنگ فرزان معاون توسعه کسب و کار یکی از شرکت‌های ارائه دهنده خدمات پرداخت را در ادامه می خوانید:

بانک مرکزی از شش ماه پیش بخشنامه ای مبنی برممنوعیت استفاده از کدهای دستوری به شیوه فعلی از اول مهرماه صادر کرد و در آن مقطع تنها راه حفظ  USSDرا افزایش امنیت آن اعلام کرد. اواسط شهریورماه نیز در نشستی با شرکت‏های پرداخت، راهکار مطلوب افزایش امنیت را اعلام کرد. لطفا کمی در این خصوص توضیح دهید؟ اینکه خواسته بانک مرکزی دقیقا چیست و از طرفی شرکت های پرداخت قرار است چه کارهایی انجام دهند؟

مسئله بانک مرکزی با کدهای USSD، مسئله ای کاملا روشن است؛ فارغ از تمامی سلایق و علایق، یک محدودیت فنی- امنیتی مشخص در این کدها وجود دارد و آن، امکان ثبت همزمان شماره کارت و رمز خرید اینترنتی بر بستر USSD است. بانک مرکزی جلسات مختلفی را با اپراتورها، بانک ها و شرکت های پرداخت برگزار کرده است و نهایتا بر اساس پیشنهادهای مطرح شده در جلسات، تصمیم گرفته شد یک راهکار میانی راه اندازی شود و مصرف کنندگان نهایی این سرویس، کارت های بانکی خود را برای انجام تراکنش، در بانک صادرکننده کارت ثبت کنند؛ به این معنا که با شماره‌‏گیریUSSD  از طریق شماره تلفن همراه کاربران، عملاً شماره کارت بانکی کاربر مورد نظر فراخوانی شود و نیازی به وارد کردن آن از سوی کاربر در بستر USSD نباشد.  

در واقع بانک مرکزی قصد دارد این سامانه که از آن با عنوان "پیوند" یاد می‌شود، را راه‌اندازی کند تا کاربران بتوانند بدون وارد کردن شماره کارت بانکی و به بیان دیگر بدون به خطر انداختن امنیت حساب بانکی خود، از کدهای USSD استفاده کنند.

این طرح از چه زمانی اجرا می شود؟

طبق اعلام بانک مرکزی، طرح الزام به ثبت کارت بانکی جهت انجام تراکنش‏های مبتنی بر USSD از 15 آبان اجرایی می شود.

همانطور که گفتم بر اساس این طرح، باید بین شماره همراه کاربران کدهایUSSD و شماره کارت بانکی آنها ارتباط برقرار شود. البته هنوز درباره روش انجام این کار و اینکه قرار است حضوری باشد یا از طریق درگاه اینترنتی و موبایلی، صحبتی نشده است.

در این بین، نکته ای مهمتر وجود دارد، طبق بخشنامه بانک مرکزی، از ابتدای مهرماه تا 15 آبان ماه، کاربران سرویس‏های USSD تنها می‏توانند از سرشماره‏‌هایی برای انجام تراکنش‏های مبتنی بر USSD استفاده کنند که تا پیش از این حداقل یکبار از آنها استفاده کرده‏ باشند (یکبار شماره کارت بانکی خود را در آن واردکرده باشند). به بیان دیگر، حد فاصل بازه زمانی یاد شده، امکان استفاده کاربران از سرشماره‏هایی که پیش از مهرماه از آنها استفاده نکرده‌‏اند وجود نخواهد داشت.

ناگفته نماند تا این لحظه هنوز اطلاع خاصی از راه‏اندازی سرویس رجیستری از سوی بانک ها در دسترس نیست و 15 آبان مهلت منطقی بانک‏ها برای قرار دادن این سرویس در اختیار شرکت‏های پرداخت است.

این یعنی اینکه کدهای دستوری موجود  از تاریخ 1 مهر ماه تا 15 آبان ماه، هیچ کاربر جدیدی را نخواهند داشت؟

منطقا و طبق قانون بانک مرکزی، این اتفاق نباید بیفتد و ظاهرا جریمه‏‌هایی هم برای تخطی از این موضوع وضع شده است. ما هم از این قانون تبعیت کردیم و امکان استفاده از سامانه USSD را برای کاربران جدید علیرغم پیامدهایی همچون نارضایتی کاربران بالقوه و نیز کاهش درآمدزایی مسدود کردیم. با این حال نسبت به اجرای این قانون توسط تمامی شرکت ها مطمئن نیستم.

با این توضیحات، فکر می کنید آینده USSD به کجا می رود؟ در آینده برای این سرشماره ها چه اتفاقی می افتد؟

اگر بپذیریم که از 15 آبان این قانون اعمال می شود، قطعا یک ریزش قابل توجه در این سرویس اتفاق می افتد؛ درصدی از کاربران در همان ابتدا این مسیر را رها می کنند، درصدی دیگر هم، پس از پیگیری و آگاهی از جزئیات طرح، از این سامانه استفاده نمی کنند و مابقی کاربران برای انجام تراکنش، تن به ثبت کارت های خود می دهند.

در خصوص آینده هم، واقعیت این است کهUSSD  روشی است که بدلیل عدم وجود بستر مناسب دیتا در ایران از ابتدا ایجاد شد. تقریبا در هیچ جای دنیا چنین سرویسی وجود ندارد و اساساً پروتکلی است برای انجام فعالیت های داخلی اپراتورها؛ به گونه ای که در بسیاری از کشورها حتی افراد متخصص در حوزه پرداخت هم این سامانه را نمی شناسند. از سوی دیگر، رشد بسیار سریع تلفن های هوشمند و بهبود وضعیت کیفیت اینترنت روی سیم کارت ها در کشور باعث شده که به دنبال روش های جایگزین این سرویس باشیم. در دنیا بدلیل دسترسی راحتتر و امنیت بیشتر از نرم افزارهای موبایلی برای انجام فعالیت های پرداختی استفاده می کنند که اگر بخواهیم نگاهی جهانی داشته باشیم، اپلیکیشن موبایل مناسب ترین روش جایگزین است.

پس این  رویکرد بانک مرکزی را که قصد دارد به تدریج استفاده از این روش رو متوقف کند و مردم را به سمت اینترنت سوق دهد، تایید می کنید؟

همانطور که می دانید USSD در حال حاضر تراکنش دارد و تراکنش های آن هم کم نیست. بالاخره افرادی هستند که به این سامانه علاقمند بوده و یا به دلیل محدودیت‏هایی ناگزیر به استفاده از آن هستند. در سال 90 نسبت فروش شارژ لاجیکال به فیزیکال توسط اپراتور 25 به 75 درصد بود. اما در حال حاضر، این عدد برعکس شده است و تقریبا 25 درصد شارژ در قالب فیزیکال فروش می رود که این یعنی روز به روز تکنولوژی این فرصت را در اختیار ما می گذارد تا بتوانیم ابزارهای نوآور را برای فروش راحتتر شارژ به شهروندان ارائه دهیم. اتیک یکی از شرکت هایی است که در این حوزه دائما به دنبال نوآوری است.

اگر فرض کنیم که روزی USSD به طور کامل منحل شود، چند جایگزین برای آن وجود دارد؛ یکی، فروش شارژ فیزیکال است که بعید است اپراتورها بخصوص اپراتورهایی که حجم بالایی از سیم کارت های اعتباری دارند به این روش برگردند. گزینه بعدی، فروش شارژ روی دستگاه کارتخوان و خودپرداز است که فروش شارژ روی خودپرداز به نسبت سهم بازار کمتری دارد. تلفن و موبایل اپ هم روش های دیگری است. همانطور که پیش از این هم گفتم و با توجه به اینکه کاربران به دنبال راحتترین روش خرید شارژ هستند، موبایل اپ جدی ترین گزینه در این حوزه است که هر چه امن تر و جذاب تر باشد، قطعا گرایش مردم به آن بیشتر است.