Facebookowy bank

Wpadł mi niedawno w ręce (właściwie to nie tyle w ręce, co na monitor) pewien artykuł dotyczący planów powstania w Polsce nowego banku – Alior Sync. I wszystko byłoby OK, gdyby nie jedno ale… zbyt duża integracja z Facebookiem.

Na początek zacytuję to, co powiedział p. Wojciech Sobieraj, prezes Alior Banku:

Jeśli ktoś ma na FB profil o nazwie Satan i tylko trzech znajomych, to ja takiej osobie kredytu nie udzielę

.
Chciałoby się już na początku zapytać – skoro ktoś posiada profil o nazwie Satan, to na jakiej podstawie bank zweryfikuje, że potencjalny kredytobiorca rzeczywiście jest posiadaczem tego konta i nie podał bankowi fałszywego profilu? No, ale pomińmy to niewygodne pytanie, które czepia się pojedynczych słówek i zerknijmy na pomysł sprawdzania zdolności kredytowej za pośrednictwem Facebooka.
Ten innowacyjny pomysł na pewno wiele zmieni. Pierwszą zauważalną zmianą będzie ożywienie rynku black SEO w Polsce. W Stanach kupienie kilkudziesięciu tysięcy znajomych Facebookowiczów to nie problem – w Polsce trzeba się poważnie nagimnastykować, żeby znaleźć takie oferty (chociaż są już firmy, które nabijają like’owe liczniki Fanpage’y). Skoro liczba znajomych świadczy o naszej zdolności kredytowej, to zapewne wiele osób pokusi się, aby ją powiększyć.
Zarobią również graficy – „bo skoro byłem na drogiej wycieczce w Egipcie, to znaczy, że jestem bogaty i stać mnie na spłacenie kredytu). Jedyny plus jest taki, że znikną nareszcie amatorskie, nieudolne fotomontaże, na rzecz tych bardziej profesjonalnych (chociaż, to czy zdjęcie jest fotomontażem można sprawdzać [jeśli tylko uda mi się skontaktować z autorem pewnego pomysłu, to napiszę parę słów o samej metodzie wykrywania, czy dane zdjęcie można wrzucić do kategorii „photoshoped”).

Załóżmy, że powyższe problemy udało się jakoś rozwiązać (chociaż założenie, że bank posiada tak wielkie fundusze, żeby opłacić analizę każdego zdjęcia i każdego znajomego, wydaje się błędne). Kłopoty pojawiają się dalej. Co zrobić z osobami, które w ustawieniach prywatności nie zezwoliły na oglądanie swoich znajomych (i zdjęć)? Wymaganie ich udostępnienia byłoby zbyt dużym naruszeniem. Analogicznie – co z osobami, które Facebooka nie mają? Stosujemy dla nich weryfikację zdolności kredytowej „tylko po staremu”? To byłoby głupie z prostego powodu – nikt nie przyznałby się, że ma konto na popularnej Twarzo-Książce… bo po co przechodzić dodatkową weryfikację znajomych i zdjęć? A może potraktujmy wszystkich, którzy konta nie mają jako dziwaków? „Wszyscy mają, on nie ma, jest dziwny, a dziwnym kredytów nie dajemy”? Chociaż szczerze mówiąc, wolałbym, żeby zadziałało to w drugą stronę: „Robi wszystko za pośrednictwem portali społecznościowych, chce nawet operować rachunkiem bankowym za pomocą Facebooka. Znaczy, że pewnie jest uzależniony, a uzależnionym kredytów nie dajemy”.

I kolejnych cytat p. Sobieraja:

Sync ma być bankiem, w którym zlecić przelew będzie można bez wylogowywania z Facebooka

Security składa się na ogół z pewnych warstw. W przypadku banków (mówiąc w skrócie) mamy najpierw: logowanie się do banku; później: ewentualne tokeny/kody SMS. Przelewy za pomocą Facebooka eliminują jedną z warstw. Bo skoro Facebook walczy ostatnio z plagą wirusów XSS, które potrafią „kliknąć w wyślij zaproszenie„, czy też poczatować ze znajomymi – to ja nie widzę problemu, żeby taki XSS Worm nie mógł również zainicjować żądania przelewu.
A jeśli jesteśmy już przy malware, to warto zastanowić się nad tym, z jaką częstotliwością powstaje. Czy więcej będzie szkodliwego oprogramowania, które bezpośrednio atakuje polski bank, czy może Facebook?

Na koniec pozostawiłem kwestie etyczne. Skoro mam zaufanie do danego banku i powierzam mu swoje dane, to nie wyrażam zgody, aby udostępniał on je do przetwarzania osobom trzecim (czyli Facebook do tej zakazanej listy również należy). Analogicznie, mam zaufanie do programistów danego banku i chcę, aby wszędzie wykorzystywali oni swój kod, a nie Facebookowe API.