Czy łączenie konta bankowego z aplikacją finansową jest bezpieczne?

Martwisz się, że podłączysz swoje konto bankowe do aplikacji finansowej? Oto dokładnie to, co dzieje się, gdy się łączysz, jakie dane są udostępniane i jak rozpoznać, czy aplikacji można zaufać.

Dostaję to pytanie bardzo często. I rozumiem dlaczego — zwłaszcza od osób, które przeprowadziły się do USA i spędziły miesiące, starannie budując tam swoją obecność finansową. Otwarcie konta bankowego, zdobycie pierwszej karty kredytowej, ustawienie bezpośredniego przelewu wynagrodzenia. Wszystko wydaje się kruche. Ostatnią rzeczą, jakiej chcesz, jest oddać to wszystko jakiejś aplikacji.

Więc dam ci prostą odpowiedź, a nie marketingową.

Co tak naprawdę dzieje się pod spodem

Kiedy łączysz swój bank z YPA Finance, nie dajesz nam swojego hasła. To nie tak działa.

Używamy Plaid, usługi łączności bankowej, z której korzystają Venmo, Robinhood, Coinbase i tysiące innych aplikacji. Oto co Plaid faktycznie robi: w większości największych banków USA otwiera ekran logowania twojego własnego banku (nie nasz) i uwierzytelniasz się bezpośrednio tam — to się nazywa OAuth. Twoje dane logowania trafiają do twojego banku. My ich nigdy nie widzimy, nigdy nie przechowujemy. To, co otrzymujemy, to token tylko do odczytu — zasadniczo ograniczona przepustka, która mówi „ta osoba pozwoliła wam czytać jej salda i transakcje".

Ten token nie może przenosić pieniędzy. Nie może inicjować przelewów. Nie może robić nic poza tym, że pozwala nam czytać dane — te same dane, które zobaczyłabyś, gdybyś sama się zalogowała.

Możesz go cofnąć w każdej chwili. Z naszej aplikacji lub bezpośrednio z ustawień bezpieczeństwa twojego banku.

Co tak naprawdę widzimy

Gdy się łączysz, YPA Finance może uzyskać dostęp do:

Tyle. Nie widzimy twojego pełnego numeru konta, twojego SSN ani ITIN, ani twoich danych logowania. Nie mamy żadnej możliwości przenoszenia ani wypłacania pieniędzy. Nigdy.

Chcę być konkretna, bo to jest dokładnie ten rodzaj szczegółu, który większość aplikacji zakopuje w polityce prywatności.

Jak sprawdzić, czy aplikacji finansowej można zaufać

Zastosowałabym tę samą listę kontrolną, której używam, gdy oceniam narzędzia zewnętrzne dla naszej własnej infrastruktury:

Czy używają prawdziwego dostawcy łączności bankowej? Plaid, MX, Finicity — to regulowane, audytowane usługi. Jeśli aplikacja prosi cię bezpośrednio o twoje prawdziwe dane logowania do banku, zamknij ją.

Czy połączenie jest tylko do odczytu? Aplikacja budżetowa nie ma żadnego uzasadnionego powodu, żeby inicjować przelewy. Jeśli prosi o takie uprawnienie, coś jest nie tak.

Czy publikują stronę dotyczącą bezpieczeństwa? Nie ogólny akapit w stylu „traktujemy bezpieczeństwo poważnie" — ale prawdziwą stronę ze standardami szyfrowania, statusem zgodności i zasadami przechowywania danych. Jeśli jej nie mają, liczą na to, że nie zapytasz.

Czy sprzedają twoje dane? To musi być stwierdzone wprost. „Nie sprzedajemy twoich danych finansowych". Jeśli polityka prywatności jest wymijająca w tej kwestii, to jest twoja odpowiedź.

Jaki standard szyfrowania? AES-256 dla danych w spoczynku, TLS 1.3 w trakcie przesyłania. To te same standardy, których używają największe banki w USA.

Co robimy w YPA Finance

Mówiłam to wcześniej i będę powtarzać: w fintechu zaufanie to nie hasło marketingowe — to architektura. Oto jak to wygląda w praktyce:

Używamy połączeń Plaid tylko do odczytu. Twoje dane logowania nigdy nie dotykają naszych systemów. Dane są szyfrowane za pomocą AES-256 w spoczynku i w trakcie przesyłania. Nie przechowujemy twojego SSN ani ITIN. Nie sprzedajemy twoich danych — ani reklamodawcom, ani brokerom danych, ani nikomu. Nasza infrastruktura działa na Google Cloud z architekturą zero-trust i jest monitorowana 24/7.

Obecnie pracujemy nad certyfikacją SOC 2 Type II — ten proces trwa. W międzyczasie nasze mechanizmy bezpieczeństwa są zgodne ze standardami SOC 2.

Pełny obraz jest na naszej Security page, jeśli chcesz się zagłębić.

Podsumowanie

Podłączenie swojego banku do aplikacji o dobrej reputacji jest bezpieczne. Statystycznie jest to bezpieczniejsze niż logowanie się do banku przez hotelowe WiFi. Ta technologia została specjalnie zaprojektowana, żeby rozwiązać problem danych logowania.

Ryzyko nie leży w samym akcie połączenia. Ryzyko polega na podłączeniu się do niewłaściwej aplikacji — takiej, która niedbale traktuje twoje dane logowania, nie szyfruje poprawnie lub sprzedaje twoje dane stronom trzecim.

Poświęć dwie minuty na stronę bezpieczeństwa aplikacji, zanim cokolwiek podłączysz. Jeśli jej nie mają lub to trzy zdania tekstu marketingowego, idź dalej.

---

Svetlana Burninova jest współzałożycielką i CTO YPA Finance. Ma 15 lat doświadczenia w systemach finansowych i 7 lat w infrastrukturze, posiada certyfikaty AWS, CKA, CKAD i HashiCorp Terraform.