Sijoittajan tietoturva ja turvallisuus - Nordnetin sijoittajansuoja

Käytän sijoittamisessa osakevälittäjänä Nordnettiä. Sijoitussalkkuni on jo suhteellisen suuri (katso osakesalkku vuonna 2016). Silloin tällöin blogiini tuleekin kysymyksiä siitä, olenko yhtään huolissani Nordnetin ja yleensäkin osakevälittäjien tietoturvasta. Varallisuushan on periaatteessa vain bittejä tilillä ja kärjistäen yksi "väärä" näppäimen painallus voisi kadottaa koko omaisuuteni. Olen jo aikaisemmin pohtinut lähimaksamisen turvallisuutta. Käsittelin siinä lähimaksamisen riskejä ja erilaisia hypoteettisia mahdollisuuksia sekä ihan realistisia skenaarioita korttien väärinkäyttöön (Brute force ja relay-hyökkäys). Jatketaan siis vähän samalla linjalla. Mikä onkaan sijoittajansuoja Nordnetin palvelussa? Pysyvätkö sijoitukset jatkossa tallessa?

Tehdään alussa jo selväksi, että en ole tietoturvan ammattilainen. Omaan kuitenkin terveen maalaisjärjen ja jonkin verran mielikuvitusta sekä päättelykykyä. Olen utelias asioiden suhteen ja haluan ymmärtää perustelut ja toimintatavat asioiden takana. Miksi jokin asia tehdään, niin kuin se tehdään. Ymmärrän, että tietoturva on yrityksen sisäinen asia. Ei siitä huudella ulkopuolisille. Tarkkoja faktoja ei luonnollisesti tarvitse kertoa, mutta jos luotettavaa tietoa turvallisuudesta on vain vähän saatavilla, niin spekulaatiolle on aina tilaa. Sijoittaja luottamus palveluntarjoajaan voi perustua vain avoimuuteen. Listaan seuraavaksi muutaman aiheen, joka on herättänyt mielenkiintoa itsessäni tai lukijoissa. Näihin pyydetään myöhemmin kommentointia/vastausta suoraan Nordnetin asiakaspalvelusta ja aiheen käsittelystä on vinkattu myöskin Nordnetin rahapodiin. Josko vitsikkäät pojat saisivat tästä kehiteltyä jotain hauskaa ja myöskin sivistävää tärkeän aiheen ympärille.

Talletustakuu ja korvausrahasto

Vuonna 2015 Nordnet teki noin 130 miljoonan euron liikevaihdolla noin 37 miljoonaa euroa voittoa (lähde). Ihan heti välittäjä ei ole siis konkkaan menossa :) Miten asiakasvarojen ja osakeomistusten kuitenkin kävisi, jos Nordnet menisikin konkurssiin. Martin Paasi on kirjoittanut tästä hyvän artikkelin, joten lainaan suoraan sieltä. Talousasiantuntija Paasi sanoo, että Nordnetin mahdollisen konkurssin yhteydessä käteisvarat on turvattu 100 000 euroa vastaavaan summaan asti (talletussuoja). Nordnetin konkurssissa asiakkaiden arvopaperiomistuksille ei myöskään käy mitenkään, koska Nordnetin asiakkaiden arvopaperisäilytys on kaikkialla maailmassa eriytetty Nordnetin varoista. Nordnetin asiakasvarat säilytetään erillään myös Nordnetin käyttämien säilyttäjien ja alasäilyttäjien varoista, eivätkä siten tule osaksi myöskään näiden konkurssipesiä.

Nordnetin konkurssitilanne ei kuitenkaan ole tässä mielestäni niin relevantti kysymys. Mielenkiintoisempi ja tärkeämpi kysymys on oikeastaan tuo ulkomaalaisten alisäilyttäjien rooli ja hallintarekisteri, eli niin sanotut laaritilit. Tähän liittyen voidaan kuvitella hypoteettinen tilanne, jossa ulkomaalaisten osakkeiden (esim USA) alisäilyttäjä pelaisi jonkinlaista vilunkipeliä. Laaritililtä ei löytyisikään siellä olevia osakkeita ja ”solidaarisen vastuun määrite” jakaa tappiot kaikkien niiden kanssa (omistusten suhteessa), joilla on kyseistä arvopaperia säilytyksessä samalla laaritilillä. Nordnet luonnollisesti valitsee alisäilyttäjät huolella. Jos ulkomainen säilyttäjä kuitenkin ajautuu monimutkaiseen saneeraukseen tai mahdollisesti jopa konkurssiin (tahtomatta tai tahallisesti), Nordnet Bank AB:n vastuu rajoittuu huolelliseen alisäilyttäjävalintaan, eli mahdolliset taloudelliset riskit ovat asiakkaalla. Toisin sanoen ulkomaisissa osakkeissa riski on kuitenkin sijoittajalla. Tällainen riski on tietysti minimaalinen, mutta ei mahdoton ja koskee kaikkia osakevälittäjiä.

Jos ulkomaisilla osakkeilla saa parempaa tuottoa ja hajautusta, kuin pelkkiin suomalaisiin osakkeisiin sijoittamalla, niin ei kannata pelätä epätodennäköistä. Sama "pirujen seinille maalailu" voisi nimittäin periaatteessa koskea myös Suomea. Tilanteessa, jossa jostain syystä Euroclear Finland Oy (säilyttäjäyhtisö suomessa) ei pysty selvittämään omistuksia, Nordnetin ehdoissa todetaan sijoittajan suojaksi 250 000 ruotsin kruunua. Siis noin reilut 26 000 euroa asiakasta kohti. Onko kyseessä Nordnetin oma vakuutus, vai Ruotsin oma korvausrahasto, siitä itselläni ei ole tietoa. Joku fiksumpi voi tarkentaa. Tällainen tapahtuma on tietysti äärimmäisen epätodennäköistä. Tämä kertoo kuitenkin tilanteesta: takuut ovat pienet. Riski on nähty lottovoittoakin pienemmäksi ja toisaalta sijoittajia on paljon.

Kirjautuminen ilman vaihtuvaa salasanaa

Nordnetin kirjautumisessa ei käytetä pankkien tapaan muuttuvaa salasanaläpyskää tai esimerkiksi puhelimeen tulevaa jonkinlaista vahvistuskoodia. Palveluun kirjautuminen hoidetaan vain käyttäjätunnuksella ja salasanalla. Itse pidän tätä ihan toimivana ratkaisuna, mutta kaikki eivät. Se on vähän kompromissi helpon ja nopean kirjautumisen vs. hitaamman ja ehkä vähän turvallisemman tietoturvan välillä. Loppupeleissä se heikoin lenkki on kuitenkin yleensä itse käyttäjä, joka valitsee lyhyen ja helposti arvattavan käyttäjätunnuksen ja salasanan, jättää tunnukset ja avainlukulistan koneen läheisyyteen, tai vastaa/menee lankaan johonkin helppoon tietojen kalasteluviestiin.

Ehkä Nordnetissa painotetaan juurikin tätä kirjautumisen helppoutta, kuin järeämpää tietoturvaa? Jos olet jo niin fiksu, että säästät itse osakkeisiin, niin osaat varmaan luoda vähintään 12-merkkisen vaikean käyttäjätunnuksen/salasanan ja huolehtia tietoturvasta. Itseäni esimerkiksi häiritsee omassa tilipankissa juurikin se, että jo pelkän tilin rahasaldon katsomiseen tarvitsee salasanaläpyskän ainaista syynäämistä. Vaiva se on pienikin vaiva.

Ratkaisu: Käytettävyyden puolesta mikään ei kai kuitenkaan estäisi sitä, että Nordnettiin olisi kevyt kirjautuminen "vain luku"-oikeuksilla, ja raskaamman tunnistuksen vaativa kirjautuminen kaupankäyntiä yms. varten? Toisin sanoen esimerkiksi puhelimeen tuleva muuttuva varmistuskoodi tai vastaava. Voisi olla jopa kokonaan vapaaehtoinen valinta, jonka jokainen sijoittaja voisi ruksata päälle salkun asetuksista niin halutessaan. Se olisi mielestäni erittäin toimiva ratkaisu kaikille osapuolille.

Kun hakkeri iskee - Vastatilin varmistus

Jos näppärä hakkeri on jostain syystä (esim. keyloggerin avulla) kuitenkin päässyt osaketilillesi, niin mitä hän voi tehdä? Voisiko hän siirtää likvidoidut varat omalle tililleen? Nordnetissä rahat voidaan siirtää vain etukäteen ilmoitetulle vastatilille. Vastatili ilmoitetaan, kun asiakkuus luodaan. Joskus kuitenkin sijoittaja voi joutua vaihtamaan pankkia ja tällöin vastatiliäkin pitää muuttaa. Nordnetissa hyväksytään vain toisessa suomalaisessa pankissa oleva tilinumero. Tilin tietojen tarkistuksen jälkeen se näkyy salkussa hyväksynnän jälkeen. Miten Nordnet sitten suorittaa tilitietojen tarkistuksen, eli varmistaa sen, että juuri oikea käyttäjä on vastatilin haltija ja hyväksyy sen? Kysyykö se tiedot jostain pankista, vai varmistetaanko vastatilin muutos esimerkiksi soittamalla salkun omistajalle? Näppärä hakkerihan vaihtaa Nordnetin palvelussa henkilötiedoista puhelinnumeron haluamakseen.

Vaikka varojen luvaton nostaminen olisikin hankalaa (riippuu miten vastatilin vaihto varmistetaan oikeaksi), niin pahaa vahinkoa voisi saada aikaan muutenkin. Hakkeri voisi tahallaan myydä vaikka koko salkun tyhjäksi ja aiheuttaa massiiviset verovelat, jos osakkeesi olivat kunnolla voitolla. Kunnolla vittuillakseen ja kiusatakseen hän voisi vielä ostaa tällä koko summalla jotain senttiosaketta, jonka vaihto olisi vähäistä ja myynti- ja ostolaidoissa olisi suuri ero. Tuollaisen toimenpiteen jälkeen salkku olisi hankala saada takaisin kuosiin ilman suuria kuluja.

Ratkaisu: Ehkä tuo jonkinlainen puhelimeen tuleva varmistuskoodi olisi ratkaisu tähän toimeksiantojen toteutukseen ja niiden hyväksymiseen (kaikkeen salkun asetusten muokkaamiseen). Samalla päästään myös pois siitä muna-kana-ongelmasta. Miten varmistaa oikea puhelinnumero, jos sen voi nyt hakkeri muuttaa itse palvelusta. Vahvalla tunnistautumisella hakkeri ei voi vaihtaa tilalle omaa puhelinnumeroaan.

Joku voi ehkä pitää kyberrikollisuutta vielä enemmän tieteiskirjallisuutena, mutta tästä muistutuksena juttu, jossa hakkerit pääsivät yli sadan pankin verkkoon sisään ja varastivat ovelasti ja näppärästi todennäköisesti jopa 650 miljoonaa puntaa. Sinänsä suurta tietotaitoa vaativa homma ei edes yllätä, jos on katsonut dokumentin Sota tietoverkossa (Zero Days), joka kertoo siitä, kun Israel ja Yhdysvallat kehittivät itsekopioituvan Stuxnet-madon päästäkseen käsiksi Iranin ydinohjelmaan. Mato levisi hallitsemattomasti yli sataan maahan ja paljasti järjestelmällisen kyberoperaation. Suosittelen katsomaan, nousee iho ihan kananlihalle.

Tunnukset hukassa - varastetaan postilaatikosta

Lopulta päästäänkin siihen johtopäätökseen, että itse kirjautuminen pitää tehdä erittäin varmaksi = vahva tunnistautuminen. Kaikki tapahtumat, missä voi salkkua muokata, pitäisi vahvistaa jonkinlaisella vaihtuvalla salasanalla. Näin esimerkiksi tietokoneen näppäimistön painalluksia seuraavalla ohjelmalla hakkeri ei vielä pääsisi tekemään tuhoja osakesalkullesi. Hänen pitäisi vielä varastaa puhelimesi. Huhujen mukaan käyttäjäystävällinen vahvan tunnistautumisen mahdollisuus on Nordnetissa kehitteillä, aikataulua ei kuitenkaan vielä ole antaa.

Mutta mutta... Mitä jos näppärä voro esiintyisi Matti Meikäläisenä. Hämäräheikki lähettäisi asiakaspalveluun viestin, että Matti Meikäläisenä on mukamas hukannut käyttäjätunnuksen ja salasanan. Salkkunumerostakaan ei ole mitään tietoa, kun ei ole tullut yhtään tarvetta tulostella Nordnetista mitään dokumentteja. Matti meikäläisen osoite, puhelinnumero ja hetu on tietysti aikoja sitten etsitty netin syöväreistä, tai vaihtoehtoisesti pengottu taloyhtiön paperinkeräystä ja tiedot ongittu sieltä. Sinisilmäisen asiakaspalvelun avustuksella tunnukset ja uusi salasana sitten lähetetään postitse Matti Meikäläisen osoitteeseen kahdessa erillisessä lähetyksessä noin seitsemän pankkipäivän kuluessa. Postilaatikosta hämäräheikki ne kuitenkin luonnollisesti varastaa. Millä tuo estetään?

Ratkaisu: Eikö hommassa pitäisi käyttää jonkinlaista kirjattua kirjettä, jonka saisi vain henkkareilla postin tiskiltä? Samalla tunnusten "uusimisesta" pitäisi ehdottomasti lähettää esimerkiksi tekstiviesti salkun omistajalle. Tällöin hän saisi tietää, jos tällainen väärinkäyttö olisi meneillään ja homman voisi viheltää poikki.

Muut riskit

Entäs sitten muun laiset riskit? Joku on varmasti lukenut Nassem Talebin Musta Joutsen -kirjaa erittäin epätodennäköisistä tapahtumista. Miten joku EMP-pulssi vaikuttaisi, tai joku tumpelo tietokantojen tai ohjelmistojen päivittäjä Euroclear Finland Oy:n tiloissa? Olisiko tili yhtäkkiä hävinnyt kuin tuhka tuuleen? Kai lukijat keksivät jotain muitakin riskejä, kuin vain tässä luetellut?
Todennäköisesti minulla on paljon suurempi todennäköisyys jäädä auton alle, kuin se, että osakesalkkuni "varastetaan" Nordnetista. Kiinni tästä jää käytännössä varmasti. Ei se silti tarkoita kuitenkaan sitä, että riskejä ei kannattaisi minimoida.