چرا بانک ورود از یک مکان غیرعادی را مشکوک می‌داند؟

مثل هر شب روی مبل برنامه بانک را باز می‌کنید و به‌جای موجودی حساب، صفحه‌ای می‌بینید که می‌گوید «ورودی از یک مکان غیرعادی شناسایی کردیم». یک دقیقه بعد ایمیلی می‌رسد: «ورود تازه از شهری که هرگز به آن نرفته‌اید.» شما جایی نرفته‌اید و رمز عبورتان را هم عوض نکرده‌اید. پس چرا بانک فکر می‌کند جای دیگری هستید؟

این نوشته توضیح می‌دهد بانک هنگام تصمیم درباره مشکوک بودن مکان ورود به چه چیزهایی نگاه می‌کند، چرا این بررسی حتی وقتی در خانه هستید اشتباه می‌کند و چرا استفاده از VPN یا یک پروکسی ناشناس برای بانکداری هشدارها را بیشتر می‌کند، نه کمتر. همچنین قوانین اروپایی پشت مرحله تأیید اضافه، کارهایی که پس از رسیدن هشدار باید انجام دهید و راه در دسترس نگه داشتن عامل دوم در سفر خارجی را مرور می‌کند. این نوشته روش دور زدن بررسی‌های بانک را توضیح نمی‌دهد؛ این بررسی‌ها از پول شما محافظت می‌کنند.

«ورود از مکان مشکوک» یعنی چه؟#

یعنی سامانه ریسک بانک این ورود را با الگوی همیشگی شما مقایسه کرده و دیده مکانی که ورود از آن آمده با آن الگو نمی‌خواند. «مشکوک» صفت ورود است، نه صفت شما. هیچ کارمندی در بانک تصمیم نگرفته که شما کار اشتباهی کرده‌اید؛ یک مدل امتیازدهی تصمیم گرفته که این ورود ارزش یک بررسی دوباره را دارد.

این بررسی دوباره یکی از سه شکل را دارد. بانک اجازه ورود می‌دهد و هشدار می‌فرستد، یک مرحله اضافه مثل کد یا تأیید در برنامه می‌خواهد، یا ورود را مسدود می‌کند و از شما می‌خواهد تماس بگیرید. اینکه کدام پیش بیاید به نشانه‌های دیگر و کاری که انجام می‌دادید بستگی دارد: دیدن موجودی سبک‌تر از افزودن یک گیرنده تازه بررسی می‌شود.

بانک از کجا می‌داند از کجا وارد می‌شوید؟#

ورود هیچ‌وقت نشانی خانه شما را همراه ندارد. آنچه به بانک می‌رسد نشانی IP شماست، یعنی نشانی شبکه‌ای که اتصال شما در اینترنت از آن استفاده می‌کند. بانک این نشانی را در یک پایگاه داده تجاری IP جست‌وجو می‌کند و کشور و شهری تخمینی می‌گیرد. همین تخمین است که به شکل «لندن» یا «فرانکفورت» در هشدار دیده می‌شود.

این تخمین در سطح کشور قابل قبول و در سطح شهر ضعیف است، چون پایگاه داده فقط می‌داند یک بلوک نشانی کجا ثبت شده یا آخرین بار کجا دیده شده است. آیا از آدرس IP می‌توان موقعیت را یافت و چرا اشتباه است؟ دلیل‌ها و روش بررسی را توضیح می‌دهد. برنامه گوشی هم اگر اجازه داده باشید می‌تواند موقعیت دستگاه را بخواند و منطقه زمانی و زبان را هم می‌بیند. هیچ‌کدام از این‌ها نقطه دقیقی نیست و بانک‌ها موقعیت را یکی از چند نشانه می‌دانند.

بانک چگونه تصمیم می‌گیرد یک ورود مشکوک است؟#

بانک‌ها قاعده‌های دقیق خود را منتشر نمی‌کنند، چون انتشار آن‌ها به کلاهبرداران کمک می‌کند. شکل کلی کار در سامانه‌های بزرگ ورود شبیه هم است:

1. ورود با جزئیاتش می‌رسد. نشانی IP، دستگاه و مرورگر، نسخه برنامه و زمان ثبت می‌شود.
2. نشانی IP جست‌وجو می‌شود. بانک یک موقعیت تخمینی، مالک شبکه (ارائه‌دهنده اینترنت خانگی، اپراتور تلفن همراه یا شرکت میزبانی) و برچسب‌هایی مثل «VPN»، «پروکسی عمومی» یا «گره خروجی Tor» به دست می‌آورد.
3. دستگاه با دستگاه‌های شناخته‌شده مقایسه می‌شود. گوشی‌ای که پیش‌تر استفاده کرده‌اید اعتبار دارد؛ گوشی تازه، یا همان گوشی پس از بازنشانی، از صفر شروع می‌کند. اثر انگشت مرورگر چیست؟ توضیح می‌دهد دستگاه‌ها چگونه شناخته می‌شوند.
4. موقعیت با سابقه شما مقایسه می‌شود. مکانی که هرگز از آن وارد نشده‌اید امتیاز را بالا می‌برد و جهشی که برای زمان سپری‌شده بیش از حد دور است نیز همین‌طور.
5. کار موردنظر سنجیده می‌شود. دیدن موجودی، افزودن گیرنده و ارسال پول ریسک متفاوتی دارند.
6. بانک تصمیم می‌گیرد. ورود را می‌پذیرد، یک مرحله اضافه می‌خواهد یا آن را متوقف می‌کند و به شما هشدار می‌دهد.

بررسی «بیش از حد دور، بیش از حد سریع» در گام 4 معمولاً سفر ناممکن (impossible travel) نامیده می‌شود. مستندات Microsoft درباره موتور ریسک ورود خودش آن را فعالیت از مکان‌های دوردست در زمانی کمتر از مدت لازم برای آن سفر توصیف می‌کند. ورودی از خانه در ساعت 9:00 و ورودی دیگر از قاره‌ای دیگر در ساعت 9:20 نمی‌توانند هر دو از شما باشند.

کدام نشانه‌ها هشدار را فعال می‌کنند و کی اشتباه می‌کنند؟#

معمولاً دو یا سه مورد از این نشانه‌ها با هم هشدار را ایجاد می‌کنند. گوشی تازه به‌تنهایی ممکن است مشکلی نداشته باشد؛ اما گوشی تازه روی نشانی «VPN» در کشوری دیگر پذیرفته نمی‌شود.

چرا وقتی در خانه هستید هم پیش می‌آید؟#

بیشتر هشدارهای نادرست هیچ ربطی به سفر ندارند:

• اینترنت همراه. اپراتورها ترافیک را از چند دروازه مرکزی به اینترنت می‌فرستند، برای همین نشانی عمومی گوشی شما ممکن است به نام دروازه‌ای در شهر دیگر ثبت شده باشد.
• نشانی‌های مشترک. بسیاری از اپراتورها و برخی ارائه‌دهندگان خانگی صدها مشتری را پشت یک نشانی عمومی قرار می‌دهند؛ این روش CGNAT نام دارد (CGNAT چیست؟). اگر کس دیگری روی همان نشانی اعتبارش را خراب کرده باشد، ورود شما همان امتیاز را به ارث می‌برد.
• مودم یا ارائه‌دهنده تازه. مودم تازه اغلب نشانی‌ای از بلوکی می‌آورد که پایگاه داده هنوز آن را جای دیگری نشان می‌دهد.
• VPN در پس‌زمینه. VPN مرورگر، VPN آنتی‌ویروس و رله‌های حریم خصوصی بدون اینکه متوجه شوید نشانی‌ای را که بانک می‌بیند عوض می‌کنند. خطای «VPN یا پروکسی شناسایی شد» جاهایی را که پنهان می‌شوند فهرست می‌کند.
• سابقه اعتبار بد. سرویس‌های ضدتقلب به نشانی‌ها امتیاز می‌دهند و یک نشانی خانگی ممکن است «ریسک متوسط» بگیرد؛ IP Fraud Score چیست؟ دلیلش را توضیح می‌دهد.

اگر هشدار فقط روی اینترنت همراه ظاهر می‌شود و روی وای‌فای خانه نه، دو مورد نخست دلیل محتمل‌اند و حساب شما هیچ مشکلی ندارد.

چرا VPN یا پروکسی رایگان هشدارهای بانک را بدتر می‌کند؟#

برخی پس از هشدار VPN را روشن می‌کنند به این امید که اتصال «امن» بانک را آرام کند. نتیجه برعکس است. حالا بانک نشانی‌ای می‌بیند که مالکش یک شرکت میزبانی است، اغلب با برچسب شبکه ناشناس، مشترک با غریبه‌ها و گاهی در کشوری متفاوت با دفعه قبل. هر یک از این واقعیت‌ها امتیاز را بالا می‌برد و VPN که هر بار سرور خروجی تازه‌ای انتخاب می‌کند الگوی سفر ناممکن را هم می‌سازد.

سامانه‌های بزرگ ورود این برچسب‌ها را عمداً ریسک به حساب می‌آورند؛ موتور Microsoft که بالاتر آمد برای ورود از نشانی‌های ناشناس مانند Tor یا VPN‌های ناشناس تشخیص جداگانه‌ای دارد. VPN‌های رایگان و فهرست‌های پروکسی مشکل دومی هم دارند: نمی‌دانید چه کسی سروری را اداره می‌کند که رمز عبورتان از آن می‌گذرد (پروکسی رایگان و سایت‌های وب پروکسی امن هستند؟). برای حساب بانکی خودتان، با اتصال خانه یا اینترنت همراه خودتان و در برنامه رسمی وارد شوید، بدون هیچ واسطه‌ای.

احراز هویت قوی مشتری در ⁨PSD2⁩ چه ربطی به این موضوع دارد؟#

اگر بانک شما در اتحادیه اروپا یا منطقه اقتصادی اروپا باشد، مرحله اضافه پس از ورود غیرعادی تا حدی یک الزام قانونی است. دستورالعمل بازنگری‌شده خدمات پرداخت (⁨PSD2⁩) برای دسترسی آنلاین به حساب و پرداخت‌های الکترونیکی احراز هویت قوی مشتری (SCA) را الزامی می‌کند. قواعد فنی در مقررات تفویضی کمیسیون ⁨(EU) 2018/389⁩ دو یا چند عنصر مستقل را الزامی می‌دانند و پیش از آنکه بانک بتواند این مرحله را برای یک پرداخت کم‌ریسک حذف کند، باید عوامل ریسکی از جمله موقعیت غیرعادی پرداخت‌کننده را بررسی کند.

سه نوع عنصر عبارت‌اند از دانش (چیزی که فقط شما می‌دانید، مثل PIN)، مالکیت (چیزی که فقط شما دارید، مثل گوشی‌تان) و ذاتی بودن (چیزی که خود شما هستید، مثل اثر انگشت). مرجع بانکی اروپا در نظر خود درباره عناصر احراز هویت قوی مشتری در 21 ژوئن 2019 مشخص کرد کدام روش‌ها پذیرفته می‌شوند. پس وقتی ورود از یک مکان تازه به «در برنامه تأیید کنید» می‌رسد، بانک وضعیت را کم‌ریسک ندانسته و به بررسی کامل برگشته است. بیرون از اتحادیه اروپا قانون فرق می‌کند، اما بیشتر بانک‌ها مرحله مشابهی دارند.

وقتی بانک ورودی را علامت زد چه کنیم؟#

1. از لینک داخل هشدار استفاده نکنید. هشدارهای جعلی ورود یک کلاهبرداری رایج است: کمیسیون تجارت فدرال آمریکا (FTC) در ژوئن 2023 گزارش داد که پیامک‌هایی که خود را هشدار تقلب بانکی جا می‌زدند پرگزارش‌ترین کلاهبرداری پیامکی سال 2022 بودند. برنامه بانک را خودتان باز کنید.
2. ورودهای اخیر را در برنامه بررسی کنید. بیشتر برنامه‌های بانکی دستگاه‌ها و ورودها را در منوی امنیت فهرست می‌کنند. اگر ورود علامت‌خورده همان گوشی شما در زمان ورودتان است، آن را تأیید کنید.
3. اگر شما نبوده‌اید، فوراً اقدام کنید. رمز عبور را از یک دستگاه مطمئن عوض کنید، دستگاه‌های ناشناس را حذف کنید و با شماره روی کارت یا شماره سایت رسمی بانک تماس بگیرید.
4. اگر مسدود شده‌اید، به‌جای تلاش دوباره تماس بگیرید. تلاش‌های ناموفق پیاپی ممکن است مدت قفل را طولانی‌تر کند.
5. هر چیزی را که نشانی شما را عوض می‌کند خاموش کنید. برنامه‌های VPN، افزونه‌های VPN مرورگر و رله‌های حریم خصوصی پیش از ورود دوباره خاموش شوند.
6. هشدار ورود و پرداخت را فعال کنید. یک اعلان فوری شما را در چند ثانیه از ورود غیرعادی بعدی باخبر می‌کند.

اطلاع‌رسانی سفر و در دسترس نگه داشتن احراز هویت دوعاملی#

برخی بانک‌ها هنوز اطلاع‌رسانی سفر را از طریق برنامه یا تلفن می‌پذیرند؛ برخی دیگر آن را کنار گذاشته‌اند. برای نمونه Chase می‌گوید دیگر اطلاع‌رسانی سفر نمی‌پذیرد و به سامانه تشخیص تقلب خود تکیه می‌کند و از مشتریان می‌خواهد اطلاعات تماس خود را به‌روز نگه دارند. پیش از سفر برنامه بانک خودتان را بررسی کنید.

خطر بزرگ‌تر در خارج از کشور از دست دادن عامل دوم است:

• ببینید کدها چگونه به شما می‌رسند. کدهای پیامکی در خارج ممکن است به روشن بودن رومینگ نیاز داشته باشند. تأیید در برنامه یا برنامه احراز هویت روی وای‌فای هم کار می‌کند.
• سیم‌کارت اصلی خود را نگه دارید. اگر سیم‌کارت محلی بخرید، کدهای بانک همچنان به شماره اصلی شما فرستاده می‌شوند.
• شماره بین‌المللی بانک را ذخیره کنید. شماره رایگان روی کارت ممکن است از خارج کار نکند.
• یک روش پرداخت دوم همراه داشته باشید تا اگر یکی از کارت‌ها تا حل مشکل نگه داشته شد، دستتان خالی نماند.

اگر خود برنامه بانک در خارج باز نمی‌شود، کار نکردن برنامه بانک در خارج از کشور را ببینید. برای سرویس‌هایی که به‌طور کلی بسته به کشور تغییر می‌کنند، مسدودسازی جغرافیایی چیست؟ را بخوانید.

بررسی موقعیت فراتر از ورود شخصی شما کجا اهمیت دارد#

همین بررسی‌های IP و موقعیت جاهای دیگر هم دیده می‌شوند، گاهی در کنار کاربردهای مشروع نشانی‌های ثابت:

• کلیدهای API صرافی رمزارز: می‌توانید کلید API خودتان را به نشانی‌هایی که فهرست می‌کنید محدود کنید؛ فهرست سفید IP در API صرافی رمزارز را ببینید.
• قیمت‌هایی که بسته به کشور فرق می‌کنند: اینکه چرا یک اشتراک در یک بازار گران‌تر است در قیمت‌گذاری بر اساس کشور آمده است.
• آزمون فین‌تک و پرداخت: تیم‌ها بررسی می‌کنند صفحه‌های ورود و ریسک خودشان برای مشتریان کشورهای دیگر چگونه رفتار می‌کنند؛ راهکارهای مالی را ببینید.
• حفاظت از داده‌های شرکت: تیم‌های امنیتی بررسی می‌کنند سرویس‌هایشان از بیرون شبکه چگونه دیده می‌شوند؛ امنیت داده را ببینید.
• نشانی ثابت برای ابزارهای کاری: سرویس‌هایی که فقط نشانی‌های ثبت‌شده را می‌پذیرند به نشانی‌ای نیاز دارند که تغییر نکند، مثل پروکسی ISP؛ تفاوت IP ثابت و IP پویا چیست؟ تفاوت را توضیح می‌دهد.

هیچ‌کدام از این‌ها جای روند خود بانک برای حساب شخصی شما را نمی‌گیرد.

اشتباه‌های رایج#

• زدن روی لینک داخل هشدار. پیام ممکن است جعلی باشد؛ خودتان به سراغ بانک بروید.
• روشن کردن VPN برای «امن کردن» ورود. یک نشانی ناشناس، مشترک و اغلب خارجی به ورودی که از قبل مشکوک است اضافه می‌کند.
• وارد کردن پیاپی رمز عبور. یک قفل کوتاه ممکن است به قفلی تبدیل شود که فقط با تماس تلفنی باز می‌شود.
• نادیده گرفتن هشدار به این خیال که «باز هم پایگاه داده است». اول فهرست دستگاه‌ها را بررسی کنید.
• تکیه فقط بر کدهای پیامکی پیش از سفر. با خاموش بودن رومینگ یا عوض شدن سیم‌کارت، کدها دیگر نمی‌رسند.
• این تصور که سایت‌های جست‌وجوی IP همان چیزی را نشان می‌دهند که بانک می‌بیند. پایگاه‌های داده مختلف برای یک نشانی پاسخ‌های متفاوتی می‌دهند.

راهنمای انتخاب#

پرسش‌های متداول#

آیا هشدار ورود مشکوک یعنی حسابم هک شده است؟#

نه لزوماً. بیشتر هشدارها از تغییرهای معمولی مثل گوشی تازه یا اینترنت همراه می‌آیند. فهرست دستگاه‌ها را در برنامه بررسی کنید: اگر همه ورودها از شماست، تأیید کنید و ادامه دهید؛ اگر یکی از شما نیست، با بانک تماس بگیرید.

چرا بانک فکر می‌کند در شهر دیگری هستم؟#

موقعیت از یک پایگاه داده IP می‌آید، نه از GPS. اپراتورهای همراه ترافیک را از دروازه‌هایی در شهرهای دیگر عبور می‌دهند و پایگاه‌های داده در سطح شهر اغلب به‌روز نیستند. شهر اشتباه به‌تنهایی به‌ندرت ورود را مسدود می‌کند.

آیا برای بانکداری اینترنتی از VPN استفاده کنم؟#

برای حساب خودتان، نه. VPN نشانی‌ای را به بانک نشان می‌دهد که میان افراد زیادی مشترک است و برچسب شبکه ناشناس دارد و این امتیاز ریسک را بالا می‌برد. اتصال شما به برنامه بانک از قبل رمزنگاری شده است.

آیا هنوز باید پیش از سفر به بانک خبر بدهم؟#

به بانک بستگی دارد. برخی اطلاع‌رسانی سفر را در برنامه می‌پذیرند؛ برخی دیگر، از جمله Chase، آن را کنار گذاشته‌اند. در هر حال شماره تلفن خود را به‌روز نگه دارید و مطمئن شوید در خارج از کشور می‌توانید کد دریافت کنید.

چرا روی اینترنت همراه هشدار می‌گیرم اما روی وای‌فای نه؟#

گوشی شما در هر شبکه نشانی عمومی متفاوتی می‌گیرد. روی اینترنت همراه اغلب نشانی‌اش با مشتریان زیادی مشترک است و در شهر دروازه اپراتور دیده می‌شود؛ روی وای‌فای خانه از نشانی‌ای استفاده می‌کند که بانک از قبل می‌شناسد.

آیا می‌توانم این هشدارها را کاملاً قطع کنم؟#

نه، و نباید هم بخواهید: همین بررسی جلوی غریبه‌ای را می‌گیرد که رمز عبور شما را دارد و می‌خواهد حسابتان را خالی کند. می‌توانید هشدارهای نادرست را کمتر کنید: همیشه از همان دستگاه‌ها استفاده کنید، برای بانکداری VPN روشن نکنید و تأیید در برنامه را عامل دوم خود قرار دهید.

خلاصه#

بانک ورود از یک مکان غیرعادی را وقتی علامت می‌زند که نشانی IP، دستگاه یا زمان با سابقه شما جور نباشد. موقعیت یک تخمین است، پس حتی در خانه هم اغلب اشتباه می‌شود، به‌ویژه روی اینترنت همراه، پشت نشانی‌های مشترک یا با یک VPN در پس‌زمینه. در اتحادیه اروپا، احراز هویت قوی مشتری در ⁨PSD2⁩ باعث می‌شود پس از چنین ورودی اغلب عامل دوم خواسته شود. وقتی هشدار رسید، خودتان برنامه رسمی را باز کنید، فهرست دستگاه‌ها را بررسی کنید و اگر چیز ناآشنایی دیدید با شماره روی کارت تماس بگیرید. در سفر عامل دوم را در دسترس نگه دارید و VPN و پروکسی رایگان را از بانکداری شخصی دور نگه دارید. برای جنبه تجاری بررسی‌های موقعیت و ریسک، صفحه راهکارهای مالی ما را ببینید.