اولین واکنش خیلی از فروشندگان وقتی می‌شنوند اپ «پیامک‌های بانک را می‌خواند» این است: «پس حریم خصوصی من چه می‌شود؟» نگرانی کاملاً منطقی است. در این مقاله توضیح می‌دهیم تایید خودکار واریز با پیامک بانکی دقیقاً چطور کار می‌کند، چه داده‌ای از گوشی خارج می‌شود و چه کنترل‌هایی برای جلوگیری از سوءاستفاده وجود دارد.
چرا پیامک بانکی؟
پیامک بانک، سریع‌ترین و مستقل‌ترین نشانه‌ی رسیدن پول به حساب شماست. بانک‌ها بعد از هر واریز، مبلغ، زمان و گاهی موجودی را برای شما می‌فرستند. به‌جای اینکه خودتان آن را با فیش مشتری مقایسه کنید، اپ این کار را می‌کند. جزئیات روش در کارت به کارت با تایید خودکار چیست آمده است.
اپ دقیقاً چه چیزی را می‌خواند؟
- فقط سرشماره‌های مجاز: شما در پنل مشخص می‌کنید پیامک کدام سرشماره‌ها (مثلاً بانک شما) پردازش شود. بقیه‌ی پیامک‌ها نادیده گرفته می‌شوند.
- فقط پیامک واریز: پیامک‌های برداشت، تبلیغات و کدهای تایید پردازش نمی‌شوند.
- فقط اطلاعات لازم: متن پیامک برای تطبیق مبلغ به سرور فرستاده می‌شود و در گزارش پیامک‌ها قابل بازبینی است.
لایه‌های امنیتی ارتباط اپ و سرور
۱. کلید اختصاصی هر دستگاه
هر دستگاه با یک QR یکبارمصرف فعال می‌شود و کلید مخصوص خودش را می‌گیرد. اگر دستگاهی گم شد یا مشکوک بود، از پنل می‌توانید آن را ابطال کنید.
۲. قفل روی یک گوشی
کلید دستگاه به اثر انگشت همان گوشی متصل می‌شود. کپی کردن کلید روی گوشی دیگر کار نمی‌کند و تلاش مشکوک ثبت می‌شود.
۳. امضا، زمان و nonce
هر درخواست با امضای HMAC، زمان و یک شناسه‌ی یکبارمصرف (nonce) ارسال می‌شود. بنابراین حتی اگر کسی ترافیک را ببیند، نمی‌تواند همان درخواست را دوباره بفرستد (Replay).
۴. پیامک تکراری بی‌اثر است
اگر یک پیامک دو بار ارسال شود (مثلاً به‌دلیل قطعی شبکه)، سرور آن را تشخیص می‌دهد و تراکنش دوباره تایید نمی‌شود.
اگر کسی پیامک جعلی بفرستد چه؟
یک مزاحم نمی‌تواند به‌سادگی از طریق پیامک ساختگی تراکنش را تایید کند، چون:
- پیامک باید از سرشماره‌ی مجاز آمده باشد و روی گوشی شما ثبت شود؛
- مبلغ باید با یک تراکنش باز و منقضی‌نشده بخواند؛
- فقط گوشیِ قفل‌شده می‌تواند به سرور گزارش بدهد.
با این حال، همیشه توصیه می‌شود موجودی حساب را در موارد مبالغ بزرگ یک بار دیگر ببینید و تایید دستی را با دقت انجام دهید.
توصیه‌های عملی برای امنیت بیشتر
- گوشی مخصوص و ایمن داشته باشید و قفل صفحه بگذارید.
- اپ را فقط از لینک رسمی داخل پنل دانلود کنید (لینک واقعی نمایش داده نمی‌شود و دانلود هم ثبت می‌شود).
- سرشماره‌های مجاز را محدود نگه دارید.
- در صورت گم شدن گوشی، دستگاه را از پنل ابطال کنید.
- برای مشاهده‌ی فعالیت‌ها، بخش «فعالیت دستگاه» را گاهی بررسی کنید.
پرسش‌های پرتکرار
آیا پیامک‌های شخصی من هم دیده می‌شود؟
خیر؛ فقط پیامک سرشماره‌های مجاز و از نوع واریز پردازش می‌شود.
آیا اپ به رمز دوم یا اطلاعات کارت من دسترسی دارد؟
خیر. اپ فقط پیامک را می‌خواند و به همراه‌بانک شما وصل نیست.
اگر اینترنت قطع شود؟
پیامک‌ها پس از اتصال دوباره‌ی گوشی ارسال می‌شوند؛ تراکنش‌هایی که زمانشان تمام شده را می‌توانید دستی تایید کنید.
یک روز کاری از دید اپ
برای اینکه ببینید همه‌چیز چطور کنار هم قرار می‌گیرد، یک روز معمولی را مرور کنیم. صبح گوشی روشن و به وای‌فای وصل است. اپ فعال است اما هیچ پیامکی پردازش نمی‌شود تا زمانی که پیامی از سرشماره‌ی مجاز برسد. ساعت ۱۱ یک مشتری ۲٬۵۰۰٬۳۱۲ ریال واریز می‌کند؛ بانک پیامک واریز می‌فرستد. اپ آن را می‌خواند، با امضا به سرور می‌فرستد و تراکنش تایید می‌شود. ساعت ۱۴ یک پیامک تبلیغاتی از همان سرشماره می‌رسد؛ چون حالت واریز ندارد، نادیده گرفته می‌شود. ساعت ۱۶ پیامک رمز یکبارمصرف بانک می‌آید؛ اپ آن را اصلاً پردازش نمی‌کند. نتیجه: فقط واریزهای واقعی و مرتبط وارد چرخه می‌شوند.
چه چیزی را در پنل کنترل کنید؟
- فعالیت دستگاه: آخرین ارتباط، تلاش‌های مشکوک و هشدارها.
- پیامک‌های دریافتی: می‌توانید پیامک‌های نامطابق را بازبینی و در صورت لزوم دستی تایید کنید.
- سرشماره‌های مجاز: فقط همان‌هایی که واقعاً لازم دارید.
- دستگاه‌های فعال: دستگاهی که دیگر استفاده نمی‌شود را حذف یا ابطال کنید.
مجوزهای اندروید
اپ برای دریافت پیامک به مجوز مربوطه نیاز دارد و اندروید این مجوز را صریحاً از شما می‌پرسد. اگر روزی خواستید، همین مجوز را از تنظیمات گوشی می‌توانید بردارید؛ در این صورت تایید خودکار متوقف می‌شود ولی تایید دستی همچنان ممکن است.
حرف آخر
خواندن پیامک بانک، وقتی محدود به سرشماره‌ی مجاز، فقط واریز و با ارتباط امضاشده انجام شود، روشی کارآمد و قابل‌اعتماد برای تایید خودکار است. اگر می‌خواهید همین حالا امتحان کنید، ثبت‌نام رایگان کنید و اولین تراکنش آزمایشی را بسازید؛ این روش در درگاه پرداخت بدون اینماد هم کاربرد دارد.