HSBC заблокував банківський застосунок у Samsung Secure Folder і Private Space

HSBC без попередження заблокував роботу свого банківського застосунку для Android у Samsung Secure Folder та Private Space — частина клієнтів втратила доступ до онлайн-банкінгу. Про це 24 вересня повідомив The Register.

Пояснення банку

У HSBC назвали блокування "пропорційним заходом безпеки", покликаним зменшити передбачуваний ризик. За словами банку, обмеження не заважає користуватися застосунком HSBC UK Mobile Banking — його "просто потрібно відкривати поза віртуальним середовищем". Банк каже, що в захищених середовищах private space та virtual space застосунок не міг належно виявляти загрози й надсилати своєчасні повідомлення про шахрайство.

Samsung Secure Folder ізолює та шифрує застосунки й дані за окремою автентифікацією на платформі Knox. Private Space в Android, що з'явився разом з Android 15, розміщує вибрані застосунки в окремому профілі, який можна приховати й заблокувати.

Скарги клієнтів

Один читач, який встановив застосунок у Secure Folder, не отримав жодного попередження і каже, що почувається "заручником власного рахунку": тепер застосунок показує лише загальне повідомлення про проблему з безпекою пристрою та кнопку виходу. Оскільки HSBC вимагає застосунок для багатофакторної автентифікації, цей клієнт втратив і доступ до веб-банкінгу — альтернативи заздалегідь не передбачили.

Схожі випадки описано у відгуках Google Play: застосунок перестав запускатися із Secure Folder, бо HSBC вважає його "незахищеним віртуальним середовищем". Один користувач назвав це рішення незрозумілим, адже переніс банківський застосунок туди саме для додаткового захисту.

Регуляторні питання

Клієнти визнають, що банк може зменшувати ризик, але нарікають на відсутність попередження. На Reddit один із них заявив, що тиха зміна може суперечити зобов'язанням HSBC за Consumer Duty британського регулятора FCA: його настанови вимагають заздалегідь пояснювати зміни та мати процеси для технічних проблем, які блокують доступ до рахунку. Речник HSBC UK каже, що користувачів, які намагаються відкрити застосунок у таких середовищах, повідомляють про неможливість там доступу.

Що робити постраждалим

Варіантів два: встановити застосунок у головному профілі телефона — декому це неможливо без коду зі старої копії — або чекати 5–10 робочих днів на інший метод автентифікації. Для десктопного банкінгу підійде Physical Secure Key (PSK), але його доставка може зайняти кілька днів. Це не перший такий випадок: раніше цього року HSBC визнав ризиком завантажену поза Google Play копію Bitwarden, і член ради F-Droid Ніл Браун втратив доступ до застосунку. The Register звернувся по коментар до Google і Samsung.