اگر بنا بر حل مشکل باشد، موضوع USSD به راحتی قابل حل است

لیدا ایاز: به زودی و تا آغاز مهر ماه آینده با ابلاغ دستوری از سوی بانک مرکزی جمهوری اسلامی ایران پرداخت های بانکی از طریق «کدهای دستوری» (USSD) ممنوع می شود. «کدهای دستوری» بستری برای ارسال کدهایی مانند *، # و چند عدد هستند که هر کاربر می تواند با ارسال آنها به اپراتورهایی که عضو شبکه آنها است فعالیت هایی مثل انتقال وجه، اعلام موجودی، خرید شارژ و پرداخت قبوض را انجام دهد. اگرچه با ظهور تکنولوژی های جدید در این عرصه استفاده از این بستر تقریبا منسوخ شده است اما کار با این محیط به دلیل نیاز نداشتن کاربران به اینترنت و پیچیدگی های خاص فضای مجازی، رسیدگی به کارهای بانکی را به وسیله تلفن همراه آسان می کند.اغلب شبکه های پرداخت الکترونیک که به بانک ها و اپراتورهای همراه با استفاده از این بستر به ارائه خدمات می پردازند در صورت ممنوعیت استفاده از این بستر دچار تغییر و تحولاتی در ارائه این دست از خدمات می شوند. در همین زمینه با مهرداد خطیبی مدیرعامل پرداخت اول کیش (جیرینگ) گفت وگویی را انجام داده ایم که شرکتش به ۲۵ میلیون مشترک روی این بستر خدمات ارائه می کند.
با توجه به ابلاغیه بانک مرکزی در زمینه مسدود کردن خدمات بانکی بر بستر USSD چه تصمیمی برای ادامه فعالیت از طریق این سرویس دارید؟تاکنون هیچ ابلاغیه ای نه از سوی بانک مرکزی و نه از سوی شاپرک و نه هیچ نهاد قانون گذاری دیگری به ما ابلاغ نشده است و ما جسته و گریخته از بین اخبار در شبکه ها و گروه های مجازی از این مساله مطلع شدیم. حتی مذاکره شفاهی هم در این موضوع صورت نگرفته است. در حال حاضر روزانه چند میلیون تراکنش بر بستر USSD داریم که تاکنون هیچ تراکنش ناامنی در این فضا رخ نداده است یا اطلاعات محرمانه بانکی که لو رفته و به سرقت رفته باشد، نداشته ایم. در صورتی که در سایر بسترهایی که در حال حاضر در حال خدمت به کاربران هستند، زیاد شنیده می شود که سوءاستفاده صورت می گیرد و اطلاعات مشتریان به سرقت رفته است.یکی از دلایلی که برای کنار گذاشتن این شیوه پرداخت عنوان می شود امن نبودن آن برای پرداخت است. این عدم امنیت چقدر واقعیت دارد؟اولا شبکه اپراتوری یک شبکه بسته و تحت کنترل است و بر عکس آن، شبکه اینترنت یک شبکه باز و غیر قابل کنترل است، بنابراین هر سرویسی که بر شبکه اپراتوری ارائه می شود، ماهیت به مراتب امن تری به نسبت سرویس های اینترنتی دارد. بیایید فکر کنیم امنیت USSD، صفر مطلق است، وقتی تراکنش پرداخت روی این بستر انجام می شود برای بار اول، اطلاعات شماره کارت بانکی باید ثبت شود و مشترک برای نخستین بار شماره کارت ۱۶ رقمی را وارد می کند و پس از آن، رمز دوم درخواست می شود و درصورت مطابقت و صحت اطلاعات کاربر از سوی پی اس پی ها این اطلاعات ثبت می شود. در تراکنش هایی که بعد از تراکنش ثبت نام اولیه انجام می شود صرفا رمز دوم است که بر بستر USSD منتقل می شود و به جای شماره کارت، یک کد مستعار ارسال می شود. بنابراین در صورت شنود، چیزی که نصیب فرد شنودکننده متخصص می شود صرفا رمز دوم کارت بانکی است. آیا می توان با رمز دوم کارت بانکی که مشخص نیست متعلق به چه کارت بانکی است، برداشت پول انجام داد؟ بنابراین راحت ترین کار این است که پس از اولین تراکنش که شماره کارت و رمز دوم کارت در یک تراکنش USSD اخذ می شود، در تراکنش بعدی از کاربر بخواهیم رمز دوم کارت را تغییر دهد و در سیستم های پی اس پی هم این موضوع پیاد ه سازی شود که تا زمانی که رمز دوم تغییر نکرده، به هیچ وجه اجازه تراکنش جدید روی این بستر به مشترک داده نشود. در این وضعیت، اگر حتی شنودی هم صورت بگیرد اطلاعاتی که به دست می آید چیزی نیست که به درد شنودکننده بخورد.با وجود این، اگر اصرار بر ارتقای امنیت داشته باشیم، این کار میسر است. همه می دانند که مقوله امنیت، یک امر نسبی است بنابراین بین ریسک امنیتی و هزینه تامین امنیت باید تناسبی وجود داشته باشد. اگر دوستان درخواستی برای ارتقای سطح امنیتی به ما بدهند ما می توانیم با انتقال اپلت روی سیم کارت مشترکان، سطح امنیتی USSD را بالاتر ببریم. اما موضوع این است که در شرایطی که با اجرای پیشنهاد های فوق، امنیت تقریبا صد درصدی برای تراکنش ها محقق می شود، آیا توجیه اقتصادی برای صرف این هزینه سنگین وجود دارد؟ در حال حاضر ۲۵ میلیون مشترک منحصر به فرد همراه اول از سرویس USSD استفاده می کنند و برای اجرای مدل امنیت مبتنی بر اپلت، باید سیم کارت جدید برای همه مشترکین ارسال کنیم که فقط برای تعویض سیم کارت، به جز هزینه هایی که روی شبکه USSD و شبکه پی اس پی اتفاق می افتد، میزان قابل توجهی اعتبار مالی نیاز است. اینجا است که باید بحث شود درحالی که با یک روش ساده مثل تغییر رمز، ارتقای امنیتی تراکنش های USSD شدنی است، چرا باید چنین هزینه ای صرف شود.در حال حاضر مردم از کدهای دستوری بیشتر برای چه نوع پرداختی استفاده می کنند؟در حال حاضر ۸۰ درصد پرداخت ها بر بستر USSD مربوط به فروش شارژ است؛ یعنی مردم به جای استفاده از پین چاپ شده می توانند از گوشی خود، شارژ خریداری کنند و این یعنی در همین مدت کوتاه ما از نابود شدن ۵ هزار اصله درخت و هدر رفتن ۱۱۰ میلیون لیتر آب جلوگیری کرده ایم.بنابراین با وجود این همه تدابیر امنیتی به نظر می رسد این ترس از سوی بانک مرکزی وجود دارد که اطلاعات از سوی خود اپراتور مورد سوءاستفاده قرار گیرد.خیلی از اطلاعات محرمانه مشتریان در اختیار اپراتورهااست و ایشان امانتدارند و نهادهای نظارتی هم بر شبکه اپراتوری نظارت دارند. ممکن است بانک مرکزی این دغدغه را داشته باشد اما چیزی که به صورت غیررسمی شنیده ایم دغدغه شان این است که ممکن است در لایه ای که بین گوشی و BTS وجود دارد شنود اتفاق بیفتد، باید عرض کنم که این اینترفیس با پروتکل های امن، محافظت شده ولی حتی در صورت شنود با تجهیزات پیشرفته، این طور نیست که این قابلیت در دسترس عموم باشد و همان گونه که قبلا هم گفتم، در صورت تغییر رمز از تراکنش دوم، اطلاعات قابل استفاده ای نصیب شنودکننده نمی شود. درحالی که اگر موضوع، صرفا دغدغه امنیت باشد آن را می توان به راحتی حل کرد و در صورت رفع این دغدغه قاعدتا محدودیت های سال گذشته شامل بر خرید و مانده گیری بر بستر USSD نیز قابل برگشت خواهد بود.شما از امنیت صحبت می کنید؛ اما همین الان شاهد بالا گرفتن موضوع سرقت اطلاعات مشترکان ایرانسل و انتشار آن در تلگرام هستیم.اول اینکه در این خصوص مدیران ایرانسل باید پاسخگو باشند و من نمی توانم به جای ایشان اظهار نظر کنم. تاآنجاکه مطلع هستم، دیتابیس برخی از مشترکان ایرانسل به صورت آفلاین در شبکه مجازی منتشر شده و این به معنای نفوذ در شبکه اپراتوری نیست. احتمالا در این اتفاق، همانند نمونه مشابهی که چند سال پیش در شبکه بانکی کشور اتفاق افتاد، دسترسی به اطلاعات از داخل شرکت و از طریق پرسنل یا پیمانکاران صورت گرفته، نه به واسطه نفوذ در شبکه، بنابراین همان طور که عرض کردم، شبکه اپراتوری بسته است و امنیت در این شبکه بالاست. در موضوع USSD باید عرض کنم، اطلاعات تبادل شده بر این بستر در شبکه همراه اول ذخیره نمی شود که نگران نشر اطلاعات از این طریق باشیم.به نظر می رسد مشکل پیچیده ای برای رفع دغدغه دو طرف وجود ندارد، چرا این اتفاق نمی افتد؟نظر ما هم همین است که اگر این تعامل ارتقا یابد و فاصله ها کمتر شود می توان راهکارهایی پیدا کرد که دغدغه های دو طرف رفع شود. اگر نیت ارائه سرویس راحت در جهت آسایش مردم باشد بالاخره راهکاری می توان پیدا کرد. ممکن است بحث این باشد که USSD قدیمی است اما فعلا با شرایطی که کیفیت و ضریب نفوذ اینترنت اپراتورها دارند، بهترین روش برای خرید شارژ و پرداخت قبوض همین USSD است. در حال حاضر بحث تامین پول خرد در کشور ما به یک معضل تبدیل شده است درحالی که ما آمادگی لازم را در این زمینه داریم که مثلا تکنولوژی NFC را ارائه کنیم تا موبایل را تبدیل به کارت و کیف پول همراه کنیم و مشترکان می توانند پرداخت های الکترونیک خود را با آن انجام دهند. ولی از آنجا که در کشور ما قوانین شفاف و با ثبات نیستند و هزینه سرمایه گذاری در این بخش قابل توجه است، فعلا دست نگه داشته ایم. قوانین در این زمینه در کشور ما همیشه عقب تر از تکنولوژی هستند.آیا فکر می کنید این فشار از سوی بانک ها اعمال می شود تا محدوده خدمات بانکی خود را برای مشتریانشان حفظ کنند؟وقتی بحث «سپاس» (کیف الکترونیکی) مطرح شد و تست های اولیه نیز انجام شد، قرار بود تا پایان سال ۹۳ طرح سپاس رونمایی شود اما بعد از آن چرخشی به وجود آمد که به بهانه ورود تکنولوژی های جدید از آن جلوگیری شد، هرچند که به نظر من سپاس تکنولوژی نبود بلکه یک پلت فرم بود تا اکوسیستم ارائه خدمات کیف پول محور را فراهم کند اما پرونده سپاس به یکباره بسته شد.  احساس می کنم دلیل این امر همزمانی با خبر فعال شدن MVNOها (اپراتور مجازی) بود. به محض اینکه امکان حضور شبکه بانکی در شبکه اپراتوری به وجود آمد، پروژه سپاس متوقف شد. یعنی یک خدمت را از مردم گرفتیم، به صرف اینکه خودمان می خواهیم این خدمت را ارائه کنیم. الان بسیاری از شرکت های شبکه پرداخت و شرکت های وابسته به بانک ها، خواهان تبدیل شدن به اپراتور مجازی هستند یعنی از یک طرف، سیاستگذار بانک مرکزی از فعالیت شبکه های پرداخت جدید بانکی ممانعت به عمل می آورد و از یک طرف سیاستگذار مخابراتی کاملا فضا را باز گذاشته و حق فعالیت در فضای اپراتوری را به شرکت های بانکی می دهد.این نشان می دهد که سیاست گذاران بانک مرکزی و مخابرات بر سر این موضوع با هم اختلاف دارند؟بله کاملا دیدگاه های متفاوت و متضاد با یکدیگر دارند. از یک طرف، نگاه بسته رگولاتور بانکی است و از این سمت، نگاه باز رگولاتور مخابراتی است.به هر حال در این وضعیت رگولاتور مخابراتی قصد دارد خدمتی که در محدوده فعالیت شما بود را به سیستم بانکداری هم تحویل بدهد این طور نیست؟موضوع این است که در این شرایط آیا ماهم باید از ورود پی اس پی ها به شبکه اپراتوری نگران و مضطرب باشیم. عملا شبکه بانکی و خصوصا پی اس پی ها در طول مدتی که با اپراتورها سرویس مشترک ارائه می دادند اطلاعات محرمانه اپراتورها مانند شماره موبایل، رفتار مصرف و خیلی از اطلاعاتی که منجر به شناسایی مشتریان پر مصرف اپراتورها می شود را جمع آوری کرده اند. بنابراین با داشتن این اطلاعات و فعال شدن MVNOها، به نوعی می توانند مشتریان پرمصرف اپراتورها را بگیرند؛ در حالی که جذب این مشترکان برای اپراتور هزینه بالایی داشته است. اما آیا رگولاتور مخابراتی باید همانند رگولاتور بانکی در این زمینه نگاه بسته ای داشته باشد و از ورود شبکه بانکی به فضای اپراتور مجازی ممانعت کند؟ یا بهتر است که رگولاتور بانکی این رفتار را بیاموزد. از سویی دیگر برخی ادعا می کنند نحوه تقسیم درآمد بین پی اس پی ها و اپراتورها عادلانه نیست در صورتی که خیلی از PSP ها باید توجه داشته باشند که از طریق همین بستر توانسته اند چنین رشدی را تجربه کنند. شبکه پرداخت باید به این موضوع توجه داشته باشد که بدون نیاز به سرمایه گذاری برای خرید دستگاه پوز که در کشور ما تعدادشان هم کم نیست و بدون سرمایه گذاری روی نگهداری آن که عملا هزینه آن بر عهده اپراتور و مشترک قرار گرفته است می توانند در این فضا فعالیت کنند. بنابراین بدون نیاز به سرمایه گذاری انبوه به دلیل تبدیل شدن گوشی های موبایل به دستگاه پوز، به نسبت سرمایه گذاری انجام شده توسط اپراتور و شرکت های پرداخت الکترونیک، کفه ترازوی سهم درآمد به سمت شبکه پرداخت است. با این وجود اگر واقعا یک مدل کسب و کار مناسب و شفافی ارائه شود ما از آن استقبال می کنیم و آماده رایزنی هستیم.در نهایت، تصمیم نهایی شما در قبال این دست از محدودیت ها بر بستر USSD چیست، آیا ممکن است روشی را برای دور زدن این محدودیت به کار بگیرید؟اگرچه که باز هم تاکید می کنم این محدودیت به صورت رسمی به ما ابلاغ نشده است ولی باز هم پیشنهاد مذاکره برای رسیدن به راه حل نهایی را برای رفع دغدغه ها داریم. ما معتقدیم محدود کردن، بدون ارائه راهکار جایگزین تصمیم خوبی نیست. حداقل باید به آن ۲۵ میلیون مشترکی که از سوی ما از این سرویس استفاده می کنند، احترام گذاشت. در غیر این صورت با شدیدترین تدابیر امنیتی بر این بستر یا هر بستر دیگری و با صرف بیشترین هزینه ها هم اگر هدف، رسیدن به تعامل و خدمت مشترک نباشد، به نتیجه نخواهیم رسید.USSD بستری است که مشترک برای استفاده از آن نیازی به مراجعه حضوری ندارد، اگرچه این تکنولوژی قدیمی است اما قدیمی و ساده بودن به معنی ضعیف بودن و بد بودن یک سرویس نیست. جایگزین کردن آن در صورت داشتن اینترنت پرسرعت، ارزان و قابل اعتماد به وسیله اپلیکیشن هایی میسر است که می توانند مبتنی بر دیتا فعالیت کنند. بنابراین در صورت توسعه اپلیکیشن ها و ارائه اینترنت پرسرعت ارزان، کم کم USSD از چرخه ارائه خدمت، خارج می شود. در وضعیت فعلی، USSD بهترین بستر ممکن برای ارائه خدمات اپراتوری است. سرویس دیگر که مبتنی بر راه نزدیک است، NFC است که درحال بررسی آن هستیم. برای ورود به این فناوری نیاز به سرمایه گذاری قابل توجهی داریم، اما این سرویس جزو خدماتی است که اگر قوانین شفاف باشد و بعدا با موانعی مثل USSD مواجه نشود، قابل سرمایه گذاری است، با این سرویس امکان پرداخت آنلاین و آفلاین همراه، مبتنی بر سیم کارت که بالاترین امنیت را دارد، به وجود خواهد آمد.منبع: روزنامه دنیای اقتصاد