Frågor om PostNords app - Bank-ID m.m.

För några månader sedan släppte PostNord funktionen att legitimera sig med Bank-ID i deras app, och slippa ta med legitimation till utlämningsstället när man hämtar ut ett paket.
PostNord låter dig hämta ut paket genom BankID - Swedroid

Jag beställde i veckan en dator från en webbutik. Som namn och adress angav jag en familjemedlems namn och adress, eftersom datorn var avsedd för den personen (vi bor inte tillsammans och delar inget gemensamt namn). Eftersom jag var inloggad i mitt konto hos webbutiken så valde jag att behålla mitt telefonnummer och min epostadress i beställningen. Jag fick alltså sms-aviseringen om uthämtning till min telefon och det medförde också att PostNord-appen på min telefon hittade försändelsen. I slutändan blev det jag som skulle hämta ut paketet, och jag tänkte göra ett försök trots att paketet bar ett annat namn än mitt.

För att hämta ut paketet krävdes legitimation, stod det. Men appen erbjöd funktionen att legitimera sig med Bank-ID. "Vad dumt, Bank-ID lär ju inte funka för mig", tänkte jag, eftersom mitt namn och namnet på försändelsen inte överensstämmer. Men så började jag fundera. Vad Bank-ID gör är ju att verifiera att en viss inloggning hör ihop med ett visst personnummer. Och varken PostNord eller webbutiken har tillgång till beställarens personnummer. På något sätt är det väl namnet som är av vikt trots allt, tänkte jag, Bank-ID skickar säkert det verifierade namnet vidare till PostNord-appen så att den kan matcha det med beställningen. I detta fall skulle mitt namn från Bank-ID-inloggningen och namnet på beställaren inte matcha. Jag testade ändå att legitimera mig med Bank-ID, och se på sjutton, det gick. Jag testade sedan att hämta ut paketet, och fick ut det utan problem.

Att jag var korrekt mottagare fanns det mycket som talade för, eftersom jag genom att visa den digitala avin (en streckkod) någon gång måste ha verifierat att mitt mobilnummer eller min epostadress är identiskt med den som gjort beställningen. Så någon större risk för bedrägeri fanns aldrig, men ändå intressant att det gick tycker jag.

I Swedroids artikel ovan står det:
"Mottagaren måste vidare ha verifierat sina uppgifter i appen, vilka i sin tur ska matcha mottagaruppgifterna för paketet".
Enligt denna mening borde jag ha blivit nekad att hämta ut paketet, så som jag tolkar det.

Någon som vet närmare hur det funkar? Kan man verifera i PostNord-appen med vilken persons Bank-ID som helst? Det innebär ju att en viss person alltid kan knytas till uthämtningen. Om det t.ex. skett ett bedrägeri eller en stöld så finns det en klart misstänkt, nämligen innehavaren av Bank-ID:t. Men ändå lite märkligt. Borde inte kassapersonalen ha verifierat på något sätt att jag var korrekt person, t.ex. att namnen överensstämmer, eller kan kassapersonalen bara gå på att appen har godkänt utlämnandet?

 

Det är väl så det fungerar när man visar vanligt leg när man hämtar ut paket. De registrerar vem som har hämtat ut paketet.

Men, sen har du problemet med att det normalt bara är den som paketet är adresserat till som får hämta ut det. Om du skickar nån annan räknas det som att hämta ut med bud och då måste budet kunna visa både sin egen och mottagarens legitimation. Är det pappersavi så måste även både mottagare och bud skriva på avin har jag för mig.)

Jag har läst artiklar om där folk t.ex. har skickat present till kompisens hund, och ingen har kunnat hämta ut det eftersom de skrivit hundens namn på paketet. Det är alltså viktigt att paketet verkligen adresseras till den som kommer att hämta ut det.

Så egentligen borde de nog inte lämnat ut paketet till dig om de hade följt reglerna.

 

Utlämningsstället ska lämna ut paketet till den som har den digitala avin om man har legitimera sig med BankID. Framgår tydligt och klart. Detta för att man ska kunna skicka någon annan att hämta paketet. Det ska alltså inte i det läget kolla mot namnet på paketet.
Däremot borde det ju inte gå att legitimera sig med BankID som inte har rätt namn så att säga.

 

Kanske jag ska förtydliga, jag tycker att PostNords nya Bank-ID-funktion är superbra, och tanken var inte att kritisera funktionen på något sätt! Och jag är självklart glad att jag fick ut paketet utan problem den gången jag berättade om. Några säkerhetsproblem skapas inte heller av att det gick, eftersom appen tidigare verifierat att jag är innehavare att det mobilnummer som angivits i beställningen. Det anser jag utgör en viktig säkerhetsbarriär.

Tanken var främst att ha en teknisk diskussion med er, eftersom detta gjorde mig nyfiken - hur funkar Bank-ID-verifieringen vill säga. Och hur är det avsett att fungera, gick det rätt till i mitt fall?

Den sista meningen i inlägget ovan, "Däremot borde det ju inte gå att legitimera sig med BankID som inte har rätt namn så att säga" är väl själva kärnfrågan i sammanhanget. Jag har inget emot att det går, det skulle ju också lösa problemet med att folk adresserat paket till sina hundar eller liknande. Tanken var mest att diskutera om det gick rätt till i mitt fall - eller om jag kan stöta på problem i framtiden, om jag försöker samma sak.

Som nämnts, det nya är att Bank-ID-verifieringen och den skapade streckkoden är tänkt att ersätta alla typer av legitimationer - varken beställaren eller uthämtaren (om det är en annan person) ska behöva visa leg, om rätt streckkod kan visas upp.

"Så egentligen borde de nog inte lämnat ut paketet till dig om de hade följt reglerna": Ytterligare en aspekt kan ju vara om detta sköts helt automatiskt. Datorn kanske bara säger "godkänd verifiering i appen" utan att kassapersonalen kan se några detaljer, namn eller annat. Instruktionerna kanske också är att inte göra egna efterforskningar, ens om de kan se att namn skiljer sig åt. Vore intressant att veta för framtida fall.

 

Postnords app hämtar ju information ifrån webbutikernas filer som dom skickar till Postnord. Så har dom fyllt i mailadress och mobilnummer så kommer appen automatiskt hitta paketet. När man legitimerat sig i Postnords app med bankidt så kommer det bara upp nämnda streckkod. Ombudet scannar den och i rutan där man i vanliga fall skriver in legitimation som kunden visar, står nu istället att legitimering inte krävs då det redan är gjort.

Om man tänker ur bedrägeri aspektet så är man ju rätt korkad (om man nu vill slippa betala för något) om man beställer i någon annans namn, fyller i att fakturan skall skickas till den man vill lura, skriver in sitt egna mobilnr och mailadress så att man får in paketet i Postnords app. När man sen vill hämta ut det som i första inlägget här i tråden, så leggar man sig med sitt Bankid som ju är knuten direkt till dig. Är det då ett bedrägeri så är det ju svinlätt för Polisen att se vem det är som gjort detta. Så som bedrägerierna går till idag så har man falsklegg på sig själv när man hämtar ut i någonannans namn. Du kan inte ha ett falskt bankid.

En grundregel är att aldrig beställa i någons eller någots namn som inte har någon giltig legitimation. Rätt självklart ändå, men folk e så otroligt tröga. Viktigt också om man beställer till kanske 2 barn i en familj att man skriver Arne ELLER Lisa, och inte Arne OCH Lisa. I första exemplet räcker det att en av dom legitimerar sig. I andra så måste BÄGGE legitimera sig. Det funkar såklart, men mer klyddigt.

Det är oftast vid personlig inlämning som det måste vara rätt personnummer som knappas in, och då säger datorn ifrån då webbutiken skickat med personnumret när dom skickat paketet till Postnord. Då checkas detta direkt vid inlösen av legitimation.

Ett tips bara, är det du som beställer så beställ i ditt eget namn. Om det nu var som i första inlägget att varan skall till en familjemedlem så beställ i ditt eget namn ändå. Det minskar risken för att något blir fel och att man inte får ut paketet.

Nu verkade det ju t om som att du och familjemedlemmen bodde hyfsat nära varandra då du tog dig tid att åka till det ombudet som denna familjemedlem också har. Hade det varit i en annan stad så hade det kanske inte varit så intressant. Det du isf hade kunnat göra var att legga dig med bankid i appen och sen trycka på dela uppe till höger (Android har det där ivjf) och sen skicka länken som kommer upp typ via Messenger till familjemedlemmen. Har personen då postnords app, så när han/hon klickar på länken du skickat, så kommer paketet upp i personens app. Leggad å klar.

 

Som @Kingcool skriver är det bättre att beställa i sitt eget namn. Vill du då också öppna för möjligheten att någon annan kan hämta, lägg till en C/O.

 

C/o hjälper inte. Det är namnet överst på paketet som gäller. Beställ i ditt eget namn och legga dig med bank-id och skicka koden som kommer upp till c/o:n.

 

@Kingcool Hm, du har såklart rätt. Jag tänkte ur jobb-perspektiv, där är det lite annorlunda eftersom jag hanterar post åt min arbetsgivare. I stand corrected!

 

Min äldsta dotter fick ut ett paket adresserat till en helt främmande person av misstag en gång, det var kanske 10 år sedan.

Hon lämnade fram en drös avier, däribland en som hon hade fått av misstag i sin brevlåda, adresserad till en annan person i samma trappuppgång.

Skrev på alla utan att kolla, legitimerade sig och fick ut alla.

Väl hemma upptäckte hon ett par barnskor som hon inte alls hade beställt och började kolla.

Så det blir nog säkrare om allt kan skötas helt digitalt , även om det ändå kommer att dyka upp fall där streckkoderna felläses - jag har även råkat ut för det en gång.

Det finns aldrig 100% även i den digitala världen, MTBF är aldrig oändlig.

 

Ja såklart händer det. Men man får se till hur ofta det går fel. Jag hanterar stora mängder paket både hemma och på jobbet och det är ytterst sällan något går fel alls. Kollar jag rent statistiskt är det en mycket låg andel paket som åker fel, blir försenade, osv. Hämtat ut någon annans paket har jag aldrig gjort, däremot har en granne fått ut mitt paket på liknande vis som du beskriver. Dock en engångsföreteelse.

 

Tycker absolut att frågeställningen är relevant. Många försäljare skickar ju inte sina dyrare varor som ska betalas med faktura eller liknande till andra ställen än folkbokföringsadressen just för att undvika bedrägerier. Om det inte är någon koll att mottagarnamnet stämmer så kan ju följande bedrägeri ske:
1. Skaffa ett kontantkort och en ny e-postadress som du verifierar i PostNord-appen.
2. Beställ något dyrt på faktura till en granne. Ange telefonnummer och e-post enligt ovan.
3. När du får notifikation av appen att paketet är framme så använder du ett kapat Bank-ID alternativt en målvakts Bank-ID för att kunna hämta paketet utan leg.
4. Sälj varan på Blocket och använd pengarna till att finansiera terrorverksamhet.

Grannen kommer ju inte få veta något förrän han får betalningspåminnelse via post, och försäljaren kommer inte få veta något förrän grannen bestrider fakturan. Fiffigt va?

 

mitt post ombud sa att mitt id kort går ut snart och rec att använda bankid

 

Tele2 och Postnord i omfattande bedrägerihärva: ”Gigantiskt”

 

Och nu är möjligheten till Bank-ID i postnord-appen avstängd, så ta med vanligt ID!

 

Jag hann läsa artikeln innan den blev Plus, men det framgick inte riktigt vad som hänt. Fanns dock en post i Tele2-tråden: Tele2/Comviq-tråden

 

Har tagit några screenshots från artikeln.




(Bilderna är raderade av mod, inte tillåtet publicera fulla artiklar från andra sajter av upphovsrättsskäl).

 

haha Jag är så efter!!

Tele2 och Postnord i omfattande bedrägerihärva: ”Gigantiskt”

 

Alltid ett bra drag att identifiera sig själv vid bedrägeri, men det är väl små snabba pengar som lockar. Sen säljer man obrukbara telefoner till naiva typer som inte tycker det är konstigt med nya telefoner utan kvitto.