CDR vs. screen scraping
Como o Consumer Data Right da Austrália substituiu a partilha de palavras-passe como forma de as aplicações de terceiros obterem os seus dados bancários, e porque é que todas as ligações no BankSync usam o CDR e não o scraping.
Screen scraping
Introduza as suas credenciais do CommBank
A app guarda estes dados e inicia sessão no seu banco fazendo-se passar por si.
Número de cliente
8312 4471
Palavra-passe
••••••••••••
- Sem âmbito: tudo o que consegue ver
- Sem data de fim
- Sem registo no banco
Consumer Data Right
Partilhar os seus dados com BankSync
Fiskil (ADRBNK000246) é o destinatário de dados acreditado; o BankSync é o seu representante CDR.
Dados a partilhar
- Nome, tipo e saldo da conta(partilhado)
- Detalhes das transações(partilhado)
- Débitos diretos e pagamentos agendados(não partilhado)
Partilhar durante
O CDR é o sucessor regulado do screen scraping. Com o CDR, nunca partilha a palavra-passe do banco; os consentimentos são limitados, têm prazo e são revogáveis; e cada acesso fica registado no banco. O screen scraping não oferece nenhuma destas garantias e está a ser abandonado em toda a Austrália.
Comparação lado a lado.
- Credenciais
- Screen scrapingDá a palavra-passe do banco ao terceiro
- CDRAutentica-se no seu banco; o terceiro nunca vê a sua palavra-passe
- Âmbito
- Screen scrapingTudo o que é visível após o início de sessão
- CDRSó os âmbitos de dados que autoriza explicitamente
- Duração
- Screen scrapingAté mudar a palavra-passe
- CDRCom prazo: 7 dias, 90 dias ou até 12 meses
- Revogação
- Screen scrapingMudar a palavra-passe
- CDRUm clique na aplicação do banco ou no painel do destinatário
- Registo de auditoria no banco
- Screen scrapingNenhum; o banco não distingue a automatização de si
- CDRCada acesso fica registado com o ID do consentimento
- Regulador
- Screen scrapingNenhum
- CDRACCC e Tesouro, com supervisão do OAIC em matéria de privacidade
- Termos de serviço do banco
- Screen scrapingNormalmente proíbem partilhar credenciais
- CDRExpressamente aprovado e exigido por lei
- Responsabilidade em caso de fuga de dados
- Screen scrapingPode ser responsável por acessos não autorizados
- CDRA responsabilidade cabe ao destinatário de dados acreditado
Porque é que o screen scraping está de saída.
A Statutory Review do Consumer Data Right de 2022 recomendou que o screen scraping fosse proibido quando o CDR oferecesse uma alternativa viável. A ASIC identificou as ferramentas de partilha de credenciais como um risco de prejuízo para os consumidores, e a maioria dos grandes bancos inclui agora avisos contra a partilha de palavras-passe com terceiros. O CDR fecha a lacuna regulamentar ao tornar o acesso consentido a dados uma infraestrutura de primeira linha.
Como funciona realmente um consentimento CDR
- Clica em «Connect bank» no BankSync.
- É redirecionado para a página segura de autorização CDR do seu banco.
- Inicia sessão aí (o BankSync nunca vê as credenciais).
- Seleciona os âmbitos (transações, saldos) e uma duração (7 dias / 90 dias / 12 meses).
- O seu banco emite um token para a Fiskil, o destinatário de dados acreditado (ADRBNK000246), que transmite ao BankSync os dados consentidos.
- Pode revogar a qualquer momento na aplicação do seu banco ou no BankSync.
O registo completo de fornecedores acreditados está em cdr.gov.au.
Perguntas e respostas.
O que é o screen scraping na banca australiana?
Há screen scraping quando uma aplicação de terceiros pede o nome de utilizador e a palavra-passe do seu homebanking, inicia sessão em seu nome e lê as páginas que vê. Não é regulado, não deixa registo de auditoria no seu banco e viola os termos de serviço da maioria dos bancos. O CDR foi introduzido em 2020 para o substituir.
O screen scraping é ilegal na Austrália?
Não é propriamente ilegal, mas está a ser abandonado. A Statutory Review do CDR do Tesouro (2022) e a ASIC indicaram que o screen scraping deve ser proibido quando a cobertura do CDR for suficientemente ampla; foi recomendada uma proibição formal. A maioria dos bancos já o desencoraja nos seus termos de serviço.
O CDR substitui completamente o screen scraping?
Para os dados abrangidos pelo CDR (banca, energia, telecomunicações), sim, os destinatários acreditados podem obter os mesmos dados, ou melhores, através de APIs reguladas. Os âmbitos do CDR incluem os dados da conta, saldos, transações, pagamentos periódicos e informação do titular da conta.
Porque é que o CDR é mais seguro do que o screen scraping?
Quatro razões: (1) O CDR nunca vê a sua palavra-passe, autentica-se no seu banco, não no terceiro. (2) Os consentimentos CDR estão limitados a tipos de dados e durações específicos. (3) Os consentimentos podem ser revogados a qualquer momento no seu banco ou no destinatário. (4) O CDR é supervisionado pela ACCC e pelo Tesouro, com obrigações de notificação de violações e de auditoria.
O BankSync usa screen scraping em algum ponto da Austrália?
Não. Todas as ligações australianas no BankSync passam pelo quadro regulado do Consumer Data Right, através da Fiskil (destinatário de dados acreditado, ADRBNK000246).
O que acontece às antigas ferramentas de screen scraping?
A maioria migrou para o CDR, fez parceria com um ADR ou encerrou. O Pocketbook (o gestor de finanças pessoais gratuito mais apreciado da Austrália, que usava screen scraping) encerrou em março de 2024, em parte devido ao custo da migração para o CDR. As ferramentas que continuam a basear-se em credenciais devem ser tratadas com cautela.