Es habitual que los sitios web, mensajes u otros documentos a veces muestren datos (números de tarjetas de crédito, números de teléfono, ...) con algunos números en blanco (por ejemplo, reemplazados con asteriscos) para que el lector legítimo pueda reconocer lo que está lleno. el número está detrás de él, pero un adversario no puede.
Mi banco usa esto para ofuscar el número de cuenta bancaria de los destinatarios de las transferencias bancarias en los mensajes de confirmación de mTAN. Sin embargo, solo ocultan los últimos tres dígitos de tres de un IBAN .
Dado que IBAN implica una suma de comprobación de módulo 97, esto no es en realidad mucho mejor que ocultar un dígito único de datos "reales", lo que permite al adversario tener una posibilidad significativa de acertar. Dado el hecho adicional de que ciertos bancos tienen números de cuenta locales predecibles que forman el extremo derecho del IBAN (por ejemplo, a menudo terminan en 00, o tal vez ya existía algún tipo de suma de comprobación), me parece que esta práctica no es muy reconfortante.
¿Debería preocuparme / pedirle aclaraciones al banco?
EDITAR: soy consciente de ¿Cómo enmascarar la información de SEPA (IBAN y BIC) correctamente? , pero esa pregunta y respuesta apuntan en una dirección muy diferente, a saber: ¿Qué cantidad de un IBAN debe exponerse para reconocerla desde una puñado de "mis" IBAN para usar en una transacción planificada? La respuesta indica que normalmente los últimos 3-4 dígitos son suficientes. Sin embargo, mi pregunta tiene que ver con el escenario opuesto, que un IBAN se transmite con casi todos dígitos visibles. Tiene sentido mostrar muchos dígitos en este escenario para que pueda estar algo seguro de que el IBAN es el arbitrario que escribí antes (y no la cuenta de alguien que intercepta el mTAN). Mientras que "los números IBAN no son secretos" también pueden aplicarse aquí (cuestionando así la necesidad de ofuscar), también me preocupan más las implicaciones de que la suma de comprobación fuerte estropea la ofuscación casi por completo.