Bezpieczna bankowość, AI i biometria – jak nie stracić pieniędzy?

Jak działają nowoczesne aplikacje bankowe w erze AI i biometrii i jakie dane zbierają?

⚡ W skrócie: nowoczesne aplikacje bankowe korzystają z szyfrowanego połączenia, silnego uwierzytelniania PSD2 (SCA), mechanizmów 3D Secure oraz analizy zachowania użytkownika, a jednocześnie gromadzą dane o urządzeniu, środowisku i sposobie logowania.

Po zalogowaniu aplikacja łączy się z serwerami banku przez zabezpieczony kanał, dzięki czemu treść przelewów, salda oraz historii rachunku pozostaje poufna. System zapisuje między innymi model telefonu, wersję systemu operacyjnego, język, przybliżoną lokalizację oraz informacje o tym, czy urządzenie jest zrootowane lub odblokowane w sposób niezalecany. W takim przypadku aplikacja bankowa często odmawia działania albo redukuje dostępne funkcje.

Regulacje PSD2 wymagają stosowania SCA, czyli co najmniej dwóch elementów uwierzytelniania, na przykład hasło lub PIN, urządzenie oraz cecha biometryczna. Przy płatnościach kartą w internecie stosowany jest dodatkowy krok 3D Secure, w którym potwierdzasz operację w aplikacji bankowej lub kodem. Z punktu widzenia danych biometrycznych odcisk palca lub skan twarzy zapisany jest w bezpiecznym obszarze telefonu, a aplikacja banku otrzymuje jedynie informację, czy uwierzytelnianie zakończyło się sukcesem.

• Stałe elementy działania aplikacji bankowej to szyfrowane połączenie, autoryzacja użytkownika oraz kontrola zgodności transakcji z regulaminem banku.
• Elementy zależne od konkretnego banku obejmują zakres danych o urządzeniu, poziom wykorzystania biometrii i AI oraz sposób prezentacji ostrzeżeń i blokad.

Jakie zagrożenia wiążą się z aplikacjami bankowymi na smartfonie?

⚡ W skrócie: najpoważniejsze zagrożenia to phishing, smishing, vishing, złośliwe aplikacje zdalnego dostępu, malware bankowy, przejęcie numeru telefonu oraz deepfake głosu udający konsultanta banku.

W praktyce spotkasz kilka głównych typów ataków. Phishing to fałszywe wiadomości e-mail zachęcające do wejścia na podstawioną stronę logowania do banku. Smishing to podobne wiadomości SMS, często z informacją o paczce, dopłacie lub blokadzie konta, które zawierają link prowadzący do podrobionej strony. Vishing to rozmowy telefoniczne, w których rozmówca podszywa się pod pracownika banku albo instytucji publicznej.

Malware bankowy to złośliwe aplikacje instalowane spoza oficjalnych sklepów, które potrafią przechwytywać SMS-y, podmieniać ekrany logowania lub uruchamiać tak zwany zdalny pulpit.

Do tego dochodzi SIM swapping, czyli przejęcie numeru telefonu u operatora, oraz deepfake głosu, który brzmi jak konsultant banku i prosi o potwierdzenie rzekomej operacji. Połączenie kilku błędów użytkownika, na przykład kliknięcia w link, instalacji nieznanej aplikacji oraz rozmowy z fałszywym konsultantem, daje przestępcom pełną kontrolę nad telefonem i autoryzacją płatności.

• Phishing i smishing polegają na wysyłaniu linków do podrobionych stron z formularzem logowania.
• Vishing wykorzystuje presję czasu i autorytet rzekomego konsultanta, abyś podał dane lub zainstalował aplikację.
• Aplikacje zdalnego dostępu pozwalają osobie po drugiej stronie ekranu wykonywać operacje jak na Twoim urządzeniu.

Jak bezpiecznie skonfigurować telefon i aplikację bankową?

⚡ W skrócie: bezpieczna konfiguracja polega na włączeniu blokady ekranu, aktualizacjach systemu i aplikacji, instalowaniu programów wyłącznie z oficjalnych sklepów, ograniczeniu uprawnień oraz ustawieniu powiadomień i limitów w aplikacji bankowej.

Na początek włącz blokadę ekranu i ustaw silny kod lub hasło alfanumeryczne, które nie jest prostym ciągiem typu 1234 czy kombinacją dat. Następnie sprawdź, czy system operacyjny oraz aplikacja bankowa mają włączone automatyczne aktualizacje. W ustawieniach telefonu wyłącz możliwość instalowania aplikacji z nieznanych źródeł, a do przechowywania haseł używaj sprawdzonego menedżera haseł, który wspiera biometrię i szyfruje dane.

W samej aplikacji bankowej włącz powiadomienia push lub SMS o każdej transakcji wychodzącej i o logowaniu na nowym urządzeniu. Ustaw dzienny limit przelewów na poziomie, który pozwala Ci realizować typowe płatności, ale nie przekracza na przykład 5 000 – 10 000 zł, jeśli nie prowadzisz działalności gospodarczej. Limit BLIK ustaw odpowiednio niżej, na przykład w okolicy 1 000 – 2 000 zł.

Potraktuj te kwoty jako przykładowy punkt wyjścia, a dokładne wartości dobierz do swojego budżetu i stylu życia.

Pomyśl także o urządzeniach współdzielonych, na przykład tablecie używanym przez całą rodzinę. Na sprzęcie, z którego korzystają dzieci lub inni domownicy, nie powinieneś mieć pełnego dostępu do aplikacji bankowej bez dodatkowego kodu lub biometrii zarejestrowanej wyłącznie dla Ciebie.

Jak używać biometrii, aby wzmacniała zabezpieczenia?

⚡ W skrócie: biometria zwiększa bezpieczeństwo aplikacji bankowej wtedy, gdy zarejestrowane są wyłącznie Twoje dane, działa razem z silnym kodem ekranu i limitami, a urządzenie ma aktualny system oraz wsparcie producenta.

Odcisk palca, Face ID lub rozpoznawanie twarzy przyspieszają logowanie, ale jednocześnie każdy zapisany palec lub twarz ma taki sam poziom dostępu do urządzenia. Jeśli dopiszesz odcisk palca partnera albo dziecka, ta osoba zyska dostęp nie tylko do zdjęć czy komunikatorów, ale także do aplikacji bankowej i autoryzacji płatności. Z punktu widzenia banku oznacza to Twoją zgodę na wykonanie transakcji przez tę osobę.

Bezpieczne podejście to połączenie biometrii z kodem ekranu i warunkiem, że dane biometryczne zapisane są tylko dla Ciebie. Na starszych lub tanich urządzeniach, które nie mają bezpiecznego modułu do przechowywania wzorca biometrycznego, lepiej ograniczyć użycie biometrii do odblokowania samego telefonu i autoryzować transakcje kodem w aplikacji. W przypadku biometrii głosowej używanej na infolinii nie nagrywaj fraz bezpieczeństwa i nie udostępniaj ich w internecie.

Jak rozpoznawać fałszywe powiadomienia, SMS-y, maile i połączenia?

⚡ W skrócie: fałszywe komunikaty rozpoznasz po pośpiechu, żądaniu danych logowania, kodów lub pełnych danych karty, po nietypowym nadawcy oraz po linku prowadzącym do strony, która nie jest oficjalną domeną banku.

SMS-y z dopłatą do przesyłki, informacją o blokadzie konta lub rzekomym zadłużeniu często zawierają link z nazwą podobną do banku albo firmy kurierskiej, ale z drobną różnicą w domenie. Podobnie wygląda phishing e-mailowy, w którym logo i grafika są skopiowane, lecz adres nadawcy oraz adres docelowy strony różnią się od tych stosowanych przez instytucję. Prawdziwy bank nie prosi o login, hasło ani kod BLIK w wiadomości ani w mailu.

W przypadku połączeń telefonicznych zwróć uwagę na presję czasu, informacje o „pilnej blokadzie konta” oraz prośby o instalację aplikacji do zdalnego dostępu albo o podanie kodów BLIK czy kodów z SMS. Bezpieczny schemat wygląda tak, że rozłączasz się, sam wybierasz numer infolinii z oficjalnej strony banku i dopiero wtedy opisujesz sytuację. Podejrzane SMS-y przekierowujesz na numer 8080, a strony phishingowe zgłaszasz na incydent.cert.pl.

Jak ustawić limity, powiadomienia i autoryzację transakcji w aplikacji?

⚡ W skrócie: bezpieczne ustawienia to niskie limity dzienne i jednorazowe, powiadomienia o każdej transakcji i logowaniu, osobne limity dla BLIK i kart w internecie oraz zasada, że każda większa operacja wymaga dodatkowego potwierdzenia w aplikacji.

W menu aplikacji znajdziesz zwykle sekcję bezpieczeństwo lub limity, gdzie możesz ustawić dzienny i jednorazowy limit przelewów, przelewów natychmiastowych, wypłat z bankomatu oraz transakcji BLIK. Dla typowego gospodarstwa domowego rozsądny poziom mieści się zwykle poniżej 10 000 zł dziennie, a limit BLIK na poziomie kilku tysięcy złotych. Przy większym zakupie jednorazowo podnosisz limit, wykonujesz przelew, a po zakończeniu transakcji wracasz do niższych wartości.

Włącz powiadomienia push lub SMS dla każdej transakcji wychodzącej, płatności kartą w internecie oraz logowania z nowego urządzenia. Jeśli bank oferuje autoryzację mobilną, czyli potwierdzanie operacji w aplikacji zamiast przepisywania kodu z SMS, skorzystaj z tego rozwiązania, ale zawsze czytaj dokładnie treść komunikatu, który zatwierdzasz. Zwłaszcza przy dużych kwotach sprawdź nazwę odbiorcy, numer rachunku oraz kwotę.

Jak bezpiecznie korzystać z aplikacji bankowych za granicą i w publicznym Wi-Fi?

⚡ W skrócie: za granicą i w publicznych sieciach Wi-Fi loguj się do banku wyłącznie przez własną sieć komórkową lub przez zaufaną sieć VPN, unikaj logowania na cudzych urządzeniach i nie wykonuj dużych przelewów w miejscach, gdzie ktoś widzi ekran.

Sieci w hotelach, kawiarniach i na lotniskach bywają podatne na podsłuch oraz tworzenie fałszywych punktów dostępowych, które mają identyczną nazwę jak sieć obiektu. Bezpieczniejszym rozwiązaniem jest użycie transmisji danych od operatora komórkowego lub zaufanej sieci VPN, która szyfruje ruch. Logowanie na komputerze w hotelowym lobby, na cudzym smartfonie lub tablecie oznacza oddanie kontroli nad Twoimi danymi osobie trzeciej.

Pamiętaj, że w roamingu SMS-y z kodami autoryzacyjnymi mogą przychodzić z opóźnieniem. Przed wyjazdem przetestuj działanie aplikacji bankowej, autoryzacji mobilnej oraz połączeń z infolinią z zagranicy. Ustal także, czy przy dużych kwotach nie lepiej zaplanować przelew z wyprzedzeniem z Polski lub użyć karty z limitem ustawionym pod konkretną podróż.

Jak rozpoznać przejęcie aplikacji bankowej i co zrobić krok po kroku?

⚡ W skrócie: o przejęciu aplikacji bankowej świadczą logowania z nieznanych urządzeń, transakcje, których nie zlecałeś, powiadomienia o próbach logowania lub blokadzie konta oraz sytuacje, w których poprawne dane logowania przestają działać.

Do najczęstszych objawów należą pojawienie się nowego urządzenia na liście zaufanych, przelewy do nieznanych odbiorców, wypłaty z bankomatu, których nie rozpoznajesz, oraz wiadomości z banku o odrzuconych próbach logowania. Jeśli aplikacja nagle się zamyka, prosi o ponowną aktywację na tym samym urządzeniu lub zachowuje się inaczej niż dotąd, potraktuj to jako sygnał ostrzegawczy. Podobnie jest, gdy dostajesz powiadomienia o autoryzacji operacji, których nie próbowałeś wykonać.

1. Natychmiast blokujesz dostęp do bankowości przez infolinię oraz, jeśli trzeba, blokujesz karty i zlecasz zmianę danych logowania.
2. Zmieniasz hasła do banku, poczty powiązanej z bankowością, menedżera haseł oraz kont w serwisach, które używają tego samego maila lub numeru telefonu.
3. Zgłaszasz incydent w banku, a podejrzane SMS-y i strony zgłaszasz przez incydent.cert.pl i SMS na numer 8080.
4. Czyścisz urządzenie przez przywrócenie ustawień fabrycznych i ponowną instalację aplikacji wyłącznie z oficjalnych sklepów.
5. Zgłaszasz sprawę organom ścigania, szczególnie gdy doszło do utraty środków lub wyłudzenia Twoich danych.

Jakie nawyki cyfrowe w erze AI i biometrii wzmacniają bezpieczeństwo?

⚡ W skrócie: najsilniejszą ochronę dają stałe nawyki, takie jak świadome klikanie w linki, regularne aktualizacje, rozsądne limity, brak dzielenia się biometrią oraz zasada, że kontakt z bankiem zaczynasz zawsze od oficjalnego numeru lub aplikacji.

Raz w tygodniu przejrzyj historię transakcji, a raz w miesiącu sprawdź listę zaufanych urządzeń w aplikacji bankowej. Usuń aplikacje, z których nie korzystasz, zaktualizuj system i upewnij się, że menedżer haseł ma własne zabezpieczenie biometryczne albo silny kod. Przyjmij zasadę, że nigdy nie logujesz się do banku z linków z SMS-a, maila ani komunikatora, lecz wyłącznie przez własnoręcznie wpisany adres lub oficjalną aplikację.

Oddziel kanały i role. Hasło do banku nie jest używane w innych serwisach, e-mail do bankowości nie służy do rejestracji w sklepach i mediach społecznościowych, a telefon służbowy nie stanowi jedynego urządzenia z dostępem do prywatnych finansów. W ten sposób jedno udane włamanie do serwisu społecznościowego nie otwiera drogi do Twojego konta bankowego.

• Nawyk świadomego klikania oznacza, że każdy link z SMS-a traktujesz jako podejrzany, dopóki sam nie zweryfikujesz adresu strony i nadawcy.
• Nawyk higieny urządzeń to regularne aktualizacje, skanowanie pod kątem zagrożeń oraz ograniczanie liczby aplikacji w telefonie do tych, których faktycznie używasz.
• Nawyk jasnych procedur awaryjnych polega na tym, że wiesz, gdzie masz spisane numery do banku, jakie kroki wykonasz po utracie telefonu i gdzie zgłaszasz podejrzane wiadomości.

Słowniczek pojęć

FAQ – najczęściej zadawane pytania