Jak zabezpieczyć konto bankowe online? 10 zasad, które chronią przed oszustami

Jak przejmowane są konta bankowe online i jakie sygnały można zauważyć wcześniej?

Do utraty pieniędzy może dojść wtedy, gdy przestępca zdobywa dane uwierzytelniające, przejmuje urządzenie lub nakłania użytkownika do wykonania albo zatwierdzenia operacji.

Typowe scenariusze wykorzystują fałszywe strony logowania, wiadomości SMS i e-mail, podszywanie się pod pracownika banku oraz aplikacje pozwalające na zdalny dostęp do urządzenia. Charakterystycznym elementem jest presja czasu: rozmówca twierdzi, że trzeba natychmiast „zabezpieczyć pieniądze”, anulować transakcję albo wykonać przelew na wskazany rachunek.

• Presja czasu – żądanie natychmiastowego działania.
• Nietypowa procedura – „bezpieczny rachunek”, „konto techniczne” albo polecenie wykonania przelewu.
• Żądanie danych – prośba o kod, PIN, hasło, dane karty lub kod BLIK.
• Instalacja oprogramowania – polecenie zainstalowania aplikacji do „weryfikacji” lub zdalnej pomocy.

Jak bezpiecznie ustawić telefon i aplikację bankową?

Telefon z aplikacją bankową należy traktować jak urządzenie dające dostęp do pieniędzy i danych potrzebnych do potwierdzania operacji.

Ustaw blokadę ekranu za pomocą odpowiednio silnego PIN-u, hasła lub biometrii oraz krótki czas automatycznej blokady. Aktualizuj system operacyjny i aplikacje, szczególnie aplikację bankową i przeglądarkę.

Instaluj programy wyłącznie z zaufanych źródeł i kontroluj przyznawane im uprawnienia. Jeżeli aplikacja nie potrzebuje dostępu do SMS-ów, kontaktów, mikrofonu lub funkcji ułatwień dostępu, nie przyznawaj takich uprawnień bez wyraźnego powodu.

Jeżeli telefon zostanie zgubiony lub skradziony, oprócz kontaktu z bankiem i operatorem możesz skorzystać z funkcji systemowych producenta urządzenia umożliwiających jego zdalne zablokowanie, zlokalizowanie lub usunięcie danych, jeżeli zostały wcześniej skonfigurowane i są dostępne dla danego urządzenia.

Jak tworzyć i przechowywać hasła do banku?

Hasło do bankowości powinno być unikalne i nie powinno być używane w żadnym innym serwisie. Dzięki temu wyciek danych z innej usługi nie daje przestępcy gotowego hasła do banku.

Zamiast krótkiego i skomplikowanego ciągu znaków można stosować dłuższą, trudną do odgadnięcia frazę zgodną z wymaganiami banku. Hasła warto przechowywać w renomowanym menedżerze haseł zabezpieczonym silnym hasłem głównym i blokadą urządzenia.

• Bank i e-mail – używaj różnych haseł.
• Kody i hasła – nie wysyłaj ich przez SMS, e-mail ani komunikator.
• Zmiana hasła – wykonaj ją przede wszystkim po podejrzeniu ujawnienia danych, przejęcia konta albo innym incydencie bezpieczeństwa.

Jak działa silne uwierzytelnianie i co sprawdzać przed zatwierdzeniem operacji?

Silne uwierzytelnianie użytkownika, czyli SCA, opiera się na co najmniej dwóch niezależnych elementach z różnych kategorii: wiedzy, posiadania lub cechy użytkownika. Przykładami są PIN lub hasło, zarejestrowane urządzenie oraz biometria.

Hasło i PIN należą do tej samej kategorii wiedzy, więc same nie tworzą dwóch różnych czynników SCA. Wyjaśnienie Europejskiego Urzędu Nadzoru Bankowego.

Ustawa o usługach płatniczych przewiduje stosowanie SCA m.in. przy dostępie do rachunku online, inicjowaniu elektronicznej transakcji płatniczej oraz wykonywaniu zdalnej czynności mogącej wiązać się z ryzykiem oszustwa. Przepisy przewidują również określone wyjątki od stosowania silnego uwierzytelniania.

Przy elektronicznej transakcji płatniczej inicjowanej przez internet lub za pomocą środków porozumiewania się na odległość stosowane uwierzytelnianie obejmuje elementy dynamicznie łączące transakcję z określoną kwotą oraz określonym odbiorcą. Dlatego przed potwierdzeniem operacji należy przeczytać komunikat autoryzacyjny, a nie zatwierdzać go automatycznie.

SCA nie eliminuje ryzyka oszustwa. Użytkownik może zostać nakłoniony do zatwierdzenia operacji, której prawdziwego celu nie rozumie albo którą błędnie uznaje za inną czynność.

Jak bezpiecznie korzystać z bankowości poza domem?

Najważniejsze jest korzystanie z własnego, aktualnego i niezainfekowanego urządzenia oraz upewnienie się, że łączysz się z prawdziwą stroną lub aplikacją banku.

Połączenie HTTPS szyfruje transmisję również wtedy, gdy korzystasz z publicznej sieci Wi-Fi. Publiczna sieć nie oznacza więc automatycznie, że dane logowania są przesyłane jawnie. Nadal trzeba jednak uważać na fałszywe hotspoty, phishing oraz urządzenia, nad którymi nie masz kontroli.

VPN może dodatkowo szyfrować ruch między urządzeniem a serwerem dostawcy VPN, ale nie chroni przed fałszywą stroną, złośliwą aplikacją ani zatwierdzeniem operacji pod wpływem oszusta. Nie należy traktować go jako zamiennika podstawowych zabezpieczeń.

• Cudze i publiczne komputery – nie używaj ich do logowania do bankowości.
• Linki do logowania – nie wchodź do banku przez linki otrzymane w SMS-ach lub e-mailach.
• Aplikacja mobilna – uruchamiaj oficjalną aplikację zainstalowaną wcześniej z zaufanego źródła.

Jak rozpoznać phishing, smishing i vishing?

W kontakcie inicjowanym przez osobę podającą się za bank nie podawaj haseł, PIN-ów ani kodów autoryzacyjnych i nie instaluj na jej polecenie oprogramowania do zdalnego dostępu. Numer widoczny na ekranie telefonu nie stanowi pewnego potwierdzenia tożsamości rozmówcy.

Samodzielne wykonanie nowego połączenia z numerem znalezionym na oficjalnej stronie lub w aplikacji banku ogranicza ryzyko oparcia decyzji na numerze prezentowanym przy połączeniu przychodzącym.

Jak ograniczyć straty ustawieniami konta?

Ograniczenie zakresu operacji dostępnych bez wcześniejszej zmiany ustawień może zmniejszyć potencjalną stratę po przejęciu jednego z elementów zabezpieczeń.

Ustaw limity przelewów, płatności kartą w internecie, wypłat gotówkowych oraz innych operacji, jeżeli bank pozwala nimi zarządzać. Włącz powiadomienia o transakcjach, zmianach limitów, nowych odbiorcach i zmianach ustawień bezpieczeństwa, jeśli są dostępne.

Jeżeli korzystasz z funkcji zaufanych odbiorców, dodawaj wyłącznie rachunki, które znasz i których dane potrafisz zweryfikować. Regulacyjne zasady SCA przewidują możliwość stosowania wyjątku przy płatnościach do odbiorców znajdujących się na utworzonej przez płatnika liście zaufanych odbiorców, przy czym sposób wdrożenia tej funkcji zależy od banku.

Jak reagować na podejrzaną transakcję, utratę telefonu lub karty?

Najpierw ogranicz możliwość wykonania kolejnych operacji, a dopiero później szczegółowo odtwarzaj przebieg zdarzenia.

1. Skontaktuj się z bankiem – użyj oficjalnej infolinii lub innego kanału wskazanego przez bank.
2. Zablokuj zagrożony instrument lub dostęp – zastrzeż kartę, zablokuj bankowość mobilną albo wykonaj inne działania wskazane przez bank.
3. Zmień zagrożone dane uwierzytelniające – użyj bezpiecznego urządzenia, szczególnie wtedy, gdy dane mogły zostać ujawnione.
4. Zabezpiecz pocztę elektroniczną – zmień hasło, wyloguj nieznane sesje i sprawdź reguły przekazywania wiadomości oraz metody odzyskiwania konta.
5. Skontaktuj się z operatorem – w przypadku utraty telefonu lub podejrzenia przejęcia numeru.
6. Skorzystaj z funkcji ochrony urządzenia – jeżeli telefon został utracony i wcześniej skonfigurowano odpowiednie funkcje systemowe, rozważ jego zdalne zablokowanie lub usunięcie danych.
7. Zabezpiecz dowody – zachowaj SMS-y, e-maile, historię połączeń, adresy domen, numery rachunków, zrzuty ekranu i informacje o czasie zdarzenia.
8. Zgłoś phishing lub incydent cyberbezpieczeństwa – podejrzany SMS przekaż na 8080, a fałszywą stronę, wiadomość lub inny incydent zgłoś przez oficjalny formularz CERT Polska.
9. Zawiadom Policję – jeżeli doszło do kradzieży, wyłudzenia albo próby popełnienia przestępstwa.

Jakie zasady dotyczą zwrotu nieautoryzowanej transakcji?

Jeżeli transakcja była nieautoryzowana w rozumieniu ustawy o usługach płatniczych, przepisy określają zasady odpowiedzialności dostawcy i płatnika oraz termin zwrotu kwoty transakcji.

Zgodnie z art. 44 ustawy użytkownik powinien niezwłocznie powiadomić dostawcę o stwierdzonej nieautoryzowanej, niewykonanej lub nienależycie wykonanej transakcji płatniczej.

Co do zasady, jeżeli użytkownik nie dokona takiego powiadomienia w ciągu 13 miesięcy od dnia obciążenia rachunku płatniczego albo od dnia, w którym transakcja miała być wykonana, jego roszczenia wobec dostawcy wygasają. Ustawa przewiduje jednak wyjątek – tego ograniczenia nie stosuje się, gdy dostawca nie udostępnił informacji o transakcji zgodnie z wymaganiami ustawy.

Limit równowartości 50 EUR nie działa automatycznie przy każdej nieautoryzowanej transakcji. Ustawa przewiduje przypadki, w których płatnik tej odpowiedzialności nie ponosi, a także odrębne zasady odpowiedzialności, jeżeli doprowadził do nieautoryzowanej transakcji umyślnie albo wskutek rażącego niedbalstwa naruszył określone ustawowe obowiązki.

Czy bank może odmówić zwrotu pieniędzy?

Samo zarejestrowanie przez system banku prawidłowego użycia instrumentu płatniczego nie rozstrzyga jeszcze, że użytkownik autoryzował transakcję.

Zgodnie z art. 45 ustawy dostawca powinien wykazać, że transakcja została autoryzowana, prawidłowo zarejestrowana i nie miała na nią wpływu awaria techniczna ani innego rodzaju usterka związana z usługą. Sam fakt zarejestrowanego użycia instrumentu nie jest wystarczający do udowodnienia autoryzacji ani tego, że płatnik umyślnie lub wskutek rażącego niedbalstwa doprowadził do nieautoryzowanej transakcji albo naruszył określone obowiązki. Ciężar udowodnienia tych okoliczności spoczywa na dostawcy.

Obowiązek zwrotu i późniejszy spór o odpowiedzialność płatnika to odrębne kwestie. Według wyjaśnień Rzecznika Finansowego i UOKiK wyjątek od zwrotu D+1 dotyczy uzasadnionego, należycie udokumentowanego podejrzenia oszustwa po stronie płatnika oraz pisemnego zawiadomienia organów ścigania. Samo to, że klient padł ofiarą oszusta, nie uruchamia tego wyjątku. Zarzut rażącego niedbalstwa wymaga osobnego wykazania i oceny. Wyjaśnienia RF i UOKiK.

Szczególnie ostrożnie należy oceniać oszustwa socjotechniczne. Jeżeli klient sam wykonał określone czynności pod wpływem manipulacji, nie oznacza to automatycznie ani że każda taka operacja była autoryzowana, ani że zawsze była nieautoryzowana. Znaczenie ma zakres udzielonej zgody i przebieg konkretnej transakcji.

Jak utrzymać zabezpieczenia konta na stałe?

Zabezpieczenia wymagają okresowego przeglądu, ponieważ zmieniają się urządzenia, aplikacje, odbiorcy przelewów i potrzeby finansowe.

Regularnie, np. raz w miesiącu, a także po istotnej zmianie sprawdź aktualizacje telefonu, limity, listę odbiorców, powiadomienia, urządzenia powiązane z bankowością oraz historię ostatnich logowań, jeśli bank udostępnia takie informacje.

Nie wyłączaj wszystkich alertów tylko dlatego, że pojawia się ich dużo. Jeżeli bank pozwala je konfigurować, skoncentruj się na zdarzeniach istotnych dla bezpieczeństwa: logowaniach, przelewach, nowych odbiorcach, płatnościach kartą oraz zmianach ustawień.

Co zrobić w zależności od rodzaju incydentu?

Kolejność działań zależy od tego, co dokładnie się wydarzyło. Najważniejsze jest szybkie ograniczenie dalszego dostępu do pieniędzy lub danych i korzystanie wyłącznie ze zweryfikowanych kanałów kontaktu.

Czym różnią się uwierzytelnienie i autoryzacja transakcji?

Uwierzytelnienie i autoryzacja nie oznaczają tego samego. Rozróżnienie ma szczególne znaczenie przy sporze o nieautoryzowaną transakcję.

Słowniczek pojęć

FAQ – najczęściej zadawane pytania