Fałszywe aplikacje bankowe i płatnicze – jak je wykryć oraz co zrobić, jeśli zainstalowałeś podejrzaną apkę?

1. Wpisz adres banku samodzielnie albo skorzystaj z zapisanej wcześniej zakładki.
2. Odszukaj oficjalną sekcję aplikacji mobilnej i sprawdź, gdzie bank kieruje użytkowników.
3. Porównaj nazwę wydawcy z informacją podaną przez bank. Nazwa aplikacji i logo nie wystarczą.
4. Sprawdź uprawnienia i oceń, czy odpowiadają funkcjom aplikacji.
5. Nie omijaj ostrzeżeń systemu operacyjnego ani mechanizmów bezpieczeństwa sklepu.
6. Po instalacji korzystaj ze standardowego procesu aktywacji banku. Nie podawaj kodów BLIK, kodów SMS ani danych karty w odpowiedzi na instrukcje otrzymane od osoby dzwoniącej do Ciebie.

• Android – nazwy pozycji zależą od producenta i wersji systemu. Sprawdź ustawienia aplikacji, dostęp specjalny, ułatwienia dostępu, wyświetlanie nad innymi aplikacjami, administratorów urządzenia, SMS-y oraz dostęp do powiadomień.
• iPhone/iPad – sprawdź uprawnienia danej aplikacji oraz Ustawienia > Ogólne > VPN i zarządzanie urządzeniem, jeżeli ta pozycja jest dostępna.

1. Odłącz telefon od sieci – włącz tryb samolotowy, wyłącz Wi-Fi i transmisję danych. Jeżeli sytuacja tego wymaga, wyłącz urządzenie.
2. Nie loguj się ponownie do banku z tego telefonu i nie wpisuj na nim nowych haseł.
3. Skontaktuj się z bankiem z innego, zaufanego urządzenia, korzystając z numeru podanego na oficjalnej stronie banku, w bankowości internetowej albo na karcie.
4. Zabezpiecz rachunek – poproś bank o działania adekwatne do sytuacji, np. blokadę bankowości mobilnej, kart, BLIK-a, zmianę limitów lub unieważnienie aktywnych sesji i urządzeń.
5. Zabezpiecz dostępne dowody – zapisz nazwę aplikacji, wydawcę, źródło instalacji, treść SMS-u lub e-maila, adres strony, godziny zdarzeń, historię transakcji oraz widoczne uprawnienia. Nie otwieraj ponownie podejrzanej aplikacji tylko w celu wykonania zrzutu ekranu.
6. Odbierz podejrzanej aplikacji ryzykowne uprawnienia, jeżeli możesz zrobić to bez ponownego uruchamiania aplikacji.
7. Odinstaluj aplikację. Jeżeli blokuje usunięcie lub nadal nie masz pewności co do stanu telefonu, nie korzystaj na nim z bankowości do czasu oczyszczenia urządzenia.

• Nie loguj się ponownie do banku na podejrzanym urządzeniu.
• Nie instaluj kolejnej aplikacji wskazanej przez rzekomego konsultanta.
• Nie zatwierdzaj kodów BLIK, kodów SMS ani powiadomień push, których celu nie rozumiesz.
• Nie dzwoń pod numer podany przez oszusta w wiadomości lub podczas rozmowy.
• Nie usuwaj dostępnych dowodów przed zapisaniem najważniejszych informacji.

• Zwrot do końca następnego dnia roboczego – bank co do zasady powinien zwrócić kwotę nieautoryzowanej transakcji najpóźniej do końca następnego dnia roboczego po jej stwierdzeniu albo po otrzymaniu zgłoszenia.
• Wyjątek dotyczący podejrzenia oszustwa – ustawa przewiduje wyjątek, gdy dostawca ma uzasadnione i należycie udokumentowane podstawy, aby podejrzewać oszustwo ze strony płatnika, i poinformuje o tym w formie pisemnej organy powołane do ścigania przestępstw.
• 13 miesięcy – nieautoryzowaną transakcję trzeba zgłosić bez zbędnej zwłoki po jej stwierdzeniu, nie później niż w terminie przewidzianym w art. 44 ustawy o usługach płatniczych, co do zasady 13 miesięcy od dnia obciążenia rachunku albo od dnia, w którym transakcja miała zostać wykonana.
• Uwierzytelnienie nie jest tym samym co autoryzacja – samo zarejestrowanie użycia instrumentu płatniczego nie wystarcza do wykazania, że użytkownik autoryzował transakcję albo dopuścił się oszustwa, umyślnie lub wskutek rażącego niedbalstwa naruszył swoje obowiązki.
• Równowartość 50 euro – zgodnie z art. 46 ust. 2 ustawy płatnik może odpowiadać za nieautoryzowane transakcje do równowartości 50 euro, jeżeli transakcja była skutkiem posłużenia się utraconym lub skradzionym instrumentem płatniczym albo jego przywłaszczenia. Ustawa przewiduje wyjątki od tej odpowiedzialności oraz odrębne zasady pełnej odpowiedzialności w przypadku działania umyślnego lub rażącego niedbalstwa.

Zweryfikuj, czy obciążenie nie wynika ze zlecenia stałego, polecenia zapłaty, subskrypcji, płatności cyklicznej lub innej wcześniej udzielonej zgody. Jeżeli nie rozpoznajesz transakcji i nie wyraziłeś na nią zgody, zgłoś ją bankowi jako nieautoryzowaną.

Zgłaszam nieautoryzowaną transakcję z dnia [data] na kwotę [kwota], dotyczącą [odbiorca / numer rachunku / identyfikator transakcji]. Nie zleciłem tej transakcji i nie wyraziłem na nią zgody. Wnoszę o niezwłoczny zwrot środków zgodnie z przepisami ustawy o usługach płatniczych, w szczególności art. 46. Proszę o potwierdzenie przyjęcia zgłoszenia, nadanie numeru reklamacji oraz wskazanie dalszego trybu postępowania. W przypadku odmowy zwrotu proszę o przedstawienie jej podstawy faktycznej i prawnej.

Przeczytaj uzasadnienie decyzji i sprawdź, na jakich okolicznościach oraz dowodach bank oparł odmowę. Jeżeli nie zgadzasz się ze stanowiskiem banku, skorzystaj z pełnego trybu reklamacyjnego. Po jego wyczerpaniu możesz zwrócić się do Rzecznika Finansowego o pomoc w sporze z podmiotem rynku finansowego lub dochodzić swoich roszczeń na drodze sądowej.

Checklista po wykryciu podejrzanej aplikacji

1. Odłącz podejrzany telefon od internetu.
2. Nie loguj się z niego do banku i nie wpisuj nowych haseł.
3. Z innego urządzenia skontaktuj się z bankiem oficjalnym kanałem.
4. Zabezpiecz rachunek, karty, BLIK i aktywne sesje odpowiednio do sytuacji.
5. Zabezpiecz dostępne dowody przed odinstalowaniem aplikacji.
6. Odbierz podejrzanej aplikacji niebezpieczne uprawnienia i usuń ją.
7. Nieautoryzowane transakcje zgłoś bankowi wprost jako nieautoryzowane.
8. Podejrzany SMS przekaż na 8080, a incydent zgłoś przez incydent.cert.pl lub mObywatela.
9. Przy stracie finansowej lub podejrzeniu przestępstwa zgłoś sprawę Policji.
10. Jeżeli nie masz pewności, że telefon jest czysty, rozważ reset do ustawień fabrycznych po zabezpieczeniu dowodów.