Ilustracja poglądowa. Ekrany logowania i kod 2FA są przykładowe; nie przedstawiają autentycznej aplikacji bankowej.
- Unikalne i długie hasło ogranicza ryzyko przejęcia logowania po wycieku danych z innego serwisu. Nie używaj tego samego hasła do banku, poczty i innych usług.
- 2FA oznacza uwierzytelnianie z wykorzystaniem dwóch składników, MFA – co najmniej dwóch, a SCA jest regulacyjnym standardem silnego uwierzytelniania stosowanym w usługach płatniczych.
- Jeżeli bank oferuje autoryzację w aplikacji z widoczną kwotą i odbiorcą, przed zatwierdzeniem operacji zawsze porównaj te dane z transakcją, którą samodzielnie zlecasz.
- Kod SMS jako dodatkowy składnik zwiększa bezpieczeństwo względem samego hasła, ale kanał SMS jest podatny m.in. na socjotechnikę, phishing oraz przejęcie numeru telefonu w ataku SIM swap.
- Przy podejrzeniu nieautoryzowanej transakcji natychmiast skontaktuj się z bankiem. Co do zasady zwrot następuje niezwłocznie, nie później niż do końca następnego dnia roboczego, z wyjątkami przewidzianymi w ustawie o usługach płatniczych.
- Podejrzane SMS-y możesz bezpłatnie przekazywać do CERT Polska na numer 8080. Z jednego numeru można przesłać maksymalnie 3 wiadomości w ciągu 4 godzin.
Silne hasło i prawidłowo skonfigurowane uwierzytelnianie wieloskładnikowe ograniczają ryzyko przejęcia bankowości, ale nie zastępują kontroli użytkownika nad zatwierdzaną operacją.
Przestępcy wykorzystują nie tylko wycieki i słabe hasła, lecz także phishing, fałszywe telefony z banku, zdalny dostęp do urządzenia oraz presję skłaniającą do samodzielnego zatwierdzenia przelewu. Dlatego ochrona rachunku powinna obejmować jednocześnie hasło, metodę uwierzytelniania, zabezpieczenie telefonu, limity transakcji i przygotowaną wcześniej procedurę awaryjną.
Jakie metody dodatkowego uwierzytelniania może oferować bank?
| Metoda | Kiedy występuje | Zalety | Ograniczenia | Główne ryzyko |
|---|---|---|---|---|
| Autoryzacja push w aplikacji banku | Gdy bank udostępnia autoryzację mobilną i pokazuje szczegóły operacji przed akceptacją | Szybkie potwierdzanie, możliwość sprawdzenia kwoty i odbiorcy, brak przepisywania kodu z SMS-u | Wymaga odpowiednio zabezpieczonego telefonu oraz kontroli komunikatu przed akceptacją | Zatwierdzenie operacji bez przeczytania jej danych lub przejęcie urządzenia |
| Kod SMS | Gdy bank wykorzystuje SMS jako jeden z elementów uwierzytelniania lub autoryzacji | Prosta obsługa, działa także bez smartfona | Bezpieczeństwo zależy m.in. od ochrony numeru telefonu i ostrożności użytkownika | SIM swap, phishing, fałszywy SMS lub przekazanie kodu oszustowi |
| Token programowy lub kod jednorazowy | Gdy bank udostępnia token lub inną metodę generowania jednorazowych kodów | Nie wymaga odbierania kodu przez SMS i może być powiązany z konkretnym urządzeniem | Wymaga znajomości procedury odzyskania dostępu po utracie urządzenia | Utrata urządzenia bez przygotowanej alternatywnej ścieżki dostępu |
| FIDO2/WebAuthn – jeżeli bank obsługuje | Jeżeli bank lub używany system rzeczywiście obsługuje tę technologię | Wysoka odporność na klasyczny phishing dzięki kryptografii klucza publicznego | Metoda nie jest powszechnie dostępna w bankowości detalicznej i wymaga procedury awaryjnej | Utrata klucza lub urządzenia bez skonfigurowanej alternatywnej metody odzyskania dostępu |
Jeżeli bank oferuje autoryzację w aplikacji z czytelnym podglądem kwoty i odbiorcy, taka metoda ułatwia kontrolę zatwierdzanej operacji. Niezależnie od zastosowanej technologii nie akceptuj komunikatu, którego sam nie wywołałeś.
Dlaczego silne hasło i SCA zmniejszają ryzyko przejęcia konta?
Takie zabezpieczenia pomagają przede wszystkim w przypadku wycieków haseł, prób ich odgadywania oraz automatycznego sprawdzania danych logowania pochodzących z wcześniejszych wycieków. Ograniczają również skuteczność części ataków phishingowych.
Nie chronią jednak automatycznie przed sytuacją, w której użytkownik sam poda dane na fałszywej stronie, umożliwi zdalny dostęp do urządzenia albo zatwierdzi operację przygotowaną przez oszusta.
Dlatego dodatkowy składnik uwierzytelniania nie zwalnia z kontroli treści komunikatu. Jeżeli aplikacja pokazuje kwotę, odbiorcę lub rodzaj operacji, dane te trzeba przeczytać przed zatwierdzeniem.
Jakie błędy w hasłach osłabiają ochronę bankowości?
Po wycieku danych z jednego serwisu przestępcy mogą automatycznie sprawdzać te same dane logowania w innych usługach. Ryzyko zwiększają także przewidywalne modyfikacje, np. dopisanie roku, pojedynczego znaku specjalnego albo zastępowanie liter cyframi według popularnych schematów.
Hasło nie powinno opierać się na imieniu dziecka, dacie urodzenia, nazwie firmy, numerze telefonu, mieście zamieszkania ani innych informacjach, które da się znaleźć w publicznych źródłach lub mediach społecznościowych.
Nie przechowuj haseł w niezabezpieczonym pliku tekstowym, wiadomości e-mail ani notatce dostępnej bez dodatkowej ochrony. Menedżer haseł pomaga utrzymać unikalne dane logowania, ale jego sejf również powinien być zabezpieczony silnym hasłem głównym i MFA.
Jak zbudować silne hasło lub frazę-hasło do bankowości?
Stosuj zasadę: jedna usługa – jedno unikalne hasło. Jeżeli bank pozwala na długie hasła, wygodnym rozwiązaniem może być fraza utworzona z niezwiązanych ze sobą słów. Nie buduj jej z informacji dotyczących Ciebie lub Twojej rodziny.
Matematyczny przykład pokazuje znaczenie długości. Przy założeniu, że każdy znak jest wybierany niezależnie i losowo z alfabetu zawierającego 62 znaki, hasło 8-znakowe ma 628 możliwych kombinacji, a 12-znakowe 6212. Stosunek wynosi 624 = 14 776 336.
Nie oznacza to, że każde 12-znakowe hasło utworzone przez człowieka ma taką samą odporność. Popularne słowa, wzorce klawiaturowe i przewidywalne modyfikacje znacząco zmniejszają rzeczywistą przestrzeń poszukiwań. Przykład nie określa też czasu potrzebnego do złamania hasła, ponieważ zależy on m.in. od sposobu przechowywania danych, limitów prób logowania i mechanizmów wykrywania nadużyć.
Jak działają 2FA, MFA i SCA oraz czym różnią się SMS, push i FIDO2?
Polska ustawa o usługach płatniczych posługuje się określeniem silne uwierzytelnianie użytkownika. W regulacjach unijnych funkcjonuje określenie SCA, czyli strong customer authentication. Mechanizm wykorzystuje co najmniej dwa niezależne elementy z trzech kategorii: wiedza – coś, co wie wyłącznie użytkownik; posiadanie – coś, co posiada wyłącznie użytkownik; oraz cechy charakterystyczne użytkownika. Naruszenie jednego elementu nie powinno osłabiać wiarygodności pozostałych.
SMS dostarcza kod na przypisany numer telefonu. Aplikacja bankowa może wyświetlać dane operacji przed jej zatwierdzeniem. Token programowy generuje kod lub potwierdzenie związane z urządzeniem, natomiast FIDO2/WebAuthn wykorzystuje kryptografię klucza publicznego i ogranicza skuteczność klasycznego phishingu opartego na przejęciu hasła, jeżeli dana usługa obsługuje tę technologię.
| Metoda | Co potwierdzasz | Na co uważać |
|---|---|---|
| Kod SMS | Kod przesłany na przypisany numer telefonu | SIM swap, phishing, przekazanie kodu rozmówcy lub wpisanie go na fałszywej stronie |
| Push w aplikacji | Operację przedstawioną w aplikacji bankowej | Akceptacja bez sprawdzenia kwoty, odbiorcy i rodzaju operacji |
| Token lub OTP | Jednorazowy kod lub operację powiązaną z tokenem | Brak procedury odzyskania dostępu po utracie telefonu lub tokena |
| FIDO2/WebAuthn | Uwierzytelnienie kryptograficzne powiązane z właściwą usługą | Brak obsługi przez bank albo utrata klucza lub urządzenia bez alternatywnej ścieżki dostępu |
Jak zatwierdzać operacje i nie zaakceptować transakcji przygotowanej przez oszusta?
Włącz dostępne powiadomienia o logowaniu, transakcjach, zmianach limitów i ustawień bezpieczeństwa. Jeżeli komunikat autoryzacyjny pojawia się bez Twojej inicjacji, odrzuć go. Następnie samodzielnie otwórz aplikację bankową lub skontaktuj się z bankiem oficjalnym kanałem.
Jeżeli ktoś dzwoni i przedstawia się jako pracownik banku, nie zatwierdzaj podczas rozmowy operacji, której sam nie rozpocząłeś. Zakończ połączenie i samodzielnie wybierz numer infolinii znajdujący się na oficjalnej stronie banku, w jego aplikacji albo na karcie płatniczej.
Nie wykonuj przelewu na rzekome „konto techniczne” lub „bezpieczne konto” wskazane przez rozmówcę. Pracownik banku podczas rozmowy telefonicznej nie powinien prosić Cię o login i pełne hasło do bankowości, kod BLIK ani instalację programu umożliwiającego zdalny dostęp do telefonu lub komputera.
Jak zabezpieczyć telefon z aplikacją bankową?
Ustaw silny kod blokady ekranu i korzystaj z dodatkowego PIN-u lub innej metody wymaganej przez aplikację bankową. Biometria może być jednym z elementów uwierzytelniania, ale bezpieczeństwo zależy również od ochrony samego urządzenia i sposobu powiązania aplikacji z telefonem.
Instaluj aplikacje wyłącznie z oficjalnych sklepów, regularnie aktualizuj system i programy, ustaw krótki czas automatycznej blokady ekranu oraz ogranicz uprawnienia aplikacji, które ich nie potrzebują. Urządzenia z rootem lub jailbreakiem mogą omijać część mechanizmów bezpieczeństwa systemu.
Kod PIN karty SIM chroni fizyczną kartę znajdującą się w urządzeniu, ale sam nie zabezpiecza przed SIM swapem przeprowadzonym u operatora. Warto sprawdzić, jakie procedury ochrony przed wydaniem duplikatu karty SIM lub zmianą danych abonenta oferuje Twój operator.
Regularnie przeglądaj także listę urządzeń zaufanych i aktywnych sesji w bankowości, jeżeli bank udostępnia taką funkcję. Usuń stare lub nierozpoznane urządzenia.
Jak odzyskać dostęp do banku po utracie telefonu?
Sprawdź wcześniej, jak Twój bank przywraca dostęp po kradzieży, awarii lub zmianie telefonu. Procedura może obejmować infolinię, oddział, ponowną aktywację aplikacji, dodatkową weryfikację tożsamości albo inne rozwiązanie określone przez bank.
Dbaj o aktualność numeru telefonu i adresu e-mail zapisanych w banku. Po zmianie numeru nie odkładaj aktualizacji danych, ponieważ są one wykorzystywane przy powiadomieniach i części procedur bezpieczeństwa.
Jeżeli bank udostępnia kody odzyskiwania lub inne dane awaryjne, przechowuj je zgodnie z jego instrukcją w bezpiecznym miejscu. Nie zapisuj jedynej kopii w niezabezpieczonej notatce na tym samym telefonie.
W rodzinie lub firmie można ustalić, gdzie znajduje się instrukcja postępowania na wypadek utraty urządzenia. Nie oznacza to współdzielenia haseł ani kodów autoryzacyjnych.
Co zrobić przy podejrzeniu przejęcia konta mimo 2FA?
Wyrok TSUE z 15 października 2026 r., C-70/25: zarzut rażącego niedbalstwa płatnika nie pozwala bankowi wstrzymać niezwłocznego zwrotu nieautoryzowanej transakcji. Późniejsze dochodzenie przez bank odpowiedzialności klienta wymaga wykazania odpowiednich przesłanek. Pełna treść wyroku TSUE.
- Skontaktuj się z bankiem – użyj oficjalnej infolinii lub dostępnej funkcji blokady i zgłoś podejrzenie przejęcia rachunku.
- Zabezpiecz dane logowania – zmień hasło do bankowości oraz do powiązanej skrzynki e-mail, korzystając z bezpiecznego urządzenia.
- Sprawdź urządzenia i operacje – przejrzyj historię logowań, urządzenia zaufane, odbiorców, limity i ostatnie transakcje.
- Zabezpiecz dowody – zachowaj wiadomości, numery telefonów, chronologię zdarzeń, numery zgłoszeń i potrzebne zrzuty ekranu.
Podejrzane SMS-y przekazuj na numer 8080. CERT Polska zaleca przekazanie całej wiadomości funkcją „Przekaż” lub jej odpowiednikiem, bez otwierania podejrzanego linku. Z jednego numeru można wysłać maksymalnie 3 zgłoszenia SMS w ciągu 4 godzin. Podejrzane strony, domeny i inne incydenty można zgłaszać również przez formularz CERT Polska.
Jeżeli użytkownik nie zgłosi nieautoryzowanej transakcji w ciągu 13 miesięcy od obciążenia rachunku albo od dnia, w którym transakcja miała zostać wykonana, jego roszczenia co do zasady wygasają. Wyjątek dotyczy m.in. sytuacji, gdy dostawca nie przekazał wymaganych informacji o transakcji. W praktyce incydent należy zgłosić natychmiast po jego wykryciu.
W reklamacji podaj chronologię wydarzeń: kiedy zauważyłeś problem, jakie wiadomości lub połączenia otrzymałeś, których operacji nie rozpoznajesz, kiedy zablokowałeś dostęp i kiedy skontaktowałeś się z bankiem. Zachowaj numer reklamacji i inne potwierdzenia zgłoszeń.
Jak wdrożyć standard bezpieczeństwa dla rodziny lub firmy?
W rodzinie warto ustalić, że telefon od osoby podającej się za pracownika banku nie jest podstawą do natychmiastowego przelewu, przekazania kodu BLIK ani instalacji aplikacji. Każdy podejrzany kontakt dotyczący pieniędzy należy zakończyć i zweryfikować niezależnie oficjalnym kanałem.
W firmie stosuj osobne konta użytkowników, uprawnienia odpowiadające obowiązkom, rozsądne limity transakcji i procedurę niezależnego potwierdzania istotnych zmian, np. nowego rachunku kontrahenta. Nie współdziel jednego zestawu danych logowania pomiędzy pracownikami.
Procedura bezpieczeństwa powinna być prosta do wykonania również pod presją. Jeżeli sytuacja dotyczy rachunku, telefonu lub przelewu, przerwij podejrzany kontakt i samodzielnie otwórz oficjalną aplikację lub stronę banku albo zadzwoń na jego infolinię.
Przed czym chroni 2FA, a czego nie rozwiązuje?
Dodatkowe uwierzytelnianie utrudnia wykorzystanie samego hasła, ale jego skuteczność zależy również od rodzaju ataku i zachowania użytkownika. Dlatego 2FA nie należy traktować jako zabezpieczenia, które samodzielnie eliminuje phishing, socjotechnikę lub przejęcie urządzenia.
| Zagrożenie | Czy dodatkowe uwierzytelnianie pomaga? | Co nadal trzeba zrobić |
|---|---|---|
| Wyciek lub przejęcie hasła | Tak – dodatkowy składnik utrudnia zalogowanie się przy użyciu samego hasła | Używać unikalnego hasła i zmienić je po podejrzeniu kompromitacji |
| Phishing | Częściowo – zależy od metody uwierzytelniania i przebiegu ataku | Nie podawać danych na stronie otwartej z podejrzanego linku i dokładnie czytać komunikaty autoryzacyjne |
| Fałszywy telefon z banku | Częściowo – oszust może próbować nakłonić użytkownika do samodzielnej autoryzacji | Przerwać rozmowę i samodzielnie skontaktować się z bankiem oficjalnym kanałem |
| SIM swap | Zależy od metody – szczególnie istotne jest ryzyko przy uwierzytelnianiu opartym na SMS-ach | Szybko skontaktować się z operatorem i bankiem oraz sprawdzić zmiany na koncie abonenta |
| Zdalny dostęp do telefonu lub komputera | Ochrona może zostać istotnie osłabiona, jeżeli oszust kontroluje urządzenie lub manipuluje użytkownikiem | Przerwać zdalne połączenie, odłączyć urządzenie od sieci i skontaktować się z bankiem z bezpiecznego urządzenia |
Sygnały ostrzegawcze – jak zareagować?
| Sygnał ostrzegawczy | Możliwe ryzyko | Co zrobić |
|---|---|---|
| Push z banku pojawia się bez Twojej inicjacji | Próba logowania, aktywacji urządzenia lub zatwierdzenia operacji | Odrzuć komunikat, nie zatwierdzaj go „testowo” i skontaktuj się z bankiem oficjalnym kanałem |
| Rozmówca z „banku” żąda kodu, BLIK-a lub instalacji programu | Oszustwo telefoniczne, przejęcie danych lub zdalnego dostępu do urządzenia | Zakończ połączenie i samodzielnie zadzwoń na oficjalny numer banku |
| SMS zawiera link do dopłaty, odblokowania konta lub weryfikacji | Phishing i próba wyłudzenia danych | Nie klikaj linku, przekaż wiadomość na 8080 i sprawdź sprawę bezpośrednio w aplikacji lub serwisie banku |
| Prośba o przelew na „bezpieczne konto” | Oszustwo telefoniczne lub podszywanie się pod pracownika banku albo służby | Nie wykonuj przelewu i niezależnie skontaktuj się z bankiem |
| Nieznane urządzenie lub logowanie w historii bankowości | Możliwe przejęcie danych logowania lub sesji | Usuń urządzenie, zmień dane dostępowe z bezpiecznego urządzenia i zgłoś sprawę bankowi |
| Telefon nagle traci sieć, SMS-y i połączenia bez wyraźnej przyczyny | Awaria operatora, problem z kartą SIM albo potencjalny SIM swap | Skontaktuj się z operatorem innym kanałem i sprawdź, czy nie wydano nowej karty SIM, eSIM lub nie wprowadzono zmian na koncie abonenta |
Checklista bezpieczeństwa bankowości – co zrobić krok po kroku?
- Ustaw unikalne hasło do banku – nie używaj go w poczcie ani innych usługach.
- Zabezpiecz pocztę – ustaw dla niej osobne hasło i MFA.
- Skonfiguruj metodę uwierzytelniania oferowaną przez bank – przy każdej operacji czytaj cały komunikat przed zatwierdzeniem.
- Włącz powiadomienia i dopasuj limity – ogranicz maksymalne kwoty do poziomu potrzebnego na co dzień.
- Zabezpiecz telefon – blokada ekranu, aktualizacje, oficjalne źródła aplikacji i kontrola uprawnień.
- Sprawdź urządzenia zaufane – usuń stare i nierozpoznane urządzenia oraz sesje.
- Przygotuj procedurę awaryjną – zapisz poza telefonem oficjalny numer banku i sposób odzyskania dostępu.
- Nie działaj pod presją rozmówcy – przerwij podejrzany kontakt i samodzielnie połącz się z bankiem.
- Zapisz numer 8080 – służy do przekazywania podejrzanych SMS-ów do CERT Polska.
Słowniczek pojęć
FAQ – najczęściej zadawane pytania
Czy kod SMS jako dodatkowe zabezpieczenie bankowości jest bezpieczny?
Kod SMS zwiększa ochronę względem samego hasła, ale kanał SMS jest podatny m.in. na SIM swap i socjotechnikę. Jeżeli bank udostępnia autoryzację w aplikacji z czytelnym podglądem operacji, pozwala ona bezpośrednio sprawdzić zatwierdzaną kwotę i odbiorcę.
Co zrobić, gdy otrzymam powiadomienie z banku, którego nie wywołałem?
Nie zatwierdzaj go. Odrzuć komunikat, sprawdź bankowość samodzielnie i w razie podejrzenia próby przejęcia konta skontaktuj się z bankiem oficjalnym kanałem.
Czy menedżer haseł nadaje się do przechowywania hasła do banku?
Menedżer haseł może pomóc utrzymać unikalne i trudne do odgadnięcia hasła. Sam sejf powinien być odpowiednio zabezpieczony, a użytkownik powinien uwzględnić zasady bezpieczeństwa określone przez swój bank.
Gdzie zgłosić SMS podszywający się pod bank?
Podejrzany SMS można bezpłatnie przekazać do CERT Polska na numer 8080. Nie klikaj zawartego w nim linku. Jeśli podałeś dane lub zatwierdziłeś nieznaną operację, natychmiast skontaktuj się również z bankiem.
Czy 2FA lub SCA całkowicie chroni przed phishingiem?
Nie. Dodatkowe uwierzytelnianie ogranicza część ryzyka, ale oszust może próbować skłonić użytkownika do samodzielnego przekazania danych lub zatwierdzenia przygotowanej przez niego operacji.
Kiedy bank powinien zwrócić pieniądze za nieautoryzowaną transakcję?
Co do zasady zwrot powinien nastąpić niezwłocznie, nie później niż do końca dnia roboczego następującego po dniu stwierdzenia nieautoryzowanej transakcji przez dostawcę albo otrzymania stosownego zgłoszenia. Ustawa przewiduje określone wyjątki.
Ile czasu mam na zgłoszenie nieautoryzowanej transakcji?
Jeżeli użytkownik nie zgłosi nieautoryzowanej transakcji w ciągu 13 miesięcy od obciążenia rachunku albo od dnia, w którym transakcja miała zostać wykonana, jego roszczenia co do zasady wygasają. Incydent należy zgłosić niezwłocznie po jego zauważeniu.
Źródła i podstawa prawna
- Gov.pl, „Jak tworzyć bezpieczne hasła”
- Gov.pl, „Dostałeś niepokojący SMS albo e-mail? Zgłoś go do CERT Polska (CSIRT NASK)”
- CERT Polska, formularz zgłaszania incydentów
- OSE/NASK, „ABC cyberbezpieczeństwa 2.0 – bankowość online”
- EUR-Lex, Rozporządzenie delegowane Komisji (UE) 2018/389 dotyczące SCA i bezpiecznej komunikacji
- ELI, ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych – tekst jednolity, Dz.U. 2026 poz. 623
- UOKiK, materiały dotyczące nieautoryzowanych transakcji płatniczych
- Rzecznik Finansowy, „Transakcje nieautoryzowane”
Metodologia przykładu dotyczącego długości hasła: wyliczenie 62n pokazuje liczbę możliwych kombinacji przy założeniu losowego i niezależnego wyboru każdego znaku z alfabetu 62 znaków. Nie określa rzeczywistego czasu potrzebnego do złamania konkretnego hasła.
Co zrobić po przeczytaniu tego artykułu?
- Sprawdź, czy hasło do banku jest unikalne i nie występuje w żadnej innej usłudze.
- Przejrzyj metody uwierzytelniania, urządzenia zaufane, alerty i limity transakcji.
- Zapisz poza telefonem oficjalny numer banku i numer 8080 do zgłaszania podejrzanych SMS-ów.
Aktualizacja źródłowa: 29 sierpnia 2026 r. Kontrola i korekta 23 października 2026 r.: przepisy o płatnościach, pełny wyrok TSUE C-70/25, procedury bezpieczeństwa i ilustracja.
Autor: Jacek Grudniewski
Ekspert ds. produktów finansowych
Kontakt za pośrednictwem LinkedIn:
https://www.linkedin.com/in/jacekgrudniewski/
Treści przedstawione w artykule mają wyłącznie charakter informacyjny i edukacyjny. Nie stanowią porady prawnej, podatkowej ani finansowej w rozumieniu przepisów prawa. Przed podjęciem decyzji mającej wpływ na Twoje finanse, skonsultuj się z właściwym specjalistą.