Bezpieczna bankowość internetowa – co sprawdzić i czego bank nigdy nie żąda

W 2025 r. CSIRT KNF — zespół reagowania na incydenty w polskim sektorze finansowym, działający w Urzędzie KNF — zgłosił do zablokowania 41 751 niebezpiecznych domen. Fałszywych paneli logowania do bankowości było wśród nich 256, czyli 0,61%. To nie pomyłka: podszycie pod bank jest dziś marginesem, bo skuteczniej opłaca się przekonać cię, żebyś sam wpisał kod.

Co naprawdę atakuje twoje konto

Dominującą kategorią były fałszywe inwestycje — 40 225 domen, ponad 96% zgłoszeń. Do tego 404 domeny fałszywych sklepów, 9751 zablokowanych reklam i 4358 profili reklamodawców. Przestępca rzadko atakuje bank; znacznie częściej atakuje uwagę klienta.

Krajobraz zagrożeń sektora finansowego na 2026 r. na pierwszym miejscu stawia cyber-enabled fraud — socjotechnikę wspieraną przez sztuczną inteligencję. Typowy scenariusz jest wielokanałowy: najpierw SMS o konieczności kontaktu z bankiem, potem telefon od rzekomego pracownika, wreszcie e-mail z linkiem do fałszywego panelu; każdy kanał uwiarygodnia poprzedni. Dochodzą deepfake’i głosu i wizerunku oraz presja czasu. Konsekwencja jest niewygodna: zabezpieczenia techniczne banku są w takim scenariuszu sprawne. Zawodzi decyzja użytkownika — i dlatego lista rzeczy do sprawdzenia zaczyna się nie od programu ochronnego, tylko od zrozumienia, jak wygląda prawidłowa autoryzacja.

Silne uwierzytelnianie: dwa z trzech, ale nie zawsze

Ustawa definiuje silne uwierzytelnianie w art. 2 pkt 26aa jako oparte na co najmniej dwóch elementach z kategorii: wiedza, posiadanie i cechy charakterystyczne użytkownika. Elementy muszą być niezależne — naruszenie jednego nie może osłabiać pozostałych. Art. 32i ust. 1 wskazuje, kiedy dostawca ma je zastosować: przy dostępie do rachunku online, inicjowaniu elektronicznej transakcji płatniczej oraz każdej czynności zdalnej obarczonej ryzykiem oszustwa.

Kluczowy jest ust. 2. Przy transakcji inicjowanej przez internet uwierzytelnianie musi obejmować elementy dynamicznie łączące transakcję z określoną kwotą i określonym odbiorcą. Rozporządzenie delegowane (UE) 2018/389 rozwija to w art. 5: płatnika powiadamia się o kwocie i odbiorcy, kod jest przypisany do tych dwóch wartości, a każda ich zmiana unieważnia wygenerowany kod. To techniczna podstawa jedynej reguły, którą trzeba wyćwiczyć: kod nie autoryzuje „logowania” ani „weryfikacji” — autoryzuje konkretną kwotę na konkretny rachunek, opisane w treści komunikatu.

To samo rozporządzenie wymienia sytuacje, w których dostawca może silnego uwierzytelniania nie stosować — warto wiedzieć, gdzie ochrona jest cieńsza.

• Płatność zbliżeniowa w sklepie — do 50 EUR jednorazowo, 150 EUR łącznie albo 5 transakcji od ostatniego SCA (art. 11).
• Zdalna płatność niskokwotowa — do 30 EUR, 100 EUR łącznie albo 5 transakcji (art. 16).
• Podgląd salda i historii — historia do 90 dni; pierwszy dostęp i przerwa ponad 90 dni wymagają SCA (art. 10).
• Przelew do zaufanego odbiorcy — gdy odbiorca jest już na liście; dodanie lub zmiana listy wymaga SCA (art. 13).
• Przelew między własnymi rachunkami u tego samego dostawcy (art. 15).

Lista zaufanych odbiorców to wygoda kupiona za ochronę: jeśli ktoś przejmie sesję, przelew do odbiorcy z listy pójdzie bez potwierdzenia — przeglądaj ją jak stałe zlecenia. Rozporządzenie narzuca też parametry, których zwykle się nie zauważa: maksymalnie pięć nieudanych prób uwierzytelnienia przed blokadą i pięć minut bezczynności po zalogowaniu (art. 4 ust. 3). Jeśli bankowość wylogowuje cię „za szybko”, to nie usterka.

Fałszywy panel logowania: cztery drogi, którymi tam trafiasz

• Reklamy w mediach społecznościowych. W treści reklamy umieszczano prawdziwą domenę banku, choć kliknięcie prowadziło gdzie indziej. Stosowano Punycode — zapis pozwalający użyć w domenie znaków z innych alfabetów (np. cyrylicy), wizualnie nieodróżnialnych od łacińskich.
• Wyniki wyszukiwarki. Fałszywa strona była pozycjonowana tak, by pojawiać się wysoko — bo część klientów nie wpisuje adresu banku ręcznie.
• Smishing. SMS-y o odrzuconym przelewie i „pilnej aktualizacji danych”. Ustawa definiuje smishing jako SMS, w którym nadawca podszywa się pod inny podmiot, by nakłonić odbiorcę m.in. do przekazania danych osobowych czy niekorzystnego rozporządzenia mieniem.
• Podszycie pod firmy kurierskie i pocztowe. Dopłata rzędu kilku złotych ma uśpić czujność, a celem jest komplet danych karty — realne obciążenia bywają wielokrotnie wyższe. Stosowano też spoofing nadawcy SMS, przez co fałszywki lądowały w jednym wątku z autentycznymi wiadomościami.

Ostatni punkt jest najważniejszy: skoro wiadomość trafia do istniejącego wątku, kontekst przestaje być dowodem autentyczności. Jedyna odporna metoda dostępu do banku to własna zakładka albo oficjalna aplikacja. Systemowo działa jeszcze lista ostrzeżeń CSIRT NASK (CERT Polska), prowadzona na podstawie porozumienia z art. 20 ustawy — domenę może zgłosić każdy, ale ochrona ta z definicji jest spóźniona.

Telefon „z banku”: spoofing i to, o co bank nigdy nie prosi

Vishing opiera się na CLI spoofingu — podszyciu pod numer infolinii. Ustawa definiuje go jako nieuprawnione posłużenie się informacją adresową wskazującą na inny podmiot, w celu wywołania strachu lub nakłonienia odbiorcy do określonego zachowania. Art. 31 przewiduje za to karę od 3 miesięcy do 5 lat pozbawienia wolności, a operatorzy mają obowiązek takie połączenia blokować albo ukrywać identyfikację numeru (art. 16).

CSIRT KNF rozpisuje pełny scenariusz. Krok pierwszy: telefon z numeru wyglądającego na infolinię, wsparty fałszywym SMS-em „potwierdzającym tożsamość” rozmówcy, plus informacja o rzekomej próbie przelewu albo o pożyczce zaciągniętej na dane ofiary. Krok drugi: przełączenie do „działu bezpieczeństwa” i prośba o instalację programu do zdalnego pulpitu, a gdy ofiara nie potrafi tego zrobić — o przelew na „rachunek techniczny”, kod BLIK albo wypłatę z bankomatu i wpłatę na wskazane konto. Krok trzeci: przestępcy zaciągają kredyt w bankowości elektronicznej, a zmanipulowana ofiara sama go autoryzuje. Nagrywają przy tym fragmenty rozmowy, by wykorzystać je w biometrycznej weryfikacji głosu.

Stąd lista, którą warto znać na pamięć. Według CSIRT KNF pracownik banku nigdy nie prosi o: pełne dane osobowe (PESEL, numer dowodu), login i hasło do bankowości, numer karty z datą ważności i kodem CVV, przelew na wskazany rachunek, kod SMS autoryzujący operację ani o instalację aplikacji.

Reguła wyjścia: rozłącz się i zadzwoń samodzielnie na numer z własnej karty lub z aplikacji. Jest też narzędzie, o którym mało kto wie — art. 17 ustawy o zwalczaniu nadużyć nakazuje Prezesowi UKE prowadzić jawny wykaz numerów służących wyłącznie do odbierania połączeń, na wniosek m.in. banku, SKOK-u, firmy inwestycyjnej, instytucji płatniczej czy zakładu ubezpieczeń. Jeśli dzwoni do ciebie numer z tego wykazu, połączenie jest sfałszowane z definicji.

Telefon jako słaby punkt: aplikacje, NFC i kody QR

Skoro autoryzacja przeniosła się do telefonu, telefon stał się celem. Mechanizmy opisane przez CSIRT KNF i CERT Polska łączy jedno: wszystkie wymagają zgody użytkownika.

• Aplikacje spoza sklepu. W kampaniach z 2025 r. złośliwe aplikacje rozprowadzano poza oficjalnym sklepem, m.in. przez serwisy hostingu plików. Jedna z nich, udając „komponent” potrzebny do działania, nakłaniała do przyznania uprawnień do usług dostępności (Accessibility Services) — a to pełnomocnictwo do obsługi telefonu za ciebie. Żadna aplikacja bankowa go nie potrzebuje.
• NFC Relay. Przekazywanie danych z karty zbliżeniowej przez zainfekowany telefon do urządzenia atakującego. Fałszywe aplikacje udające rozwiązania bankowe prosiły o przyłożenie karty do tyłu telefonu, a czasem wyświetlały ekran imitujący klawiaturę PIN.
• Kody QR. CERT Polska opisał scenariusz, w którym kod QR paruje urządzenie ofiary z urządzeniem przestępcy w aplikacji do obsługi SMS-ów. Po zeskanowaniu atakujący czyta zapisane i przychodzące wiadomości oraz listę kontaktów — bez żadnych danych uwierzytelniających. Przy autoryzacji SMS-owej to oddanie drugiego składnika.
• SIM swap. Uzyskanie duplikatu karty SIM ofiary: karta przestaje działać, a atakujący przejmuje kody SMS i procedury resetu haseł. Nagła utrata zasięgu bez powodu to sprawa do operatora, od razu.

Wniosek jest niewygodny dla rady „włącz 2FA i masz spokój”: SMS jest najsłabszym z drugich składników. Autoryzacja mobilna w aplikacji banku jest odporniejsza i na SIM swap, i na przechwycenie wiadomości.

Autoryzacja a odpowiedzialność: kiedy bank musi oddać pieniądze

Art. 40 ust. 1 ustawy stanowi, że transakcję uważa się za autoryzowaną, jeżeli płatnik wyraził zgodę na jej wykonanie w sposób przewidziany w umowie. W stanowisku interpretacyjnym Prezesa UOKiK czytamy, że autoryzacji nie należy utożsamiać z uwierzytelnieniem: składają się na nią łącznie zgoda płatnika i prawidłowe uwierzytelnienie, a wykazanie tylko jednego z tych elementów autoryzacji nie dowodzi.

Ta interpretacja tnie w obie strony. Gdy sam wpisałeś kod, znając kwotę i odbiorcę, transakcja jest autoryzowana — choćbyś został oszukany co do celu przelewu; ten sam mechanizm rozkładamy przy oszustwie „na kod”, w tekście o tym, jak działa płatność BLIK przez telefon. Ale gdy zgody nie było, sama rejestracja użycia instrumentu niczego nie przesądza: art. 45 ust. 2 stwierdza wprost, że nie dowodzi ona ani autoryzacji, ani rażącego niedbalstwa, a ciężar dowodu spoczywa na dostawcy.

Dwa wiersze decydują w sporach najczęściej. Art. 46 ust. 4a: jeśli dostawca nie wymagał silnego uwierzytelniania, płatnik nie odpowiada za nieautoryzowaną transakcję w ogóle — chyba że działał umyślnie. I stanowisko Prezesa UOKiK: samo podejrzenie banku, że klient dopuścił się rażącego niedbalstwa, nie jest przesłanką do odmowy zwrotu. Bank ma oddać pieniądze, a jeśli uważa inaczej — wystąpić z własnym roszczeniem; ocenę wydaje sąd. Same obowiązki z art. 42 są opisane wąsko: korzystać z instrumentu zgodnie z umową ramową, niezwłocznie zgłaszać utratę, kradzież lub nieuprawnione użycie oraz przechowywać go z należytą starannością i nie udostępniać osobom nieuprawnionym.

Ustawienia, które robisz raz

• Limity transakcyjne. Art. 41 ust. 1 pozwala uzgodnić z dostawcą limity wydatków dla danego instrumentu. Limit dzienny na poziomie realnych potrzeb zamienia katastrofę w stratę.
• Powiadomienia push o każdej operacji — termin zwrotu z art. 46 ust. 1 biegnie od zgłoszenia, nie od zdarzenia.
• Osobny rachunek do płatności internetowych, zasilany na bieżąco. Przy przelewach zagranicznych dochodzi podmiana numeru rachunku na fakturze — rozkładamy ją w tekście o tym, jak robić bezpieczne przelewy międzynarodowe.
• Automatyczne aktualizacje, a aplikacje tylko z oficjalnego sklepu — dystrybucja poza nim była w 2025 r. wspólnym mianownikiem kampanii z fałszywymi aplikacjami bankowymi.

Osobna sprawa to hasła. CSIRT KNF sprowadza siłę hasła do trzech czynników — długości, zakresu typów znaków i losowości ich rozkładu — z zastrzeżeniem, że przewidywalne wzorce (wielka litera na początku, cyfry na końcu) hasło osłabiają. Praktyczny wniosek nie brzmi „wymyślaj skomplikowane hasła”, tylko: nie wymyślaj ich wcale. Menedżer haseł generuje ciągi losowe i pozwala mieć w każdym serwisie inne, a unikatowość jest ważniejsza od długości. Ma też efekt uboczny nieosiągalny czujnością: nie podpowie hasła na stronie o innej domenie, więc fałszywy panel zostaje z pustym formularzem.

Zastrzeżenia, które warto włączyć zawczasu

Od 1 czerwca 2024 r. instytucje finansowe mają obowiązek sprawdzać, czy numer PESEL jest zastrzeżony, przy zawieraniu m.in. umowy kredytu lub pożyczki. Zastrzeżenie jest bezpłatne, działa od razu i włączysz je w aplikacji mObywatel, na gov.pl albo w urzędzie gminy. Z zastrzeżonym numerem nadal zlecisz przelew, wypłacisz gotówkę czy zrealizujesz receptę — blokada dotyczy zaciągania zobowiązań, a cofnięcie można ustawić na określony czas, z automatycznym ponownym zastrzeżeniem (ustawa o ewidencji ludności w brzmieniu nadanym ustawą z 7 lipca 2023 r. o ograniczaniu niektórych skutków kradzieży tożsamości).

Drugi mechanizm to System DOKUMENTY ZASTRZEŻONE prowadzony przez Związek Banków Polskich — ogólnopolska baza skradzionych i zagubionych dokumentów. Wystarczy zgłosić dokument w jednym banku, żeby dane trafiły do centralnej bazy, a stamtąd do wszystkich banków, operatorów telefonii komórkowej i pozostałych instytucji korzystających z systemu. Zgłoszenia przyjmuje oddział banku, aplikacja mObywatel oraz numer 828 828 828.

Co robić, gdy już się stało

1. Bank — natychmiast. Zgłoszenie z art. 42 ust. 1 pkt 2 uruchamia termin zwrotu z art. 46 ust. 1 i wyłącza odpowiedzialność za dalsze transakcje (art. 46 ust. 4). Zapamiętaj datę i godzinę; bank ma obowiązek umożliwić udowodnienie zgłoszenia przez 18 miesięcy (art. 43 ust. 1).
2. Podejrzany SMS — na numer 8080. Art. 5 ustawy o zwalczaniu nadużyć nakłada na CSIRT NASK obowiązek przyjmowania zgłoszeń pod tym numerem, a na operatorów — zapewnienia bezpłatnego dostępu do niego. Przekaż całą wiadomość w oryginale, bez wycinania linku.
3. Incydent — formularzem CERT Polska na incydent.cert.pl, gdzie osoby fizyczne mają osobną ścieżkę; zespół pełni obowiązki CSIRT NASK z ustawy o krajowym systemie cyberbezpieczeństwa.
4. Sektor finansowy — do CSIRT KNF, na adresy [email protected] i [email protected]. To ta jednostka zgłasza domeny do zablokowania i publikuje przeglądy oszustw.
5. Policja. Podszywanie się w SMS-ie (art. 30) i przy połączeniu głosowym (art. 31) to przestępstwa zagrożone karą od 3 miesięcy do 5 lat; zawiadomienie przydaje się też w reklamacji.
6. Zastrzeżenie PESEL i dokumentów, jeśli w grę wchodziły dane tożsamości. Fałszywe panele wyłudzały nie tylko loginy, ale też PESEL i nazwisko panieńskie matki — komplet pod wniosek kredytowy.

Najczęstsze błędy

• Traktowanie kodu autoryzacyjnego jak „potwierdzenia, że to ja”. Kod jest przypisany do kwoty i odbiorcy. Jeśli treść komunikatu nie zgadza się z tym, co robisz — nie wpisuj go.
• Wchodzenie do banku z linku albo z wyszukiwarki zamiast z własnych zakładek — nawet gdy poprzednie wiadomości w wątku były prawdziwe.
• Oddzwanianie na numer, z którego przyszło połączenie zamiast na numer z karty płatniczej lub z aplikacji.
• Zakładanie, że rozmówca jest z banku, bo zna twoje dane. Raport na 2026 r. wprost wskazuje wycieki i OSINT jako źródło personalizacji ataków.
• Odpuszczenie reklamacji po odmowie banku albo zwlekanie ze zgłoszeniem. Podejrzenie rażącego niedbalstwa nie jest podstawą do odmowy zwrotu, a po 13 miesiącach roszczenia i tak wygasają.