Bank wydał pilne ostrzeżenie. Chodzi o Twoje pieniądze i dostęp do konta

Jak działa mechanizm? Od SMS-a do pełnej kontroli nad urządzeniem

Szczegółowy komunikat w tej sprawie opublikował mBank w swojej aplikacji mobilnej (obowiązuje od 10 lutego). Ostrzeżenie dotyczy fałszywych aplikacji podszywających się pod narzędzia bezpieczeństwa banku.

Scenariusz zaczyna się od wiadomości SMS, e-maila lub kontaktu przez komunikator. Klient słyszy, że musi „potwierdzić transakcję”, „odebrać płatność” albo „zweryfikować konto”. Po kliknięciu trafia na stronę przypominającą serwis banku i otrzymuje polecenie instalacji dodatkowej aplikacji – często określanej jako „klucz bezpieczeństwa”.

Bank podkreśla wprost: nigdy nie wymaga instalowania takiego oprogramowania. Złośliwa aplikacja może uzyskać dostęp do SMS-ów, danych logowania i umożliwić zdalne sterowanie telefonem. W praktyce użytkownik może nie zauważyć momentu przejęcia kontroli.

Tego bank nie zrobi. Lista zasad, które warto zapamiętać

mBank wskazuje jednoznacznie, że nie prosi o instalację dodatkowych aplikacji zabezpieczających poza oficjalną aplikacją mobilną dostępną w Google Play i App Store. Nie wysyła również linków wymagających podania pełnych danych logowania czy numeru karty w zewnętrznych formularzach. Jeżeli kontaktuje się pracownik banku, klient otrzymuje powiadomienie w oficjalnej aplikacji – to element weryfikacji. Brak takiego sygnału powinien wzbudzić wątpliwości.

Szczególną ostrożność należy zachować przy komunikatach wywołujących presję czasu. W praktyce to jeden z najczęściej stosowanych elementów socjotechniki. Każda prośba o dane poza oficjalnym kanałem komunikacji powinna być traktowana jako potencjalna próba wyłudzenia.

Skala zagrożenia. Phishing wciąż wśród najczęstszych incydentów

Z raportów zespołu CSIRT NASK wynika, że phishing i podszywanie się pod instytucje finansowe należą do najczęściej zgłaszanych incydentów bezpieczeństwa w Polsce. Fałszywe strony banków oraz kampanie SMS-owe utrzymują się w czołówce zagrożeń. Komisja Nadzoru Finansowego regularnie publikuje ostrzeżenia przed podmiotami działającymi bez zezwolenia oraz przed schematami wyłudzeń wykorzystującymi bankowość elektroniczną. Banki informują z kolei o rosnącej liczbie prób przejęcia kont poprzez złośliwe aplikacje mobilne.

W praktyce nie chodzi o pojedynczą falę ataków, lecz o stały model działania przestępców, który ewoluuje wraz z rozwojem bankowości mobilnej. To oznacza, że ryzyko dotyczy szerokiej grupy użytkowników, nie tylko osób mniej doświadczonych cyfrowo.

Kto odpowiada za pieniądze? Co do zasady i gdzie jest wyjątek

Kluczowe znaczenie mają przepisy ustawy o usługach płatniczych wdrażające dyrektywę PSD2. Co do zasady, jeśli transakcja była nieautoryzowana, bank powinien zwrócić środki klientowi niezwłocznie po zgłoszeniu.

Istnieje jednak wyjątek – tzw. rażące niedbalstwo. Jeżeli klient sam udostępnił dane logowania, kody autoryzacyjne lub świadomie zainstalował aplikację umożliwiającą przejęcie kontroli nad urządzeniem, bank może uznać, że doszło do naruszenia podstawowych zasad bezpieczeństwa.

W praktyce każda sprawa analizowana jest indywidualnie. Granica między manipulacją przestępców a brakiem ostrożności bywa przedmiotem sporu reklamacyjnego. Dlatego ostrzeżenia publikowane w aplikacjach bankowych mają również wymiar prawny – przypominają, jakie działania mogą mieć bezpośrednie konsekwencje finansowe.

Źródła: BiznesInfo, komunikat w aplikacji mBank, CSIRT NASK, KNF, ustawa o usługach płatniczych