Bezpieczeństwo aplikacji bankowych: checklista użytkownika

Bezpieczeństwo aplikacji bankowych zależy od zabezpieczeń banku, ale też od ustawień telefonu i reakcji na podejrzane sytuacje. Zebraliśmy checklistę opartą na zaleceniach CERT Polska, ZBP i banków oraz na przepisach o usługach płatniczych. Na końcu wyjaśniamy, kiedy bank musi oddać pieniądze po nieautoryzowanej transakcji.

Instalacja i aktualizacja aplikacji

Aplikację banku instaluje się wyłącznie z oficjalnego sklepu: App Store albo Google Play. ING ostrzega, że wersja dostępna w innych sklepach pochodzi z niesprawdzonego źródła. Link do pobrania warto otwierać ze strony banku wpisanej ręcznie, a nie z SMS-a czy reklamy.

Aktualizacje aplikacji i systemu telefonu łatają znane luki, dlatego nie należy ich odkładać. Telefon powinien mieć blokadę ekranu, a aplikacja – własny PIN lub biometrię. ING ostrzega przy logowaniu, gdy wykryje wyłączone zabezpieczenia telefonu.

Logowanie, PIN i biometria

PIN do aplikacji nie powinien być taki sam jak PIN karty ani łatwy do odgadnięcia, np. data urodzenia. Banki ograniczają liczbę prób: w Moim ING trzy błędne PIN-y blokują logowanie, a aplikacja wylogowuje po 60 sekundach bezczynności. Logowanie odciskiem palca lub twarzą opisujemy w tekście o autoryzacji biometrycznej.

Ustawa o usługach płatniczych nakłada na klienta obowiązek ochrony danych uwierzytelniających i nieudostępniania ich innym (art. 42). Podanie PIN-u, kodu BLIK czy hasła osobie trzeciej może więc przenieść odpowiedzialność za stratę na klienta. Danych logowania nie zapisuje się w notatkach telefonu ani w kopiach zapasowych.

Limity i powiadomienia

Niski limit przelewów ogranicza straty, nawet gdy ktoś przejmie dostęp do konta. W ING domyślny dzienny limit przelewów w aplikacji wynosi 5000 zł. Limit można podnieść na dzień, 2 lub 7 dni albo na stałe, a po 90 dniach bez zmian bank może go obniżyć.

Po podniesieniu limitu do wysokiej kwoty ING obejmuje klienta 2-godzinnym okresem ochronnym. W tym czasie bank może żądać dodatkowych potwierdzeń lub odmówić przelewu, a okresu nie da się skrócić na infolinii. To przykład mechanizmu, który utrudnia oszustom szybkie wyprowadzenie pieniędzy.

Powiadomienia push lub SMS o każdej transakcji pozwalają zauważyć problem w kilka sekund. Jak je ustawić i ile kosztują, opisujemy w tekście o powiadomieniach o transakcjach. Przy potwierdzaniu przelewu w aplikacji zawsze trzeba sprawdzić numer konta i kwotę – na to zwraca uwagę CSIRT KNF.

Zaufane urządzenia

Lista zaufanych urządzeń pokazuje, na jakich telefonach i komputerach działa dostęp do konta. Warto ją przeglądać co jakiś czas i usuwać sprzęt, którego się już nie używa. ING zaleca usunięcie telefonu z listy po jego kradzieży, zgubieniu, sprzedaży lub oddaniu do serwisu.

Czego bank nigdy nie zażąda

PKO BP wymienia, o co jego pracownik nigdy nie poprosi: dane karty i PIN, login i hasło, kod autoryzacyjny. Na liście są też pełny PESEL lub numer dowodu, kod BLIK, instalacja dodatkowego oprogramowania i zdalny dostęp do komputera. Taka prośba to typowy sygnał próby oszustwa.

W aplikacji PKO można sprawdzić, czy dzwoni prawdziwy pracownik – bank wysyła powiadomienie z jego danymi. Gdy dzwoniący odmawia weryfikacji, trzeba się rozłączyć i samodzielnie zadzwonić na infolinię banku. Oszuści potrafią podszyć się pod numer banku, o czym piszemy w tekście o spoofingu.

Podejrzany SMS lub e-mail

Podejrzane SMS-y zgłasza się do CERT Polska na bezpłatny numer 8080, działający od 22 listopada 2023 r. Wiadomość najlepiej przesłać poleceniem „Przekaż”, bez wycinania linku i treści. Z jednego numeru można zgłosić najwyżej 3 wiadomości w ciągu 4 godzin.

Podejrzane e-maile i strony zgłasza się na adres cert@cert.pl lub przez formularz incydent.cert.pl. Nie należy klikać linków ani otwierać załączników z takich wiadomości. Po kliknięciu i podaniu danych trzeba od razu skontaktować się z bankiem.

Co zrobić po podejrzanej operacji

ZBP radzi działać natychmiast, bo liczy się każda minuta. Najpierw trzeba zablokować kartę lub dostęp w aplikacji albo przez infolinię banku, a dopiero potem analizować historię operacji. Bez dostępu do aplikacji pomaga numer System Zastrzegania Kart (+48) 828 828 828, który przekierowuje do banku.

Następny krok to reklamacja w banku i zawiadomienie policji, jeśli doszło do przestępstwa. Utratę karty, kradzież czy nieuprawniony dostęp trzeba zgłosić bankowi niezwłocznie (art. 42 i 44 ustawy o usługach płatniczych). Szczegóły blokowania opisujemy w tekście o zastrzeżeniu karty.

Zastrzeżenie PESEL i dokumentu

Zastrzeżenie numeru PESEL jest bezpłatne, działa od razu i można je zrobić przez internet albo w urzędzie gminy. Od 1 czerwca 2024 r. banki muszą sprawdzać zastrzeżenie przed zawarciem m.in. umowy kredytu, pożyczki czy rachunku. Jeśli mimo zastrzeżenia ktoś zaciągnie kredyt na cudze dane, bank nie może żądać spłaty od osoby, której PESEL był zastrzeżony (art. 105d Prawa bankowego).

Z zastrzeżonym PESEL-em nadal można wypłacać pieniądze z bankomatu i zlecać przelewy. Zastrzeżenie można cofnąć na stałe albo do wskazanej daty, po której system przywróci je sam. Więcej o skutkach dla klienta banku piszemy w tekście o zastrzeżeniu PESEL.

Utracony dowód osobisty warto najpierw zastrzec w swoim banku w systemie DOKUMENTY ZASTRZEŻONE. Zgłoszenie utraty dowodu w gov.pl powoduje jego unieważnienie i zastrzeżenie PESEL z urzędu. Kradzież dowodu można też zgłosić policji.

Zwrot pieniędzy za nieautoryzowaną transakcję

Bank musi zwrócić kwotę nieautoryzowanej transakcji niezwłocznie, najpóźniej do końca następnego dnia roboczego po zgłoszeniu (art. 46 ust. 1). Może tego nie zrobić tylko przy udokumentowanym podejrzeniu oszustwa, które zgłosi na piśmie organom ścigania. Samo zarejestrowanie użycia karty czy aplikacji nie dowodzi, że klient autoryzował płatność (art. 45).

Przy zgubionej lub skradzionej karcie klient odpowiada do równowartości 50 euro. W pełnej wysokości odpowiada, gdy doprowadził do transakcji umyślnie albo przez rażące niedbalstwo, np. podając kody oszustowi. Po zgłoszeniu utraty instrumentu płatniczego klient nie odpowiada za kolejne transakcje, chyba że działał umyślnie.

Na zgłoszenie nieautoryzowanej transakcji jest 13 miesięcy od obciążenia rachunku (art. 44). Odpowiedź na reklamację bank daje w ciągu 15 dni roboczych, a w szczególnie skomplikowanych sprawach do 35 dni roboczych. Jeśli bank nie wymagał silnego uwierzytelniania, klient nie ponosi odpowiedzialności, chyba że działał umyślnie.

Checklista bezpieczeństwa aplikacji

• aplikacja tylko z App Store lub Google Play, aktualny system i aplikacja,
• blokada ekranu telefonu i osobny PIN do aplikacji,
• niski dzienny limit przelewów, podnoszony tylko na czas potrzeby,
• powiadomienia o każdej transakcji,
• aktualna lista zaufanych urządzeń,
• zero kodów BLIK, PIN-ów i zdalnego dostępu dla dzwoniących „z banku”,
• podejrzane SMS-y przekazane na 8080,
• zastrzeżony PESEL,
• w razie problemu: najpierw blokada, potem reklamacja.

Najczęstsze pytania o bezpieczeństwo aplikacji bankowych

Źródła:

• gov.pl – Dostałeś niepokojący SMS albo e-mail? Zgłoś go do CERT Polska
• gov.pl – CSIRT KNF ostrzega: nie daj się okraść cyberprzestępcom
• PKO Bank Polski – Czy to na pewno telefon z banku?
• PKO Bank Polski – Jak sprawdzić, czy dzwoni pracownik banku
• ING Bank Śląski – Bezpieczeństwo aplikacji Moje ING
• ING Bank Śląski – Limit dla przelewów w Moim ING
• ZBP – Karty płatnicze: bezpieczne bankowanie
• ZBP – Zastrzeganie dokumentów tożsamości
• gov.pl – Zastrzeż swój numer PESEL lub cofnij zastrzeżenie
• gov.pl – Zgłoś utratę dowodu osobistego – unieważnij dowód
• Prawo bankowe (t.j. Dz.U. 2026 poz. 38), art. 105d
• Ustawa o usługach płatniczych (t.j. Dz.U. 2026 poz. 623), art. 15a, 42, 44–46

---