Najgroźniejszy błąd przy logowaniu do banku pojawia się jeszcze przed wpisaniem hasła: użytkownik otwiera fałszywą stronę z reklamy w wyszukiwarce, wiadomości SMS albo e-maila. Taka witryna może wyglądać niemal identycznie jak serwis banku, łącznie z logo, komunikatami bezpieczeństwa i formularzem logowania. Dlatego pierwszą czynnością nie powinno być szukanie pola na login, lecz sprawdzenie adresu strony.
W większości polskich banków sam schemat wygląda podobnie: klient podaje identyfikator, przechodzi do pola hasła, a następnie — okresowo lub przy logowaniu z nowego urządzenia — potwierdza dostęp kodem SMS albo w aplikacji mobilnej. Różnią się natomiast nazwy identyfikatorów, sposób wpisywania hasła, procedura pierwszego uruchomienia oraz odzyskiwania dostępu.
Zanim wpiszesz login: procedura, która naprawdę ogranicza ryzyko
Do bankowości internetowej najlepiej wchodzić przez ręcznie wpisany adres strony głównej banku, zapisany wcześniej bezpieczny skrót albo oficjalną aplikację mobilną. Nie należy korzystać z linków przesłanych przez SMS, e-mail, komunikator ani osobę podającą się za konsultanta banku.
Wyszukiwarka również nie jest najlepszym punktem startowym. Oszuści potrafią wykupić reklamę prowadzącą do strony z adresem różniącym się od prawidłowego jedną literą, dodatkowym myślnikiem lub nietypową końcówką domeny. Sam wygląd strony niczego nie potwierdza.
Przed logowaniem sprawdź kolejno:
- pełny adres domeny, a nie tylko pierwsze widoczne znaki;
- czy połączenie jest szyfrowane i przeglądarka nie pokazuje ostrzeżenia o certyfikacie;
- czy strona nie żąda danych, których bank zwykle nie wymaga;
- czy na urządzeniu nie działa program do zdalnego pulpitu, np. AnyDesk, TeamViewer lub QuickSupport;
- czy przeglądarka i system operacyjny mają aktualne poprawki bezpieczeństwa.
Symbol kłódki oznacza, że połączenie jest szyfrowane, ale nie gwarantuje uczciwości właściciela strony. Fałszywa witryna również może mieć poprawny certyfikat. Decydujący jest prawidłowy adres.
Czerwona lampka powinna zapalić się wtedy, gdy formularz logowania prosi o:
- pełny numer karty i kod CVV;
- cały numer telefonu;
- numer PESEL wraz z pełnym hasłem;
- kilka kodów SMS jeden po drugim;
- zatwierdzenie operacji, której użytkownik nie zlecił;
- instalację „programu zabezpieczającego”;
- przelanie środków na „konto techniczne” lub „rachunek rezerwowy”.
Bank nie zabezpiecza pieniędzy przez zlecanie przelewu na inne konto. Taki komunikat jest typowym elementem oszustwa.
Przy potwierdzaniu logowania w aplikacji trzeba przeczytać całą treść powiadomienia. Jeżeli zamiast informacji o dostępie do bankowości pojawia się przelew, zmiana limitu, dodanie odbiorcy albo aktywacja nowego urządzenia, operację należy odrzucić. Automatyczne zatwierdzanie powiadomień jest jednym z najczęstszych praktycznych błędów.
Logowanie na własnym komputerze przez domową sieć jest bezpieczniejsze niż korzystanie z urządzenia w hotelu, bibliotece lub pracy. Publiczne Wi-Fi nie musi automatycznie oznaczać przejęcia danych, ale zwiększa liczbę możliwych punktów ataku. Jeżeli dostęp do konta jest pilny, rozsądniejszym rozwiązaniem będzie oficjalna aplikacja i transmisja komórkowa.
Logowanie w największych bankach — różnice, które mają znaczenie
Nazwy usług i wymaganych danych nie są jednolite. „Loginem” może być numer klienta, alias, specjalny identyfikator albo ciąg cyfr zapisany w umowie. Poniżej procedury stosowane w popularnych bankach działających w Polsce.
PKO Bank Polski — iPKO i aplikacja IKO
Do serwisu iPKO należy przechodzić ze strony głównej PKO Banku Polskiego. Użytkownik wpisuje numer klienta albo własny login, a następnie hasło. Bank może zażądać dodatkowego potwierdzenia dostępu w aplikacji IKO. Dwuetapowa weryfikacja jest wymagana okresowo, między innymi w związku z zasadami silnego uwierzytelniania klienta.
W aplikacji IKO dostęp można zatwierdzać kodem PIN, odciskiem palca lub rozpoznawaniem twarzy, jeżeli telefon obsługuje daną metodę. Biometria nie jest przekazywana bankowi w postaci obrazu palca czy twarzy — weryfikację wykonuje zabezpieczony mechanizm telefonu.
Po zmianie urządzenia sama znajomość danych do iPKO nie zawsze wystarczy. Nową instalację IKO trzeba aktywować i powiązać z rachunkiem. Nie należy zatwierdzać takiej aktywacji, jeżeli użytkownik właśnie nie konfiguruje nowego telefonu.
Bank Pekao — Pekao24 i PeoPay
Do Pekao24 użytkownik loguje się przy użyciu numeru klienta oraz hasła lub PIN-u zgodnego z aktualną konfiguracją dostępu. Oficjalny adres serwisu powinien znajdować się w domenie Banku Pekao. Bank wskazuje również adres Pekao24 używany bezpośrednio do logowania, ale najbezpieczniej otwierać go przyciskiem ze strony głównej banku albo korzystać z własnej, wcześniej zweryfikowanej zakładki.
Przy pierwszym uruchomieniu klient może korzystać z PIN-u przekazanego SMS-em, ustanowionego telefonicznie albo dostarczonego w dokumentacji. Tymczasowy PIN wysłany SMS-em jest ważny przez 48 godzin. Po przekroczeniu tego terminu konieczne jest wygenerowanie nowego.
Dodatkowe logowanie można potwierdzać w aplikacji PeoPay. Bank udostępnia również możliwość weryfikacji tożsamości dzwoniącego pracownika w bankowości elektronicznej. To przydatna funkcja, ale nie zwalnia z ostrożności: konsultant nie powinien prosić o hasło, PIN ani kod autoryzujący przelew.
mBank — serwis transakcyjny i aplikacja mobilna
Do mBanku należy wchodzić przez stronę główną banku i przycisk „Zaloguj się”. Aktualna strona dostępu do serwisu działa w domenie online.mbank.pl. W formularzu podaje się identyfikator klienta oraz hasło.
Hasło do serwisu mBanku powinno mieć od 8 do 20 znaków, co najmniej jedną małą literę, jedną wielką literę oraz cyfrę. Przy aktywacji dostępu bank może przekazać tymczasowe dane, które trzeba zastąpić własnym hasłem. Tymczasowe hasło aktywacyjne może być ważne przez 48 godzin.
Logowanie lub operację można potwierdzić mobilną autoryzacją albo kodem SMS — zależnie od ustawień. W powiadomieniu trzeba sprawdzić, czy zatwierdzane jest rzeczywiście logowanie. Oszuści często rozpoczynają inną dyspozycję i telefonicznie przekonują klienta, że powiadomienie dotyczy „weryfikacji konta”.
ING Bank Śląski — Moje ING
W Moim ING użytkownik najpierw wpisuje login, a następnie przechodzi do kolejnego etapu. System może wymagać podania wybranych znaków hasła zamiast całego ciągu. To tak zwane hasło maskowane.
Jeżeli podczas jednej próby strona kilka razy prosi o różne zestawy znaków albo próbuje w ten sposób zebrać całe hasło, należy przerwać logowanie. Bank nie powinien wykorzystywać procesu do odtworzenia wszystkich znaków hasła.
Przy dostępie z nowego urządzenia lub okresowej kontroli system może wymagać dodatkowej autoryzacji. W ustawieniach Mojego ING można sprawdzić listę zaufanych urządzeń. Telefon oddawany do serwisu, sprzedawany albo przekazywany innej osobie należy wcześniej usunąć z tej listy.
Santander Bank Polska — Santander internet
Do bankowości Santander użytkownik przechodzi ze strony głównej banku i wybiera serwis dla klientów indywidualnych. Do logowania potrzebny jest NIK, czyli Numer Identyfikacyjny Klienta, oraz ustalone hasło lub PIN zgodnie z aktualnym wariantem dostępu.
Jeżeli klient zapomni hasła, może rozpocząć jego odzyskiwanie z oficjalnej strony bankowości. Procedura może obejmować podanie loginu, odpowiedzi na pytania weryfikacyjne oraz przepisanie kodu otrzymanego z banku. Nie wolno uruchamiać resetu z linku przesłanego w wiadomości — nawet gdy nadawca wygląda jak bank.
Santander umożliwia zmianę sposobu logowania w ustawieniach, w tym korzystanie z hasła maskowanego. Niedogodnością jest to, że wieloletni klienci mogą nadal kojarzyć starsze nazwy serwisu i adresy. Zamiast polegać na pamięci, należy za każdym razem przechodzić ze strony głównej banku.
Alior Bank — Alior Online
Do bankowości Alior Online można przejść ze strony głównej Alior Banku albo przez oficjalną stronę logowania w domenie aliorbank.pl. Użytkownik podaje identyfikator klienta CIF, a po przejściu dalej odpowiednie znaki hasła.
System może wyświetlić wcześniej ustawiony obrazek bezpieczeństwa. Jeżeli obrazek jest inny, nie pojawia się wcale albo witryna wygląda nietypowo, nie należy wpisywać hasła. To sygnał, że trzeba zamknąć stronę i ponownie wejść do bankowości z oficjalnego adresu.
Alior może poprosić o potwierdzenie logowania w aplikacji albo kodem. Powiadomienie powinno jednoznacznie dotyczyć dostępu do Alior Online. Jeżeli pojawia się operacja finansowa, której klient nie rozpoczął, trzeba ją odrzucić.
Bank Millennium — Millenet
Do Millenetu potrzebny jest MilleKod, czyli 8-cyfrowy identyfikator zapisany w umowie, albo utworzony przez klienta alias. Po wpisaniu identyfikatora użytkownik przechodzi do kolejnych etapów uwierzytelniania.
Bank nie powinien podczas zwykłego logowania żądać pełnego numeru telefonu ani dużej części identyfikatora takiego jak PESEL. Nie należy również podawać pełnych danych na stronie otwartej z wiadomości e-mail.
Millenet automatycznie kończy sesję po okresie bezczynności; bank informuje o wylogowaniu po około 5 minutach. To rozsądne zabezpieczenie, choć bywa irytujące przy przepisywaniu danych do dłuższego przelewu. Rozwiązaniem nie jest wyłączanie ochrony, lecz przygotowanie numeru rachunku, kwoty i tytułu przed rozpoczęciem operacji.
BNP Paribas — GOonline i GOmobile
W GOonline klient podaje identyfikator i hasło zgodnie ze skonfigurowaną metodą. W ustawieniach bezpieczeństwa można wybrać między innymi hasło tradycyjne albo maskowane oraz zdecydować, czy dodatkowe potwierdzenie ma przychodzić SMS-em, czy do aplikacji.
Jeżeli dostępna jest autoryzacja w GOmobile, zwykle jest wygodniejsza niż przepisywanie kodu SMS, ponieważ pokazuje szczegóły zatwierdzanej czynności. Nadal trzeba je przeczytać. Powiadomienie push nie jest bezpieczne wtedy, gdy użytkownik zatwierdza je bez sprawdzenia treści.
Pierwsze logowanie, blokada dostępu i podejrzany komunikat
Pierwsze logowanie jest bardziej rozbudowane niż zwykłe wejście na konto. Bank musi połączyć klienta, urządzenie i wybraną metodę autoryzacji. Zazwyczaj potrzebne są:
- numer klienta lub identyfikator z umowy;
- tymczasowy PIN albo hasło aktywacyjne;
- telefon z numerem zgłoszonym w banku;
- aplikacja mobilna pobrana z oficjalnego sklepu;
- własne hasło spełniające wymagania systemu.
Aplikację bankową należy instalować wyłącznie z Google Play, App Store albo AppGallery, po sprawdzeniu nazwy wydawcy. Link przesłany przez „pracownika działu bezpieczeństwa” nie jest ułatwieniem, tylko poważnym sygnałem oszustwa.
Podczas pierwszego uruchomienia mogą pojawić się limity, dodatkowe pytania lub konieczność kontaktu z infolinią. Problemem bywa nieaktualny numer telefonu. Jeżeli karta SIM została zmieniona, numer przeniesiony albo bank nadal ma stary kontakt, sam reset hasła może nie wystarczyć. Aktualizacja danych może wymagać rozmowy weryfikacyjnej lub wizyty w oddziale.
Po kilku błędnych próbach bank może czasowo albo całkowicie zablokować dostęp. Nie należy wtedy testować kolejnych wariantów hasła. Wielokrotne zgadywanie zwykle tylko komplikuje odblokowanie. Trzeba użyć opcji „Nie pamiętam hasła”, „Problem z logowaniem” albo „Odblokuj dostęp” dostępnej na oficjalnej stronie.
Sytuacja jest pilniejsza, gdy:
- przyszło powiadomienie o logowaniu, którego użytkownik nie rozpoczął;
- zmienił się numer telefonu przypisany do konta;
- aplikacja informuje o aktywacji nowego urządzenia;
- pojawił się nieznany odbiorca albo przelew;
- telefon z aktywną aplikacją został zgubiony;
- dane logowania wpisano na stronie otwartej z podejrzanego linku.
W takim przypadku reset hasła to za mało. Należy natychmiast skontaktować się z bankiem, zablokować dostęp do bankowości i aplikacji, sprawdzić historię operacji oraz usunąć nieznane urządzenia. Numer infolinii trzeba odczytać z oficjalnej strony banku, aplikacji, umowy albo odwrotu karty — nie z podejrzanej wiadomości.
Jeżeli oszust miał zdalny dostęp do telefonu lub komputera, urządzenia nie powinno się dalej używać do zmiany haseł. Najpierw trzeba przerwać połączenie z internetem i skorzystać z innego, zaufanego sprzętu. Samo odinstalowanie programu do zdalnego pulpitu nie daje pewności, że urządzenie jest czyste.
Po zalogowaniu warto ustawić trzy zabezpieczenia o najwyższym priorytecie:
- powiadomienia o każdym logowaniu i transakcji;
- mobilną autoryzację z widocznymi szczegółami operacji;
- rozsądne dzienne limity przelewów, BLIK-a i płatności kartą.
Limity nie zapobiegają wyłudzeniu danych, ale ograniczają możliwą stratę. Podnoszenie limitu „na polecenie konsultanta” podczas rozmowy telefonicznej jest działaniem wysokiego ryzyka.
FAQ
Czy mogę zalogować się do banku z linku znalezionego w Google?
Technicznie tak, ale nie jest to bezpieczny nawyk. Reklama lub wynik wyszukiwania może prowadzić do fałszywej strony. Lepiej wpisać ręcznie adres banku, użyć zweryfikowanej zakładki albo oficjalnej aplikacji.
Czy kłódka przy adresie oznacza, że strona banku jest prawdziwa?
Nie. Kłódka potwierdza szyfrowanie połączenia, a nie tożsamość właściciela witryny. Trzeba sprawdzić pełną domenę i ewentualne ostrzeżenia przeglądarki.
Gdzie znajdę identyfikator klienta?
Najczęściej w umowie rachunku, dokumentach aktywacyjnych albo ustawieniach aplikacji. Banki używają różnych nazw, m.in. numer klienta, NIK, CIF, MilleKod lub login. Nie należy zgadywać identyfikatora ani wysyłać jego zdjęcia osobie podającej się za konsultanta.
Czy bank może poprosić o pełne hasło przez telefon?
Nie. Konsultant nie powinien żądać hasła do bankowości, PIN-u do aplikacji, kodu BLIK ani kodu autoryzującego przelew. Kod służy do zatwierdzenia konkretnej czynności opisanej w SMS-ie lub powiadomieniu.
Co zrobić, gdy kod SMS nie przychodzi?
Najpierw sprawdź zasięg, tryb samolotowy, blokowanie wiadomości i numer telefonu zapisany w banku. Nie ponawiaj operacji kilkanaście razy. Jeżeli problem trwa, skontaktuj się z bankiem przez numer podany na jego oficjalnej stronie lub w aplikacji.
Czy logowanie odciskiem palca jest bezpieczne?
Na aktualnym, niezrootowanym urządzeniu zabezpieczonym kodem blokady jest zwykle bezpieczniejsze i wygodniejsze niż krótki PIN. Nie chroni jednak przed zatwierdzeniem fałszywej operacji — opis powiadomienia nadal trzeba przeczytać.
Co zrobić po zgubieniu telefonu z aplikacją bankową?
Zadzwoń do banku, zablokuj aplikację lub usuń urządzenie z listy zaufanych, a następnie zablokuj kartę SIM u operatora. Jeżeli telefon był odblokowany albo miał zapisane dane, zmień również hasło do poczty elektronicznej.
Czy trzeba regularnie zmieniać hasło do banku?
Najważniejsze jest unikalne, trudne hasło, którego nie używasz w innych serwisach. Trzeba je zmienić natychmiast po podejrzeniu wycieku, wpisaniu na fałszywej stronie albo wykryciu nieznanego logowania. Mechaniczna zmiana co kilka tygodni nie pomoże, jeśli nowe hasło jest przewidywalnym wariantem starego.
Zacznij od jednego działania: usuń z zakładek każdy niezweryfikowany adres logowania i zapisz ponownie stronę otwartą bezpośrednio z oficjalnej witryny banku. Dopiero potem sprawdź listę zaufanych urządzeń, włącz powiadomienia o logowaniu i obniż zbyt wysokie limity. Najpierw trzeba usunąć ryzyko wejścia na fałszywą stronę — bez tego nawet mocne hasło i mobilna autoryzacja mogą zostać wykorzystane przeciwko właścicielowi konta.
