Bezpieczna bankowość elektroniczna – zasady i zagrożenia

Bankowość elektroniczna jest bezpieczna – pod warunkiem, że stosujesz kilka konkretnych zasad. Banki inwestują w zabezpieczenia, szyfrowanie i monitoring transakcji, ale najsłabszym ogniwem pozostaje zachowanie użytkownika. Ten artykuł zawiera praktyczne wskazówki, aktualne dane o zagrożeniach (CERT Polska i CSIRT KNF za 2025 rok) oraz plan działania na wypadek, gdyby coś poszło nie tak.

Zagrożenia bankowości elektronicznej – skala problemu

Raport CERT Polska za 2025 rok dokumentuje 260 783 unikalne incydenty bezpieczeństwa – o 152% więcej niż rok wcześniej. Oszustwa komputerowe stanowiły 97% z nich: przede wszystkim wyłudzanie loginów i haseł do serwisów bankowych, poczty elektronicznej i portali społecznościowych.

Sektor finansowy jest jednym z głównych celów ataków. CSIRT KNF (zespół reagowania na incydenty przy Komisji Nadzoru Finansowego) zgłosił w 2025 roku 41 751 niebezpiecznych domen do blokady i odnotował 787 ataków DDoS wymierzonych w instytucje finansowe. Jednocześnie banki coraz skuteczniej się bronią – liczba poważnych incydentów w sektorze bankowym spadła o 68% rok do roku, częściowo dzięki wdrożeniu rozporządzenia DORA, które narzuciło instytucjom finansowym nowe standardy cyberbezpieczeństwa.

Skala prób oszustw rośnie, ale zabezpieczenia po stronie banków również. Pytanie, czy bankowość elektroniczna jest bezpieczna, sprowadza się więc w dużej mierze do tego, jak korzysta z niej sam użytkownik.

Bezpieczny komputer i telefon – podstawa bankowości elektronicznej

Bezpieczeństwo bankowości elektronicznej zaczyna się od urządzenia, na którym się logujesz. Komputer lub smartfon z nieaktualnym systemem operacyjnym ułatwia infekcję złośliwym oprogramowaniem – w tym trojanami bankowymi, które potrafią przechwytywać dane logowania lub podmieniać numery rachunków podczas kopiowania.

Aktualizacje systemu operacyjnego to podstawa. Producenci Windowsa, macOS, Androida i iOS regularnie wydają poprawki bezpieczeństwa, które łatają wykryte luki. Włącz automatyczne aktualizacje w ustawieniach systemu i nie odkładaj ich instalacji na później. Dotyczy to też przeglądarki internetowej – pozwól im aktualizować się automatycznie.

Dobry program antywirusowy z aktywnym firewallem to dodatkowa warstwa ochrony, szczególnie istotna na komputerach z Windows i urządzeniach z Androidem. Płatne pakiety antywirusowe często zawierają moduł ochrony bankowości – wydzieloną, zabezpieczoną przeglądarkę do logowania na strony banków.

Sieć, z której korzystasz, też ma znaczenie. Do bankowości elektronicznej loguj się wyłącznie przez zaufane połączenia – domowe Wi-Fi lub sieć komórkową. Publiczne sieci Wi-Fi w kawiarniach, hotelach czy na lotniskach są z natury niebezpieczne, ponieważ dane przesyłane w takiej sieci mogą być przechwytywane przez inne podłączone urządzenia. Jeśli musisz skorzystać z bankowości poza domem, bezpieczniejszą opcją jest udostępnienie internetu z telefonu (hotspot) niż łączenie się z otwartą siecią.

Loguj się tylko z własnych urządzeń. Komputer w hotelu, u znajomego czy w coworkingu może mieć zainstalowane oprogramowanie typu keylogger, które rejestruje każde naciśnięcie klawisza – w tym login i hasło do banku. Jeśli z jakiegoś powodu musisz skorzystać z cudzego komputera, po zakończeniu wyloguj się ręcznie (nie zamykaj samej karty przeglądarki), wyczyść historię i dane formularzy. Na własnym urządzeniu wylogowywanie jest mniej krytyczne – banki automatycznie kończą sesję po kilku minutach bezczynności.

Bezpieczne logowanie do bankowości internetowej

Większość kradzieży danych finansowych zaczyna się w momencie logowania – na fałszywej stronie, ze słabym hasłem lub bez dodatkowej autoryzacji.

Adres strony banku – wpisuj ręcznie lub z zakładek

Najczęstszy scenariusz kradzieży danych logowania wygląda tak: otrzymujesz SMS lub e-mail z informacją o „podejrzanej aktywności na koncie” i linkiem do rzekomej strony banku. Strona wygląda identycznie jak prawdziwa – te same kolory, logo, układ. Logujesz się, ale dane trafiają do oszustów, którzy natychmiast logują się na Twoje prawdziwe konto.

Ochrona jest prosta: nigdy nie loguj się do banku z linku otrzymanego w e-mailu, SMS-ie ani wiadomości w mediach społecznościowych. Adres strony banku wpisuj ręcznie w pasku przeglądarki lub korzystaj z zapisanej zakładki. To eliminuje ryzyko trafienia na fałszywą stronę.

Wiele poradników radzi sprawdzać, czy strona ma „zieloną kłódkę” (certyfikat SSL). To rada przestarzała i nieskuteczna – certyfikat HTTPS szyfruje połączenie, ale nie potwierdza wiarygodności strony. Fałszywe strony bankowe bez problemu uzyskują certyfikaty SSL i wyświetlają kłódkę. Jedynym pewnym zabezpieczeniem jest poprawny adres URL w pasku przeglądarki.

Silne, unikalne hasło

Hasło do bankowości elektronicznej musi być inne niż hasło do poczty, mediów społecznościowych czy sklepów internetowych. Jeśli używasz tego samego hasła w wielu serwisach, wyciek danych z któregokolwiek z nich automatycznie zagraża Twojemu kontu bankowemu. Bazy wycieków są publicznie dostępne, a oszuści testują skradzione hasła na stronach bankowych automatycznie.

Dobre hasło bankowe ma co najmniej 12 znaków i łączy wielkie oraz małe litery, cyfry i znaki specjalne. Nie powinno zawierać imion, dat urodzenia ani popularnych słów. Jeśli masz problem z zapamiętywaniem skomplikowanych haseł, skorzystaj z menedżera haseł. O tym jak stworzyć bezpieczne hasło piszemy w osobnym artykule.

Uwierzytelnianie dwuskładnikowe (2FA)

Samo hasło to za mało. Nawet najsilniejsze hasło może wyciec – dlatego uwierzytelnianie dwuskładnikowe (2FA) stanowi kluczowe zabezpieczenie. Dzięki niemu, nawet jeśli oszust pozna Twoje hasło, nie zaloguje się bez drugiego składnika: kodu SMS, potwierdzenia w aplikacji mobilnej banku lub fizycznego klucza U2F.

Banki w Polsce oferują kilka metod autoryzacji, które różnią się poziomem bezpieczeństwa:

• Autoryzacja w aplikacji mobilnej – najbezpieczniejsza powszechnie dostępna metoda. Potwierdzenie logowania lub transakcji pojawia się bezpośrednio w aplikacji banku na Twoim telefonie. Oszust musiałby mieć fizyczny dostęp do Twojego odblokowanego smartfona.
• Kody SMS – wygodne, ale mniej bezpieczne. Istnieją techniki przechwytywania SMS-ów (np. SIM swapping, o którym niżej). Mimo to kod SMS jest znacznie lepszy niż brak jakiejkolwiek dodatkowej autoryzacji.
• Klucze U2F (np. YubiKey) – fizyczne urządzenie podłączane do portu USB lub komunikujące się przez NFC. Najwyższy poziom bezpieczeństwa, ale nie wszystkie banki w Polsce je obsługują.

Jeśli Twój bank daje wybór między kodem SMS a autoryzacją mobilną, wybierz autoryzację mobilną.

Bezpieczeństwo transakcji bankowych w internecie

Potwierdzanie każdego przelewu kodem SMS, przepisywanie tokenów z aplikacji mobilnej, limity blokujące większy przelew w piątek wieczorem – to potrafi frustrować, szczególnie gdy masz do zrobienia kilka transakcji pod rząd. Pokusa wyłączenia części zabezpieczeń jest realna. Ale te mechanizmy istnieją z konkretnego powodu: nawet jeśli ktoś przejmie Twoje hasło, bez kodu autoryzacyjnego nie wykona przelewu. Każdy dodatkowy krok to bariera, której oszust zazwyczaj nie potrafi pokonać.

Weryfikacja danych przelewu

Istnieje złośliwe oprogramowanie, które podmienia numer rachunku bankowego w schowku systemowym. Kopiujesz numer konta odbiorcy z faktury lub e-maila, wklejasz go w formularzu przelewu – ale numer, który się pojawia, należy już do oszusta.

Przed zatwierdzeniem każdego przelewu porównaj numer rachunku w formularzu z numerem na fakturze lub umowie. Szczególną uwagę zwróć na pierwsze i ostatnie cyfry. Banki w wiadomości autoryzacyjnej (SMS lub powiadomienie w aplikacji) podają fragment numeru rachunku odbiorcy i kwotę – sprawdź, czy się zgadzają, zanim zatwierdzisz operację. Nigdy nie zatwierdzaj transakcji, której nie zweryfikowałeś.

Limity transakcyjne

Ustawienie dziennych limitów na przelewy, płatności kartą i transakcje BLIK to proste zabezpieczenie, które ogranicza potencjalne straty. Jeśli ktoś uzyska dostęp do Twojego konta, limit dzienny uniemożliwi wyprowadzenie wszystkich środków jednorazowo.

Sprawdź historię swoich transakcji z ostatnich miesięcy, aby ustalić realistyczny limit dzienny – wystarczający do codziennych operacji, ale blokujący nietypowo duże przelewy. Gdy pojawi się jednorazowa potrzeba wyższego przelewu (np. zakup samochodu), limit możesz tymczasowo podnieść w bankowości internetowej.

W maju 2025 roku PKO BP obniżył domyślne limity dzienne dla nowych klientów – np. do 10 000 zł dla przelewów z autoryzacją SMS. Bank uzasadnił to wprost: ograniczenie strat w przypadku przejęcia konta. Inne banki stosują podobne podejście.

BLIK – wygoda i ryzyko

Płatności kodem BLIK są szybkie i wygodne, ale oszuści nauczyli się to wykorzystywać. Schemat „na BLIK” wygląda tak: ktoś włamuje się na konto znajomego na Facebooku lub Messengerze i pisze z prośbą o pilną pożyczkę – „podaj kod BLIK, oddam jutro”. Ofiara generuje kod, podaje go „znajomemu”, a pieniądze trafiają do oszusta.

Zasada: nigdy nie podawaj kodu BLIK osobom kontaktującym się przez komunikatory, nawet jeśli wiadomość pochodzi z konta kogoś, kogo znasz. Jeśli znajomy naprawdę potrzebuje pieniędzy, zadzwoń do niego i potwierdź głosowo. Włamanie na konto społecznościowe to jedna z najczęstszych metod wyłudzania kodów BLIK.

Powiadomienia o transakcjach i logowaniach

Włącz powiadomienia push w aplikacji mobilnej banku. Dzięki nim dostaniesz informację o każdej transakcji na koncie w czasie rzeczywistym – przelewie, płatności kartą, wypłacie z bankomatu. Jeśli ktoś próbuje wyprowadzić pieniądze z Twojego konta, dowiesz się o tym w ciągu sekund, a nie przy najbliższym logowaniu. Powiadomienia push są bezpłatne, w odróżnieniu od alertów SMS, które w niektórych bankach są płatne.

Sprawdź też, czy Twój bank umożliwia wysyłanie powiadomień e-mail o każdym logowaniu do systemu. To dodatkowy sygnał ostrzegawczy – jeśli dostaniesz maila o logowaniu, którego nie wykonywałeś, natychmiast zmień hasło i skontaktuj się z bankiem.

Regularne przeglądanie historii transakcji

Raz na tydzień lub dwa warto przejrzeć historię operacji na koncie. Nieautoryzowana transakcja na 5 000 zł rzuca się w oczy od razu, ale drobne kwoty – 9,99 zł, 14,99 zł – łatwo przeoczyć, szczególnie jeśli konto jest aktywne. Oszuści czasem testują skradzione dane kart płatniczych niskimi kwotami, zanim wykonają większą transakcję.

Przy okazji przeglądania historii łatwo wyłapać zapomniane subskrypcje i cykliczne płatności za usługi, z których dawno nie korzystasz. Streaming, którego nikt w domu nie ogląda, aplikacja fitness po noworocznym postanowieniu, dodatkowa przestrzeń w chmurze – takie opłaty mogą być pobierane miesiącami i pozostawać niezauważone. Porządek w cyklicznych płatnościach to oszczędność i jednocześnie mniej miejsc, w których Twoja karta jest zapisana i potencjalnie narażona na wyciek.

Jak rozpoznać oszustwo bankowe?

Prawie każde oszustwo bankowe opiera się na tym samym mechanizmie: wywołać poczucie pilności lub strachu, żeby ofiara działała bez zastanowienia. Znajomość schematów to najlepsza obrona.

Phishing – fałszywe wiadomości

Phishing to najpowszechniejsza metoda kradzieży danych bankowych. Oszust wysyła e-mail lub SMS podszywający się pod bank z informacją o zablokowaniu konta, podejrzanej transakcji lub konieczności „weryfikacji danych”. Wiadomość zawiera link do fałszywej strony logowania.

Kluczowy fakt: bank nigdy nie prosi o podanie pełnych danych logowania przez e-mail, SMS ani telefon. Nigdy nie wysyła linków do strony logowania. Jeśli otrzymasz taką wiadomość, nie klikaj w link – otwórz aplikację bankową lub wpisz adres banku ręcznie w przeglądarce i sprawdź, czy na Twoim koncie faktycznie coś się dzieje. Podejrzaną wiadomość SMS możesz przesłać na numer 8080 (system CERT Polska do zgłaszania smishingu).

Vishing i spoofing – fałszywy „pracownik banku”

Vishing (voice phishing) to oszustwo telefoniczne, w którym dzwoniący podszywa się pod pracownika banku, policjanta lub prokuratora. Spoofing pozwala oszustom wyświetlić na Twoim telefonie prawdziwy numer infolinii banku – więc sam numer na ekranie niczego nie gwarantuje.

Typowy schemat: nagłe zagrożenie („ktoś próbuje wyprowadzić pieniądze z Pana konta”), propozycja pomocy („pomogę zabezpieczyć środki”), a potem prośba o dane logowania, kody autoryzacyjne lub zainstalowanie „aplikacji zabezpieczającej” (w rzeczywistości – oprogramowania zdalnego dostępu).

Zasada: jeśli ktoś dzwoni do Ciebie w sprawie konta bankowego i prosi o jakiekolwiek dane, hasła lub kody – rozłącz się. Potem sam zadzwoń na oficjalną infolinię banku (numer z karty płatniczej lub ze strony banku) i zapytaj, czy kontaktowali się z Tobą. Prawdziwy pracownik banku nigdy nie poprosi o hasło, PIN ani kod autoryzacyjny.

Deepfake – AI w służbie oszustów

Od 2025 roku rośnie liczba oszustw wykorzystujących sztuczną inteligencję do generowania realistycznych głosów. Technologia deepfake pozwala oszustom naśladować głos konkretnej osoby – np. dyrektora firmy, który dzwoni do księgowej z poleceniem pilnego przelewu. Ten sam mechanizm może posłużyć do podszywania się pod członka rodziny lub znajomego proszącego o przelew.

Obrona jest ta sama co przy klasycznym vishingu: jeśli ktoś dzwoni z nietypową prośbą dotyczącą pieniędzy, zweryfikuj tożsamość rozmówcy innym kanałem – oddzwoń na znany numer, napisz SMS, spotkaj się osobiście.

SIM swapping – przejęcie numeru telefonu

SIM swapping polega na tym, że oszust, posługując się skradzionymi danymi osobowymi, przekonuje operatora telekomunikacyjnego do wydania duplikatu karty SIM. Po przeniesieniu numeru na nową kartę oszust otrzymuje wszystkie SMS-y kierowane na ten numer – w tym kody autoryzacyjne z banku.

Sygnałem ostrzegawczym jest nagła utrata zasięgu w telefonie. Jeśli Twoja karta SIM nagle przestaje działać bez widocznej przyczyny (nie jesteś w tunelu, nie masz włączonego trybu samolotowego), to natychmiast skontaktuj się z operatorem komórkowym i bankiem. Wiele sieci komórkowych pozwala ustawić dodatkowe zabezpieczenie (PIN lub hasło) na operacjach związanych z wymianą karty SIM – warto to zrobić profilaktycznie.

To kolejny powód, dla którego autoryzacja mobilna w aplikacji banku jest bezpieczniejsza niż kody SMS.

Fałszywe inwestycje

Reklamy obiecujące „800% zysku z kryptowalut” lub „pasywny dochód 15 000 zł miesięcznie” to w ogromnej większości oszustwa. CSIRT KNF w 2025 roku zablokował 9 751 takich reklam. Schemat: ofiara rejestruje się na fałszywej platformie, wpłaca pieniądze, widzi rosnące „zyski” na ekranie, ale gdy próbuje wypłacić środki – okazuje się to niemożliwe.

Banki nie są w stanie zablokować przelewu, który sam autoryzujesz. Jeśli prześlesz pieniądze na konto oszustów, odzyskanie ich jest skrajnie trudne.

Co robić gdy padniesz ofiarą oszustwa bankowego

Jeśli podejrzewasz, że Twoje dane bankowe mogły zostać przechwycone lub zauważyłeś nieautoryzowaną transakcję na koncie, liczy się szybkość reakcji. Oto konkretne kroki w kolejności priorytetów:

1. Zastrzeż kartę płatniczą – natychmiast, przez aplikację mobilną banku lub infolinię. Numer infolinii znajdziesz na odwrocie karty. Możesz też zadzwonić na ogólnopolski numer zastrzegania kart: (+48) 828 828 828 (System Zastrzegania Kart).
2. Zablokuj dostęp do bankowości internetowej – przez aplikację, infolinię lub (w niektórych bankach) specjalnym SMS-em. Zmień hasło do bankowości, gdy odzyskasz kontrolę nad kontem.
3. Zmień hasła – nie tylko do banku, ale też do poczty e-mail i innych serwisów, jeśli używałeś tego samego hasła (a nie powinieneś).
4. Zastrzeż numer PESEL w aplikacji mObywatel – uniemożliwi to oszustom zaciągnięcie kredytu lub pożyczki na Twoje dane.
5. Zgłoś sprawę na policję – złóż zawiadomienie o podejrzeniu popełnienia przestępstwa. Zachowaj wszystkie dowody: zrzuty ekranu wiadomości, historię połączeń, potwierdzenia transakcji.
6. Zgłoś incydent do CERT Polska – przez stronę incydent.cert.pl. Podejrzane SMS-y prześlij na numer 8080. Te zgłoszenia pomagają blokować fałszywe strony i chronić innych użytkowników.

Jeśli kliknąłeś w podejrzany link, ale nie podałeś żadnych danych, ryzyko jest niższe – ale mimo to przeskanuj urządzenie programem antywirusowym.

Jak banki chronią Twoje pieniądze?

Zabezpieczenia po stronie banków działają w tle każdej sesji i transakcji, nawet jeśli użytkownik ich nie widzi.

Połączenie między Twoją przeglądarką a serwerem banku jest szyfrowane protokołem TLS, co oznacza, że nawet jeśli ktoś przechwyci transmisję danych, nie odczyta ich zawartości. Banki stosują też systemy wykrywania anomalii – algorytmy, które analizują wzorce Twoich transakcji i mogą zablokować przelew odbiegający od normy (np. duży przelew zagraniczny o 3 w nocy, gdy zwykle robisz drobne przelewy krajowe w godzinach pracy).

Od stycznia 2025 roku instytucje finansowe w Unii Europejskiej podlegają rozporządzeniu DORA (Digital Operational Resilience Act), które nakłada na banki obowiązki w zakresie testowania odporności cyfrowej, zarządzania ryzykiem ICT, raportowania incydentów i kontroli dostawców technologicznych. Wspomniany wcześniej spadek poważnych incydentów w sektorze bankowym o 68% jest częściowo efektem wdrożenia tych regulacji.

Środki na rachunkach bankowych w Polsce są też objęte gwarancjami Bankowego Funduszu Gwarancyjnego (BFG) do równowartości 100 000 euro na osobę w jednym banku. To zabezpieczenie na wypadek upadłości banku, nie na wypadek kradzieży – ale warto o nim wiedzieć.

Banki robią dużo po swojej stronie. Reszta zależy od Ciebie.

Najczęstsze pytania