O oszustwach internetowych słyszy się coraz więcej. Czy rzeczywiście zagrożenie wzrasta?
Karol Głogowski: Zdecydowanie mamy do czynienia z realnym wzrostem zagrożenia. Z jednej strony więcej mówi się o cyberbezpieczeństwie, co zwiększa świadomość klientów. Jednak z drugiej przestępcy są świetnie przygotowani, stają się coraz bardziej aktywni i coraz lepiej wykorzystują socjotechniki, czyli manipulowanie ludźmi, zamiast atakowania samych systemów informatycznych.
Skalę problemu dobrze pokazują dane. W 2025 roku zespół CSIRT KNF zgłosił do zablokowania 256 fałszywych domen podszywających się pod banki, których celem było wyłudzanie danych logowania klientów. Z kolei serwis moje.cert.pl prowadzony przez NASK zidentfikował blisko 5,5 mln haseł pochodzących z wycieków danych, co pokazuje, jak często dane uwierzytelniające trafiają w niepowołane ręce.
Dane z Raportu Antyfraudowego BIK pokazują, że 47% Polaków miało osobisty kontakt z co najmniej jedną próbą wyłudzenia, najczęściej poprzez phishing. Obserwujemy też niepokojący trend w danych dotyczących transakcji oszukańczych publikowanych przez NBP choć ich liczba niekiedy spada, to wartość systematycznie rośnie.
Skoro logujemy się hasłem, korzystamy z autoryzacji w aplikacji i kodów SMS, to dlaczego oszuści wciąż potrafią przejąć konto?
K.G.: Problem polega na tym, że cyberprzestępcy coraz rzadziej próbują pokonać same zabezpieczenia techniczne. Znacznie częściej wykorzystują socjotechnikę, czyli po prostu manipulują ludźmi.
Klasyczny scenariusz wygląda tak, że oszust dzwoni do klienta, podszywając się pod pracownika banku i przekonuje go, że na koncie dzieje się coś niepokojącego. W trakcie rozmowy nakłania klienta do zalogowania się do bankowości lub zainstalowania programu pozwalającego na podgląd i przejęcie sterowania urządzeniem ofiary. W efekcie to właściciel konta sam przechodzi proces logowania i potwierdza swoją tożsamość, a następnie przestępca przejmuje kontrolę nad aktywną sesją i wykonuje operacje na jego rachunku.
Czy w takiej sytuacji klient jest bezsilny?
K.G.: Niekoniecznie. Właśnie z myślą o takich sytuacjach powstała ochrona behawioralna. To zabezpieczenie „wytrenowane” do tego, by analizować, czy operacje na koncie faktycznie wykonuje jego właściciel. Włączona ochrona behawioralna może zidentyfikować nagłą zmianę sposobu korzystania z bankowości, a przez to przyczynić się do uruchomienia przez bank dodatkowej autoryzacji i w efekcie udaremnienia próby kradzieży czy oszustwa.
Nazwa brzmi dość tajemniczo. Jak najprościej wyjaśnić, czym jest ochrona behawioralna?
K.G.: Najprościej mówiąc, jest to dodatkowa warstwa zabezpieczeń w bankowości elektronicznej, która chroni klienta na podstawie tego, jak z niej korzysta. Można powiedzieć, że ochrona behawioralna „interesuje się” nie tym, co robimy, ale jak to robimy. Każdy z nas ma charakterystyczny sposób pisania na klawiaturze, poruszania myszką, przewijania ekranu czy korzystania z telefonu. Te cechy są na tyle indywidualne, że pozwalają odróżnić właściciela konta od osoby, która próbuje się pod niego podszyć.
System buduje profil klienta na podstawie tego, w jaki sposób korzysta on z bankowości na wszystkich swoich urządzeniach. Choć na co dzień nie zauważamy subtelnych różnic w naszych zachowaniach, algorytmy potrafią je rozpoznać i wykorzystać do ochrony naszego konta.
Jak to działa w praktyce? Co dokładnie analizuje system podczas korzystania z bankowości internetowej lub aplikacji?
K.G.: System analizuje wiele elementów zachowania klienta podczas korzystania z bankowości elektronicznej takie jak wspomniany już sposób przewijania, pisania, klikania czy nawet trzymania telefonu. Na podstawie tych informacji tworzony jest indywidualny profil użytkownika. Kiedy podczas logowania lub korzystania z bankowości pojawia się zachowanie wyraźnie odbiegające od tego profilu, system informuje o tym bank.
Ktoś może pomyśleć: skoro system analizuje moje zachowanie, to czy śledzi wszystko, co robię?
K.G.: To najczęstsza obawa i warto ją od razu rozwiać. Ochrona behawioralna nie analizuje treści naszych działań, lecz wyłącznie sposób korzystania z bankowości.
System nie wie, komu robimy przelew, na jaką kwotę ani jakie wpisujemy hasła. Nie analizuje też, jakie strony odwiedzamy, gdzie robimy zakupy czy z jakich aplikacji korzystamy. Interesuje go wyłącznie sposób obsługi urządzenia podczas korzystania z bankowości elektronicznej. Dlatego mówimy, że ochrona behawioralna jest bezkontekstowa.
Co równie ważne, dane behawioralne są wykorzystywane wyłącznie do ochrony klienta. Nie służą profilowaniu marketingowemu ani żadnym innym celom.
„Nie sprawdzamy, co użytkownik robi w bankowości, ale jak z niej korzysta. Nie analizujemy treści przelewów, salda ani wpisywanych haseł. Dane behawioralne służą wyłącznie ochronie klienta i nigdy nie są wykorzystywane do innych celów.”
Czy każdy użytkownik ma naprawdę tak unikalny sposób korzystania z urządzeń?
K.G.: Tak. Choć większości z nas wydaje się, że wszyscy korzystają z telefonu czy klawiatury podobnie, w praktyce każdy robi to trochę inaczej. Jedni mocniej poruszają telefonem podczas pisania, inni wykonują charakterystyczne ruchy palcem podczas przewijania ekranu. System analizuje jednocześnie wiele parametrów, dzięki czemu potrafi skutecznie odróżnić właściciela konta od potencjalnego złodzieja.
Co dzieje się, gdy system wykryje nietypowe zachowanie?
K.G.: Informacja trafia do banku, który decyduje, co z nią zrobić. Bank wie, jakiej operacji dotyczy dana sesja, czy rodzaj tej operacji odbiega od innych wykonywanych wcześniej i może zdecydować, czy potrzebna jest dodatkowa weryfikacja. W zależności od sytuacji bank może na przykład poprosić klienta o dodatkowe potwierdzenie wykonywanej czynności. Co ważne, ochrona behawioralna sama nie blokuje konta ani transakcji. Przekazuje natomiast bankowi sygnał o możliwym zagrożeniu.
A co jeśli zmienię telefon, złamię rękę albo po prostu będę się spieszyć i zacznę korzystać z urządzenia inaczej?
K.G.: To naturalne sytuacje i system został na nie przygotowany. Profil behawioralny cały czas „uczy się” zachowań użytkownika. Jeśli klient zmieni telefon, komputer albo z czasem zacznie inaczej korzystać z urządzeń, np. ze względu na wiek i sprawność, model stopniowo dostosuje się do nowych zachowań.
Oczywiście w pierwszym okresie po większej zmianie może pojawić się prośba o dodatkową weryfikację , ale po zebraniu nowych danych ochrona działa już tak jak wcześniej.
Czy zatem z włączoną ochroną behawioralną możemy czuć się całkowicie bezpieczni?
K.G.: Ochrona behawioralna znacząco zwiększa bezpieczeństwo, ale nie zwalnia z ostrożności. Cyberprzestępcy nieustannie zmieniają swoje metody działania, dlatego najlepsze efekty daje połączenie nowoczesnych technologii i świadomych zachowań użytkowników.
Co jednak ważne, Ochronę behawioralną wykorzystuje coraz więcej banków. Oznacza to, że jeśli klient aktywnie korzysta z jednego banku, łatwiej zapewnić mu ochronę również wtedy, gdy zacznie korzystać z kolejnego banku wykorzystującego tę samą technologię.
Czy BIK może przekazać bankom mój profil behawioralny?
K.G.: Nie. To kolejna bardzo ważna kwestia. BIK tworzy i przechowuje modele behawioralne na Platformie Weryfikacji Behawioralnej, ale nie przekazuje ich bankom. Bank otrzymuje jedynie informację, czy zachowanie osoby korzystającej z bankowości jest zgodne z profilem właściciela konta.
Dzięki temu zachowana jest prywatność użytkowników, a jednocześnie bank może szybko reagować na potencjalne próby oszustwa.
Warto wiedzieć
„Ochrona behawioralna nie ma nic wspólnego z inwigilacją. Narzędzie nie dokonuje identyfikacji klienta, a banki nie mają dostępu do jego profilu behawioralnego.”
Gdyby miał Pan przekonać sceptycznego klienta jednym argumentem do włączenia ochrony behawioralnej, co by to było?
K.G.: Powiedziałbym, że to dodatkowa ochrona, która nic nie kosztuje, nie utrudnia korzystania z bankowości i działa praktycznie niezauważalnie. Wystarczy wyrazić zgodę, aby bank zyskał możliwość wykrycia sytuacji, w której ktoś próbuje podszyć się pod właściciela konta nawet wtedy, gdy zna jego login i hasło. Nie jesteśmy w stanie przewidzieć, kiedy ktoś spróbuje nas oszukać. Ale możemy sprawić, że bank będzie miał większą szansę rozpoznać i udaremnić taką próbę.
Dziękuję za rozmowę.
