Bezpieczna bankowość internetowa dla pracowników: hasła, 2FA i oszustwa

Kanały bankowości internetowej dla pracowników i podstawowe zasady

Banki dają dostęp do rachunku zwykle w dwóch kanałach: aplikacji mobilnej i serwisie internetowym. PKO wymienia oba jako kanały bankowości elektronicznej rozwijane zgodnie ze standardami bezpieczeństwa. Z bankowości elektronicznej korzystają zarówno klienci indywidualni, jak i firmy.

Raport Związku Banków Polskich podaje, że na koniec grudnia liczba umów zapewniających dostęp do bankowości internetowej przekroczyła 43 mln i była o 2,5 mln wyższa niż w IV kwartale 2022 r.

Raport NetB@nk: 27,7 mln aktywnych użytkowników bankowości mobilnej, przygotowany przez Związek Banków Polskich i opublikowany 23.06.2026, podaje, że na koniec I kwartału 2026 r. liczba umów dostępu do bankowości internetowej klientów indywidualnych wyniosła 46 044 978. Liczba klientów MSP z dostępem do bankowości internetowej wyniosła 3 851 996, a aktywnych klientów MSP – 2 490 168.

W I kwartale 2026 r. liczba aktywnych użytkowników bankowych aplikacji mobilnych wzrosła do 27 662 033. Klientów logujących się wyłącznie do aplikacji bankowych było 21 095 572.

Bezpieczeństwo zależy od dwóch stron. Bank odpowiada za zabezpieczenia serwisu, ale – jak zaznacza PKO – zależy ono również od klienta: to działanie użytkownika decyduje, czy pracownik nie ujawni danych logowania i nie zatwierdzi oszukańczej transakcji.

Podstawowa zasada dla każdego pracownika: żaden bank nigdy nie pyta o hasła ani inne poufne dane i nie prosi o ich aktualizację. Banki nie wysyłają też w wiadomościach linków do stron transakcyjnych. Listy, e-maile i telefony w takich sprawach to próba wyłudzenia poufnych informacji – nie odpowiadaj na nie danymi, lecz bezzwłocznie skontaktuj się z bankiem i poinformuj o zdarzeniu.

Ustal, jakie zabezpieczenia bank stosuje w serwisie internetowym. Poradnik Związku Banków Polskich zaleca sprawdzenie ich na stronie banku i bezwzględne stosowanie przy każdym logowaniu zasad bezpieczeństwa tam opublikowanych. W razie jakichkolwiek nieprawidłowości natychmiast skontaktuj się z pracownikiem banku.

Lista kontrolna dla firmy: każdy pracownik ma własne dane dostępowe; hasła są długie, złożone i jedyne dla banku; 2FA jest włączone dla wszystkich użytkowników; powiadomienia o operacjach trafiają na sprawdzany kanał; adres banku wpisuje się ręcznie; podejrzane wiadomości zgłasza się natychmiast bankowi.

Przygotowanie urządzeń i sieci do pracy z bankowością

Komputer lub telefon z dostępem do internetu musi mieć zainstalowany i regularnie aktualizowany program antywirusowy. Aktywuj istotne moduły pakietu ochronnego: monitor antywirusowy, skaner poczty i firewall. Wyłączanie tych modułów, by zmniejszyć obciążenie systemu, jest wprost szkodliwe dla bezpieczeństwa bankowości.

Płatności i logowanie do banku wykonuj wyłącznie z zaufanych, „pewnych” komputerów. Nie rób tego na komputerach w miejscach publicznych, np. w kawiarenkach internetowych lub na uczelni. W sieci firmowej ogranicz liczbę urządzeń podłączonych do Wi-Fi i zezwalaj tylko na urządzenia zaufane. Do banku nie loguj się przez publiczne Wi-Fi ani nie wykonuj tam transakcji.

Na służbowych komputerach instaluj wyłącznie legalne oprogramowanie. Programy niewiadomego pochodzenia, w tym ściągane przez sieci Peer-to-Peer, mogą być przygotowane przez hakerów i zawierać wirusy lub inne szkodliwe oprogramowanie. Skanuj komputer okresowo, zwłaszcza przed wejściem na stronę banku i wykonaniem transakcji. Jeśli masz wątpliwości co do jakości usług dostawcy internetu, zapytaj go o poziom oferowanego bezpieczeństwa.

Lista kontrolna dla urządzeń: aktualny program antywirusowy; włączony monitor antywirusowy, skaner poczty i firewall; wyłącznie legalne oprogramowanie; brak logowania przez publiczne Wi-Fi; praca tylko z pewnych komputerów.

Loginy, hasła i autoryzacja dwuskładnikowa

Hasła do bankowości mają być długie i złożone. Nie używaj tych samych haseł do mediów społecznościowych, poczty internetowej i banku – hasło do banku musi być jedyne w swoim rodzaju. Wyciek hasła z jednego serwisu natychmiast otwiera dostęp do pozostałych, jeśli są takie same.

Autoryzacja dwuskładnikowa (2FA) wymaga drugiego składnika poza hasłem – najczęściej kodu z aplikacji mobilnej banku, kodu SMS albo tokena. Po jej włączeniu samo przechwycenie hasła nie wystarczy do wejścia na rachunek ani zlecenia przelewu. Sprawdź w banku, jakie metody potwierdzania udostępnia, i włącz je dla wszystkich użytkowników firmowych.

Dane logowania pracowników chronisz tak samo jak hasła służbowe. Każdy pracownik ma własne dane dostępowe i nie udostępnia ich współpracownikom – inaczej nie da się ustalić, kto wykonał daną operację. Na komputerach współdzielonych nie zapisuj haseł w przeglądarce ani w plikach tekstowych; do ich przechowywania służy menedżer haseł.

Hasło zmień, gdy tylko pojawi się podejrzenie, że mogło zostać ujawnione. Z poradnika Związku Banków Polskich wynika, że bank nigdy nie prosi w wiadomości o hasło ani o jego aktualizację – każda taka prośba to próba wyłudzenia.

Polityka haseł w firmie: hasła długie i złożone; hasło do banku jedyne w swoim rodzaju; brak zapisu haseł w przeglądarce i plikach tekstowych; przechowywanie w menedżerze haseł; zmiana hasła przy podejrzeniu ujawnienia.

Bezpieczne logowanie do banku

Adres strony banku najlepiej wpisz w całości w oknie przeglądarki. Unikaj wchodzenia na stronę banku z linku w wyszukiwarce – serwisów łudząco podobnych do witryn bankowych nie brakuje, a ich celem jest przechwytywanie loginów i haseł.

Zanim pracownik wpisze identyfikator, login i hasło, powinien sprawdzić, czy połączenie z bankiem wykorzystuje szyfrowanie, oraz poprawność certyfikatu. Strony banków zabezpiecza certyfikat SSL, któremu towarzyszy symbol zamkniętej kłódki przy adresie. Fałszywe strony też mogą mieć takie oznaczenie – dlatego po sprawdzeniu kłódki skontroluj jeszcze raz poprawność adresu internetowego.

Oszuści mogą podszywać się pod bank i namawiać do instalacji fałszywej aplikacji lub logowania na fałszywej stronie. Loguj się wyłącznie z adresu wpisanego ręcznie, a nie z linku otrzymanego w wiadomości. Powtarzaj tę regułę przy każdym szkoleniu – banki nie wysyłają w wiadomościach linków do stron transakcyjnych.

Lista kontrolna logowania: adres banku wpisany ręcznie; sprawdzone szyfrowanie i certyfikat SSL; skontrolowana poprawność adresu; brak wchodzenia z linku w wyszukiwarce lub wiadomości; brak instalacji aplikacji z nieznanego źródła.

Powiadomienia o transakcjach i szybka reakcja

Włącz powiadomienia o operacjach na koncie – SMS-em, e-mailem albo jako push w aplikacji banku. Powiadomienie po każdej operacji pozwala zauważyć nieautoryzowaną transakcję w momencie jej wykonania, a nie dopiero przy przeglądaniu wyciągu. W firmie zadbaj, by trafiały na kanał, który pracownik sprawdza na bieżąco, i na przypisane do niego urządzenie, a nie na wspólną, rzadko czytaną skrzynkę.

Szybka informacja zwrotna bezpośrednio wpływa na skutki naruszenia bezpieczeństwa. Poradnik Związku Banków Polskich wskazuje, że przy jakichkolwiek nieprawidłowościach trzeba natychmiast skontaktować się z pracownikiem banku, a w razie wiadomości budzącej podejrzenie wyłudzenia – bezzwłocznie poinformować bank o zdarzeniu. PKO podkreśla, że jeśli cokolwiek wzbudzi niepokój, klient powinien dać bankowi znać. Im krótszy czas między operacją a zgłoszeniem, tym większa szansa na szybką reakcję banku.

Lista kontrolna powiadomień: włącz powiadomienia SMS-em, e-mailem lub jako push w aplikacji banku. Przypisz je do kanału i urządzenia, które pracownik sprawdza na bieżąco, a nie do wspólnej, rzadko czytanej skrzynki.

Czego uczulić pracowników: oszustwa i socjotechnika

PKO wymienia najpopularniejsze metody oszustów: fałszywe linki w SMS nakłaniające do dopłaty usługi, oszustwo na kod do płatności mobilnej, spoofing telefoniczny, fałszywe inwestycje, fałszywe aplikacje i strony podszywające się pod bank oraz oszustwo romantyczne. Wszystkie opierają się na nakłonieniu użytkownika do samodzielnego działania – kliknięcia linku, potwierdzenia kodu albo podania danych.

Przy płatności mobilnej: zanim potwierdzisz kod BLIK, zadzwoń do znajomego i upewnij się, czy naprawdę prosi o BLIK-a. Gdy dzwoni ktoś rzekomo z banku, sprawdź w aplikacji mobilnej banku, czy rozmawiasz z pracownikiem banku – to zabezpieczenie przed spoofingiem telefonicznym. Fałszywe inwestycje rozpoznasz po reklamach obiecujących wysoki zysk bez ryzyka; w rzeczywistości chodzi o przejęcie pieniędzy i danych.

Ogólna zasada rozpoznawania prób wyłudzenia: zachowaj ostrożność przy niechcianych mailach, SMS-ach i telefonach, zwłaszcza gdy rozmówca namawia do podania danych, loginów lub haseł. Takie wiadomości i telefony traktuj jako próbę wyłudzenia poufnych informacji.

Pokaż pracownikom, że banki prowadzą własne strony edukacyjne – np. PKO omawia na swojej stronie sposób rozpoznania prawdziwej aplikacji i strony logowania, sekcję „Jak zgłosić oszustwo?” oraz zastrzeżenie numeru PESEL wraz ze zmianami, które weszły w życie 1 czerwca 2024 r.

Scenki do szkolenia pracowników: fałszywy SMS nakłaniający do dopłaty usługi; prośba o kod BLIK; telefon rzekomo z banku; reklama inwestycji z wysokim zyskiem bez ryzyka; fałszywa aplikacja lub strona logowania.

Na szkoleniu pokaż, że przy BLIK-u trzeba zadzwonić do znajomego, a przy telefonie z banku sprawdzić w aplikacji mobilnej, czy rozmówca jest pracownikiem banku. Wskaż też sekcję „Jak zgłosić oszustwo?” oraz informację o zastrzeżeniu numeru PESEL i zmianach od 1 czerwca 2024 r.

Reakcja na incydent i kontakt z bankiem

Procedura na wypadek podejrzenia oszustwa ma być krótka i znana każdemu pracownikowi: nie odpowiadaj na podejrzaną wiadomość, nie przekazuj w odpowiedzi poufnych danych, nie klikaj linków i nie potwierdzaj kodów płatności mobilnych. Poradnik Związku Banków Polskich wskazuje wprost, że listy, e-maile i telefony dotyczące haseł lub innych poufnych danych to próba wyłudzenia informacji – nie odpowiadaj na nie danymi, lecz bezzwłocznie skontaktuj się z bankiem i poinformuj go o zdarzeniu.

Zgłoszenie musi nastąpić natychmiast. Przy jakichkolwiek nieprawidłowościach niezwłocznie skontaktuj się z pracownikiem banku. Wewnętrzna instrukcja powinna wskazywać, kto w firmie przyjmuje zgłoszenie od pracownika i jakimi kanałami firma kontaktuje się z bankiem – aby nie tracić czasu na ustalanie tego w trakcie incydentu. Zapisz też, jakie informacje przekazać bankowi: kiedy zauważono nieprawidłowość, jakiej operacji dotyczy i jakich danych logowania mogła dotyczyć próba wyłudzenia.

Procedura krok po kroku: nie odpowiadaj na podejrzaną wiadomość, nie klikaj linków, nie podawaj danych i nie potwierdzaj kodów płatności mobilnych. Natychmiast skontaktuj się z bankiem i zgłoś zdarzenie osobie wskazanej w wewnętrznej instrukcji. Zapisz, kiedy zauważono nieprawidłowość, jakiej operacji dotyczy i jakich danych logowania mogła dotyczyć próba wyłudzenia.