PKO Bank Polski opublikował komunikat dotyczący bezpieczeństwa bankowości internetowej i mobilnej. Bank ostrzega przede wszystkim przed fałszywymi aplikacjami, stronami logowania oraz telefonami od osób podszywających się pod jego pracowników. Przestępcy wykorzystują presję czasu i coraz bardziej wiarygodne kopie bankowych komunikatów.
PKO Bank Polski przypomniał klientom zasady, których przestrzeganie może uchronić przed utratą pieniędzy i przejęciem danych umożliwiających dostęp do rachunku. Komunikat został opublikowany 14 września 2026 r. Bank zwraca uwagę, że oszustwo nie musi zaczynać się od podejrzanie wyglądającej wiadomości. Cyberprzestępcy potrafią przygotować stronę przypominającą prawdziwy serwis bankowy, posłużyć się nazwą banku w wiadomości, a podczas rozmowy telefonicznej wyświetlić na ekranie ofiary numer wyglądający jak należący do instytucji finansowej.
Kluczowym elementem większości takich scenariuszy pozostaje presja. Klient ma uwierzyć, że musi działać natychmiast, ponieważ jego aplikacja przestanie działać, doszło do podejrzanego przelewu, ktoś próbuje zaciągnąć kredyt na jego dane albo środki zgromadzone na rachunku są zagrożone. PKO Bank Polski podkreśla, że właśnie w takiej sytuacji należy przerwać działanie i dokładnie zweryfikować otrzymany komunikat.
Fałszywa aplikacja PKO BP. Instalacja wyłącznie z oficjalnego sklepu
Jednym ze scenariuszy wykorzystywanych przez przestępców jest informacja o rzekomym wygaśnięciu lub utracie ważności aplikacji mobilnej. Wiadomość może zawierać wezwanie do zainstalowania nowej wersji programu oraz link prowadzący do przygotowanej przez oszustów strony.
PKO Bank Polski wskazuje jednoznacznie, że aplikację bankową należy pobierać wyłącznie z oficjalnych sklepów z aplikacjami, takich jak Google Play oraz App Store. Po wyszukaniu aplikacji trzeba także zweryfikować jej wydawcę. Do odpowiedniego sklepu można przejść bezpośrednio z oficjalnej strony banku.
Bank zastrzega przy tym, że nie wysyła klientom w SMS-ach ani wiadomościach e-mail linków służących do pobrania aplikacji. Jeśli użytkownik ma w telefonie włączone automatyczne aktualizacje, nowa wersja programu powinna zostać zainstalowana w ramach standardowego mechanizmu aktualizacyjnego sklepu.
Ryzyko związane z instalacją programu pochodzącego z przypadkowego źródła wykracza poza możliwość przejęcia hasła. Komisja Nadzoru Finansowego zwraca uwagę, że złośliwe aplikacje mogą żądać rozbudowanych uprawnień, w tym dostępu do funkcji ułatwień dostępu. Takie uprawnienia mogą następnie zostać wykorzystane do przejęcia kontroli nad urządzeniem i wykonywania na nim kolejnych operacji.
Fałszywa strona logowania do iPKO. Drobna różnica może przesądzić o kradzieży danych
Drugim zagrożeniem wskazanym przez PKO Bank Polski są strony podszywające się pod prawdziwy serwis bankowości internetowej. Mogą bardzo dokładnie odwzorowywać wygląd właściwej strony, łącznie z układem graficznym i polami służącymi do podania loginu i hasła.
Przed wpisaniem jakichkolwiek danych PKO Bank Polski zaleca sprawdzenie adresu znajdującego się w pasku przeglądarki. Właściwym adresem serwisu jest ipko.pl. Podejrzenia powinny wzbudzić literówki, dodatkowe znaki, zmieniona końcówka domeny albo inne, nawet niewielkie odstępstwa od właściwego adresu.
Bank zaleca również sprawdzenie certyfikatu bezpieczeństwa strony i upewnienie się, że został wystawiony dla PKO Banku Polskiego. Nie należy natomiast zakładać, że samo podobieństwo strony do serwisu bankowego jest potwierdzeniem jej autentyczności.
Najbezpieczniejszym rozwiązaniem pozostaje samodzielne wpisanie właściwego adresu w przeglądarce albo korzystanie z wcześniej zapisanej zakładki. Bank odradza przechodzenie do strony logowania za pośrednictwem odnośników otrzymanych w SMS-ach lub e-mailach.
KNF wskazuje, że phishingowe wiadomości bardzo często bazują właśnie na konieczności szybkiej reakcji. Odbiorca może zostać poinformowany o problemie technicznym, obowiązku aktualizacji danych, konieczności potwierdzenia płatności albo innej sytuacji wymagającej natychmiastowego działania. Link przenosi go następnie na fałszywą stronę służącą do wyłudzenia danych logowania, informacji o karcie lub nakłonienia do pobrania szkodliwego programu.
Telefon z PKO BP może wyglądać wiarygodnie. Numer na ekranie nie wystarczy
Oddzielnym zagrożeniem są telefony od osób podających się za pracowników banku. PKO Bank Polski ostrzega, że przestępcy mogą dzwonić z numerów wyglądających jak należące do banku.
Technika ta wykorzystuje spoofing, czyli możliwość podszycia się pod określony numer telefonu. Komisja Nadzoru Finansowego podkreśla, że ofiara może przez to być przekonana, że rzeczywiście rozmawia z konsultantem banku lub przedstawicielem innej zaufanej instytucji.
Scenariusz rozmowy jest zazwyczaj skonstruowany tak, aby wywołać strach. Rozmówca może przekonywać, że na koncie pojawił się podejrzany przelew, ktoś zaciągnął kredyt na dane klienta albo doszło do próby włamania. Kolejnym krokiem jest nakłanianie do wykonania czynności, która rzekomo ma ochronić pieniądze.
PKO Bank Polski podkreśla, że jego pracownicy nie proszą klientów o przekazywanie pieniędzy na inne rachunki. Nie żądają również loginu i hasła do bankowości internetowej, danych karty ani kodu BLIK. Tożsamość osoby podającej się za pracownika banku można zweryfikować w aplikacji mobilnej PKO.
„Bezpieczne konto” i kod BLIK. Schemat oszustwa na pracownika banku
KNF opisuje bardziej rozbudowane warianty oszustwa telefonicznego. Fałszywy konsultant może próbować przekonać rozmówcę do zainstalowania programu umożliwiającego zdalne zarządzanie urządzeniem. Inną metodą jest nakłanianie klienta do przelania środków na wskazany rachunek, przedstawiany jako rachunek techniczny lub bezpieczne konto.
Przestępcy mogą również próbować uzyskać kod BLIK. W innych wariantach nakłaniają ofiarę do wypłacenia gotówki z bankomatu i dokonania późniejszej wpłaty zgodnie z ich instrukcjami.
Szczególnie niebezpieczna jest instalacja programu umożliwiającego zdalny dostęp do urządzenia. Jeżeli użytkownik następnie zaloguje się do bankowości elektronicznej, przestępca może uzyskać dostęp do informacji pojawiających się na ekranie i wykorzystać przejęte dane do dalszych operacji.
KNF zaleca w przypadku podejrzanego telefonu przerwanie rozmowy i samodzielny kontakt z bankiem. Nie należy oddzwaniać na numer wskazany przez rozmówcę ani wykonywać jego poleceń tylko dlatego, że zna on część danych klienta lub posługuje się profesjonalnym słownictwem.
Najważniejszą zasadą pozostaje niepodejmowanie decyzji pod presją. Jeżeli rozmówca twierdzi, że pieniądze trzeba natychmiast przelać, podać kod autoryzacyjny, zainstalować dodatkowy program albo zalogować się poprzez przesłany link, powinno to być sygnałem do przerwania kontaktu i niezależnego sprawdzenia sytuacji.
Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone.
Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A. Kup licencję.
Wpisz adres e-mail wybranej osoby, a my wyślemy jej bezpłatny dostęp do tego artykułu