Materiał powstał we współpracy z Alior Bankiem

Fałszywe SMS-y, podszywanie się pod pracowników banku, wyłudzanie danych, a coraz częściej także ataki wykorzystujące sztuczną inteligencję. Cyberprzestępcy nie zwalniają tempa. Jak dziś wygląda front walki z zagrożeniami w polskim sektorze bankowym?

Wyzwania, przed którymi stoimy, są w dużej mierze podobne do tych sprzed lat, choć zmienia się technologia. Sztuczna inteligencja oczywiście rewolucjonizuje rynek i generuje nowe typy zagrożeń, ale fundamentem ataków wciąż pozostaje phishing oraz, co jeszcze istotniejsze, bezpośrednia manipulacja płatnikiem. Większość oszukańczych transakcji nie jest wykonywana przez hakerów, którzy włamali się do systemu, ale przez samych klientów, którzy ulegli socjotechnice. Raport NBP za ostatni rok wskazuje, że kwota transakcji oszukańczych w polskim sektorze bankowym wyniosła 800 mln zł. Aż 60–70 proc. z nich to efekt manipulacji, gdzie przestępca wcale nie musi kraść loginu czy hasła – wystarczy, że zadzwoni i wywrze na ofierze presję czasu.

Przy manipulacji, której doświadcza wielu z nas, kluczowa jest presja czasu. Czy to najskuteczniejsza broń w arsenale przestępców?

Zdecydowanie tak. Przestępcy grają na emocjach i budują poczucie pilności. Często nie silą się nawet na wysoką jakość – wysyłają setki tysięcy SMS-ów bez polskich znaków, licząc na to, że te 2–3 proc. odbiorców po prostu kliknie w link pod wpływem impulsu. To ich „zwrot z inwestycji”. Klient, działając w pośpiechu lub wierząc w „inwestycję życia”, nie analizuje treści, tylko wykonuje polecenia. Refleksja przychodzi zazwyczaj za późno – po tygodniu, miesiącu, a czasem dopiero po kilku miesiącach.

Jak na te działania odpowiadają banki? Czy jesteście w stanie systemowo ograniczyć ten proceder?

Działamy na wielu poziomach. Każdy bank posiada zaawansowane systemy antyfraudowe, które analizują tzw. modus operandi przestępców i potrafią blokować podejrzane operacje. W Alior Banku stosujemy m.in. weryfikację dodatkową, np. pytając klienta SMS-em, czy na pewno chce dokonać danej transakcji kartowej. W sytuacjach krytycznych, gdy jesteśmy niemal pewni oszustwa, blokujemy rachunek całkowicie. Ważna jest też współpraca sektorowa – świetną robotę wykonuje polski CERT NASK, gdzie każdy może zgłosić podejrzany incydent, np. przesyłając SMS na numer 8080.

Czy faktycznie Polska jest dziś szczególnie narażona na ataki?

Niestety tak. Według danych Agencji UE ds. Cyberbezpieczeństwa (ENISA) wzrost zagrożeń rok do roku dla firm w naszym regionie to około 40 proc., a w polskim sektorze bankowym te statystyki mogą być nawet wyższe. Jesteśmy w pierwszej piątce, a według niektórych zestawień nawet w pierwszej dwójce najbardziej atakowanych państw na świecie. To pokłosie naszej sytuacji geopolitycznej. W cyberprzestrzeni jesteśmy niebezpiecznie blisko momentu, w którym można by rozważać uruchomienie art. 5 NATO.

Wróćmy do technologii. Dużo mówi się o AI. Czy w cyberbezpieczeństwie to już standard?

To wyścig zbrojeń. Przestępcy wykorzystują generatywną sztuczną inteligencję do tworzenia deepfake’ów i scenariuszy oszustw, nie będąc ograniczonymi żadnymi przepisami. My, jako instytucje finansowe, działamy w silnie regulowanym środowisku. Niemniej banki od dawna stosują machine learning i metody heurystyczne, a teraz także generatywne AI, by szybciej wykrywać anomalie.

Ciekawym kierunkiem jest biometria behawioralna. Zamiast polegać tylko na hasłach, badamy sposób, w jaki klient trzyma telefon, jak używa myszki czy z jaką dynamiką pisze na klawiaturze. To unikatowa charakterystyka każdego użytkownika, która pozwala nam weryfikować tożsamość w tle, bez angażowania klienta. Dążymy do modelu tzw. continuous authentication – ciągłego potwierdzania, czy osoba korzystająca z aplikacji to faktycznie nasz klient.

To jednak rodzi konflikt między wygodą a bezpieczeństwem. Klienci przecież chcieliby, by wszystko działo się za „jednym kliknięciem”.

To wieczne balansowanie. Musimy wprowadzać pewne „tarcie” (friction) do procesów, które są ryzykowne. Coraz więcej będzie komunikatów ostrzegawczych i dodatkowych kroków, bo to w interesie klienta. Część banków wdraża rozwiązania takie jak „panic button” w aplikacjach mobilnych, który pozwala w sytuacji nagłej jednym przyciskiem zablokować dostęp do konta lub obniżyć limity, gdy zorientujemy się, że coś jest nie tak. W przypadku kradzieży pieniędzy czas jest kluczowy – im szybciej otrzymamy zgłoszenie, tym większa szansa na zminimalizowanie strat.

A jakie wskazałby pan trzy najważniejsze zasady, które każdy z nas powinien wdrożyć, by czuć się bezpieczniej w sieci?

Po pierwsze, zdrowy rozsądek i dziesięć głębokich oddechów. Jeśli otrzymujemy ofertę inwestycji życia lub telefon z informacją o zagrożonych środkach, nie działajmy impulsywnie. Dajmy sobie chwilę na racjonalne przemyślenie sytuacji.

Po drugie, higiena cyfrowa, która powinna być jak mycie zębów. To muszą być rutynowe działania: zastrzeżenie PESEL-u w aplikacji mObywatel, obniżanie limitów transakcyjnych, gdy z nich nie korzystamy, czy czasowe blokowanie karty, np. w trakcie pobytu na basenie.

Po trzecie, edukacja. Czytajmy o trendach i nowych metodach oszustw. Świat cyfrowy przenika się z naszym życiem tak mocno, że nieznajomość zasad panujących w cyberprzestrzeni staje się po prostu niebezpieczna.

Materiał powstał we współpracy z Alior Bankiem