Socjotechnika wciąż skuteczna, ale banki chronią swoich klientów
Jednak, jak mówi przedstawiciel jednego z największych polskich banków, skuteczność ochrony zależy nie tylko od technologii, ale także od świadomości użytkowników – a ta, jak pokazują statystyki – wciąż wymaga wzmacniania.
Oszustw coraz wiecej
Z „Raportu Antyfraudowego BIK 2025” wynika, że w ubiegłym roku 47% klientów instytucji finansowych zetknęło się z problemem wyłudzeń. To o 10 p.p. więcej niż w 2024 r. oraz o 11 p.p. niż w 2023 r. Szczególną uwagę zwraca rosnąca liczba prób wyłudzeń za pośrednictwem urządzeń mobilnych. 40% ankietowanych wskazuje na oszustwa SMS-owe, a 22% – na próby kontaktu przez komunikatory internetowe, takie jak Messenger czy WhatsApp.
Wśród małych i średnich firmy styczność z próbami wyłudzeń miało 31,8% przedsiębiorców. Skali zjawiska nie determinują ani branża, ani wielkość firmy – zagrożone są wszystkie podmioty.
Ponad połowa z przedsiębiorstw, które padły ofiarą prób wyłudzeń deklaruje, że incydenty te występowały nawet 10 razy w ciągu roku. Jednocześnie w przypadku 45% firm skala prób ataków była jeszcze większa – od kilkunastu do nawet stu rocznie. Straty finansowe w blisko połowie przypadków (47,2%) nie przekroczyły 10 tys. zł, jednak 11,3% przedsiębiorstw poniosło straty sięgające do 100 tys. zł, a 5,7% – nawet 1 mln zł.
Również 36% przedstawicieli korporacji dostrzega nasilające się przypadki oszustw – to wzrost o 5 p.p. w porównaniu z 2024 r.
Korporacje upatrują jednak największych zagrożeń w atakach na swoich klientów (64%). Co piąta instytucja finansowa traci w wyniku zdarzeń fraudowych od 1,1 do 10 mln zł rocznie; w co trzeciej liczba takich incydentów przekracza tysiąc rocznie.
Kolejna furtka dla oszustów
Współczesne oszustwa finansowe coraz częściej opierają się na manipulacji emocjonalnej, socjotechnice oraz wykorzystaniu nowych technologii. Do najczęściej zgłaszanych typów ataków należy nieustająco phishing, czyli metoda polegająca na podszywaniu się pod zaufane instytucje (np. banki, firmy kurierskie, urzędy) w celu wyłudzenia danych logowania, informacji osobistych lub danych kart płatniczych.
Miniony rok przyniósł także wyraźny wzrost wyłudzeń „na BLIK-a” i „na znajomego z Facebooka”. Wiele zgłoszeń dotyczyło również vishingu – oszustwa telefonicznego, w którym przestępca podszywa się pod pracownika banku, policjanta lub innego urzędnika. Połączony z tym spoofing polega z kolei na fałszowaniu numeru telefonu, by wyglądał na autentyczny. Podobny mechanizm stosowany jest w przypadku oszustw „na wnuczka” czy „na policjanta”.
– Wśród zagrożeń wymierzonych w użytkowników cyberprzestrzeni należy wskazać ataki z wykorzystaniem narzędzi opartych na sztucznej inteligencji, które stają się coraz bardziej powszechne i zaawansowane. Przykładem takiej technologii jest deepfake, czyli narzędzie oparte na sztucznej inteligencji, które pozwala generować realistyczne, lecz nieprawdziwe obrazy, nagrania wideo czy dźwięki. Może ono służyć do podszywania się pod zaufane osoby, co stwarza ryzyko oszustw finansowych czy kradzieży tożsamości – tłumaczy Paweł Piekutowski, kierownik Departamentu Cyberbezpieczeństwa UKNF.
Często wykorzystywanym w ostatnim czasie, i niestety dość skutecznym narzędziem cyberoszustów, jest zdalny pulpit. Oszust uzyskuje zdalny dostęp do pulpitu komputera lub telefonu ofiary, a następnie wykorzystuje tę kontrolę do wyłudzenia pieniędzy lub danych. Wcześniej – wykorzystując manipulacje i socjotechnikę – nakłania ofiarę do instalacji odpowiedniego oprogramowania. Metoda ta jest bardzo skuteczna, ponieważ technicznie transakcję wykonuje urządzenie klienta, zatem systemy bezpieczeństwa banku często widzą ją jako normalną aktywność użytkownika, a logowanie odbywa się z prawidłowego urządzenia i adresu IP. W związku z tym banki coraz częściej starają się wykrywać uruchomione aplikacje zdalnego dostępu, blokują sesję i wyświetlają ostrzeżenia o możliwym oszustwie.
Kolejną furtkę dla oszustów otwiera także oczekiwanie klientów, by transakcje były przeprowadzane szybko i możliwie prosto. W praktyce opłacenie dokonanego zakupu w sklepie internetowym trwa kilka sekund i jest praktycznie niezauważalne, a e-commerce stał się w ostatnich latach niezwykle prężną gałęzią handlu. Niesie to za sobą wiele niebezpieczeństw, np. zorganizowane grupy przestępcze zakładają i prowadzą fałszywe sklepy internetowe. Oszuści tworzą profesjonalnie wyglądające serwisy, oferujące atrakcyjne produkty w niskich cenach. Po dokonaniu płatności klient nie otrzymuje zamówienia, a kontakt ze „sklepem” się urywa.
Sektor finansowy nie pozostaje obojętny
– Oszuści nieustannie doskonalą swoje metody socjotechniczne, np. poprzez obietnice wysokich zysków z inwestycji, co powoduje wyraźnie zwiększone ryzyko dla klientów banków. Nierzadko klienci, poddani manipulacji, dokonują transakcji na rachunek oszusta samodzielnie. W takich przypadkach w grę wchodzą wyłudzenia dużych kwot, a takich przelewów zwykle nie realizuje się z aplikacji mobilnej, lecz za pośrednictwem serwisu internetowego banku. Tego rodzaju zagrożenia we wszystkich kanałach bankowości wymagają zwiększania dostępności narzędzi wspierających przeciwdziałanie nadużyciom – mówi Karol Głogowski, dyrektor IT Usług Antyfraudowych, BIK.
Instytucje finansowe promują przede wszystkim zasady bezpieczeństwa w ramach ciągłej edukacji. Przypominają o ograniczonym zaufaniu, co jest podstawowym elementem samoobrony w przypadku ataków socjotechnicznych, jak również o zabezpieczaniu komputera i urządzeń mobilnych oraz aktualizacjach oprogramowania. Banki chronią także klientów przed fraudami poprzez systemy silnego uwierzytelnienia, jak też rozwiązania analityczne, które w czasie rzeczywistym analizują transakcje. Wykrywają choćby nietypowe kwoty przelewów, nagłą zmianę miejsca logowania, nowe urządzenie lub przeglądarkę czy nietypową porę aktywności.
Coraz częściej sięgają także po weryfikację behawioralną, która pozwala wykryć sytuację, gdy ktoś inny korzysta z konta.
– Sektor finansowy nie pozostaje obojętny na te zagrożenia, zwłaszcza że ataki socjotechniczne wymierzone są w klienta końcowego – konsumenta, który pod wpływem manipulacji oszusta może nieświadomie udostępnić dane lub zainicjować niebezpieczne działania. Pomimo, że w systemie ochrony przed cyberoszustwami, same instytucje finansowe dysponują zaawansowanymi narzędziami antyfraudowymi, to sukcesywnie wdrażają coraz wyższy poziom ochrony – podkreśla Przemysław Augustjański, dyrektor Departamentu Zgodności i Bezpieczeństwa Transakcji PKO Leasing.
„Uczenie się” zachowań klienta
Istotą weryfikacji behawioralnej jest analiza unikalnych zachowań użytkownika podczas logowania się do swojego banku i później korzystania z serwisu. Są to takie cechy jak sposób pisania użytkownika, tempo naciskania przycisków na klawiaturze, charakterystyka poruszania myszką czy sposób korzystania z ekranu dotykowego. Dzięki temu system tworzy dynamiczny profil behawioralny użytkownika pozwalający wykryć ewentualne anomalie w jego zachowaniu, wskazujące na próbę oszustwa.
To najnowsza i unikalna technologia, która stanowi o przewadze Platformy Weryfikacji Behawioralnej BIK. Korzysta z niej już 11 banków, w tym instytucje z pierwszej trójki największych na rynku. Jak wynika z raportu „Liczba klientów w bankach – III kwartał 2025 r.”, przygotowanego przez „Puls Biznesu”, daje to łącznie 70% liczby klientów banków w naszym kraju. Jednocześnie BIK aktywnie promuje rozwiązanie poza granicami naszego kraju.
Dzięki ciągłemu „uczeniu się” zachowań klienta, platforma jest w stanie wykryć sytuacje, w których dostęp do konta bankowego uzyskuje osoba nieuprawniona – nawet jeśli posiada poprawne dane logowania. W momencie wykrycia nieprawidłowości bank otrzymuje sygnał ostrzegawczy, który umożliwia natychmiastową reakcję, np. zablokowanie dostępu do konta lub zatrzymanie podejrzanej transakcji. Co ważne, wszelkie dane agregowane są bezkontekstowo, a rozwiązanie działa z pełnym poszanowaniem prywatności użytkowników. Chronieni są zarówno klienci końcowi, jak i same instytucje, które ograniczają straty i koszty reklamacji.
– Wśród nowatorskich mechanizmów antyfraudowych, sektor finansowy wdraża coraz bardziej zaawansowane narzędzia oparte m.in. na analizie behawioralnej i identyfikacji urządzeń końcowych. Niemniej skuteczność tych rozwiązań zależy nie tylko od technologii, ale także od świadomości użytkowników – a ta, jak pokazują statystyki, wciąż wymaga wzmacniania – podsumowuje Przemysław Augustjański.
