Zabezpečení internetového bankovnictví stojí na třech věcech: silném ověření, které zajišťuje banka, rozumně nastavených limitech a vaší pozornosti při potvrzování plateb. Limity zmenší škodu, kdyby se někdo k účtu dostal. Notifikace ji pomohou odhalit včas. Žádné nastavení však nechrání před situací, kdy kód nebo potvrzení v aplikaci dáte podvodníkovi sami.
Názvy a umístění voleb se u jednotlivých bank liší, proto hledejte pojmy jako limity, notifikace, zařízení a důvěryhodní příjemci v nastavení své aplikace. Nastavení je dobré projít jednou v klidu, ne až ve chvíli, kdy něco hoří.
Co v článku najdete
Silné ověření: co banka musí zajistit
První vrstva ochrany je ta, kterou klient nevidí. Banka nesmí spoléhat jen na heslo a každý rizikový úkon musí ověřit způsobem, který je pro útočníka obtížné napodobit. Pro běžného uživatele z toho plyne jednoduché pravidlo: pokud banka nevyžádá ověření tam, kde by to dávalo smysl, stojí za to se při případném sporu zeptat, zda ho použila.
Silné ověření klienta znamená, že se v bankovnictví prokazujete aspoň dvěma nezávislými prvky ze tří skupin: něco víte (heslo, PIN), něco máte (telefon, token) a něco jste (otisk prstu, obličej). Banka je podle zákona o platebním styku musí použít při přístupu k účtu přes internet, při elektronickém platebním příkazu i u jiných rizikových úkonů. U plateb na dálku se kód navíc váže na částku a příjemce.
Výjimky ze silného ověření stanoví evropské nařízení. Bezkontaktní platba kartou může proběhnout bez ověření, pokud nepřesáhne 50 eur a od posledního silného ověření nebylo překročeno 150 eur souhrnně nebo pět takových plateb za sebou. Bez ověření mohou proběhnout i malé platby na dálku a platby na příjemce, které jste dříve uložili do seznamu důvěryhodných. Vytvoření či změna takového seznamu ale ověření vyžaduje. Pokud banka u neautorizované platby silné ověření vyžadovat měla a nevyžadovala, ztrátu podle zákona nenesete, ledaže jste jednali podvodně; podrobněji to rozebírá text o odpovědnosti banky za podvodnou platbu.
Limity plateb a karet
Myslete na limity jako na pojistku proti nejhoršímu scénáři. Neznamenají, že vám někdo zakazuje utrácet, ale že škoda v den útoku bude mít strop. Pokud je limit nastavený na desítky tisíc korun a váš běžný pohyb je zlomek této částky, nastavení neodpovídá vaší situaci a stojí za úpravu.
Zákon o platebním styku počítá s limity: dohodne-li se limit platebního prostředku, k příkazu nad limit se nepřihlíží, pokud jej uživatel dodatečně neschválí. Limit tedy není jen omezení, je to pojistka. Nastavte denní a jednorázový limit tak, aby odpovídal vašim běžným platbám, ne maximu, které banka nabízí. Zda lze limity nastavit zvlášť pro karetní platby, výběry a platby na internetu, závisí na vaší bance a smlouvě.
Pro nárazové velké platby, například při koupi auta, limit krátce zvyšte a pak ho vraťte zpět. Útočník, který získá kontrolu nad bankovnictvím, může podle zkušeností finančního arbitra měnit limity, zobrazit si PIN, požádat o virtuální kartu nebo sjednat úvěr. Proto je důležité chránit hlavně přístup do aplikace a pozorně číst každé potvrzení změny nastavení. Požadavek na potvrzení změny limitu, kterou jste sami nezadali, je jasný signál, že se do účtu někdo dobývá.
Notifikace a hlídání účtu
Notifikace o platbách a o přihlášení patří mezi nenáročné a přitom užitečné formy ochrany. Zapněte upozornění na každou platbu a přihlášení z nového zařízení, ideálně formou oznámení v aplikaci nebo SMS. Při zneužití se díky nim dozvíte o problému v řádu minut, nikoli při kontrole výpisu za měsíc. Zákon přitom po uživateli požaduje, aby zneužití oznámil bance bez zbytečného odkladu po zjištění, a čím dříve o něm víte, tím lépe to zvládnete.
Zprávy, které banka posílá přímo do bankovnictví, čtěte a nepřehlížejte je. ČNB takto doporučuje číst sdělení banky v aplikaci, ne ve zprávě od neznámého odesílatele. Pravidelně si procházejte i výpisy, jak radí článek o sledování výdajů z bankovního výpisu. Zvláštní pozornost věnujte platbám na neznámé účty a drobným platbám, které mohou být zkouškou.
Zařízení, hesla a aplikace
Zabezpečení zařízení je druhá polovina ochrany. Pokud by se do telefonu dostal škodlivý kód, může sledovat obrazovku, číst SMS i přesměrovat potvrzení. Proto se vyplatí kontrolovat, jaká oprávnění aplikace žádají, a nepovolovat těm, které s bankovnictvím nesouvisejí, přístup k přístupnosti nebo ke čtení zpráv.
Banka zabezpečí svůj systém, ale telefon či počítač hlídáte vy. Aktualizujte operační systém, aplikace i antivir a aplikaci banky instalujte jen z oficiálních obchodů. Podle České bankovní asociace zapněte dvoufaktorové ověření všude, kde to jde, používejte silná a unikátní hesla, která neukládejte do prohlížeče, a nepoužívejte PIN typu datum narození nebo 1234. Údaje nikomu nesdělujte, banka je nikdy nežádá telefonicky, e-mailem ani přes sociální sítě.
Heslo k e-mailu chraňte stejně jako heslo k bankovnictví. E-mail bývá klíčem k obnově dalších účtů. Pokud je to možné, používejte pro bankovnictví oddělené zařízení bez rizikových aplikací a bez rozšíření z neznámých zdrojů. Neinstalujte ani aplikace pro vzdálenou plochu na něčí pokyn, jak popisuje článek o vzdáleném přístupu do počítače.
| Nastavení | K čemu slouží | Poznámka |
|---|---|---|
| Denní a transakční limity | Omezí škodu, příkaz nad limit se neprovede | Zákon o platebním styku |
| Notifikace o platbách a přihlášení | Rychlé odhalení zneužití | Zapněte pro všechny kanály |
| Silné ověření, biometrie | Dva nezávislé prvky | Vyžaduje ho banka |
| Seznam důvěryhodných příjemců | Změna seznamu vyžaduje ověření | Přidávejte jen ověřené |
| Aplikace z oficiálních obchodů | Ochrana před falešnými aplikacemi | Aktualizujte pravidelně |
| Unikátní hesla a dvoufázové ověření k e-mailu | Ochrana klíče k dalším účtům | Nikomu nesdělujte |
Co silné ověření nezachrání
Ani důkladné zabezpečení nepomůže, když klient sám nadiktuje kód z SMS nebo potvrdí operaci v aplikaci pod tlakem podvodníka. Pokud platbu potvrdíte sami, je z hlediska zákona autorizovaná a banka ji automaticky vracet nemusí. Pokud kód sdělíte a platbu zadá podvodník, jde sice o neautorizovanou platbu, sdělení kódu však bývá posouzeno jako hrubá nedbalost a ztrátu pak nesete vy. To je také důvod, proč je článek o falešném bankéři a bezpečném účtu důležitý pro každého, kdo používá bankovnictví.
Hranici si zapamatujte: kód, heslo ani potvrzení v aplikaci nikdy nikomu nesdělujte a nepotvrzujte operaci, kterou jste sami nezačali. Pokud vás někdo žene, zavěste a volejte bance na oficiální číslo. Podvody tohoto typu shrnuje přehled, jak finanční podvody poznat. Čtěte zprávu v aplikaci pozorně: vždy kontrolujte částku i účet příjemce.
Co dělat, když něco nesedí
Při podezření na zneužití zavolejte do banky ihned, použijte oficiální linku a nechte zablokovat kartu či přístup. Banka musí umožnit takové oznámení kdykoli a po něm zabránit dalšímu užití platebního prostředku. Ztráta, která vznikne po oznámení, jde za bankou, pokud jste nejednali podvodně. Požádejte i o písemný doklad o oznámení.
Zároveň změňte hesla z jiného zařízení, nejdřív u e-mailu, a uchovejte důkazy. Další kroky najdete v článku Okradli mě podvodníci. Při složitém případu se obraťte na svou banku, Policii ČR nebo bezplatnou poradnu.
Nastavení pro seniory a rodinu
U seniorů je rozumné nastavit nižší limity, pokud to banka umožňuje, posílat upozornění i blízké osobě a dohodnout si pravidlo, že žádná neobvyklá platba se neprovede bez rozhovoru. Možnosti zastoupení a vhodného nastavení účtu pro starší lidi popisuje článek o bankovním účtu pro seniora. Zároveň je třeba zachovat důstojnost: nastavení domlouvejte spolu, ne místo nich.
U dětí a mladistvých existují účty s omezením a o tom, kdo smí s účtem nakládat, píše článek o limitech a oprávněních u dětského účtu. Rodina by se měla shodnout na tom, kdo komu volá při podezřelé zprávě a že nikdo nebude zahanben za to, že se zeptal. Modelový příklad: Alena, 74 let, má denní limit 10 000 Kč. Když dostala zprávu o „neplatné platbě“, zavolala dceři a spolu zprávu ověřily přes oficiální aplikaci banky jako falešnou.
Časté otázky
Stačí mi dvoufázové ověření, abych byl v bezpečí?
Ne. Silné ověření chrání před neoprávněným přístupem, ale nechrání vás, pokud sami sdělíte kód nebo potvrdíte operaci podvodníkovi. Proto kombinujte ověření s pozorností.
Jaký limit je vhodné nastavit?
Takový, který pokrývá vaše běžné platby s malou rezervou. Obecné číslo neexistuje. Pro velké platby limit dočasně zvyšte a poté ho vraťte zpět.
Může podvodník změnit můj limit?
Pokud získá přístup do bankovnictví a potvrzení změny, ano. Proto nikdy nepotvrzujte změnu nastavení, kterou jste sami nezačali, a při podezření volejte bance na oficiální číslo.
Co když banka silné ověření nepožadovala?
U neautorizované platby platí, že pokud ho banka měla požadovat a nepožadovala, plátce ztrátu nenese, ledaže jednal podvodně. Ptejte se banky při reklamaci, zda bylo ověření použito u každého úkonu.
Mám zapnout notifikace i pro malé platby?
Ano, malé platby mohou proběhnout bez silného ověření, takže notifikace bývá prvním signálem, že se něco děje. Pokud vás upozornění ruší, nastavte je alespoň na platby nad zvolenou částku.
Je bezpečné ukládat hesla do prohlížeče?
Česká bankovní asociace to nedoporučuje. Raději používejte unikátní hesla a dvoufaktorové ověření všude, kde je to možné.
