Czy podawanie numeru konta jest bezpieczne?

Samo podawanie numeru konta bankowego jest całkowicie bezpieczne i nie pozwala oszustom na kradzież pieniędzy czy zaciągnięcie kredytu. Numer rachunku służy wyłącznie do wpłacania środków, a do autoryzacji jakichkolwiek wypłat przestępcy potrzebują dodatkowych danych, takich jak login, hasło, kody SMS czy numer PESEL.

Wielu ludzi panikuje, gdy ktoś obcy prosi ich o 26 cyfr z aplikacji bankowej. To błąd kognitywny. Traktujemy te ciągi znaków jak wielką tajemnicę państwową. Prawda jest zresztą absolutnie taka, że sam IBAN to po prostu adres naszej wirtualnej skrzynki pocztowej. Ktoś może wrzucić tam list. Nikt nie wyciągnie z niej zawartości bez klucza.

W mojej codziennej pracy analitycznej spotykam się z setkami przypadków wyłudzeń. Zawsze schemat wygląda tak samo. Złodziejowi nie zależy na twoim polskim standardzie NRB. On chce przejąć kontrolę nad urządzeniem. Chce zdobyć token sesyjny. Sam ciąg liczb jest dla niego bezużyteczny.

Kto może poznać mój numer konta bankowego?

Zastanawiamy się często nad granicami naszej prywatności w sieci. Udostępnianie danych bankowych wydaje się przekroczeniem pewnej bariery. Boimy się, że te informacje wpadną w niepowołane ręce. Tymczasem twój numer rachunku krąży w przestrzeni publicznej i prywatnej znacznie częściej, niż zakładasz.

Komu przekazujesz te dane w sposób całkowicie naturalny?

• Instytucje państwowe i pracodawcy, którzy po prostu muszą wiedzieć, gdzie przelać twoją pensję lub zwrot nadpłaty podatku (zauważ, że te dane krążą w obrocie dokumentów między wieloma działami księgowości, a wycieki z tego tytułu są statystycznie bliskie zeru, bo sam ciąg cyfr nie ma wartości operacyjnej dla ewentualnego atakującego).
• Kupujący na portalach aukcyjnych, którzy preferują tradycyjny przelew zamiast bramek płatniczych.
• Każdy, komu kiedykolwiek wysłałeś przelew, ponieważ twój rachunek odbija się w historii transakcji odbiorcy na stałe.
• Organizacje charytatywne, którym zlecasz stałe polecenie zapłaty.

Ten obszar nie jest objęty ścisłą tajemnicą. My w branży IT wiemy doskonale, że ukrywanie numeru konta przed kontrahentem mija się z celem. To blokuje procesy rozliczeniowe. Pieniądz musi krążyć.

Jakie dane widzi nadawca przelewu?

Kiedy ktoś wysyła ci pieniądze, widzi dokładnie to, co sam wpisze w formularzu przelewu. Polski system bankowy Elixir nie weryfikuje już rygorystycznie zgodności imienia i nazwiska z numerem konta przy standardowych transakcjach krajowych. Pieniądze i tak dojdą na wskazany rachunek. Nazwa odbiorcy to rzecz wtórna.

Więc nie musisz podawać obcym osobom w internecie swojego dokładnego adresu zamieszkania czy pełnego nazwiska. Wystarczy sam numer i ewentualnie inicjały. To ucina ryzyko profilowania twojej osoby przez nieuczciwych internautów.

Banki wdrożyły mechanizmy, które w zdecydowanej większości ignorują błędy w polach adresowych. Liczy się wyłącznie algorytm zapisany w dwudziestu sześciu cyfrach.

Co oszust może zrobić z samym numerem konta?

Nic. Oszust znający tylko twoje konto ma związane ręce. Może co najwyżej wpłacić ci własne pieniądze. Brzmi to absurdalnie. Taka jest jednak twarda mechanika systemów rozliczeniowych.

Polski standard NRB opiera się na matematycznym zabezpieczeniu algorytmem modulo 97. Dwie pierwsze cyfry to suma kontrolna całego rachunku. Złodziej nie może sobie po prostu wymyślić losowego ciągu i liczyć, że trafi w aktywne konto z dużym saldem. System bankowy natychmiast odrzuci taką próbę. Bruteforcing numerów kont po prostu nie istnieje. To strata czasu i zasobów obliczeniowych.

Sprzedawałem niedawno stary wzmacniacz basowy na jednym z popularnych portali z ogłoszeniami. Zwykła transakcja. Po pięciu minutach od wystawienia przedmiotu dostałem wiadomość na komunikatorze. Kupujący rzekomo opłacił kuriera i prosił o kliknięcie w przesłany link, żeby “potwierdzić odbiór środków na moje konto”. Zignorowałem ten link. Odpisałem mu krótko: tu masz mój numer rachunku, zrób zwykły przelew. Podałem mu ciąg cyfr. Kontakt urwał się natychmiast.

Przestępca nie potrzebował mojego konta do zrobienia przelewu. On potrzebował mojego logowania do banku przez fałszywą bramkę phishingową. Gdy dostał surowy numer, zrozumiał, że trafił na świadomego użytkownika. Zrezygnował z ataku.

Czy znając numer konta można wziąć kredyt?

Nie. Żaden legalnie działający bank ani firma pożyczkowa w Polsce nie udzieli zobowiązania na podstawie samego ciągu 26 cyfr. Instytucje te podlegają ścisłym regulacjom KNF.

Wymagają dowodu osobistego. Wymagają weryfikacji tożsamości. Często stosują przelewy weryfikacyjne na symboliczną złotówkę z konta, do którego wnioskujący musi mieć pełen, uwierzytelniony dostęp.

Zdarzają się sytuacje kradzieży tożsamości. Wtedy przestępca dysponuje skanem twojego dowodu, zna twój PESEL i nazwisko panieńskie matki. Wtedy problem jest realny. Sam numer rachunku nie wystarczy nawet do kupienia pralki na raty w sklepie z elektroniką.

Kiedy udostępnianie danych do przelewu staje się groźne?

Problem zaczyna się w momencie, gdy razem z numerem konta podajesz informacje poboczne. Cyberprzestępczość opiera się na inżynierii społecznej. Atakujący budują zaufanie. Zbierają o tobie pojedyncze fakty, by złożyć je w broń wycelowaną w twoje oszczędności.

Uważaj na momenty, w których rzekomy kupujący prosi cię o podanie kodu SMS. Banki wysyłają jednorazowe hasła tylko wtedy, gdy autoryzujesz operację wychodzącą lub zmieniasz ustawienia bezpieczeństwa. Nigdy nie otrzymasz kodu SMS z banku w celu “przyjęcia przelewu”. To techniczna bzdura.

Udostępnienie danych staje się groźne, gdy dajesz się zmanipulować. Phishing ewoluuje. Przestępcy dzwonią z numerów podszywających się pod infolinię banku (tzw. spoofing). Informują o rzekomej kradzieży na twoim rachunku. Proszą o podanie loginu w celu “zabezpieczenia środków”. Jeśli to zrobisz, sam otwierasz im drzwi.

Czym różni się numer konta od numeru karty płatniczej?

Tu leży główne źródło nieporozumień. Ludzie masowo mylą te dwa ciągi cyfr. Działają pod wpływem stresu.

Udostępnienie 16 cyfr z przodu plastikowej karty płatniczej, daty jej ważności i kodu CVV z tyłu to niemal pewna utrata gotówki. Karta służy do obciążania. Konto służy do uznawania.

Nigdy nie wysyłaj zdjęć swojej karty debetowej w komunikatorach. To błąd początkujących, który kończy się wyczyszczeniem salda w zagranicznych sklepach internetowych.

Jak bezpiecznie podać numer konta na OLX lub Vinted?

Zasady handlu w internecie zmieniły się drastycznie. Platformy sprzedażowe wdrożyły własne systemy rozliczeń. Vinted czy OLX zachęcają do korzystania z wbudowanych portfeli i przycisków “Kup teraz”. To wygodne rozwiązanie.

Czasami jednak obie strony wolą ominąć prowizje platformy. Wracamy wtedy do korzeni i tradycyjnego przelewu.

Zrób to mądrze. Podaj tylko 26 cyfr. Nie dodawaj swojego adresu. Jeśli kupujący upiera się, że jego bank wymaga podania nazwy ulicy, napisz mu, żeby wpisał słowo “brak” lub “internet”. System to przetworzy. Przelew przejdzie bez problemu.

Uważaj na prośby o przelew na telefon BLIK. Ta metoda jest szybka. Wymaga jednak podania numeru telefonu. Zestawienie twojego numeru telefonu z imieniem i nazwiskiem ułatwia oszustom późniejsze ataki socjotechniczne. Wolę podać długi rachunek bankowy niż mój prywatny numer komórkowy obcej osobie z internetu.

Gdzie zgłosić próbę wyłudzenia danych bankowych?

Reaguj natychmiast. Widzisz podejrzanego linka w SMS-ie? Ktoś prosi o kod CVV zamiast numeru rachunku? Nie kasuj tej wiadomości. Zabezpiecz dowody.

Przekaż złośliwą wiadomość SMS na darmowy numer 8080. Obsługuje go zespół CERT Polska. Ci specjaliści analizują wektory ataków i blokują fałszywe domeny na poziomie krajowych dostawców internetu. Twój jeden forward może uchronić tysiące innych osób przed utratą życiowych oszczędności.

Zadzwoń na prawdziwą infolinię swojego banku. Zrób to sam, wybierając numer z klawiatury. Poinformuj konsultanta, że ktoś próbował wyłudzić twoje dane autoryzacyjne. Bank może założyć dodatkowe blokady bezpieczeństwa na twojej kartotece.

Złóż zawiadomienie na policji, jeśli kliknąłeś w link i podałeś hasła. Czas gra tutaj przeciwko tobie. Liczą się minuty.

Przestań więc bać się podawania zwykłego numeru rachunku przy drobnych transakcjach. Zablokuj za to możliwość wyszukiwania cię po numerze telefonu w systemie BLIK, jeśli cenisz spokój. Sprawdź swoje dzienne limity autoryzacji w aplikacji bankowej jeszcze dzisiaj i przestań panikować na widok próśb o standardowy przelew.

Najczęściej zadawane pytania (FAQ)

• 1. Czy obca osoba może zdjąć pieniądze z mojego konta znając tylko jego numer?

  Nie. Sam numer rachunku służy wyłącznie do deponowania środków. Do wykonania operacji obciążającej wymagane jest uwierzytelnienie w systemie transakcyjnym za pomocą loginu i hasła.

• 2. Czy pracodawca może wziąć na mnie pożyczkę, mając mój numer konta?

  Nie. Udzielenie pożyczki wymaga weryfikacji tożsamości na podstawie dowodu osobistego. Sam numer rachunku, który pracodawca posiada do wypłaty wynagrodzenia, jest niewystarczający dla firm pożyczkowych.

• 3. Dlaczego oszuści proszą o numer konta na OLX?

  Oszuści rzadko proszą o sam numer konta. Najczęściej wysyłają link do fałszywej strony, która udaje bramkę płatności. Ich celem jest nakłonienie cię do wpisania danych logowania do banku, a nie pozyskanie samego ciągu 26 cyfr.

• 4. Co zrobić, jeśli pomyliłem się i wysłałem pieniądze na zły numer konta?

  Skontaktuj się natychmiast ze swoim bankiem. Złóż reklamację i poproś o uruchomienie procedury zwrotu środków z tytułu bezpodstawnego wzbogacenia. Bank skontaktuje się z odbiorcą w twoim imieniu.

• 5. Czy podawanie numeru IBAN za granicę jest bezpieczne?

  Tak. IBAN to po prostu międzynarodowy standard zapisu twojego konta (w Polsce poprzedzony literami PL). Zasady bezpieczeństwa pozostają identyczne jak przy przelewach krajowych.

• 6. Jakie dane muszę podać, żeby ktoś zrobił mi przelew?

  Wystarczy podać sam 26-cyfrowy numer rachunku. Podawanie imienia, nazwiska czy dokładnego adresu zamieszkania nie jest technicznie wymagane przez polskie systemy rozliczeniowe do zaksięgowania wpłaty.

Bibliografia

1. Związek Banków Polskich – https://zbp.pl
2. Komisja Nadzoru Finansowego – https://www.knf.gov.pl
3. Naukowa i Akademicka Sieć Komputerowa (CERT Polska) – https://cert.pl
4. Narodowy Bank Polski – https://nbp.pl
5. Ministerstwo Cyfryzacji – https://www.gov.pl/web/cyfryzacja