Zdrapki, tokeny, kody SMS i powiadomienia w aplikacji – metody autoryzacji transakcji dawniej i dziś

Tokeny GSM – pierwszy krok ku dzisiejszym metodom autoryzacji

Małym przełomem w tym kontekście były tzw. tokeny GSM, które zaczęto proponować wraz z rozwojem technologii mobilnej. Tak samo jak token sprzętowy generowały one kody jednorazowe, tyle że z poziomu osobnej aplikacji na smartfona, działającej również bez dostępu do sieci.

Jeszcze do połowy sierpnia 2019 r. token w formie aplikacji był jedną z dostępnych metod autoryzacji oferowanych przez Bank Pekao (PekaoToken), podobnie zresztą jak karta kodów jednorazowych i token sprzętowy. Z kolei kilka tygodni po wycofaniu PekaoTokena identyczne narzędzie uruchomił mBank. Co ciekawe, mBank Token funkcjonuje jednocześnie z mobilną autoryzacją we “właściwej” aplikacji banku.

Przewaga tokena GSM nad poprzednikiem była dość oczywista – aplikacja dawała podgląd szczegółów transakcji, więc trzeba było być naprawdę roztargnionym lub nierozważnym, by zatwierdzić błędny lub „oszukany” przelew. Wadą była, rzecz jasna, konieczność instalowania osobnej aplikacji służącej tylko i wyłącznie do zatwierdzania operacji.

Obecne metody – kody SMS i powiadomienia w aplikacji

Mimo to należy przyznać, że tokeny GSM były jednym z pierwszych przejawów zbliżającej się wielkimi krokami dominacji technologii mobilnej w dziedzinie nie tylko autoryzacji transakcji, ale w bankowości w ogóle. W każdym razie każda nowa metoda autoryzacji była od tego momentu ściśle powiązana z naszym nieodłącznym towarzyszem, czyli telefonem komórkowym.

Kody SMS

Kolejna propozycja bankowców oparta była o kody autoryzacyjne wysyłane za pośrednictwem SMS. Ta metoda szybko zdobyła popularność i do dziś jest bodaj najpowszechniej stosowanym sposobem zatwierdzania operacji zlecanych w bankowości internetowej.

Po wypełnieniu danych potrzebnych do realizacji przelewu oczekujemy (choć to chyba zbyt duże słowo, zwykle trwa to bowiem ledwie kilka sekund) na SMS od banku, w którym znajdziemy szczegóły transakcji wraz z jednorazowym kodem służącym do jej autoryzacji. Wygląda on mniej więcej tak (poniżej przykład BNP Paribas):

Kod SMS

Jeszcze przed zatwierdzeniem przelewu możemy zatem upewnić się, że wskazaliśmy właściwego odbiorcę i kwotę transferu. W porównaniu z archaicznymi zdrapkami i tokenami jest to więc metoda bardziej odporna na ewentualne pomyłki wynikające chociażby z nieuwagi klienta. By zatwierdzić transakcję, wystarczy przepisać kod w odpowiednim polu w bankowości internetowej.

W przypadku tej metody wciąż istnieje jednak ryzyko, że SMS z kodem zostanie przechwycony przez malware, czyli złośliwe oprogramowanie lub padnie łupem oszusta, który wyrobi duplikat naszej karty SIM. W takiej sytuacji wystarczy, że przestępca uzyska dane do logowania w serwisie transakcyjnym, by mógł bez przeszkód pozbawić ofiarę wszelkich oszczędności. O najważniejszych zasadach bezpiecznego korzystania z bankowości przeczytasz tutaj.

Jak nietrudno się domyślić, wysyłanie wiadomości tekstowych za każdym razem, gdy chcemy zlecić przelew, oznacza dla banku niemałe koszty. Na szczęście w tym przypadku banki nie zrzucają ich na swoich klientów (a przynajmniej nie w bezpośredni sposób). Kody autoryzacyjne wysyłane w wiadomościach SMS w zdecydowanej większości banków są dla posiadaczy kont osobistych darmowe. Wyjątkiem jest wspomniany już Bank Pekao, który za każdy taki SMS pobiera opłatę 0,20 zł.

Mobilna autoryzacja

Chęć ograniczenia przez banki kosztów jest powodem, dla którego ochoczo wprowadzają i reklamują najnowszą metodę zatwierdzania operacji – mobilną autoryzację. Już teraz oferowana jest ona przez większość dużych banków, konkretnie przez:

• Alior Bank,
• Bank Pekao SA,
• Bank Millennium,
• BNP Paribas,
• eurobank,
• Getin Bank,
• ING Bank Śląski,
• mBank,
• Nest Bank,
• PKO BP,
• Santander Bank Polska oraz
• T-Mobile Usługi Bankowe.

Aby korzystać z mobilnej autoryzacji, należy ją aktywować w bankowości elektronicznej.

Na początku 2017 r. mobilną autoryzację jako pierwszy w Polsce zaproponował wszystkim swoim klientom mBank. Inne instytucje szybko poszły jego śladem, reklamując tę metodę jako najwygodniejszą i najbezpieczniejszą. Czy słusznie?

Zacznijmy od wygody. Aby zatwierdzić przelew w aplikacji, należy nacisnąć powiadomienie na ekranie smartfona, zalogować się, sprawdzić, czy dane transakcji się zgadzają i ją potwierdzić. Wystarczy więc kilka ruchów palcem. Pozbywamy się natomiast konieczności przepisywania kodu, podczas którego wzrok musi wędrować z telefonu trzymanego w ręce na ekran komputera przed nami.

Proces autoryzacji z poziomu aplikacji we wszystkich bankach przebiega bardzo podobnie. Dla przykładu podrzucamy Wam krótką instrukcję dla klientów PKO BP:

Dane przelewu w aplikacji przedstawione są zwykle w bardzo czytelny sposób. Poniżej przykładowa prezentacja szczegółów przelewu w aplikacji mBanku i ING Banku Śląskiego:

Mobilna autoryzacja

A teraz kilka słów o bezpieczeństwie. Istotnie, to właśnie mobilna autoryzacja uważana jest przez ekspertów za najbezpieczniejszą obecnie metodę. Po pierwsze, wynika to z prostego faktu, że konieczne jest zalogowanie do aplikacji PIN-em (lub np. odciskiem palca), który w założeniu powinien znać tylko i wyłącznie jej użytkownik. Po drugie, powiadomienia, jak i cała komunikacja między bankowością internetową i mobilną, są szyfrowane, dzięki czemu przechwycenie danych przez złośliwe oprogramowanie jest znacznie utrudnione. Po trzecie – i tu wracamy do kwestii przejrzystości – łatwo wyłapiemy ewentualny błąd w danych transakcji.

Na dokładkę kolejna zaleta: mobilne zatwierdzanie operacji jest zawsze darmowe.

Kody SMS czy mobilna autoryzacja – którą metodę wybrać?

Najnowsze metody autoryzacji transakcji – kody SMS i mobilna autoryzacja – zdecydowanie górują nad dawnymi sposobami zatwierdzania operacji zlecanych w bankowości internetowej. Nie dość, że są darmowe (czego nie można powiedzieć o odchodzących do lamusa zdrapkach i tokenach sprzętowych), to do tego są wygodniejsze i mimo wszystko bezpieczniejsze od poprzedników.

Zastanawiasz się, którą z dwóch metod wybrać? Zbierzmy przedstawione wcześniej informacje i porównajmy je właśnie pod kątem kosztu, wygody i bezpieczeństwa:

W starciu kodów SMS z powiadomieniami z aplikacji postawić należy na tę drugą metodę. Naszym zdaniem kliknięcie w powiadomienie, a następnie szybkie zalogowanie i zatwierdzenie transakcji, jest wygodniejsze od otwierania wiadomości SMS i ręcznego przepisywania kodu.

Za potwierdzaniem transakcji w aplikacji przemawia też fakt, że sposób prezentacji danych przelewu jest w tym przypadku bardziej czytelny i łatwiejszy do skanowania wzrokiem – jeśli popełniliśmy błąd w numerze konta lub kwocie, to wyłapiemy go łatwiej niż w SMS-ie, gdzie liczby i tekst „zlewają” się ze sobą. To jednak bardziej kwestia indywidualnych preferencji niż obiektywnej oceny.

Decydujące okazało się bezpieczeństwo. Choć żadna z metod nie gwarantuje 100-procentowej ochrony przed hakerem/złodziejem/oszustem, to mobilna autoryzacja jest jednak nieco bliższa ideałowi.

Nie jest jednak tak, że klienci, którzy mają do dyspozycji jedynie autoryzację kodami SMS, powinni drżeć ze strachu przed kradzieżą środków. Również tę metodę należy uznać za względnie bezpieczną, choć wskazane jest przestrzeganie elementarnych zasad zdrowego rozsądku. Niezależnie od wybranej metody autoryzacji zalecamy uważne sprawdzanie danych przelewu, korzystanie z ochrony antywirusowej, ostrożne przyznawanie aplikacjom dostępu do danych gromadzonych w telefonie, a także unikanie instalowania aplikacji z niepewnych źródeł. Pamiętaj, że nawet najdoskonalsza technologia może nie uchronić Cię przed problemami, jeśli nie zachowasz wystarczającej czujności!