Pekao zmienia logowanie do bankowości internetowej. Wystarczy telefon i kod QR

Logowanie kodem QR w Pekao24 krok po kroku

Mechanizm jest prosty, choć warto pamiętać o jednej kwestii. Jeżeli ktoś loguje się z urządzenia zaufanego, kod QR nie pojawi się od razu – najpierw trzeba użyć przycisku „przełącz klienta”. Dopiero wtedy na ekranie widać obrazek, który da się odkryć i zeskanować.

Dwa warianty: aparat w telefonie albo nowa wersja PeoPay

Pierwszy wariant nie wymaga niczego poza standardowym aparatem w telefonie. Po zeskanowaniu kodu system przerzuca użytkownika do aplikacji, a tam wyświetla się pytanie o zatwierdzenie logowania. Drugi wariant opiera się na nowej wersji PeoPay o numerze 4.122, która ma niebawem trafić do App Store i Google Play. Po jej instalacji trzeba się zalogować, przejść do ustawień i zaznaczyć pozycję „wybierz logowanie z kodem QR”. Dalej scenariusz się powtarza: skan aparatem i potwierdzenie PIN-em.

Bank przewidział też skrót na pulpicie aplikacji, dostępny jeszcze przed zalogowaniem się do niej. To drobiazg, ale akurat ten drobiazg decyduje o tym, czy nowa metoda realnie oszczędza czas, czy tylko przesuwa kliknięcia z przeglądarki na telefon. To kolejna z nowości w aplikacji PeoPay i serwisie Pekao24.

Hasło maskowane znika nie bez powodu

Hasło maskowane to polska specyfika, której specjaliści od bezpieczeństwa nigdy nie lubili. Żeby bank mógł zapytać o trzeci, siódmy i dziewiąty znak, musi przechowywać hasło w postaci, którą da się odwrócić, a nie w formie nieodwracalnego skrótu. Dokładanie do tego kolejnych warstw ochrony zawsze było łataniem rozwiązania, które z założenia jest słabsze od zwykłego hasła z porządną funkcją skrótu. Jeśli logowanie kodem QR upowszechni się na tyle, że hasło maskowane stanie się opcją awaryjną, będzie to zmiana korzystniejsza niż sama wygoda, którą reklamuje bank. Nie pierwszy raz Bank Pekao S.A. wzmacnia ochronę klientów w cyfrowym świecie.

Fałszywe panele logowania tracą sens, ale oszustwa na kod QR nadal grożą

Najczęstszy schemat oszustwa wygląda dziś tak: ofiara trafia na stronę łudząco podobną do bankowej, wpisuje numer klienta i znaki hasła, a przestępca w tej samej chwili używa ich w prawdziwym serwisie. Logowanie kodem QR wyjmuje z tego łańcucha element, który w ogóle da się przechwycić, bo nie ma już danych do przepisania.

Kod podsunięty przez oszusta otwiera mu sesję w banku

Problem w tym, że pojawia się inny scenariusz, czyli odmiana tego, co określa się jako quishing. Oszust generuje kod u siebie i nakłania kogoś do jego zeskanowania – przez wiadomość, podczas rozmowy telefonicznej albo w trakcie pomocy przy „weryfikacji konta”. Wtedy sesję w banku otwiera przestępca, a ofiara tylko zatwierdza ją własnym PIN-em. Ekran potwierdzenia w PeoPay jest ostatnim momentem, w którym da się to wyłapać, więc skanowanie kodów podesłanych przez kogokolwiek z zewnątrz pozostaje najprostszą drogą do oddania dostępu do rachunku – a potem do sporu z bankiem o to, czy była to nieautoryzowana transakcja.

Bankowość coraz mocniej zależy od jednego telefonu

Jest jeszcze jeden skutek uboczny, o którym banki mówią niechętnie. Numer klienta i hasło działały wszędzie – z firmowego komputera, z laptopa znajomego, z urządzenia po resecie. Logowanie kodem QR działa tylko wtedy, gdy sprawny telefon z aktualną aplikacją jest pod ręką. Rozładowana bateria, zgubiony sprzęt albo wymiana modelu nadal zostawiają klasyczną ścieżkę logowania jako rezerwę, ale kierunek jest widoczny: coraz więcej funkcji bankowości zależy od jednego urządzenia.

Obserwuj nas w Google Discover

Podobają Ci się nasze treści?

Google Discover

Obserwuj