Sú bankové aplikácie nebezpečnejšie ako návšteva banky?

Pred pár rokmi by nás ani nenapadlo, že budeme používať aplikáciu v mobile na to, aby sme zistili stav na bankovom účte, prípadne uskutočnili úhradu či rovno zaplatili naskenovaním čiarového kódu poštovú poukážku, ktorá aktuálne skončila v poštovej schránke.

Napriek tomu, že mobilné bankové aplikácie sú veľmi intuitívne a jednoduché na použitie, využíva ich u nás približne iba každý piaty človek. Kde je zvyšných 80 % používateľov smartfónov? Boja sa? Dnes síce bežne cez mobil čítame e-maily, zdieľame statusy na sociálnej sieti, ale pokiaľ ide o celoživotné úspory na bankovom účte, mnohí radšej uprednostnia návštevu banky. Zvyk je železná košeľa. Sú bankové aplikácie nebezpečnejšie ako návšteva banky? Mýtus alebo fakt?

Aplikácia je priamym spojením s bankou

Banková aplikácia je v princípe ako akákoľvek iná mobilná aplikácia, ktorú si doinštalujete cez preferovaný obchod v závislosti od operačného systému, ktorý na mobile používate (Play Store, AppStore, Windows Market). Aplikácia je priamym spojením mobilu s bankou, nepotrebujete na to webový prehliadač ani inú aplikáciu tretej strany. Aplikácia vytvorí „zabezpečenú linku", čo je v praxi najčastejšie zabezpečené a zašifrované spojenie SSL, na úvod overené dvojfaktorovou autentifikáciou, následne vám postačí jednofaktorová na vstup do aplikácie. V prvom rade aplikácie vyžadujú minimálne PIN kód, ktorý poznáte iba vy. Takže ak vám niekto ukradne telefón, nemusíte sa o svoje peniaze obávať, zlodej sa nedostane ďalej ako k úvodnej obrazovke bankovej aplikácie.

Zároveň vďaka aplikácii môžu bezpečnostní analytici v banke pomerne presne sledovať, čo v aplikácii robíte. Objavila sa netradičná aktivita na vašom účte? Uskutočnili ste viacero transakcií, previedli veľkú sumu peňazí, prípadne na netradičné účty? Banka vás môže okamžite kontaktovať a zabrániť zneužitiu.

Bezpečnejšie ako klasický internet banking

Pred chvíľou sme spomenuli webový prehliadač. Používate na kontakt s bankou klasický internet banking, ale mobilnej aplikácie sa bojíte? Nemáte dôvod, „bankovanie" cez aplikáciu je bezpečnejšie. Webový prehliadač totiž prináša hneď niekoľko hrozieb, najvýraznejšia z nich sú phishingové útoky, teda podvrhy stránok - to sa vám v aplikácii nemôže stať, keďže ide o priame spojenie s bankou.

Výrazné sú obmedzené útoky typu man-in-the-middle, prípadne najrôznejšie útoky malvéru. Nehovoríme, že nie sú možné, ale sú obťažnejšie. Aj keby niekto úspešne odpočúval vašu komunikáciu (napr. pri prístupe cez otvorenú a nezabezpečenú sieť Wi-Fi), zachytená prevádzka bude v šifrovanom stave. Najväčším rizikom z pohľadu bezpečnosti mobilných aplikácií sú podvrhnuté aplikácie.

Keby útočník vytvoril aplikáciu, ktorá by sa podobala na tú pôvodnú, má veľkú šancu, že mu používateľ „naletí". Toto riziko hrozí najmä pri operačnom systéme Android, keďže tu sú šírené aplikácie s oveľa nižšou úrovňou kontroly ako v prípade iOS, kde je možnosť umiestnenia podvrhnutej aplikácie do AppStoru minimálna.

Na druhej strane treba priznať, že sa na Slovensku ani v Európe neobjavil nijaký známy prípad podvrhu aplikácie. To však neznamená, že používateľ je v bezpečí. Keďže je mobilná aplikácia taká istá ako ostatné, problém môže byť pri jailbreakovaných systémoch (ale platí to aj pre pôvodne systémy). Tie môžu byť a bývajú oveľa častejšie napadnuté škodlivými kódmi a zadávanie či čítanie údajov počas práce s bankovou aplikáciou tak môže byť skompromitované.

Tu nie je dôležité šifrované spojenie s bankou, ale otázka zraniteľnosti aplikácie zvnútra operačného systému. Teda z vrstvy, ktorá je pod aplikačnou vrstvou. Hoci citlivé dáta nie sú uložené zväčša v telefóne, bezpečnostné prvky (PIN kódy, heslá, tokeny) sa zadávajú do telefónu a boli by ste prekvapení, kde všade sa ich odtlačky zachádzajú (RAM, ROM, cache atď.).

Náš tip: Sťahujte si bankovú aplikáciu, ktorá je vytvorená vašou bankou. Neexistuje nič také ako banková aplikáciatretej strany. Ak ste si nie istí, kto je autorom danej aplikácie alebo ako sa volá aplikácia vašej banky, neváhajte a kontaktujte ju.

Motivácia bánk

Banky sú výrazne motivované prinášať svojim klientom vlastné aplikácie. Bežné transakcie totiž klienti môžu vybaviť pohodlne, nech sa nachádzajú kdekoľvek, nemusia navštevovať kamennú pobočku, čo sú pre banku najväčšie náklady z pohľadu vyťaženosti zamestnancov. Klientov motivujú na takéto transakcie mimo pobočiek (internet banking, smartbanking) najmä zníženými alebo nulovými poplatkami. Bude však určite potrebné ešte prekonať poriadne veľkú bariéru, najmä z pohľadu edukácie používateľov.

Dôvod? Prieskumy hovoria jasne - priemerný používateľ smartfónu či tabletu nemá nainštalovaný nijaký ochranný, napr. antivírusový softvér. V praxi to znamená, že 80 % používateľov smartfónov nie je nijako chránených a najväčšia masa používa ako operačný systém Android 2.3, čo je taký staručký systém, že sa o poriadnej bezpečnosti pri ňom nedá hovoriť. A pritom sa počet malvéru, teda škodlivého softvéru v telefóne zvýšil o viac ako 600 % za jediný rok!

Verdikt PC REVUE

Je teda využívanie mobilnej bankovej aplikácie (ne)bezpečnejšie ako návšteva banky? Náš názor je takýto: Využívanie mobilnej aplikácie nie je nebezpečnejšie ako návšteva banky. Áno, v banke ste pod dohľadom kamier a mnoho ľudí oceňuje styk so živou osobou pri priehradke. Pri využití bankovej aplikácie sa však môžete vyhnúť chybe pracovníka, môžete ju využiť kdekoľvek a kedykoľvek a zároveň šetríte na bankových poplatkoch. Takže motiváciou na využívanie bankovej aplikácie je najmä komfort, úspora času a peňazí. A napriek tomu, že neexistuje právny aspekt (či precedens), ktorý by chránil používateľa pri zneužití mobilnej aplikácie a garantoval refundovanie finančných prostriedkov (zákon o ochrane spotrebiteľa č. 250/2007 Z. z. na to ešte v čase jeho tvorby nemyslel), nebolo by fér tvrdiť, že používanie bankovej aplikácie je nebezpečnejšie ako návšteva banky. A prax to zatiaľ potvrdzuje.