Bankovní identita: k čemu slouží a jak si ji zřídit
Bankovní identita umožňuje přihlásit se ke státním i soukromým službám stejnými údaji, jakými se přihlašujete do svého bankovnictví. Nezřizuje se zvlášť a většina lidí ji má, aniž by o tom věděla. Zároveň je to nástroj, který útočníci cíleně napodobují, protože jedním úspěšným podvodem získají přístup k mnohem víc než k jedné službě. Text vysvětluje, na čem stojí, co se při přihlášení skutečně předává a podle čeho poznat podvrženou přihlašovací stránku.
Ve zkratce
- Umožňuje prokázat totožnost online pomocí přihlášení do internetového bankovnictví.
- Právní základ dal zákon o bankách, který bankám umožnil poskytovat identifikační služby.
- Je jedním z prostředků systému Identita občana, nevyžaduje samostatnou registraci u státu.
- Poskytovatel služby nevidí vaše přihlašovací údaje ani zůstatek na účtu.
- Rozsah předávaných údajů určuje poskytovatel služby, odmítnout lze jen volitelné položky.
- Kopie dokladu totožnosti se nepředává vůbec.
Na čem stojí
Až do konce roku 2020 nesměly banky ověřenou totožnost svých klientů nabízet dál. Změnila to novela zákona o bankách, která mezi činnosti bank zařadila identifikační služby, tedy poskytování nebo potvrzování osobních identifikačních údajů klienta, informací s nimi souvisejících a vytváření a uchovávání elektronických dokumentů.
V praxi vystupují tři strany. Vaše banka je vydavatelem prostředku, tedy tím, kdo vaši totožnost už jednou ověřil a ručí za ni. Služba, na kterou se přihlašujete, je příjemcem údajů. A mezi nimi stojí provozovatel, společnost vlastněná bankami, který zajišťuje technické propojení.
Vztah k Identitě občana
Identita občana je zastřešující systém státu pro vzdálené prokazování totožnosti, jehož technickým jádrem je národní bod pro identifikaci a autentizaci. Banky v něm figurují jako akreditovaní kvalifikovaní správci, takže bankovní identita je jedním z prostředků tohoto systému, ne konkurencí k němu.
Vedle ní existují další prostředky. Elektronický občanský průkaz s čipem dosahuje nejvyšší úrovně záruky, protože je vázaný na fyzické zařízení. Bankovní identita a přihlášení jménem, heslem a kódem ze zprávy mají úroveň záruky značnou, což pro drtivou většinu služeb stačí. Právě proto je bankovní identita nejrozšířenější: má dostatečnou úroveň a nevyžaduje čtečku ani návštěvu úřadu.
Jak si ji zřídit
Ve většině případů nijak, protože ji už máte. Podmínky jsou tři: plně ověřená totožnost u banky, která je do systému zapojená, platný osobní doklad a aktivní elektronické bankovnictví. Kdo je splňuje, má bankovní identitu k dispozici, v jednotlivých případech může banka vyžadovat ruční aktivaci.
První použití vypadá takto. Na cílové službě zvolíte přihlášení bankovní identitou a vyberete svou banku. Následuje přesměrování na web banky, kde se přihlásíte obvyklými údaji včetně druhého faktoru. Teprve pak se zobrazí obrazovka se souhlasem, na které vidíte, které konkrétní údaje se předají, a máte možnost pokračovat, nebo odejít. Ověřenou totožnost po vás budou chtít i podvodné nabídky, jak popisuje text o tom, co je u přivýdělku na internetu varovný signál.
K čemu se dá použít
Rozsah je širší, než většina lidí čeká, a roste hlavně na soukromé straně.
Vůči státu
Přihlášení do Portálu občana, do daňového portálu a do datové schránky. Všude tam nahrazuje samostatné přihlašovací údaje, které bylo dřív nutné si zvlášť vyřídit a pamatovat.
Uzavření smlouvy na dálku
Tohle je z praktického hlediska nejcennější použití. Služba umožňuje poskytovateli identifikovat vás na základě bankou ověřené totožnosti, jako kdybyste byli fyzicky přítomni. Lze ji použít i k identifikaci osoby podle zákona proti legalizaci výnosů z trestné činnosti, což je důvod, proč jde dnes na dálku sjednat i to, k čemu byla dřív potřeba pobočka nebo kurýr.
Ověření věku
Služba umí předat samostatný údaj o tom, že jste zletilí, aniž by prozradila datum narození. Je to rozdíl proti nahrání dokladu, kterým o sobě prozradíte podstatně víc, než bylo potřeba.
Podpis dokumentů
Bankovní identita umožňuje i elektronické podepisování, ale jde o podpis zaručený, ne kvalifikovaný. To je podstatný rozdíl: tam, kde právní předpis vyžaduje kvalifikovaný elektronický podpis, tenhle nestačí. Certifikát se vytváří při každém použití a neuchovává se dlouhodobě, dokument navíc nese kvalifikovanou pečeť provozovatele.
Co se skutečně předává
Údaje jsou uspořádané do skupin, ze kterých si poskytovatel služby vybírá. Patří sem jméno a příjmení, datum a místo narození, státní příslušnost, adresy, e-mail a telefon s příznakem ověřenosti, rodné číslo, rodinný stav, údaje o dokladu totožnosti, právní status včetně zletitosti a číslo bankovního účtu.
Důležité je, kdo o rozsahu rozhoduje. Není to uživatel, jak se často tvrdí. Skupiny údajů volí poskytovatel služby a určuje, které položky jsou povinné a které volitelné. Vy můžete odmítnout jen ty volitelné, u povinných je volba mezi souhlasem a odchodem. Zobrazí se vám ale vždycky, takže víte, do čeho jdete.
Co se nepředává
Kopie dokladu totožnosti se nepředává vůbec. Poskytovatel služby také nevidí vaše přihlašovací údaje do bankovnictví ani zůstatek na účtu, a bankovní identita nedává přístup k účtu ani k platbám. Kdo tvrdí opak, vás obelhává. Jak se naopak nastavuje skutečný přístup k penězům na účtu, popisuje text o tom, čím se liší inkaso a trvalý příkaz.
Jak souhlas odvolat
Trvalé přihlášení má omezenou platnost a souhlas lze kdykoli odvolat v internetovém bankovnictví, čímž skončí i zasílání souvisejících oznámení. Přehled udělených souhlasů a historii přihlášení najdete v Portálu občana. Projít si ten seznam jednou za čas se vyplatí, protože bývá delší, než člověk čekal. Součástí ověření totožnosti na dálku bývá i zadání čísla účtu v mezinárodním formátu.
Podvody, které na ni cílí
Bankovní identita je pro útočníky atraktivní cíl, protože jedním podvodem získají přístup k bankovnictví i ke službám, kde se jí prokazujete.
Národní úřad pro kybernetickou a informační bezpečnost popsal kampaň, která na to šla přesně takhle. E-maily a zprávy lákaly na příspěvek na bydlení a odkazovaly na stránky napodobující web ministerstva. Cílem bylo přimět oběť, aby se na podvodné stránce přihlásila bankovní identitou. Zadané údaje útočníci okamžitě použili k přihlášení do skutečného bankovnictví, čímž vyvolali dvoufázové ověření, které oběť sama potvrdila, protože ho v tu chvíli čekala.
Vedle toho existuje telefonní varianta, kdy útočník podvrhne číslo tak, aby hovor vypadal jako z linky banky, a chce přihlašovací údaje. A varianta s takzvaným falešným bankéřem, který tvrdí, že je účet napadený, a navede oběť k instalaci aplikace pro vzdálený přístup. Banka po telefonu přihlašovací údaje nikdy nevyžaduje.
Sedm zásad, které riziko snižují nejvíc
- Adresu služby zadávejte ručně nebo z vlastních záložek, nikdy z odkazu ve zprávě.
- Před přihlášením zkontrolujte adresu v prohlížeči a zabezpečené spojení, při neshodě stránku opusťte.
- Nikdy nesdělujte přihlašovací údaje po telefonu ani v odpovědi na zprávu.
- Potvrzujte druhý faktor jen tehdy, když jste přihlášení sami vyvolali.
- Dávejte přednost potvrzovací aplikaci před kódem ve zprávě, protože zprávy nejsou chráněné dalším kódem.
- Nepřihlašujte se z cizích nebo sdílených zařízení a z veřejných sítí.
- Volte sílu prostředku podle hodnoty toho, co se za ním skrývá.
Časté dotazy
Musím si bankovní identitu zřizovat?
Většinou ne, protože ji už máte. Podmínky jsou tři: plně ověřená totožnost u zapojené banky, platný osobní doklad a aktivní elektronické bankovnictví. Kdo je splňuje, má ji k dispozici. V jednotlivých případech může banka vyžadovat ruční aktivaci, samostatná registrace u státu ale potřeba není.
Vidí služba, na kterou se přihlašuji, můj účet?
Ne. Poskytovatel služby nevidí vaše přihlašovací údaje do bankovnictví ani zůstatek na účtu a bankovní identita nedává přístup k účtu ani k platbám. Předávají se pouze údaje ze skupin, které vám služba zobrazí na obrazovce se souhlasem před dokončením přihlášení.
Rozhoduju o tom, které údaje se předají?
Jen částečně. Skupiny údajů volí poskytovatel služby a určuje, které položky jsou povinné a které volitelné. Odmítnout můžete jen ty volitelné, u povinných je volba mezi souhlasem a odchodem ze služby. Vždy se vám ale zobrazí, co se předá. Kopie dokladu totožnosti se nepředává vůbec.
Nahradí podpis bankovní identitou kvalifikovaný elektronický podpis?
Ne. Bankovní identita umožňuje podpis zaručený, ne kvalifikovaný. Tam, kde právní předpis vyžaduje kvalifikovaný elektronický podpis, tento nestačí. Certifikát se vytváří při každém použití a neuchovává se dlouhodobě, podepsaný dokument navíc nese kvalifikovanou pečeť provozovatele.
Jak souhlas s předáváním údajů odvolám?
V internetovém bankovnictví, kde lze udělený souhlas kdykoli zrušit, čímž skončí i platnost trvalého přihlášení a zasílání souvisejících oznámení. Přehled všech udělených souhlasů a historii přihlášení najdete v Portálu občana. Projít ten seznam jednou za čas se vyplatí.
Jak poznám podvodnou přihlašovací stránku?
Nejspolehlivěji tak, že se na ni vůbec nedostanete: adresu služby zadávejte ručně nebo z vlastních záložek, ne z odkazu ve zprávě. Před přihlášením zkontrolujte adresu v prohlížeči. Druhý faktor potvrzujte jen tehdy, když jste přihlášení sami vyvolali, protože právě jeho potvrzení v nečekanou chvíli útok dokoná.
Stejné techniky se používají i při náboru na podvodné brigády. Co u nabídek na přivýdělek na internetu znamená varovný signál, rozebírá samostatný text.
Mohlo by vás zajímat
Aktualizováno k červnu, kdy byl text naposledy ověřen podle zákona o bankách, informací provozovatele bankovní identity, materiálů k systému Identita občana a upozornění Národního úřadu pro kybernetickou a informační bezpečnost.
Text má informativní charakter. Při podezření na zneužití se obraťte neprodleně na svou banku a na policii.
Zdroje: zákon o bankách v části o identifikačních službách, zákon o elektronické identifikaci, dokumentace provozovatele bankovní identity ke katalogu služeb a k předávaným údajům, informační stránky systému Identita občana, upozornění Národního úřadu pro kybernetickou a informační bezpečnost k phishingu cílenému na bankovní identitu a k telefonním podvodům, doporučení pro bezpečné nakládání s elektronickou identitou. Do textu se nedostal výčet zapojených bank ani věkové limity jednotlivých služeb, protože se mění. Nedostaly se do něj ani konkrétní lhůty platnosti jednorázového přihlášení, které se nepodařilo doložit.
