Bankovní identita není jen přihlášení do Portálu občana. Tady začíná být opravdu užitečná - a tady už může bolet

Představte si, že potřebujete podat daňové přiznání, vyřídit výpis z rejstříku trestů nebo si na internetu založit službu, která vyžaduje ověření totožnosti. Místo hledání hesla, datové schránky nebo návštěvy úřadu kliknete na svou banku. Přihlásíte se stejně jako do internetového bankovnictví a hotovo.

To je bankovní identita v její nejpohodlnější podobě. Banka tím ale nepotvrzuje, co chcete vyřídit. Potvrzuje, kdo jste. A právě v tom je její síla i největší háček.

Z bankovnictví rovnou na úřad

Bankovní identita se v Česku rozšířila hlavně díky tomu, že člověk nemusí zakládat další účet, instalovat zvláštní aplikaci ani si pamatovat nové přihlašovací údaje. Pokud jeho banka službu podporuje, přihlášení proběhne přes známé prostředí banky.

Použít ji lze například pro přístup ke službám státu. Portál občana, některé služby České správy sociálního zabezpečení nebo elektronická komunikace s úřady tak mohou být otázkou několika kliknutí.

Pak jsou tu soukromé firmy. Bankovní identita se používá při ověřování klienta, uzavírání smluv nebo přístupu k některým online službám. Firmě přitom nemusíte předávat kopii občanky jen proto, aby si ověřila, že jste skutečně vy.

To je podstatná změna. Bankovní identita z banky dělá také digitální průkaz totožnosti.

A není to jen pohodlnější obdoba hesla. Za přihlášením stojí banka, která už klienta zná a jeho identitu ověřila. Při samotném použití bankovní identity pak banka typicky předá službě údaje potřebné k identifikaci uživatele a uživatel potvrdí, že s předáním souhlasí.

V praxi to může vypadat banálně: kliknete na logo své banky, přihlásíte se, potvrdíte operaci v mobilní aplikaci a web vás pustí dál.

Jenže tím se dostáváme k místu, kde už pohodlí nestačí.

Největší riziko není bankovní identita, ale špatné kliknutí

Bankovní identita sama o sobě není mechanismus, kterým by někdo automaticky získal přístup k vašemu účtu. Problém vzniká ve chvíli, kdy uživatel přihlášení schválí na falešném webu.

Scénář je jednoduchý. Přijde SMS nebo e-mail s tvrzením, že je potřeba potvrdit něco u banky, České pošty nebo státní správy. Odkaz vede na stránku, která může vypadat téměř stejně jako skutečný web. Uživatel zadá údaje. Následně se objeví výzva k potvrzení v bankovní aplikaci.

A tady se láme chleba.

Člověk si může říct: Vždyť to potvrzuji v aplikaci banky, takže je to bezpečné. Jenže potvrzuje operaci, kterou předtím vyvolal podvodný web. Bezpečnostní prvek funguje, ale člověk potvrzuje něco, čemu nerozumí.

To není teoretická konstrukce. Phishing se postupně posunul od amatérských e-mailů plných překlepů k velmi přesvědčivým stránkám a zprávám. Útočník nepotřebuje prolomit banku. Stačí mu přesvědčit uživatele, aby mu sám otevřel dveře.

Zvlášť zrádné je, že bankovní identita může působit jako univerzální tlačítko Přihlásit se bezpečně. Není. Bezpečnost začíná ještě před přihlášením - u adresy webu a toho, kdo po vás přihlášení vůbec chce.

Pozornost si zaslouží také samotný souhlas s předáním údajů. Při přihlášení ke konkrétní službě je dobré se podívat, komu jsou údaje poskytovány a proč. Pokud web, který jste právě navštívili poprvé, najednou žádá potvrzení přes banku, je namístě zastavit se.

Bankovní identita tedy není digitální občanka, kterou byste bez přemýšlení přikládali ke každému online požadavku. Je to velmi silný nástroj pro prokázání totožnosti, a proto s ním není rozumné zacházet jako s obyčejným heslem.

V tom je celý paradox. Čím pohodlnější přihlášení je, tím snadněji člověk zapomene, že právě udělal krok, kterým někomu potvrdil svou identitu. A podvodníkovi často stačí, aby ten krok vypadal úplně obyčejně.