Názory k článku Chytrý telefon není povinnost. Tyto banky umožní účet ovládat i bez aplikace
-
Jako že posílat citlivou informaci přes síť třetí strany v otevřeném tvaru není méně bezpečné, než ji posílat end-to-end šifrovaným kanálem? Ale no tak.
A jak to víte, když nemáte chytrý telefon a nemůžete si vyzkoušet, jak jednoduché je kliknout na notifikaci, dát otisk prstu, zkontrolovat a kliknutím potvrdit? Mnohem pohodlnější, než otrocké opisování číslic.
-
Je jedno, jakým kanálem co posíláte. Rozhodně je jednodušší, aby si uživatel sám kliknul ve smrtfounu na nějaký odkaz, nechal se ukecat k instalaci aplikace, atd. To u normálního tlačítkového telefonu nehrozí. Tam ani nekliknete na odkaz v SMS a musíte ho přepsat do prohlížeče v počítači. A to se některým nebude chtít a někteří to myslím ani nezvládnou.
Že je teoreticky možné odchytit SMS po cestě, to je "hezké", ale ukažte, kolik se takových útoků opravdu stalo a co způsobily. Pak to porovnejte s tím, co si způsobili sami uživatelé pomocí "chytrých" telefonů.
Jinak jsem jednou zadával příkaz v mobilní aplikaci. Než jsem všechno vyplnil, naťukal, opravil chyby a odeslal, měl bych s tím "otrockým" přepisováním SMS odeslané minimálně 3 příkazy z PC. Mobil je prostě pro mne moc malý a velice špatně ovladatelný v porovnání s PC.
23. 9. 2026, 12:12 editováno autorem komentáře
-
O útoku unesením SMS u nás nevím, ale v zahraničí se děly / dějí. Vzhledem k tomu, že podobné záležitosti jsou většinou "utajované" je nějaké porovnávání škod poměrně problematické. A pozor - odchytit SMS se dá nejen nabouráním se do sítě operátora. Úplně stačí, když útočník předstírá, že je zahraniční operátor (nebo nějakého vyhackuje / podplatí) a že se k němu váš mobil zaroamoval. Tohle je víceméně nezabezpečené a je to pak jen o tom, jestli váš operátor má dost dobrou heuristiku aby dokázal takovéhle požadavky odfiltrovat.
No a především: Bezpečnost svého mobilu můžete ovlivnit sám tím, že nebudete klikat na podivné odkazy, nebudete instalovat aplikace z pochybných zdrojů, atp. Na bezpečnost mobilního operátora nemáte žádný vliv. A o tom to je.
Mimochodem, i pokud si nainstalujete jinou aplikaci, stále ještě to neznamená, že za vás může potvrzovat platby, aplikace jsou v mobilu oddělené. Musela by následně využít nějakou bezpečnostní chybu v OS.
Pokud používáte aplikaci k potvrzování operací, tak to samozřejmě neznamená, že ji musíte používat pro zadávání příkazů - jak jste na tu blbost, prohoba, došel? Normálně vyplním příkaz pohodlně na počítači a v mobilu jen potvrdím. Nebo nascanují QR kód, pokud mám - to je ještě pohodlnější.
-
"Neklikat na podivné odkazy." Čím to je, že se to říká všude a pořád a lidé to pořád dělají?
Z mé zkušenosti jsou některé mobilní aplikace na ovládání hodně nepřívětivé. U některé banky musím napřed zadat jméno a heslo na PC a pak pustit aplikaci, u jiných to musím udělat obráceně. Pokud to udělám jinak, požadavek na potvrzení přihlášení se v aplikaci neobjeví. Ale řekněme, že se potvrzení objevilo a já se po zadání pinu nebo hesla v telefonu přihlásím do bankovnictví v PC. Tam si pak zadám příkaz a kouknu na telefon. Tam se nic neobjevuje, akorát na obrazovce visí tlačítko "Hotovo" z počátečního potvrzení přihlášení. Pokud ho stisknu, aplikace se zavře a já ji musím znovu spustit a znovu se přihlásit, abych transakci potvrdil. A aby nedošlo k nedorozumění, nemám telefon s čtečkou otisků. Takový si kvůli bance nebudu kupovat. Jsem rád, že jsem sehnal zdarma vyřazený telefon, který už nikdo nechce používat, ale na tohle je funkční.
QR kódy jsou další kapitola. Řekl bych, že spousta lidí nechápe co to je, jak to funguje, atd. (a tím nemyslím technické detaily). Takže když vidí QR kód tak si (asi) řeknou, že je to bezpečné a zaplatí. Ani nic nekontrolují, však jde přece o tu rychlost a jednoduchost.
A na závěr, jak jste přišel na takovou blbost, že jsem já přišel na Vámi zmiňovanou blbost? Já pouze uváděl, jak je používání mobilní aplikace pro mne nepohodlné a zdlouhavé.
-
Tady je potřeba odlišit dva pohledy. Jestli to chcete zabezpečit pro sebe, nebo pro druhé.
Pokud pro sebe, tak si sice můžete pořídit "hloupý" telefon, ale pokud budete podobnou péči věnovat svému chování, bude mobilní aplikace stejně bepečnější a hlavně na tu bezpečnost máte vliv, na rozdíl od bezpečnosti mobilní sítě.
Pokud pro ostatní, tak ti v drtivé většině mají chytrý telefon a tam je komplikovanější napadnout bankovní aplikaci, než odchytávat SMS (na to stačí přimět uživatele dát útočníkově aplikaci přistup). Takže opět je aplikace bezpečnější.
Na čem zakládáte svůj dojem ohledně QR kódů? Ano, už jsem slyšel, že někde někdo přelepoval veřejné QR kódy pro platby, ale to není masový problém. A rozhodně ho preferuji oproti byť jen copy-paste údajů na počítači, protože je rychlejší a pohodlnější.
No, bavili jsme se o pohodlnosti POTVRZOVÁNÍ příkazů v mobilu v porovnání s opisováním kódů z SMS a vy jste začal blábolit o nepohodlnosti jejich vyplňování (s čímž souhlasím), tak mě zajímalo, jak jste na to došel a jaká je tam souvislost s tím porovnáním (žádná).
-
Vy posíláte nejake data treti strane otevrenym kanalem? Nebo co tim chcete rict?
En-to-end vam nekdo naseptal nebo mate technickou specifikaci aplikace ze to vite tak bezpecne?
Za prve mate zapleveleny telefon aplikacemi tretich stran, kazda z nich sbira ruzna data, takze klidne do komunikace mohou zasahovat.
Data proudi pres sit operatora/wifi, tam absolutne nevite jak je to zabezpecene a nemate ani sajna co se deje. Netusite jaky se pouziva dns server, jestli nemate nainstalovany certifikat ktery komunikaci desifrovava apod... Proste jen pr kecy banky, ktera samozrejme nemuze napsat ze to je atejne nebezpecne jako klasicke bankovnictvi, kde ale bud mate operacni system a nebo alespon windowsy s antivirem. 99% droidu je neaktualizovanych, takze dalsi dira do systemu.
A prihlasovani otiskem prstu je nejmene bezpecna varianta prihlasovani. To uz je bezpecnejsi pin na 4 cislice - to z vas nikdo nedostane, otisk prstu maji za 2s.
-
Technicky vzato ne já, ale banka posílá detaily transakce a potvrzovací kód (což jsou setsakra citlivá data) a nikoli třetí straně, ale přes její síť (= mobilní síť).
Jelikož jsem v bance pracoval tak do toho vidím. A kdyby to šifrované nebylo, tak by bezpečnostní audit s bankou vyběhli než by stačili říct SMS.
Nemohou. Aplikace jsou oddělené. Maximálně pokud jim dáte práva, ale i tak nemohou poslouvhat / podvrhnout šifrovanou komunikaci.
Ano a právě proto je potřeba mít spojení end-to-end šifrované, ne to posílat otevřeně jako SMS.
Neaktualizované: A právě proto mají bankovní aplikace nároky na minimální verzi systému, na které pracují, odmítají rootnuté telefony atp.Že jste to vy, budu na vás hodný a dám vám 10 sekund, abyste získal můj otisk prstu. Máte? ;-)
Jinak biometrie má tu výhodu, že pak je klíč pro komunikaci chráněný daty uloženými ve speciálním HW čipu, který ho nevydá a jen podepíše - ale až po potvrzení biometrií, což dává hodně vysokou úroveň ochrany.
-
No a pak má biometrie jednu dost velkou nevýhodu, a sice že nefunguje :-). Mám ji jak na mobilu, tak na PC. Nefunguje ani jedna. Do práce nám dali přihlašování do systému otiskem prstu. Seděla jsem u PC a půl hodiny jsem se přihlašovala, leštila čtečku a dělala kdejaké kejkle, než jsem se tam konečně dostala. Ale asi nás mělo problémy víc, tak firma seznala, že čtečka otisků je na nic a neprogramovali přihlašování PINem. Od té doby je přihlašování bez problémů.
-
Normální jednoduché věci se dají dělat v mobilu úplně v pohodě. Třeba se kouknout, jestli mi zákazník zaplatil. Nebo si přesunout peníze na spořící účet. Nebo poslat prachy manželce.
Jakmile ale člověk musí udělat cokoli složitějšího, tak je u normální banky řádově jednodušší se zvednout z pohovky a pustit si kompa. Třeba když mi někdo pošle platební údaje e-mailem v zašifrovaném pdf. Nebo mi to pošle normálně v textu, ale jde o tři platby. Nebo si variabilní symbol musím dohledat někde jinde na webu. Nebo si posčítat, kolik mi nájemníci zaplatili za poslední rok. Většina podobných věcí samozřejmě jde udělat i v mobilu, ale je to takové drbání se pravou nohou za levým uchem, že je prostě jednodušší pustit si kompa. -
Plně souhlasím, akorát u mne je to ještě jiné v tom, že to mám obráceně. Komp mi jede skoro pořád a jen kvůli bankám pouštím potvrzovací mobil. Starý vyřazený mobil bez SIM sloužící jen čistě k tomuto účelu. Proto mi vyhovují banky, kde se bez něj úplně obejdu. Myslím, že jsem u takové banky jen jednorázově použil mobil na potvrzení důvěryhodnosti PC a pro nastavení důvěryhodných účtů.
Jinak já jsem člověk, který si k platbám píše různé textové poznámky, což je na mobilu docela nehezký zážitek (ale možná je to jen věc zvyku).
-
No tak samozrejme aplikace zdarma neni, platite sberem dat co ta aplikace na pozadi dela a posila nejen do banky.
Ze je pohodlna naprosto souhlasim, zlodej mobil ukradne, ukaze mu vasi fotku a je v bance. Snadnejsi to uz byt nemuze.
Kazdy bezpecnostni technik vi, ze co je pro uzivatele pohodlne, tak neni a nemuze z logiky veci byt bezpecne :D
-
Bezpečnější? Nelze obecně říct, záleží na kompatibilitě uživatele a nastavení aplikace, mobilu, způsobu používání. Např. obvykle velmi krátké jednoduché heslo versus složité heslo na počítači, protože se tam snadněji používají aplikace na ukládání hesel. Pro mě je aplikace méně bezpečná.
Pohodlnější? Opět záleží na kompatibilitě. Je mnoho profesí, kde je člověk neustále u počítače, někteří mobil odkládají. Pro mě je používání klávesnice, obřího monitoru a myši výrazně pohodlnější než používání relativně malého dotykového displeje s velmi krátce nastaveném automatickým odhlášením, zvláště při psaní poznámek, kopírování údajů. Jedinou výjimkou pro mě je placení pomocí QR kódu.
Zdarma? Ne. Pokud pominu pořízení samotného chytrého telefonu, potřebujete mobilní data nebo wifi, každou chvíli aktualizace, když máte počítaná data MB co platíte, čas co se to aktualizuje, zabírá to cenný prostor v mobilu, nejen MB, ale i další ikona, která znepřehlednuje mobil. Nemluvě o tom, že po čase se dozvíte, že aplikace vám už nebude fungovat, protože používáte mobil moc dlouho...
-
Třeba do fio banky se přihlašuji nejjednodušeji na klasickém PC, kde jsou hesla již nějak uložena v prohlížeči a při prvním přihlášení jsem vyplnil volbu : zadat sms a důvěřovat, což mě napříště umožňuje přihlašovat se na účet již bez aplikací a dalšího opisování smsek z tlačítkové Nokie.
U banky Creditas stačí opsat kód z smesky z tlačítkové Nokie, ale nějak jsem při založení běžného účtu nepochopil, jak mám platit virtuální kartou Creditas, když nepoužívám tuto banku v chytrém mobilu s aplikací?
UniCreditbank je opatrná a povolí aplikaci banky jen na jednom smartphonu, kde sim karta musí býti vložená v šublíku číslo jedna, protože u mobilu se dvěma simkartami neumožňuje aktivaci bankovní aplikace, když máme spárované tel. číslo v šublíku pro sim kartu číslo dvě, jinak se nepodaří aktivace prý kvůli prodlevě času na neprimární simkartu.
A poplatek 500 Kč původně UniCreditbank vybírala u U-konta jako za předplacené smsky pro potvrzovací kódy. -
U Creditas si můžete všechny údaje virtuální karty (číslo, expirace, cvv) zobrazit v bankovnictví (na rozdíl třeba od AirBank). Dále si pak u ní volíte ePIN což je heslo pro potvzení platby - velmi chytré jelikož nepoužíváte heslo do bankovnictví (na rozdíl od AirBank), což by bylo velmi nebezpečné zejména když výzva k jeho zadání najíždí v iframe a vy netušíte zda na 100% komunikujete přímo s bankou (případný únik ePIN je problém, ale ne jako únik hesla do bankovnictví). A také ještě potvrzujete pomocí SMS co přijde.
ČLÁNKY DO MAILU