Kontomatik: jak działa weryfikacja przez logowanie do banku i czy jest bezpieczna
Kontomatik to polska firma wpisana przez KNF do rejestru dostawców świadczących wyłącznie usługę dostępu do informacji o rachunku (wpis AISP1/2019 z 27 września 2019 r.), która za Twoją zgodą odczytuje dane z konta bankowego i przekazuje je pożyczkodawcy.
Dzięki temu firma sprawdza, że rachunek należy do Ciebie, i ocenia Twoje wpływy oraz wydatki. Usługa nie daje możliwości zlecenia przelewu. Samo narzędzie działa legalnie i pod nadzorem, więc realne ryzyko leży gdzie indziej: w fałszywych stronach, które udają okno weryfikacji, żeby przejąć login i hasło do bankowości.
W skrócie
- Kontomatik sp. z o.o. działa na podstawie wpisu do rejestru dostawców świadczących wyłącznie usługę dostępu do informacji o rachunku, prowadzonego przez KNF, pod numerem AISP1/2019.
- Usługa dostępu do informacji o rachunku (AIS) wynika z dyrektywy PSD2 i ustawy o usługach płatniczych: pozwala odczytać dane z rachunku, ale nie zlecić płatności.
- Pożyczkodawca dostaje m.in. imię i nazwisko, adres, listę rachunków, saldo i historię transakcji, a nie Twój login ani hasło do banku.
- CERT Polska podkreśla, że jedynym elementem strony, którego oszust nie podrobi, jest domena widoczna w pasku adresu.
- Wielu pożyczkodawców pozwala zamiast logowania wykonać przelew weryfikacyjny na symboliczną kwotę, a zgodę na dostęp do danych można wycofać.
Co to jest Kontomatik i czy działa legalnie
Kontomatik sp. z o.o. z siedzibą w Warszawie to firma technologiczna, która świadczy usługę dostępu do informacji o rachunku, w skrócie AIS (Account Information Service). Ustawa o usługach płatniczych opisuje ją jako usługę online polegającą na dostarczaniu skonsolidowanych informacji o rachunku płatniczym użytkownika prowadzonym u innego dostawcy, na przykład w Twoim banku. Taka działalność wymaga wpisu do rejestru prowadzonego przez Komisję Nadzoru Finansowego.
Kontomatik uzyskał wpis do rejestru dostawców świadczących wyłącznie usługę dostępu do informacji o rachunku 27 września 2019 r., pod numerem AISP1/2019, jako pierwszy podmiot w tym rejestrze. Firma działa też na podstawie zezwolenia Banku Litwy. Status wpisu sprawdzisz samodzielnie na knf.gov.pl, w sekcji „Podmioty rynku usług płatniczych”, bez polegania na zapewnieniach pożyczkodawcy ani samego dostawcy.
Kontomatik nie udziela pożyczek i nie decyduje o ich przyznaniu. Dostarcza technologię bankom, firmom pożyczkowym i leasingowym, które osadzają jego okno logowania, tak zwany widget, we własnym wniosku online. Dane z Twojego rachunku trafiają do tej firmy, a to ona na ich podstawie akceptuje albo odrzuca wniosek o pożyczkę.
Jak działa weryfikacja przez logowanie do banku krok po kroku
Na stronie pożyczkodawcy wybierasz weryfikację przez bank, akceptujesz zgody i wskazujesz swój bank w oknie Kontomatik. Jeśli bank udostępnia połączenie API zgodne z PSD2, uwierzytelniasz się na stronie internetowej banku, tak jak przy zwykłym logowaniu. W niektórych przypadkach Kontomatik stosuje mechanizm awaryjny: wtedy login i hasło wpisujesz w samym widgecie, a firma deklaruje, że hasło nie jest później przechowywane na jej serwerach.
Po zalogowaniu Kontomatik importuje informacje o rachunku, analizuje je i udostępnia pożyczkodawcy. Według opisu usługi chodzi o imię i nazwisko, adres, listę rachunków płatniczych, dane rachunku, takie jak saldo, dostępne środki i waluta, oraz zestawienie transakcji z typem, kwotą, datą i tytułem. Sama weryfikacja trwa zwykle kilka lub kilkanaście sekund.
Usługa AIS nie obejmuje inicjowania płatności, więc przez takie połączenie nie da się zlecić przelewu z Twojego konta. Zgodę na dostęp do danych możesz wycofać. Przed kliknięciem przeczytaj, na co się zgadzasz: regulamin usługi przewiduje dostęp jednorazowy i wielokrotny, a od zakresu zgody zależy, czy dane zostaną pobrane raz, czy przez pewien czas.
Jakie dane widzi pożyczkodawca, a jakich nie
Pożyczkodawca korzysta z tych informacji w dwóch celach. Po pierwsze potwierdza, że rachunek i dane z wniosku należą do tej samej osoby, co utrudnia wzięcie pożyczki na cudze dane. Po drugie ocenia zdolność kredytową, którą ustawa o kredycie konsumenckim nakazuje zbadać przed zawarciem umowy. Historia wpływów i wydatków pokazuje realny budżet dokładniej niż samo oświadczenie o dochodach.
Z zestawienia transakcji widać regularne wpływy, stałe opłaty i spłaty innych zobowiązań. Jeśli nie chcesz udostępniać tak szczegółowych danych, wybierz pożyczkodawcę, który przyjmuje przelew weryfikacyjny i oświadczenie o dochodach. Pamiętaj, że ocenę zdolności kredytowej firma przeprowadzi w każdym przypadku, tylko na podstawie innych informacji, na przykład baz danych.
| Rodzaj informacji | Czy trafia do firmy | Uwagi |
|---|---|---|
| Imię, nazwisko, adres | Tak | porównanie z danymi z wniosku |
| Lista rachunków i saldo | Tak | także dostępne środki i waluta |
| Historia transakcji | Tak | typ, kwota, data i tytuł operacji |
| Login i hasło do banku | Nie | Kontomatik deklaruje, że ich nie przechowuje |
| Możliwość zlecenia przelewu | Nie | usługa AIS nie obejmuje płatności |
Kontomatik opinie: czy logowanie przez widget jest bezpieczne
Szukając opinii o Kontomatik, zwykle chcesz wiedzieć dwie rzeczy: czy podanie hasła do banku jest bezpieczne i jakie dane trafią do pożyczkodawcy. Od strony prawnej usługa jest uregulowana: dostawca AIS potrzebuje wpisu w rejestrze KNF, a Kontomatik deklaruje certyfikat ISO/IEC 27001 i zgodność z RODO. Nie oznacza to jednak, że każde okno z logo Kontomatik jest prawdziwe.
W 2023 r. Kontomatik ostrzegał przed stronami podobnymi do swojej witryny, działającymi pod domenami, które do firmy nie należą. Oszuści nakłaniali tam do podania danych bankowych i opłacenia różnych usług. Firma podkreślała, że jej pracownicy nie dzwonią do użytkowników i nie proszą o opłaty. Kontomatik działa przez partnerów, więc prawdziwe okno pojawia się w trakcie wniosku na stronie pożyczkodawcy.
Bezpieczeństwo zależy więc w dużej mierze od tego, skąd trafiasz do okna logowania i czy sprawdzasz adres strony. Jeśli masz wątpliwości, przerwij proces i wróć na stronę pożyczkodawcy, wpisując jej adres ręcznie. Sprawdź też samą firmę pożyczkową w rejestrze instytucji pożyczkowych KNF, bo wpis Kontomatik dotyczy wyłącznie dostawcy technologii.
Jak rozpoznać fałszywą stronę logowania do banku
CERT Polska przypomina, że fałszywa strona może wyglądać tak samo jak prawdziwa, bo skopiowanie logo, kolorów i układu nie stanowi dziś problemu. Podrobić nie da się tylko domeny widocznej w pasku adresu. Jeśli w wyróżnionej części adresu nie ma nazwy Twojego banku, nie jesteś na jego stronie, nawet gdy ta nazwa pojawia się w innym miejscu linku.
Sygnałem alarmowym jest też droga, którą trafiasz do logowania. Link z SMS-a lub komunikatora, ponaglenie typu „konto zostanie zablokowane” albo prośba o drobną dopłatę to typowe elementy phishingu. Jeśli bank prosi o potwierdzenie w aplikacji lub SMS-em, przeczytaj treść: inny odbiorca albo kwota, której się nie spodziewasz, oznacza próbę oszustwa.
- Domena w pasku adresu należy do Twojego banku albo do pożyczkodawcy, u którego składasz wniosek, a nie jest podobną nazwą z dodatkową literą.
- Okno weryfikacji otwiera się w trakcie wniosku rozpoczętego przez Ciebie na stronie firmy, a nie po kliknięciu linku z wiadomości.
- Nikt nie żąda opłaty za weryfikację i nikt nie dzwoni z prośbą o kod z SMS-a lub aplikacji.
- Potwierdzenie w aplikacji banku dotyczy logowania lub udostępnienia danych, a nie przelewu na nieznany rachunek.
- Strona nie prosi o dane karty płatniczej, PIN ani kod BLIK.
Co zrobić, jeśli dane logowania trafiły na fałszywą stronę
Działaj od razu. Zadzwoń do banku numerem z karty lub oficjalnej strony i poproś o zablokowanie dostępu do bankowości. Zmień hasło do banku oraz wszędzie tam, gdzie używasz tego samego hasła, i wyloguj wszystkie aktywne sesje. Jeśli na fałszywej stronie znalazły się też dane z dowodu osobistego, zastrzeż numer PESEL, na przykład w aplikacji mObywatel.
Zgłoś stronę do CERT Polska przez formularz incydent.cert.pl, a podejrzany SMS przekaż bezpłatnie na numer 8080. CERT prowadzi Listę Ostrzeżeń przed niebezpiecznymi stronami, z której korzystają operatorzy telekomunikacyjni do blokowania złośliwych domen, więc zgłoszenie chroni także innych. Jeśli z konta zniknęły pieniądze, zawiadom policję i zachowaj zrzuty ekranu, adres strony oraz treść wiadomości.
Przez kolejne tygodnie obserwuj, czy nikt nie wziął pożyczki na Twoje dane. Od 1 czerwca 2024 r. instytucje finansowe muszą przed udzieleniem pożyczki sprawdzić, czy numer PESEL jest zastrzeżony, a instytucja, która mimo zastrzeżenia udzieli kredytu, nie może dochodzić roszczeń od ofiary. Co robić, gdy do wyłudzenia już doszło, opisujemy w osobnym poradniku.
Najczęstsze pytania
Czy Kontomatik może zrobić przelew z mojego konta?
Nie. Kontomatik świadczy wyłącznie usługę dostępu do informacji o rachunku (AIS), która polega na dostarczaniu informacji o rachunku i nie obejmuje inicjowania płatności. Przez to połączenie nie da się zlecić przelewu. Jeśli podczas „weryfikacji” bank prosi o zatwierdzenie przelewu, przerwij operację i skontaktuj się z bankiem.
Czy Kontomatik zapisuje moje hasło do banku?
Według Kontomatik przy połączeniu API logujesz się na stronie banku, a firma nie widzi danych uwierzytelniających. W mechanizmie awaryjnym dane wpisujesz w widgecie, ale hasło nie jest później przechowywane na serwerach firmy. Pożyczkodawca nie dostaje loginu ani hasła, tylko informacje o rachunku i transakcjach.
Czy muszę weryfikować się przez Kontomatik, żeby dostać pożyczkę?
Nie zawsze. Wielu pożyczkodawców daje wybór między logowaniem przez usługę AIS a przelewem weryfikacyjnym na symboliczną kwotę z Twojego konta. Weryfikacja tożsamości i ocena zdolności kredytowej są jednak obowiązkowe, więc firma, która nie sprawdza niczego, nie działa zgodnie z prawem.
Jak sprawdzić, czy Kontomatik ma wpis w KNF?
Wejdź na knf.gov.pl, do sekcji „Podmioty rynku usług płatniczych”, i otwórz rejestr dostawców świadczących wyłącznie usługę dostępu do informacji o rachunku. Kontomatik ma tam wpis AISP1/2019 z 27 września 2019 r. Legalność samego pożyczkodawcy sprawdzasz osobno, w rejestrze instytucji pożyczkowych.
Czy Kontomatik dzwoni do klientów lub pobiera opłaty?
Kontomatik ostrzegał, że jego pracownicy nie dzwonią do użytkowników i nie proszą o żadne opłaty. Telefon od „konsultanta Kontomatik”, link z SMS-a do weryfikacji konta albo prośba o dopłatę za odblokowanie pożyczki to sygnały oszustwa. Rozłącz się, nie podawaj kodów i zgłoś sprawę bankowi oraz CERT Polska.
Czy po weryfikacji mogę cofnąć zgodę na dostęp do danych?
Tak, Kontomatik informuje, że zgodę na dostęp do danych można wycofać w każdej chwili. Zanim ją wyrazisz, sprawdź w oknie zgód, czy dotyczy jednorazowego odczytu, czy dostępu wielokrotnego, bo od tego zależy, jak długo dane z rachunku mogą być pobierane i przekazywane pożyczkodawcy.
Źródła
- Kontomatik: czym jest usługa i jak chroni dane logowania · Kontomatik
- Podmioty rynku usług płatniczych: rejestr dostawców AIS · KNF
- Ustawa o usługach płatniczych · ISAP
- Phishing: jak rozpoznać oszustwo i nie dać się nabrać · CERT Polska
- Ważne zmiany od 1 czerwca: zastrzeż PESEL · gov.pl