Silne uwierzytelnienie klienta (z ang. Strong Customer Authentication, SCA) towarzyszy dziś niemal każdemu logowaniu do bankowości internetowej i każdej większej płatności kartą czy przelewem – choć wielu klientów banków wciąż nie wie, skąd się wzięło i dlaczego bank akurat teraz prosi o dodatkowe potwierdzenie. W 2026 roku, gdy przestępcy coraz sprawniej podszywają się pod banki i firmy pożyczkowe, SCA jest jednym z podstawowych mechanizmów, który realnie chroni pieniądze klientów przed wyłudzeniem. Wyjaśniamy, jak działa ten mechanizm, kiedy bank może go pominąć i jakie zmiany czekają nas wraz z nowym unijnym pakietem PSD3.
Co to jest silne uwierzytelnienie klienta (SCA)?
Silne uwierzytelnienie klienta to procedura weryfikacji tożsamości, w której bank lub inny dostawca usług płatniczych musi potwierdzić, że operację (logowanie, przelew, płatność kartą) faktycznie wykonuje uprawniona osoba, a nie oszust, który wszedł w posiadanie samego loginu i hasła. W praktyce oznacza to, że jedno hasło już nie wystarczy – system wymaga co najmniej dwóch niezależnych od siebie elementów potwierdzających tożsamość, pochodzących z różnych kategorii zabezpieczeń.
Obowiązek stosowania SCA nie jest wymysłem pojedynczego banku – wynika wprost z unijnego prawa, dlatego zasady wyglądają podobnie niezależnie od tego, czy korzystasz z PKO BP, mBanku, Santandera czy Revoluta.
Skąd wzięło się SCA – dyrektywa PSD2
Podstawą prawną silnego uwierzytelnienia jest unijna dyrektywa PSD2 (Payment Services Directive 2), wdrożona do polskiego prawa kilka lat temu. Jej celem było ujednolicenie zasad bezpieczeństwa płatności w całej Unii Europejskiej oraz otwarcie rynku na nowych graczy – tzw. otwartą bankowość (open banking), dzięki której np. aplikacje do zarządzania budżetem mogą (za zgodą klienta) łączyć się bezpośrednio z jego kontem bankowym. Wraz z otwarciem rynku regulator musiał jednak podnieść poprzeczkę bezpieczeństwa – i tak powstał obowiązek SCA, doprecyzowany w unijnych regulacyjnych standardach technicznych (RTS).
Jak działa SCA w praktyce – trzy elementy uwierzytelnienia
Przepisy wymagają, aby uwierzytelnienie opierało się na co najmniej dwóch z trzech niezależnych kategorii elementów:
- Wiedza – coś, co zna tylko klient, np. hasło do bankowości internetowej, PIN do karty lub kod dostępu do aplikacji mobilnej.
- Posiadanie – coś, co klient fizycznie posiada, np. telefon z zainstalowaną aplikacją bankową, token sprzętowy lub kartę płatniczą.
- Cechy klienta (biometria) – coś, czym klient jest, np. odcisk palca, skan twarzy lub głos.
Typowy przykład z 2026 roku to zatwierdzenie przelewu w aplikacji mobilnej odciskiem palca (posiadanie telefonu + biometria) albo potwierdzenie płatności internetowej kodem push w aplikacji po wcześniejszym zalogowaniu się hasłem (wiedza + posiadanie). Same kody SMS, choć wciąż stosowane, są stopniowo wypierane przez powiadomienia push i biometrię – są uznawane za mniej odporne na przechwycenie przez oszustów stosujących tzw. SIM swap.
Kiedy bank może pominąć SCA – wyjątki od reguły
Silne uwierzytelnienie nie jest wymagane przy każdej operacji – przepisy przewidują kilka wyjątków, które mają ułatwić korzystanie z bankowości bez utraty poziomu bezpieczeństwa:
- płatności zbliżeniowe o niskiej wartości (do ustalonego przez bank limitu jednorazowego i skumulowanego),
- przelewy na wcześniej zaufane, oznaczone przez klienta jako bezpieczne rachunki (tzw. białe listy odbiorców),
- płatności cykliczne o stałej kwocie i odbiorcy, np. abonamenty,
- transakcje uznane przez system antyfraudowy banku za obarczone bardzo niskim ryzykiem (tzw. transaction risk analysis),
- samo sprawdzenie salda konta bez logowania do pełnej bankowości.
Warto pamiętać, że to bank – a nie klient – decyduje ostatecznie, kiedy zastosować dodatkowe uwierzytelnienie. Jeśli system oceni transakcję jako podejrzaną, może zażądać SCA nawet przy niewielkiej kwocie.
SCA a ochrona przed oszustwami internetowymi
Silne uwierzytelnienie to jedna z kilku warstw ochrony, które bank stosuje równolegle. Coraz częściej działa razem z mechanizmem weryfikacji odbiorcy przelewu (VOP), który sprawdza, czy nazwa właściciela konta zgadza się z numerem rachunku podanym w przelewie, zanim jeszcze dojdzie do etapu autoryzacji. Mimo tych zabezpieczeń przestępcy wciąż wykorzystują socjotechnikę, aby nakłonić ofiarę do samodzielnego zatwierdzenia operacji – np. podając się za pracownika banku podczas fałszywego telefonu. Dlatego znajomość najczęstszych metod, jakimi oszuści wyłudzają dostęp do konta, jest równie ważna jak sama technologia SCA – żaden mechanizm nie ochroni klienta, który sam poda kod autoryzacyjny osobie podszywającej się pod konsultanta.
Co zmieni PSD3 i pakiet PSR od 2027 roku
Obecnie trwają prace nad kolejną generacją unijnych przepisów płatniczych – dyrektywą PSD3 oraz towarzyszącym jej rozporządzeniem PSR (Payment Services Regulation), które mają zastąpić PSD2. Formalne przyjęcie tych aktów wciąż nie nastąpiło, jednak uzgodnione już teksty wskazują kierunek zmian w obszarze silnego uwierzytelnienia:
- uwierzytelnienie ma być ściślej powiązane z konkretną kwotą i konkretnym odbiorcą transakcji, a nie tylko z faktem jej wykonania,
- dostawcy usług płatniczych będą musieli umieć odtworzyć i zweryfikować dane, które klient widział w momencie zatwierdzania operacji – to ma utrudnić ataki typu „podmiana ekranu”,
- banki będą zobowiązane zapewnić alternatywne, niecyfrowe metody uwierzytelnienia dla osób starszych, z niepełnosprawnościami lub niekorzystających ze smartfonów, tak aby SCA nie wykluczało ich z bankowości.
Po formalnym przyjęciu pakietu większość przepisów PSR oraz krajowa implementacja PSD3 zacznie obowiązywać po dłuższym okresie przejściowym (według wstępnych szacunków – kilkanaście do dwudziestu kilku miesięcy od wejścia aktów w życie), więc realne zmiany w codziennym korzystaniu z bankowości najprawdopodobniej odczujemy nie wcześniej niż w 2027–2028 roku. Do tego czasu obowiązują zasady wypracowane jeszcze na gruncie PSD2.
Jak bezpiecznie korzystać z SCA – praktyczne wskazówki
- Nigdy nie podawaj kodu autoryzacyjnego, kodu SMS ani kodu push osobie, która do Ciebie zadzwoniła lub napisała – pracownik banku nigdy o to nie poprosi.
- Włącz biometrię (odcisk palca lub skan twarzy) w aplikacji bankowej zamiast polegać wyłącznie na kodach SMS.
- Regularnie aktualizuj aplikację bankową i system operacyjny telefonu – producenci łatają w ten sposób luki wykorzystywane przez oszustów.
- Ustaw w banku limity transakcyjne dopasowane do swoich realnych potrzeb – im niższy limit bez SCA, tym trudniej wyprowadzić duże środki nawet po przejęciu telefonu.
- Sprawdzaj w aplikacji dane transakcji (kwotę i odbiorcę) przed zatwierdzeniem – to właśnie ten moment PSD3 chce dodatkowo wzmocnić.
FAQ – najczęstsze pytania o silne uwierzytelnienie klienta
Czy silne uwierzytelnienie dotyczy wszystkich banków w Polsce?
Tak. Obowiązek SCA wynika z unijnej dyrektywy PSD2 wdrożonej do polskiego prawa i dotyczy wszystkich banków oraz innych licencjonowanych dostawców usług płatniczych działających w Polsce, niezależnie od ich wielkości.
Czy sam kod SMS to wystarczające silne uwierzytelnienie?
Nie – kod SMS jest tylko jednym elementem (kategoria „posiadanie” telefonu). Aby spełnić wymóg SCA, musi wystąpić razem z drugim, niezależnym elementem, np. hasłem wpisanym wcześniej podczas logowania.
Co zrobić, gdy nie otrzymuję kodu do zatwierdzenia transakcji?
Warto sprawdzić zasięg sieci, ustawienia powiadomień aplikacji bankowej oraz to, czy karta SIM nie została przeniesiona na inne urządzenie bez Twojej wiedzy (tzw. SIM swap), a następnie skontaktować się bezpośrednio z infolinią banku, korzystając z numeru podanego na jego oficjalnej stronie.
Czy silne uwierzytelnienie spowalnia korzystanie z bankowości internetowej?
W większości codziennych sytuacji – niewiele, ponieważ banki stosują wyjątki dla niskiego ryzyka i płatności zbliżeniowych. Dodatkowy krok pojawia się głównie przy wyższych kwotach, nowych odbiorcach lub podejrzanych transakcjach, czyli tam, gdzie ochrona jest najbardziej potrzebna.
Czym różni się SCA od zwykłego logowania hasłem?
Zwykłe logowanie hasłem opiera się na jednym elemencie („wiedza”). SCA wymaga co najmniej dwóch niezależnych elementów z różnych kategorii (wiedza, posiadanie, cechy biometryczne), co znacząco utrudnia przejęcie konta nawet po wycieku samego hasła.
Więcej pojęć finansowych i bankowych wyjaśniamy w naszym dziale Słownik Finansowy, a o zmianach na rynku bankowości internetowej piszemy również w artykule o bankowości elektronicznej i kredytowaniu online.
