Asystent głosowy w banku spółdzielczym, który nigdy nie zapyta o PIN

Kto dzwoni do banku spółdzielczego i kiedy linia się zapycha

Bank spółdzielczy ma inną klientelę niż duży bank z telewizyjnych reklam. Dzwonią rolnicy, emeryci, właściciele małych firm i gminne jednostki, które mają tu rachunki. Wielu z nich woli zapytać przez telefon, niż szukać czegoś na stronie albo w aplikacji.

Pytania wracają w rytmie kalendarza. W dniach wypłat emerytur słychać „czy już wpłynęło”. Kiedy ARiMR zaczyna wypłacać dopłaty bezpośrednie, zwykle jesienią (termin zaliczek co roku ustala minister rolnictwa), rolnicy pytają o to samo, tylko o większe kwoty. Do tego godziny filii, która w mniejszej miejscowości bywa czynna dwa dni w tygodniu, i adres najbliższego wpłatomatu.

Osobna kategoria to telefony w trakcie oszustwa albo zaraz po nim. Klient dzwoni, bo „ktoś z banku” kazał mu przelać oszczędności na bezpieczne konto.

Taka rozmowa nie może czekać w kolejce za pytaniem o godziny otwarcia.

Rozmowy, które agent prowadzi bez wglądu w konto

• podaje godziny i adresy oddziałów, filii, bankomatów i wpłatomatów, także zmiany przed świętami
• czyta opłaty i oprocentowanie z aktualnej tabeli, ale nie mówi, która lokata czy który kredyt się komu opłaca
• wymienia dokumenty do otwarcia konta, kredytu dla gospodarstwa albo rachunku firmowego i wysyła listę SMS-em
• umawia wizytę u doradcy w konkretnym oddziale, żeby klient nie jechał na darmo
• przyjmuje reklamację i rejestruje ją w systemie, bo w instytucji finansowej wolno ją złożyć ustnie, także przez telefon
• przy zgubionej karcie albo podejrzanym telefonie od razu łączy z pracownikiem, nie pytając o dane karty

To zakres automatycznej infolinii, dopasowany do realiów banku. Saldo, przelewy i spłatę raty agent zostawia ludziom. W banku spółdzielczym tak właśnie trzeba zacząć: kilka miesięcy samych informacji i przeglądania nagrań, a dopiero potem rozmowa o sprawach konta. Po miesiącu porównaj dwie liczby: odsetek rozmów zamkniętych bez pracownika i czas, w jakim sprawy kart i oszustw trafiały do człowieka.

Zgubiona karta i telefon od fałszywego konsultanta

Przy zastrzeganiu karty liczą się minuty. Agent nie pyta wtedy o numer karty ani o PIN. Przełącza na linię zastrzeżeń, którą bank ma w procedurze, a poza godzinami pracy podaje numer całodobowy. Wiele banków, także część spółdzielczych, przyjmuje zastrzeżenia pod ogólnopolskim numerem 828 828 828. Zanim agent zacznie go podawać, sprawdź, czy wasz bank jest w tym systemie.

Druga sytuacja jest groźniejsza. Oszustwo „na pracownika banku” zwykle przebiega podobnie: telefon z numeru, który na ekranie wygląda jak numer banku, historia o wyłudzanym kredycie i prośba o przelew na „bezpieczne konto” albo o instalację aplikacji do zdalnej pomocy. Numer da się podrobić, a technika nazywa się spoofingiem numeru. Gdy klient opowiada, że ktoś taki właśnie dzwonił, agent jasno mówi, że bank nigdy o to nie prosi, i od razu łączy z pracownikiem. Po drodze pyta tylko, czy pieniądze już wyszły, żeby pracownik wiedział, czy jest jeszcze co zatrzymać.

Jeśli wszystko zaczęło się od SMS-a z linkiem, agent przypomina, że podejrzane wiadomości można przesłać do CERT Polska na numer 8080. Żeby pracownik nie wypytywał klienta od nowa, przekazanie rozmowy do człowieka musi zabrać ze sobą notatkę.

Klientka, do której dzwonił „pracownik banku”

W pierwszej kwestii agenta padają dwie informacje: że klientka rozmawia z programem (wymaga tego od 2 sierpnia 2026 r. art. 50 AI Act) i że asystent nie poprosi o dane logowania.

To drugie trwa chwilę, a uczy klientów prostej zasady: kto pyta o PIN, ten nie dzwoni z banku.

Weryfikacja klienta bez PIN-u, hasła i kodu BLIK

Prędzej czy później bank zechce, żeby agent mówił też o koncie: czy wpłynęła emerytura, ile zostało do spłaty kredytu. Wtedy potrzebna jest weryfikacja i tu łatwo o błąd. Najprostsze pomysły, czyli prośba o PIN albo hasło do bankowości, to dokładnie to, czego klient ma nikomu nie mówić przez telefon.

Lepsze są metody identyfikacji rozmówcy, w których dzwoniący niczego tajnego nie dyktuje. Potwierdzenie tożsamości w aplikacji mobilnej banku, jeśli wasz system to obsługuje. Numer telefonu zapisany w umowie, ale tylko jako jeden z elementów, bo numer da się podrobić. Gdy nie ma żadnej z tych metod, zostaje przełączenie do pracownika, który sprawdzi klienta według obecnej procedury.

Jest też ryzyko z drugiej strony. Skoro klienci przyzwyczają się do głosu AI w banku, oszuści mogą go naśladować, także klonowanym głosem. Bank powinien więc głośno mówić, czego jego asystent nie robi nigdy, i przed startem sprawdzić agenta na próbach wyłudzeń i innych atakach na agenta.

Tajemnica bankowa, DORA i umowa z dostawcą

Voicebot w banku słyszy rzeczy objęte tajemnicą bankową, a nagrania rozmów to dane osobowe w rozumieniu RODO. Przed startem potrzebna jest umowa powierzenia przetwarzania z dostawcą, ustalone miejsce przechowywania nagrań i transkrypcji oraz termin ich usuwania. W banku trzymanie danych w Polsce albo w UE to standard, więc o hosting danych pytaj dostawcę na samym początku.

Bank ma też przepisy, których inne branże nie znają. Asystent głosowy od zewnętrznej firmy to usługa ICT, więc dotyczą go obowiązki z rozporządzenia DORA, w tym wpis do rejestru umów z dostawcami usług ICT. Swoje wymagania mają przepisy Prawa bankowego o powierzaniu czynności zewnętrznym firmom. Starego komunikatu KNF o chmurze obliczeniowej już się nie stosuje: Urząd KNF odwołał go z dniem 17 stycznia 2025 r., bo jego zakres pokrywa się z DORA. Umowę z dostawcą przejrzyj z działem zgodności jeszcze przed podpisem.