Czy mObywatel jest bezpieczny? Zabezpieczenia i co zrobić, gdy ktoś uzyska dostęp

Tak, mObywatel wykorzystuje kilka zabezpieczeń chroniących dane i dostęp do dokumentów. Są to szyfrowanie, certyfikaty bezpieczeństwa, biometria oraz dwuetapowa weryfikacja tożsamości. Ministerstwo Cyfryzacji prowadzi również regularne audyty i testy bezpieczeństwa aplikacji.

Sama kradzież telefonu nie oznacza automatycznego dostępu do mObywatela, ale utrata urządzenia wymaga szybkiej reakcji. Dostęp na poprzednim telefonie można zablokować przez aktywację aplikacji na innym urządzeniu albo kontakt z infolinią mObywatel.

Jak mObywatel chroni Twoje dane

mObywatel chroni dane za pomocą szyfrowania, certyfikatu urządzenia oraz mechanizmów kontroli dostępu. Jest to oficjalny projekt rządowy, za który odpowiada Ministerstwo Cyfryzacji, a aplikację rozwija Centralny Ośrodek Informatyki.

Dane są przechowywane w specjalnym szyfrowanym kontenerze, który stanowi dodatkową ochronę przed cyberprzestępcami. Podczas przesyłania również są szyfrowane, a zgodnie z informacją w sekcji bezpieczeństwa Google Play nie są udostępniane innym firmom.

Podczas aktywacji telefon otrzymuje unikatowy certyfikat urządzenia. Każda osoba może mieć tylko jeden certyfikat na jednym urządzeniu, a certyfikat mDowodu jest ważny przez rok ze względów bezpieczeństwa. Aktywacja wymaga logowania za pomocą profilu zaufanego, e-dowodu lub bankowości elektronicznej oraz potwierdzenia kodem SMS.

Do aplikacji można logować się hasłem albo biometrią. Hasło musi mieć co najmniej 8 znaków, w tym dużą i małą literę, cyfrę oraz znak specjalny. Jest wymagane po co najmniej 5 minutach nieużywania aplikacji, po każdym jej uruchomieniu i po wyłączeniu telefonu, a trzykrotne podanie nieprawidłowego hasła powoduje czasową blokadę dostępu.

Można także włączyć „logowanie dwuetapowe”, które łączy biometrię z PIN-em. Dzięki temu poznanie samego PIN-u nie wystarcza do uzyskania dostępu do danych. Korzystanie z biometrii bez PIN-u obniża natomiast poziom zabezpieczeń aplikacji.

Aplikacja nie działa na telefonie z uprawnieniami root, a na Androidzie blokuje wykonywanie zrzutów ekranu. Przy weryfikacji kodem QR pokazuje, jakie dane i komu udostępniasz. Urzędnik ma do nich dostęp tylko przez kilka minut, nie może ich zapisać, a po sprawdzeniu dane są usuwane.

Co zrobić, gdy ktoś mógł uzyskać dostęp

Gdy telefon z mObywatelem zaginie albo pojawi się podejrzenie przejęcia dostępu, jak najszybciej unieważnij dotychczasowy certyfikat. Możesz zrobić to samodzielnie na innym urządzeniu lub przez infolinię mObywatel.

1. Aktywuj mObywatela na innym urządzeniu. Aktywacja automatycznie unieważni istniejący certyfikat na poprzednim telefonie. Dokumenty i dane przestaną być na nim widoczne.
2. Zadzwoń na infolinię mObywatel. Numer to +48 42 253 54 74, a infolinia działa od poniedziałku do piątku w godzinach 7:00–18:00. Tą drogą również można unieważnić certyfikat.
3. Jeżeli nadal masz dostęp do aplikacji, unieważnij certyfikat mDowodu. Przejdź do „Więcej”, a następnie wybierz „Wydane certyfikaty”. mDowodu nie można zastrzec w aplikacji, ale można unieważnić jego certyfikat.
4. Jeśli podejrzewasz kradzież tożsamości, zastrzeż PESEL. Zastrzeżenie działa natychmiast, także w nocy i dni wolne od pracy. Szczegółową procedurę opisuje poradnik jak zastrzec PESEL.
5. W razie nieuprawnionego użycia danych unieważnij dowód. W aplikacji przejdź do „Załatw sprawę” i „Unieważnij swój dowód”, a jako powód wybierz „Nieuprawnione użycie danych (kradzież tożsamości)”. Wymaga to skrzynki e-Doręczeń i podpisu zaufanego, a realizacja następuje w godzinach pracy urzędu.

Jeżeli razem z telefonem zaginęły również dokumenty, pomocna będzie zgubiony dowód lub telefon — checklista. W aplikacji usługa „Zastrzeż dokument” pozwala osobie pełnoletniej z mDowodem zastrzec dowód osobisty, paszport lub prawo jazdy, a zgłoszenie trafia do Systemu Dokumenty Zastrzeżone Związku Banków Polskich.

Fałszywe SMS-y i strony podszywające się pod mObywatel

Fałszywy SMS może wyglądać jak prawdziwe powiadomienie od mObywatela, dlatego nazwa nadawcy nie wystarcza do potwierdzenia jego autentyczności. Oszuści potrafią zastosować spoofing nazwy nadawcy, przez co wiadomość może trafić do istniejącej konwersacji z powiadomieniami z mObywatela.

W jednej z kampanii fałszywe wiadomości informowały o rzekomej nowej wiadomości i prowadziły do strony logowania w domenie „obywatel[.]cloud”. W innej kampanii SMS dotyczył rzekomego mandatu, a link prowadził do strony podszywającej się pod CEPiK i służącej do wyłudzania danych karty.

Zwracaj uwagę na kontekst wiadomości, adres strony i próby wywołania presji czasu. Nie otwieraj linku tylko dlatego, że SMS znalazł się w znanym wątku. Informację potwierdź samodzielnie w aplikacji albo przez oficjalną stronę instytucji; więcej przykładów zawiera poradnik o tym, jak rozpoznać fałszywe SMS-y i e-maile.

Jak zgłosić incydent

Podejrzany SMS, stronę, e-mail lub próbę oszustwa możesz zgłosić do CERT Polska na jeden z trzech potwierdzonych sposobów. Wiadomość SMS przekaż na bezpłatny numer 8080, użyj formularza na incydent.cert.pl albo skorzystaj z usługi „Bezpiecznie w sieci” w mObywatelu.

1. Zaloguj się do aplikacji.
2. Na ekranie startowym w sekcji „Usługi” naciśnij „Bezpiecznie w sieci”. Możesz też wybrać „Wszystkie”, a następnie „Bezpiecznie w sieci”.
3. Wybierz kategorię zgłoszenia, na przykład podejrzany SMS, podejrzany e-mail, złośliwą stronę, oszustwo albo „Inny”.
4. Postępuj zgodnie z instrukcjami i wyślij zgłoszenie anonimowo albo podaj adres e-mail, jeśli chcesz śledzić jego status.

Zgłoszenia analizują eksperci NASK z CERT Polska lub Dyżurnet.pl. W usłudze można też wybrać „Włącz powiadomienia”, aby otrzymywać alerty o zagrożeniach, oraz korzystać z „Bazy wiedzy” przygotowanej przez ekspertów NASK.

Dobre praktyki

Najważniejsze dobre praktyki to korzystanie z oficjalnej aplikacji, regularne aktualizacje oraz nieudostępnianie haseł. Jedyną legalną i bezpieczną wersję mObywatela pobierzesz z Google Play lub App Store.

• Włącz „logowanie dwuetapowe”, czyli biometrię połączoną z PIN-em.
• Nie przekazuj nikomu hasła ani kodów używanych podczas aktywacji.
• Aktualizuj aplikację oraz oprogramowanie telefonu.
• Sprawdzaj adres każdej strony, na której ma zostać podane hasło, dane osobowe lub dane karty.
• Informacje o certyfikacie sprawdzaj przede wszystkim w samej aplikacji. Podejrzane komunikaty o konieczności potwierdzenia danych zgłaszaj do CERT Polska.
• Kontroluj uprawnienia do kamery, lokalizacji i wskazanych plików. Każdą zgodę można cofnąć w ustawieniach telefonu.

Oficjalne informacje o bezpieczeństwie i działaniu aplikacji znajdziesz na stronie mObywatel. Jeżeli instalujesz aplikację od początku, skorzystaj także z instrukcji jak założyć mObywatel.

Najczęściej zadawane pytania

Czy ktoś może przejąć mojego mObywatela?

Sama utrata telefonu nie daje automatycznie dostępu do aplikacji, ponieważ mObywatel wymaga hasła lub biometrii i korzysta z certyfikatu przypisanego do urządzenia. Włączenie „logowania dwuetapowego” sprawia, że nawet znajomość PIN-u nie wystarcza do dostępu do danych.

Co zrobić po kradzieży telefonu z mObywatelem?

Aktywuj mObywatela na innym urządzeniu, co automatycznie unieważni certyfikat na poprzednim telefonie. Zgłoś również utratę na infolinii pod numerem +48 42 253 54 74, czynnej od poniedziałku do piątku w godzinach 7:00–18:00.

Jak rozpoznać fałszywy SMS od mObywatela?

Sprawdź kontekst, adres strony i to, czy wiadomość wywiera presję czasu. Nie ufaj wyłącznie nazwie nadawcy, ponieważ oszuści mogą umieścić wiadomość w istniejącym wątku, a podejrzany SMS możesz przekazać na bezpłatny numer 8080.