Fingerprinting urządzenia

Odcisk palca urządzenia powstaje z technicznych cech telefonu albo przeglądarki: systemu operacyjnego i jego wersji, modelu urządzenia, ekranu, języka, strefy czasowej, danych sieci oraz sygnałów takich jak zrootowany telefon albo emulator. Pojedyncza cecha mówi niewiele. Razem pozwalają usłudze rozpoznać to samo urządzenie przy kolejnej wizycie, nawet gdy użytkownik nie jest zalogowany i wyczyścił pliki cookies.

Ta sama technika służy dwóm bardzo różnym celom. W reklamie służy do śledzenia ludzi między stronami i aplikacjami. W zapobieganiu oszustwom służy do tego, żeby w newralgicznym momencie odpowiedzieć na węższe pytania: czy to urządzenie było używane z innymi tożsamościami, czy to emulator, czy konto właśnie przeniosło się na urządzenie, którego nikt wcześniej nie widział. To hasło dotyczy drugiego zastosowania.

W aplikacji wygląda to zwykle tak. Niewielkie SDK usługi antyfraudowej zbiera cechy urządzenia, gdy użytkownik wykonuje wrażliwą czynność, i wysyła je do usługi razem z identyfikatorem sesji. Aplikacja przekazuje ten sam identyfikator do backendu pożyczkodawcy razem ze zdarzeniem biznesowym, na przykład logowaniem albo wnioskiem o pożyczkę. Backend pobiera z usługi wynik dla tej sesji i uwzględnia go w decyzji.

Wybierz punkty zbierania danych. To momenty, które oszust chce kontrolować: logowanie (credential stuffing i przejęcie konta), rejestracja (fałszywe konta), zmiana danych kontaktowych, takich jak numer telefonu albo adres e-mail (oszust, który przejął konto, zmienia je najpierw, żeby właściciel przestał dostawać powiadomienia), zmiana rachunku bankowego i wniosek o pożyczkę przed wypłatą.

Każda czynność potrzebuje własnego identyfikatora sesji, żeby każdy wynik był powiązany z jednym zdarzeniem. Ten sam identyfikator użyty przy kilku czynnościach miesza logowanie z wnioskiem i utrudnia później wyjaśnienie wyniku.

Zebranie i wysłanie cech urządzenia może trwać do jednej lub dwóch sekund, co użytkownik zauważy. Uruchamiaj zbieranie w tle, gdy użytkownik otwiera ekran, albo pokaż stan ładowania na przycisku, żeby sprawdzenie nie wyglądało jak zawieszona aplikacja.

Ustal, co się dzieje, gdy sprawdzenie zawiedzie. SDK może przekroczyć limit czasu, a usługa może nie działać. Zapisz, czy wniosek idzie wtedy do ręcznej weryfikacji, czy czeka, i przetestuj tę gałąź.

Przy odmowach zostaw decyzję człowiekowi. Art. 22 RODO daje prawo, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, która wywołuje skutki prawne albo podobnie istotnie wpływa na osobę, a motyw 71 podaje jako przykład automatyczne odrzucenie internetowego wniosku kredytowego. Wysoki wynik oceny ryzyka urządzenia powinien zwykle kierować wniosek do weryfikacji, a nie odrzucać go od razu, chyba że pożyczkodawca ma podstawę prawną do decyzji zautomatyzowanej i związane z nią zabezpieczenia.

Używaj danych tylko do tego celu. Zapisuj wynik oceny urządzenia przy zdarzeniu, którego dotyczy, ustal okres przechowywania i nie używaj go w analityce ani marketingu.

Motyw 47 RODO mówi, że przetwarzanie danych osobowych w zakresie ściśle niezbędnym do zapobiegania oszustwom stanowi również prawnie uzasadniony interes administratora. Podstawą prawną jest wtedy art. 6 ust. 1 lit. f, który wymaga testu równowagi wobec interesów i praw osoby i daje jej prawo do sprzeciwu z art. 21.

Art. 5 ust. 3 dyrektywy ePrivacy dodaje własny wymóg: zapis albo odczyt informacji na urządzeniu użytkownika wymaga zgody, chyba że jest ściśle niezbędny do usługi, o którą użytkownik wyraźnie poprosił. EROD potwierdza w wytycznych 2/2023, że fingerprinting podlega temu przepisowi, a kod, który każe urządzeniu wysłać informacje, oznacza uzyskanie dostępu, jak opisuje hasło zarządzanie zgodami. W Polsce ten przepis zawiera art. 399 Prawa komunikacji elektronicznej. To, czy kontrola antyfraudowa w danym momencie jest ściśle niezbędna do usługi, o którą prosi klient, czy wymaga zgody, jest oceną prawną, którą trzeba przeprowadzić i udokumentować przed wdrożeniem.

Dostawcy usług płatniczych mają własny powód, żeby przyglądać się urządzeniom. Art. 2 RTS w sprawie silnego uwierzytelniania klienta (rozporządzenie delegowane 2018/389) wymaga mechanizmów monitorowania transakcji, które wykrywają nieautoryzowane albo oszukańcze płatności.

W aplikacji, którą od stycznia 2026 r. budujemy dla AvaFin Poland, fingerprinting urządzenia należy do prac nad bezpieczeństwem. Aplikacja sprawdza urządzenie w usłudze antyfraudowej przy pierwszym wniosku o pożyczkę. Integrację usługi zakończyliśmy we wrześniu 2026 r.; w październiku 2026 r. wciąż była testowana. Notatki integracyjne w projekcie zalecały zbieranie danych urządzenia przy logowaniu, przy rejestracji i przed wrażliwymi zmianami na koncie, takimi jak nowy numer telefonu albo adres e-mail, generowanie nowego identyfikatora przy każdym wywołaniu i wczesne uruchamianie zbierania, bo może ono trwać do jednej lub dwóch sekund. Wskazywały też, że polityka prywatności musi podawać zapobieganie oszustwom jako cel, a prawnie uzasadniony interes jako podstawę.