Bezpłatna pomoc prawna

Pytanie: Zostałam oszukana metodą spoofingu. Przekonana, że rozmawiam z pracownikiem banku (różne potwierdzenia i weryfikacja zarówno SMS jak i mailowo). W wyniku przelałam oszustowi blikiem poprzez wpłaty we wpłatomacie wcześniej wypłacona gotówkę w wysokości 14500 zł, która wcześniej wypłaciłam na polecenie oszusta. Podczas połączenia widoczny był numer mojego banku. Jaka jest w tej sytuacji odpowiedzialność banku? Bank miał możliwość wcześniej zablokowania połączeń przychodzących i Podszywajacych się w specjalnym rejestrze, co zrobił dopiero miesiąc po moim incydencie, gdy taka możliwość istnieje już od dawna.

Odpowiedź: Z prawnego punktu widzenia bank odpowiada za nieautoryzowane transakcje płatnicze i ma obowiązek niezwłocznie zwrócić środki klientowi, chyba że wykaże winę umyślną lub rażące niedbalstwo klienta. Spór z bankiem zwykle oscylują wokół tego, czy transakcja była autoryzowana (czyli zatwierdziłaś ją kodem, PIN-em, BLIK-iem itd.), nawet jeśli dokonałaś tego pod wpływem manipulacji oszusta i gdy banki wtedy próbują twierdzić, że doszło do rażącego naruszenia zasad ostrożności. W oszustwach “na pracownika banku / spoofing” linia orzecznicza sądów jest wciąż rozwojowa i nieugruntowana, ale coraz częściej sądy biorą pod uwagę całość relacji bank–klient: czy bank prawidłowo informował o ryzykach, czy systemy bezpieczeństwa były adekwatne do nowych metod oszustw, czy komunikaty ostrzegawcze były czytelne itp. Oznacza to, że sama odmowa banku na etapie reklamacji nie przekreśla Twoich szans – w wielu sprawach klienci dochodzą zwrotu środków dopiero po orzeczeniu sądu w ich sprawie.

Spoofing telefoniczny (podszywanie się pod numer banku) sam w sobie jest techniczną metodą fałszowania identyfikatora rozmówcy; przestępstwem staje się wtedy, gdy służy oszustwu (art. 286 k.k. – oszustwo, art. 190a §2 k.k. – podszywanie się w celu wyrządzenia szkody). Od strony regulacyjnej za brak odpowiednich zabezpieczeń i reakcji na spoofing mogą odpowiadać także operatorzy telekomunikacyjni – grożą im administracyjne kary finansowe do kilku procent przychodu, jeżeli nie wdrażają środków ograniczających takie nadużycia. To, że techniczna możliwość blokowania podszywających się numerów istniała wcześniej, ale bank (wraz z operatorem) wdrożył ją dopiero po Twoim incydencie, może być argumentem świadczącym o tym, że środki bezpieczeństwa były niewystarczające jak na znane już na rynku ryzyka. Jednakże, jak już napomknąłem, nie ma obecnie przepisu, zgodnie z którym jeżeli bank nie wdrożył rejestru numerów spoofingowych, to w każdym takim przypadku ponosi odpowiedzialność za szkodę – to raczej element szerszej oceny należytej staranności banku w konkretnej sprawie, często rozstrzyganej dopiero przez sąd.

Należy przygotować się na to, że banki w podobnych sprawach najczęściej twierdzą, że transakcje były autoryzowane (np. BLIK, PIN, kody SMS), klient świadomie wypłacił gotówkę i ponownie ją wpłacił jako transakcję gotówkową (wpłatomat/BLIK) oraz że klient naruszył obowiązek należytej staranności, podając dane i wykonując dyspozycje na polecenie osoby trzeciej. Kontrargumenty oszukanych klientów w takiej sytuacji, to: bardzo zaawansowane wprowadzenie w błąd (spoofing numeru banku, procedury “weryfikacji” SMS/mail, charakter rozmowy identyczny jak prawdziwym kontakcie z bankiem), brak wyraźnych, ostrzeżeń ze strony banku, że nigdy nie prosi o takie operacje (wypłata całej kwoty, natychmiastowa wpłata BLIK na nieznane dane), niewystarczające systemy detekcji nietypowych zachowań (np. nagła wysoka wypłata po czym nietypowa sekwencja wpłat / BLIK, która mogła wzbudzić alert), brak wcześniejszego skorzystania z technicznej możliwości blokady podszywających się numerów i rejestru antyspoofingowego, mimo że problem był branży bankowej znany. W praktyce pełnomocnicy w takich sprawach tworzą argumentację na kombinacji: odpowiedzialność banku z Ustawy o usługach płatniczych + naruszenie obowiązków informacyjnych i bezpieczeństwa + rosnąca powszechność spoofingu i obowiązek systemowego reagowania przez sektor finansowy i telekomunikacyjny.

Na dzień dzisiejszy, złóż reklamację / odwołanie (jeśli do tej pory nie składałaś / nie odwoływałaś się szczegółowo): w piśmie szczegółowo opisz sposób działania oszusta, spoofing numeru, “weryfikacje” SMS/mail, podnieś brak wcześniejszego wdrożenia rejestru antyspoofingowego i niewystarczające ostrzeżenia ze strony banku. Zgłoś przestępstwo na policję lub do prokuratury z podaniem wszystkich danych (numer telefonu, godziny połączeń, kwoty, nagrania jeżeli są) – to ważne dowody także do późniejszego sporu z bankiem. Złóż też zawiadomienie do UOKiK lub Rzecznika Finansowego, jeżeli bank konsekwentnie odmawia reklamacji, z opisem, że w Twojej ocenie stosowane środki bezpieczeństwa oraz praktyka informacyjna banku była niewystarczająca wobec znanego ryzyka spoofingu.

Jak chodzi o moja osobistą ocenę sytuacji, to przelew BLIK / wpłata gotówki we wpłatomacie na polecenie osoby podszywającej się pod bank jest jednym z trudniejszych typów spraw, bo formalnie sama czynność jest “autoryzowana” przez klienta. Spoofing numeru banku, wielostopniowa “weryfikacja” oraz fakt, że bank i operatorzy mieli już wtedy techniczne możliwości walki ze spoofingiem, ale wdrożyli je dopiero później, mogą jednak działać na Twoją korzyść jako argument, że to system ochrony klienta był niespójny z realnym ryzykiem, a nie tylko Twoja wina.