W ostatnich latach liczba oszustw bankowych drastycznie wzrasta. Każdego dnia tysiące osób padają ofiarami wyrafinowanych metod wyłudzania danych bankowych i kradzieży pieniędzy ze swoich kont. Niestety niewiele oszukanych osób, wie co zrobić w tej niecodziennej sytuacji. W tym artykule wyjaśniamy czym jest oszustwo bankowe i jakie kroki należy koniecznie podjąć aby odzyskać skradzione pieniądze.
Czym jest oszustwo bankowe?
Oszustwo bankowe to przywłaszczenie pieniędzy z konta bankowego lub karty płatniczej przez trzecią osobę, która bez wiedzy i zgody poszkodowanego uzyska dostęp do jego danych logowania i dokonuje nieautoryzowanych transakcji.
Kluczowym elementem oszustwa jest fakt, że oszust działa bez zgody właściciela konta. Poszkodowany nie wyraża zgody na transakcję, nie wie o jej dokonaniu, a pieniądze znikają z konta, najczęściej poprzez przelew na konta tzw. „słupów” – osób trzecich, które pomagają w przekazaniu pieniędzy dalej, często poprzez transfer za pośrednictwem kryptowalut.
Jak oszuści uzyskują dostęp do kont bankowych?
Oszuści działają głównie w trzech kierunkach:
- Phishing – wysyłanie fałszywych wiadomości SMS, e-maili lub tworzenie fałszywych stron internetowych, które na pierwszy rzut oka przypominają autentyczne portale banków czy stron sklepów.
- Instalacja malware na urządzeniach ofiar – złośliwe oprogramowanie, które monitoruje aktywność użytkownika i przechwytuje poufne informacje.
- Inżynieria społeczna – manipulacja psychologiczna, na przykład dzwonienie do potencjalnych ofiar i podawanie się za pracownika banku.
Przykłady oszustw bankowych
- SMS: „[Znany serwis streamingowy]: Twoja subskrypcja jest tymczasowo zawieszona, prosimy potwierdzić swoje dane, aby ją reaktywować. Idź do: https://…”,
- Link prowadzi do strony imitującej znany serwis streamingowy,
- Ofiara wpisuje dane karty płatniczej lub logowania,
- Oszust uzyskuje dostęp do środków.
Nieautoryzowana transakcja płatnicza – pojęcie prawne oraz przesłanki
Przepisy chroniące konsumentów przed nieautoryzowanymi transakcjami płatniczymi uregulowane zostały w Ustawie o Usługach Płatniczych z 2011 r. Art 40 tejże ustawy definiuje autoryzację jako wyrażenie zgody przez płatnika na wykonanie transakcji płatniczej w sposób przewidziany w umowie.
Transakcja nieautoryzowana to zatem transakcja, na którą poszkodowany nie wyraził zgody, nie wiedział o jej dokonaniu i nie inicjował jej sam.
Aby transakcja mogła być uznana za nieautoryzowaną, muszą być spełnione jednocześnie trzy warunki:
- brak zgody poszkodowanego na dokonanie transakcji,
- brak wiedzy poszkodowanego o jej realizacji,
- brak inicjatywy poszkodowanego w jej dokonaniu.
Ważne rozróżnienie w przypadku oszustw bankowych: autoryzacja a uwierzytelnianie
Istotnym dla zrozumienia ochrony prawnej rozróżnieniem jest różnica między autoryzacją a uwierzytelnianiem. Autoryzacja to wyrażenie zgody przez poszkodowanego na dokonanie transakcji. Uwierzytelnianie natomiast to techniczny proces weryfikacji tożsamości użytkownika, realizowany poprzez hasła, PIN-y lub kody wysyłane w SMS-ach.
Problem polega na tym, że oszust, posiadając dane logowania poszkodowanego, może dokonać „prawidłowego uwierzytelniania”, np. zalogować się z poprawnym hasłem, wpisać prawidłowy kod SMS. System banku zarejestruje wówczas, że „transakcja została prawidłowo uwierzytelniona”. Jednak to nie oznacza, że transakcja była autoryzowana przez poszkodowanego (posiadacza konta bankowego).
Prawo polskie wyraźnie wyjaśnia to w artykule 45 ust. 2 Ustawy o Usługach Płatniczych, stanowiąc, że wykazanie przez bank prawidłowego użycia instrumentu płatniczego nie wystarczy do udowodnienia, że transakcja została autoryzowana. Bank musi wykazać świadomą, dobrowolną zgodę poszkodowanego na transakcję.
Ochrona prawna przed oszustwem bankowym i nieautoryzowaną transakcją płatniczą
Podstawową regulacją ochrony konsumentów przed oszustwami bankowymi jest art. 46 Ustawy o Usługach Płatniczych. Przepis ten nakłada na bank obowiązek zwrócenia kwoty nieautoryzowanej transakcji niezwłocznie, a najpóźniej do końca następnego dnia roboczego od stwierdzenia lub zgłoszenia takiej transakcji.
Zwrot pieniędzy ma charakter automatyczny. Bank nie może warunkować zwrotu żądaniem od poszkodowanego dowodów na to, że transakcja była rzeczywiście nieautoryzowana. Jedynymi wyjątkami, kiedy bank może wstrzymać zwrot, są dwie sytuacje: jeśli bank ma konkretne dowody na to, że poszkodowany sam dokonał oszustwa (wówczas bank musi zawiadomić organy ścigania), lub jeśli poszkodowany zgłosił transakcję po upływie 13 miesięcy od jej dokonania.
Art. 45 ust. 1 ustawy przesunął również ciężar dowodu na bank. To bank musi wykazać, że transakcja była autoryzowana, a nie poszkodowany. To szczególnie istotne rozróżnienie, bo w zwykłych sporach sądowych z reguły strona zgłaszająca roszczenie musi wykazać swoje racje.
Kiedy poszkodowany może ponosić odpowiedzialność za nieautoryzowaną transakcję?
Poszkodowany odpowiada za transakcje tylko w dwóch przypadkach: jeśli działał umyślnie lub jeśli zaniedbał swoje obowiązki w sposób rażący. Rażące zaniedbanie to pojęcie niedookreślone w ustawie, którego znaczenie wypracowały polskie sądy poprzez orzecznictwo.
Rażące zaniedbanie to poważne, niepowierzchowne zachowanie się, takie jak przechowywanie PIN-u zapisanego na karcie, świadome podanie hasła obcej osobie czy całkowite ignorowanie podstawowych zasad bezpieczeństwa. Natomiast nie jest rażącym zaniedbaniem kliknięcie w phishing SMS, nawet jeśli SMS był przekonujący. Nie jest nim również podanie danych logowania na fałszywą stronę, jeśli strona wyglądała autentycznie, czy instalacja aplikacji, którą poszkodowany uważał za legalną, ale okazała się być malware-em.
Polskie sądy konsekwentnie wskazują w swoim orzecznictwie, że samo ujawnienie danych w wyniku działań oszusta nie stanowi rażącego zaniedbania.
Co robić, gdy pada się ofiarą oszustwa bankowego i jak odzyskać pieniądze od banku?
Poszkodowany, który odkryje nieautoryzowaną transakcję na swoim koncie, powinien działać szybko i systematycznie, ponieważ prawo wprowadza określone terminy i procedury, które mogą wpłynąć na możliwość odzyskania pieniędzy.
Krok pierwszy: natychmiastowe zawiadomienie banku
Pierwszym i najważniejszym krokiem jest niezwłoczne zawiadomienie banku. Poszkodowany powinien zadzwonić na numer podany w umowie bankowej lub na karcie, względnie na infolinię do banku.
Podczas rozmowy telefonicznej poszkodowany powinien wyraźnie powiedzieć, że odkrył nieautoryzowaną transakcję, podać numer konta, kwotę, datę transakcji oraz numer rachunku odbiorcy, jeśli go zna. Bank powinien przyjąć zgłoszenie i przydzielić numer sprawy. Poszkodowany powinien poprosić o potwierdzenie zgłoszenia i zanotować numer sprawy.
Krok drugi: zawiadomienie policji
W ciągu kilku godzin od zgłoszenia do banku poszkodowany powinien zawiadomić policję. Oszustwo bankowe to przestępstwo, a zawiadomienie jest ważnym dowodem dla banku.
Poszkodowany powinien uzyskać zaświadczenie lub numer zawiadomienia. Dokument ten będzie niezbędny w dalszych działaniach, zwłaszcza jeśli bank będzie odmawiał zwrotu pieniędzy.
Krok trzeci: niezwłoczna zmiana haseł i zabezpieczeń
W tym samym czasie poszkodowany powinien zmienić swoje hasło do bankowości elektronicznej, PIN do karty oraz hasła do innych ważnych kont (poczta elektroniczna, media społecznościowe). Zmiany haseł powinny być dokonane z innego urządzenia.
Krok czwarty: złożenie formalnej reklamacji
Jeśli bank nie zwrócił pieniędzy w ciągu dwóch do trzech dni roboczych, poszkodowany powinien złożyć formalną reklamację na piśmie. Reklamację można przesłać listem poleconym na adres banku lub drogą elektroniczną poprzez portal bankowości internetowej (o ile taka opcja jest dostępna).
Reklamacja powinna zawierać dokładny opis zdarzenia: datę i godzinę transakcji, kwotę, numer rachunku odbiorcy, rodzaj oszustwa (phishing, malware, inne). Poszkodowany powinien wyraźnie stwierdzić, że nie autoryzował transakcji, i powołać się na artykuł 46 Ustawy o Usługach Płatniczych. Załącznikiem do reklamacji powinna być kopia zaświadczenia policji i potwierdzenie poprzedniego zgłoszenia do banku.
Krok piąty: interwencja Rzecznika Finansowego
Jeśli bank odrzucił reklamację lub nie odpowiedział w terminie 15 dni roboczych, poszkodowany powinien zwrócić się do Rzecznika Finansowego. Jest to bezpłatna procedura, w ramach której Rzecznik Finansowy analizuje sprawę i przedstawia stosowne stanowisko.
Wniosek o interwencję można złożyć elektronicznie na stronie Rzecznika Finansowego. Należy dołączyć kopię reklamacji i odpowiedzi banku (jeśli taka była). Rzecznik Finansowy gromadzi materiały i wydaje opinię, która może wzmocnić pozycję poszkodowanego, zwłaszcza jeśli dojdzie do postępowania sądowego.
Krok szósty: pozew o zapłatę w przypadku oszustwa bankowego
Jeśli wszystkie poprzednie drogi nie odniosły zamierzonego skutku, poszkodowany powinien rozważyć wytoczenie powództwa w sądzie. Co do zasady jest to etap wymagający profesjonalnego wsparcia. Reprezentacja przez doświadczonego prawnika od oszustw bankowych może okazać się niezbędna dla właściwej obrony praw poszkodowanego.
Choć prawo nakłada na bank obowiązek wykazania autoryzacji transakcji, praktyka sądowa pokazuje, że kluczowe jest zgromadzenie kompleksowego materiału dowodowego już na etapie poprzedzającym postępowanie. Poszkodowany powinien jeszcze przed wniesieniem pozwu zgromadzić całość materiału dowodowego.
Bez reprezentacji profesjonalnego prawnika od oszustw bankowych istnieje wysokie ryzyko, że sąd podda w wątpliwość jakość argumentacji. Niedostatecznie zgromadzony materiał dowodowy, niejasne przedstawienie faktów czy błędy proceduralne mogą prowadzić do sytuacji, w której nawet słuszne roszczenie nie zostanie należycie wykazane. Pełnomocnik nie tylko zna prawo, ale posiada również doświadczenie w tym, jakie dowody sądy uznają za istotne, jak je prawidłowo przedstawić, oraz jak skutecznie argumentować w obliczu zarzutów banku.
Najważniejsze zasady do zapamiętania w przypadku oszustwa bankowego
Bank ma obowiązek zwrócić pieniądze w terminie D+1, czyli do końca następnego dnia roboczego od zgłoszenia. Bank musi wykazać autoryzację, a nie poszkodowany musi wykazywać brak autoryzacji.
Poszkodowany musi zawiadomić bank bez zbędnej zwłoki: najlepiej tego samego dnia, gdy odkryje oszustwo. Termin 13 miesięcy na zgłoszenie to limit maksymalny, a nie „otwarty termin”, w ramach którego można czekać. Najnowsze orzecznictwo Trybunału Sprawiedliwości Unii Europejskiej podkreśla, że zgłoszenie musi nastąpić „bez zbędnej zwłoki”.
Poszkodowany nie odpowiada za transakcje, które są wynikiem phishingu czy malware-u, chyba że działał umyślnie lub zaniedbał obowiązki w sposób rażący. Sama zmiana hasła czy pobranie aplikacji nie stanowi rażącego zaniedbania.
Prawnik od oszustw bankowych – wsparcie prawne dla poszkodowanych
Oszustwa bankowe stanowią realny problem dla konsumentów, jednak prawo polskie zapewnia stosowną ochronę. Kluczem do sukcesu jest szybkie działanie, im szybciej poszkodowany zawiadomi bank, tym większe szanse na zwrot pieniędzy.
Jeśli Państwo doświadczyli oszustwa bankowego i potrzebują wsparcia prawnego, nasza kancelaria specjalizuje się w sprawach dotyczących ochrony konsumentów i nieautoryzowanych transakcji płatniczych. Zapraszamy do kontaktu.
