Niebezpiecznik

Ofiara phishingu może się domagać zwrotu pieniędzy od banku – to zapewne wiecie. Zwykle ofiary wygrywają przed sądami, ale w kolejnych wyrokach pojawia się jedno ciekawe zastrzeżenie. Ignorowanie treści SMS-ów z kodami autoryzacyjnym może być uznane za zbyt daleko idące niedbalstwo klienta.

Niebezpiecznik wielokrotnie pisał o tym, że w przypadku kradzieży pieniędzy z konta to bank musi oddać pieniądze i powinien to zrobić w ciągu jednego dnia. Przepisy są w tej sprawie bardzo jasne, choć można się zastanawiać czy sprawiedliwe. W każdym razie, banki unikają skutków tych przepisów zwyczajnie ignorując wezwania do zwrotu pieniędzy, informując, że nie zawsze mają pewność, czy roszczenie ze strony klienta nie jest próbą wyłudzenia lub że to klient jest winny kradzieży bo zapewne dopuścił się tzw. rażącego niedbalstwa, co rzeczywiście przerzuca ciężar na klienta. Drugi z argumentów nie jest do końca trafny w świetle prawa, bo nawet w przypadku takiego niedbalstwa klienta bank powinien oddać pieniądze, a dopiero potem pozwać klienta i domagać się zwrotu. Bankom jednak opłaca się czekać i liczyć na to, że klient odpuści.

Jeśli klient pójdzie do sądu to szanse na jego zwycięstwo są duże. Pisaliśmy nie raz o wyrokach stwierdzających, że ofiara phishingu nie może być uznana za rażąco niedbałą. Ofiara kradzieży na zdalny pulpit też ma szansę w sądzie. Są też inne ciekawe wyroki np. wskazujące na to, że banki mogłyby trochę szybciej reagować na infolinii.

Kolejny wyrok w tym temacie zapadł 25 marca 2024 r. w Olsztynie (sygn. akt IX Ca 109/24). Może się wydawać, że jest to wyrok jakich wiele (ofiara phishingu znów wygrała), ale jest w tej sprawie istotny szczegół.

“Logowanie przebiegło prawidłowo”

Pewna kobieta, nazwijmy ją “Panią WS” miała rachunek w pewnym banku. Nie wiadomo o jaki bank chodzi bo wyrok jest zanonimizowany, ale w treści wyroku są wzmianki o “Millekodach” oraz “Millenecie” . Mniejsza o to. Pani WS w lutym 2020 roku padła ofiarą phishingu.

Jak czytamy w dokumencie sądowym…

…kliknęła w reklamę pozwanego Banku. Została przekierowana na stronę łudząco podobną do strony banku, gdzie wymagano podania kodu oraz numeru pesel.

Pani WS twierdziła, że nie wpisywała żadnych danych, ale kolejnego dnia zobaczyła na swoim telefonie tajemniczą “wiadomość po angielsku”. Potem skontaktował się z nią pracownik banku i poinformował ją, że z jej rachunku została wybrana kwota 920 złotych. Powódka tego samego dnia udała się do banku. Okazało się, że na jej rachunku dokonano trzech transakcji, co spowodowało wyprowadzenie kwoty 1234,19 euro. Kobieta złożyła reklamację i zawiadomiła policję. Musiała być świadoma tego, że prawo jest po jej stronie. Wniosła sprawę do sądu żądając wypłaty kwoty 6 tys. zł. odsetek (od 7 lutego 2020 roku do dnia zapłaty) oraz 1817 złotych tytułem kosztów postępowania i zastępstwa procesowego (wraz z odsetkami ustawowymi za opóźnienie).

Sprawa trafiła najpierw do Sądu Rejonowego w Mrągowie. Bank zachował się standardowo. Podnosił przed sądem, że powódka jest sama sobie winna. Kwestionował też to, czy do transakcji rzeczywiście doszło wbrew jej woli czy wiedzy(!). Bank ustalił, że “logowanie do systemu Millnet przebiegło prawidłowo”, a potem ktoś zalogował się na konto, zmienił limity na rachunku i dodał zaufanego odbiorcę. Czynności te trzeba było potwierdzać hasłami jednorazowymi wysyłanymi w wiadomości SMS. Skoro tak to – zdaniem banku – nie doszło do przełamania zabezpieczeń i tylko powódka mogła coś popsuć.

“Rosyjska” ciekawostka

W trakcie procesu ustalono, że sprawcy przestępstwa zalogowali się na konto i aktywowali aplikację mobilną Banku. Zmienili limit na rachunku i dodali zaufanego odbiorcę. Następnie zlecili przelewy na kwotę 920 złotych oraz przelewy z konta walutowego na kwoty 728,85 euro, 211,37 euro oraz 293,97 euro na konto zaufanego odbiorcy (na tym etapie już nikt nie wymagał kodów SMS). Dodatkowo zostały zrealizowane przelewy wewnętrzne z Konta Oszczędnościowego EUR na konto bieżące EUR na kwoty 300 euro i 50 euro. Ciekawostka: transakcje były wykonywane z adresów IP wskazujących na Rosję. Biegły wskazał na przeoczenie tej “anomalii” przez bank, choć oczywiście nie należy tego traktować w kategorii przełamania zabezpieczeń.

Rażące niedbalstwo trzeba udowodnić

Przed Sądem w Mrągowie bank przegrał (wyrok z dnia 29 listopada 2023).  Zdaniem Sądu I instancji nie można było kobiecie przypisać “rażącego niedbalstwa” bo była ona ofiarą manipulacji. Wyrok był – powiedzmy – zgodny z linią orzecznictwa jaką od dawna obserwujemy. Ale to nie był koniec sprawy.

Bank złożył apelację i próbował w sądzie II instancji  przekonywać, że to jednak było rażące niedbalstwo. Trochę nawet na tym ugrał ponieważ Sąd Okręgowy doszedł do wniosku, że odsetki za zwłokę w wypłacie nie należą się od 7 lutego 2020 r., ale dopiero od 8 lutego. Poza tym Sąd Okręgowy w pełni zgodził się z Rejonowym. Pani WS nie była rażąca niedbała i bank powinien zwrócić pieniądze.

Nieczytanie SMS-ów może być rażącym niedbalstwem

Wydaje się, że sąd po raz kolejny potwierdził, iż ofiara phishingu nie może być winna rażącego niedbalstwa. Jednak to nie do końca prawda. Sąd z Olsztyna w istocie stwierdził, że przypisanie rażącego niedbalstwa ofierze phishingu jest możliwe, nawet jeśli nie było tak w tej sprawie.

Oto ciekawy fragment uzasadnienia.

W orzecznictwie przyjmuje się, że samo podanie danych umożliwiających zalogowanie do bankowości elektronicznej, w sytuacji gdy dla autoryzacji (potwierdzenia) czynności potrzebne jest jeszcze podanie kodów autoryzacyjnych przesłanych w treści wiadomości SMS, nie stanowi jeszcze przejawu rażącego niedbalstwa. Dopiero udostępnienie danych logowania oraz kodów autoryzacyjnych może być poczytywane jako przejaw rażącego niedbalstwa, szczególnie wówczas gdy z treści wiadomości sms wynika, że kod służy autoryzacji czynności, której uprawniony użytkownik nie zamierza autoryzować, innymi słowy nie zamierza jej przeprowadzić
(…)
Pozwany nie udowodnił, że to powódka udostępniła osobom trzecim zarówno dane do logowania do bankowości internetowej jak i kody autoryzujące sporne czynności, a tylko łączne udostępnienie ww. danych można by potraktować w kategorii rażącego niedbalstwa. Wobec powyższego pozwany nie udowodnił, że to płatnik (powódka) ponosi w niniejszej sprawie odpowiedzialność za nieautoryzowane transakcje płatnicze.

Tu jest pogrzebany pies, o którym często zapominamy. W podobnych sporach sądowych to na banku spoczywa obowiązek udowodnienia, że osoba okradziona była “rażąco niedbała”. Banki często w ogóle nie próbowały tego udowadniać, albo uważając transakcję za autoryzowaną (duży błąd, bo “uwierzytelniona” nie znaczy “autoryzowana”) albo przekonując, że skoro doszło do kradzieży bez przełamania zabezpieczeń technicznych to ofiara musiała być rażąco niedbała (też błąd). W tym przypadku Sąd wyraźnie dał do zrozumienia, że zachowanie Pani WS mogło być w pewnych warunkach uznane za rażąco niedbałe, ale jednak bank nie udowodnił przekazania wszystkich kodów autoryzacyjnych.

Sędziowie przypominają! Warto czytać SMS-y z banku!

Czytaj te SMS-y!!!

Stwierdzenie, że przekazanie “wszystkich kodów” może być rażącym niedbalstwem padło już wcześniej w wyroku Sądu Najwyższego z 15 września 2023 r. (sygn. akt II CSKP 1013/22). Akurat tamta sprawa wróciła do Sądu Apelacyjnego i jest w niej wiele innych ciekawych wątków, ale możemy powiedzieć jedno. Argument popełnienia “rażącego niedbalstwa” przez ignorowanie treści SMS-ów był przed sądami podnoszony i będzie dostrzegany przez różnych sędziów skoro zajmował się tym nawet Sąd Najwyższy. Owszem, można teraz zacząć dyskutować o treści SMS-ów bo przecież komunikat zaczynający się od słów “Modyfikacja bazy odbiorców…” może oznaczać niemal wszystko, ale to już inny temat.

Ważny wniosek z tego wyroku jest taki: czytaj SMSy z banku!!! Nie chcesz pewnego dnia być uznany za kogoś, kto jednak był rażąco niedbały. Warto też rozważyć używanie aplikacji banku do autoryzowania transakcji, a jeszcze lepiej będzie używać klucza U2F, bo ten na ataki phishingowe nie jest podatny. Niestety, klucze U2F to nie jest jeszcze ani standard ani tym bardziej wymóg w polskich bankach, choć coraz więcej banków zaczyna wspierać to pożyteczne rozwiązanie. Pytanie czy wszystkie wymagają użycia klucza na ścieżce aktywacji nowej aplikacji mobilnej…