Oszustwo bankowe i nieautoryzowane transakcje – sąd nakazał bankowi zwrot pieniędzy klientce

Oszustwo bankowe może doprowadzić do utraty oszczędności w ciągu zaledwie kilku minut. Przestępcy wykorzystują fałszywe platformy inwestycyjne, zdalny dostęp do telefonu, socjotechnikę oraz przejęte dane logowania do bankowości elektronicznej. Banki często odmawiają zwrotu pieniędzy, twierdząc, że skoro transakcja została potwierdzona kodem SMS albo wykonana po prawidłowym zalogowaniu do bankowości internetowej, to musiała zostać autoryzowana przez klienta.

Takie stanowisko banku nie zawsze jest jednak prawidłowe.

W sprawie prowadzonej przez naszą kancelarię sąd uwzględnił powództwo klientki w całości i nakazał bankowi zwrot 47 900 zł wraz z odsetkami oraz kosztami procesu. Sąd uznał, że klientka padła ofiarą oszustwa, a zakwestionowane operacje stanowiły nieautoryzowane transakcje płatnicze.

Jak doszło do oszustwa bankowego?

Klientka natrafiła w internecie na materiał reklamujący możliwość osiągnięcia zysku poprzez inwestowanie niewielkich kwot. Po wejściu na wskazaną stronę pozostawiła swój numer telefonu, a następnie skontaktowały się z nią osoby podające się za przedstawicieli platformy inwestycyjnej.

Początkowo klientka świadomie przelała niewielką kwotę, która miała stanowić pierwszą inwestycję. Następnie, zgodnie z instrukcjami rzekomego opiekuna inwestycyjnego, zainstalowała na telefonie aplikację umożliwiającą zdalny dostęp do urządzenia.

Aplikacja została pobrana z oficjalnego sklepu, co mogło dodatkowo wzbudzić przekonanie, że jest bezpieczna.

Po zainstalowaniu programu klientka zalogowała się do swojej bankowości elektronicznej. W tym czasie przestępcy mogli uzyskać dostęp do obrazu ekranu telefonu, danych wyświetlanych w aplikacji oraz wiadomości zawierających kody SMS.

Kiedy klientka zorientowała się, że może mieć do czynienia z oszustwem bankowym, niezwłocznie przerwała rozmowę i skontaktowała się z bankiem. Wówczas dowiedziała się, że z jej rachunku wykonano kilka przelewów na łączną kwotę 47 900 zł. Dodatkowo na jej dane uruchomiono finansowanie, którego sama nie zamawiała.

Klientka natychmiast:

• zgłosiła nieautoryzowane transakcje bankowi;
• złożyła reklamację;
• zablokowała dostęp do rachunku;
• odinstalowała aplikację zdalnego dostępu;
• przywróciła telefon do ustawień fabrycznych;
• zawiadomiła Policję o podejrzeniu popełnienia przestępstwa.

Mimo szybkiej reakcji bank odmówił zwrotu pieniędzy.

Dlaczego bank odmówił zwrotu pieniędzy?

Bank argumentował, że przelewy zostały wykonane po zalogowaniu do bankowości elektronicznej loginem i hasłem przypisanym do klientki, a następnie potwierdzone kodami SMS przesłanymi na jej telefon.

Według banku prawidłowe użycie danych uwierzytelniających miało oznaczać, że operacje zostały autoryzowane.

Bank twierdził również, że klientka sama doprowadziła do utraty środków, instalując aplikację umożliwiającą zdalny dostęp do telefonu. Zdaniem banku jej zachowanie miało stanowić rażące niedbalstwo, które wyłącza obowiązek zwrotu pieniędzy.

Sąd nie podzielił tej argumentacji.

Autoryzacja transakcji a uwierzytelnienie – to nie jest to samo

Jednym z najważniejszych elementów rozstrzygnięcia było rozróżnienie między:

• autoryzacją transakcji, czyli świadomym wyrażeniem przez klienta zgody na konkretną operację;
• uwierzytelnieniem, czyli technicznym potwierdzeniem operacji przy użyciu loginu, hasła, kodu SMS, aplikacji mobilnej albo innego narzędzia zabezpieczającego.

Zgodnie z art. 40 ust. 1 ustawy o usługach płatniczych transakcję uważa się za autoryzowaną, jeżeli płatnik wyraził zgodę na jej wykonanie w sposób przewidziany w umowie zawartej z bankiem.

Samo ustalenie, że podczas wykonywania przelewu wykorzystano prawidłowe dane logowania albo kod SMS, nie musi jeszcze oznaczać, że klient świadomie zgodził się na daną transakcję.

Kod SMS może zostać przejęty przez przestępców. Osoba trzecia może także obserwować ekran telefonu, przejąć kontrolę nad urządzeniem albo wykonać operację bez wiedzy właściciela rachunku.

Do skutecznej autoryzacji niezbędny jest element woli klienta. Klient musi wiedzieć, jaką transakcję zatwierdza, na jaką kwotę i na rzecz jakiego odbiorcy.

W rozpoznawanej sprawie sąd uznał, że klientka nie wyraziła zgody na trzy zakwestionowane przelewy. Operacje zostały wykonane przez nieustaloną osobę, która wykorzystała dostęp uzyskany w wyniku oszustwa.

Kto musi udowodnić, że transakcja była autoryzowana?

W sprawach dotyczących nieautoryzowanych transakcji płatniczych obowiązuje szczególna zasada dotycząca ciężaru dowodu.

Zgodnie z art. 45 ust. 1 ustawy o usługach płatniczych to bank powinien udowodnić, że:

• transakcja została autoryzowana przez klienta;
• została prawidłowo zapisana w systemie;
• została prawidłowo zaksięgowana;
• nie wystąpiła awaria techniczna ani inna nieprawidłowość.

Nie wystarczy zatem przedstawienie przez bank wydruku wskazującego, że użyto prawidłowego loginu, hasła lub kodu SMS.

Bank powinien wykazać, że to rzeczywiście klient świadomie wyraził zgodę na konkretną transakcję.

W analizowanej sprawie sąd stwierdził, że bank nie udowodnił, aby klientka autoryzowała sporne przelewy. Jednocześnie okoliczności sprawy, w tym sposób działania sprawców, różne adresy IP oraz charakter wykonanych operacji, wskazywały, że transakcje zostały zlecone przez osoby nieuprawnione.

Czy zainstalowanie aplikacji do zdalnego pulpitu oznacza rażące niedbalstwo?

Banki w sporach dotyczących oszustw bankowych często podnoszą zarzut rażącego niedbalstwa klienta.

Ma to istotne znaczenie, ponieważ zgodnie z art. 46 ust. 3 ustawy o usługach płatniczych klient może odpowiadać za nieautoryzowane transakcje w pełnej wysokości, jeżeli doprowadził do nich umyślnie albo wskutek umyślnego lub rażąco niedbałego naruszenia obowiązków związanych z korzystaniem z instrumentu płatniczego.

Nie każde niedostatecznie ostrożne zachowanie jest jednak rażącym niedbalstwem.

Rażące niedbalstwo jest kwalifikowaną, szczególnie poważną postacią winy. Zachowanie klienta musi drastycznie odbiegać od podstawowego modelu ostrożności, którego można oczekiwać od przeciętnego użytkownika bankowości elektronicznej.

W omawianej sprawie sąd uznał, że zainstalowanie aplikacji zdalnego dostępu nie wystarczyło do przypisania klientce rażącego niedbalstwa.

Klientka:

• działała pod wpływem profesjonalnie przygotowanej manipulacji;
• nie zamierzała przekazywać przestępcom loginu, hasła ani kodów SMS;
• nie miała świadomości, że sprawcy mogą obserwować dane wyświetlane na telefonie;
• po powzięciu podejrzeń niezwłocznie skontaktowała się z bankiem;
• zgłosiła sprawę organom ścigania;
• podjęła działania mające ograniczyć skutki zdarzenia.

Sąd ocenił, że doszło do nieświadomego naruszenia bezpieczeństwa telefonu, wywołanego przestępczym działaniem osób trzecich. Nie było zatem podstaw do uznania, że klientka umyślnie udostępniła dane bankowe albo zachowała się w sposób rażąco niedbały.

Bank odpowiada za nieautoryzowane transakcje na zasadzie ryzyka

W przypadku nieautoryzowanej transakcji płatniczej odpowiedzialność banku nie jest uzależniona wyłącznie od wykazania jego winy.

Co do zasady bank odpowiada na zasadzie ryzyka. Oznacza to, że po zgłoszeniu nieautoryzowanej operacji powinien zwrócić klientowi jej równowartość, chyba że zachodzą szczególne, ustawowo określone przesłanki wyłączające tę odpowiedzialność.

Zgodnie z art. 46 ust. 1 ustawy o usługach płatniczych bank powinien dokonać zwrotu niezwłocznie, nie później niż do końca następnego dnia roboczego po stwierdzeniu nieautoryzowanej transakcji albo otrzymaniu zgłoszenia klienta.

Bank może odmówić natychmiastowego zwrotu między innymi wtedy, gdy ma uzasadnione i należycie udokumentowane podstawy, aby podejrzewać oszustwo ze strony klienta, i poinformuje o tym organy ścigania.

Samo podejrzenie, że klient mógł zachować się nieostrożnie, nie zwalnia jednak banku z obowiązków przewidzianych w ustawie.

Wyrok: zwrot 47 900 zł, odsetek i kosztów procesu

Sąd uwzględnił powództwo klientki w całości.

Na jej rzecz zasądzono:

• 47 900 zł tytułem zwrotu nieautoryzowanych transakcji;
• odsetki ustawowe za opóźnienie;
• zwrot kosztów procesu;
• odsetki od kosztów procesu należne po uprawomocnieniu się orzeczenia.

Sąd przyjął, że bank pozostawał w opóźnieniu już od dnia następującego po terminie, w którym – zgodnie z ustawą o usługach płatniczych – powinien był zwrócić klientce pieniądze.

Rozstrzygnięcie potwierdza, że bank nie może automatycznie przerzucać odpowiedzialności na klienta tylko dlatego, że w systemie odnotowano użycie prawidłowych danych logowania albo kodów autoryzacyjnych.

Co zrobić po wykryciu nieautoryzowanej transakcji?

W przypadku podejrzenia oszustwa bankowego liczy się szybka reakcja.

Należy niezwłocznie:

1. skontaktować się z bankiem i zablokować bankowość elektroniczną, karty oraz dostęp do rachunku;
2. zgłosić wszystkie nieautoryzowane transakcje;
3. zażądać zwrotu pieniędzy na podstawie ustawy o usługach płatniczych;
4. złożyć zawiadomienie o podejrzeniu popełnienia przestępstwa;
5. zabezpieczyć wiadomości SMS, e-maile, numery telefonów, historię połączeń i zrzuty ekranu;
6. zachować odpowiedzi banku oraz dokumentację postępowania reklamacyjnego;
7. nie usuwać danych z urządzenia przed ich zabezpieczeniem, chyba że bank lub specjalista zaleci natychmiastowe odłączenie urządzenia od sieci;
8. przeanalizować możliwość skierowania sprawy do sądu.

Warto również wystąpić do banku o udostępnienie dokumentacji dotyczącej operacji, w szczególności:

• historii logowań;
• adresów IP;
• sposobu autoryzacji transakcji;
• godzin zlecenia i zaksięgowania przelewów;
• danych urządzeń użytych do logowania;
• nagrań rozmów z infolinią;
• dokumentacji reklamacyjnej;
• informacji o alertach bezpieczeństwa wygenerowanych przez system banku.

Bank odrzucił reklamację – czy warto pozwać bank?

Odmowa uwzględnienia reklamacji nie oznacza, że bank ma rację.

W wielu odpowiedziach reklamacyjnych banki powołują się na podobne argumenty:

• użyto prawidłowego loginu i hasła;
• kod SMS został wysłany na numer klienta;
• operacja została prawidłowo zarejestrowana;
• system bankowy nie odnotował awarii;
• klient zainstalował aplikację zdalnego dostępu;
• klient nie zachował wymaganej ostrożności.

Każdy z tych argumentów wymaga dokładnej analizy.

Najważniejsze pytanie brzmi nie tylko: czy użyto prawidłowych danych uwierzytelniających, lecz przede wszystkim: czy klient świadomie wyraził zgodę na konkretną transakcję.

Jeżeli przelew został wykonany przez oszusta, który przejął dane lub zdalny dostęp do urządzenia, operacja może nadal pozostawać nieautoryzowaną transakcją płatniczą.

Pomoc prawna w sprawach dotyczących oszustw bankowych

Nasza kancelaria prowadzi sprawy dotyczące:

• nieautoryzowanych transakcji bankowych;
• oszustw na fałszywe inwestycje;
• przejęcia bankowości internetowej;
• oszustw z wykorzystaniem aplikacji zdalnego pulpitu;
• wyłudzenia kredytu lub pożyczki;
• nieautoryzowanych przelewów;
• kradzieży środków z rachunku bankowego;
• phishingu, vishingu i spoofingu;
• odmowy zwrotu pieniędzy przez bank;
• sporów sądowych przeciwko bankom.

Analizujemy dokumentację bankową, przebieg oszustwa, sposób uwierzytelnienia operacji oraz argumenty podnoszone przez bank. Przygotowujemy reklamacje, wezwania do zapłaty oraz pozwy o zwrot środków utraconych wskutek nieautoryzowanych transakcji.

Bank odmówił zwrotu pieniędzy po oszustwie?

Odmowa banku nie przesądza o braku możliwości odzyskania środków. Odpowiedzialność banku zależy od konkretnych okoliczności sprawy, sposobu działania oszustów oraz materiału dowodowego.

Skontaktuj się z kancelarią i prześlij:

• reklamację złożoną do banku;
• odpowiedź banku;
• historię zakwestionowanych transakcji;
• potwierdzenie zawiadomienia Policji lub prokuratury;
• wiadomości i inne materiały otrzymane od sprawców;
• umowę rachunku oraz regulamin bankowości elektronicznej.

Po analizie dokumentów możliwe będzie określenie, czy istnieją podstawy do żądania od banku zwrotu pieniędzy.

---

Najczęściej zadawane pytania

Czy użycie kodu SMS oznacza, że transakcja była autoryzowana?

Nie zawsze. Użycie kodu SMS potwierdza techniczne uwierzytelnienie operacji, ale nie musi oznaczać, że klient świadomie zgodził się na przelew. Kod mógł zostać przejęty albo odczytany przez oszusta.

Czy bank musi zwrócić pieniądze skradzione z konta?

Co do zasady bank powinien zwrócić kwotę nieautoryzowanej transakcji. Może uwolnić się od odpowiedzialności w przypadkach określonych w ustawie, między innymi gdy wykaże umyślne działanie lub rażące niedbalstwo klienta.

Czy zainstalowanie TeamViewera lub AnyDeska oznacza utratę prawa do zwrotu?

Nie automatycznie. Konieczna jest ocena wszystkich okoliczności. Samo zainstalowanie aplikacji anydesk czy teamviewer nie przesądza jeszcze o rażącym niedbalstwie.

Kto musi udowodnić, że klient zatwierdził przelew?

Ciężar udowodnienia autoryzacji transakcji spoczywa zasadniczo na banku.

Ile czasu jest na zgłoszenie nieautoryzowanej transakcji?

Użytkownik powinien zgłosić transakcję niezwłocznie po jej wykryciu. Ustawa przewiduje również maksymalny termin, po którego upływie roszczenie wobec banku może wygasnąć. Dlatego nie należy zwlekać ze zgłoszeniem.

Czy można odzyskać także odsetki?

Tak. Jeżeli bank nie zwrócił pieniędzy w terminie wynikającym z ustawy, można dochodzić również odsetek ustawowych za opóźnienie.

Czy wygrana w opisanej sprawie gwarantuje wygraną w innej sprawie?

Nie. Każda sprawa wymaga indywidualnej analizy. Wynik postępowania zależy od jego okoliczności, treści dokumentów, zachowania klienta, sposobu działania sprawców oraz zgromadzonych dowodów.