Nieautoryzowane transakcje · cyberoszustwa · banki
Oszustwo na pracownika banku – vishing, spoofing i APP fraud
Klient odbiera telefon od osoby podającej się za pracownika banku. Na ekranie widzi numer infolinii albo nazwę banku. Rozmówca zna jego dane, informuje o podejrzanej operacji i przekonuje, że pieniądze są zagrożone. Do rozmowy może dołączyć rzekomy policjant, a na adres e-mail trafia legitymacja pracownika banku lub dokument opatrzony nazwą instytucji publicznej.
Pod jednym określeniem „oszustwo na pracownika banku” mogą kryć się operacje o zupełnie różnej kwalifikacji prawnej. Inaczej ocenia się przelew wykonany przez osobę, która przejęła rachunek, inaczej płatność zatwierdzoną przez zmanipulowanego klienta, a jeszcze inaczej wypłatę gotówki i jej późniejsze przekazanie sprawcy.
Vishing, spoofing i phishing – kilka metod użytych w jednym oszustwie
Nazwy stosowane przy opisywaniu cyberoszustw odnoszą się do sposobu działania sprawcy, a nie do odrębnych typów przestępstw.
Vishing oznacza oszustwo prowadzone podczas rozmowy telefonicznej. Sprawca podaje się za pracownika banku, funkcjonariusza Policji albo osobę odpowiedzialną za bezpieczeństwo rachunku. Rozmowa jest zwykle prowadzona tak, aby klient działał szybko i nie kontaktował się samodzielnie z bankiem.
Spoofing polega na podmianie informacji o nadawcy połączenia albo wiadomości. Na ekranie telefonu może wyświetlić się numer prawdziwej infolinii, a wiadomość SMS może zostać oznaczona nazwą banku i trafić do wątku zawierającego wcześniejszą, autentyczną korespondencję.
Phishing służy najczęściej do wyłudzenia danych za pomocą fałszywej strony internetowej lub wiadomości e-mail. Jego odmianą jest smishing, prowadzony przez SMS, oraz quishing, w którym sprawca wykorzystuje kod QR kierujący do podstawionej strony.
Do przejęcia rachunku może dojść również za pomocą programu umożliwiającego zdalny dostęp do telefonu lub komputera. W innych przypadkach sprawcy przejmują numer telefonu poprzez uzyskanie duplikatu karty SIM. Pozwala im to odbierać wiadomości i kody potrzebne do logowania oraz potwierdzania operacji.
Jeden atak może łączyć wszystkie te elementy. Oszust dzwoni, podszywa się pod numer banku, przesyła wiadomość oznaczoną jego nazwą, a następnie kieruje klienta do fałszywej strony albo nakłania go do wykonania określonych czynności w aplikacji.
APP fraud – płatność wykonana przez zmanipulowanego klienta
Skrót APP pochodzi od angielskiego określenia Authorised Push Payment. Opisuje oszustwo, w którym sprawca nie musi przejmować kontroli nad rachunkiem. Przekonuje właściciela, aby ten sam zlecił lub zatwierdził płatność.
Klient może sądzić, że przelewa pieniądze na bezpieczny rachunek techniczny, uczestniczy w działaniach Policji albo chroni środki przed wypłatą kredytu zaciągniętego na jego dane. Z punktu widzenia mechanizmu autoryzacyjnego operacja może przebiegać prawidłowo: właściciel rachunku loguje się, wpisuje dane odbiorcy i potwierdza przelew. Z punktu widzenia klienta czynność ma jednak zupełnie inny cel niż rzeczywiste przekazanie pieniędzy oszustowi.
Europejski Urząd Nadzoru Bankowego zalicza do APP fraud przypadki, w których płatnik zostaje zmanipulowany i sam dokonuje płatności na rzecz sprawcy. Ten rodzaj oszustwa wykorzystuje prawidłowo działające mechanizmy autoryzacyjne, zamiast je technicznie przełamywać.
Obowiązujące obecnie przepisy nie zawierają osobnego, pełnego mechanizmu zwrotu środków utraconych w wyniku APP fraud. Ustawa o usługach płatniczych chroni przede wszystkim płatnika, którego rachunek obciążono transakcją nieautoryzowaną. Spór z bankiem zaczyna się zatem od odpowiedzi na pytanie, czy klient rzeczywiście wyraził zgodę na operację w rozumieniu art. 40 tej ustawy.
Zgoda na transakcję a prawidłowe użycie kodu
Artykuł 40 ustawy o usługach płatniczych stanowi, że transakcja jest autoryzowana, jeżeli płatnik wyraził zgodę na jej wykonanie w sposób przewidziany w umowie z bankiem. Zgoda odnosi się do wykonania określonej transakcji, natomiast uwierzytelnienie służy potwierdzeniu tożsamości użytkownika albo ważności użytego instrumentu płatniczego.
Autoryzacja i uwierzytelnienie nie są tym samym. Prawidłowe użycie hasła, kodu, karty lub PIN-u może potwierdzać, że system zaakceptował określone dane. Nie przesądza jeszcze, że właściciel rachunku wyraził zgodę na konkretną transakcję.
Różnica jest wyraźna, gdy sprawca przejmuje bankowość internetową i sam wykonuje przelew. System może zarejestrować poprawny login, hasło i kod autoryzacyjny, choć właściciel rachunku nie wiedział o operacji i jej nie zlecił. Jeżeli klient zaprzecza, że autoryzował transakcję, art. 45 ustawy o usługach płatniczych obciąża bank obowiązkiem wykazania autoryzacji, prawidłowego zapisania operacji w systemie oraz braku awarii lub innej usterki związanej z usługą płatniczą. Samo zarejestrowane użycie instrumentu płatniczego nie dowodzi ani zgody klienta, ani jego umyślnego działania lub rażącego niedbalstwa.
W sporach z bankami prawidłowo wpisany kod miewa zadziwiająco bogate życie dowodowe. Potwierdza jednak przede wszystkim, że system przyjął określone dane. Nie wyjaśnia jeszcze, kto przygotował operację, co widział klient i jakiej czynności zamierzał dokonać.
Sytuacja wygląda inaczej, gdy klient sam wpisuje numer rachunku i kwotę, a następnie zatwierdza przelew. Bank może wówczas wykazać, że zgoda obejmowała operację o treści widocznej w aplikacji. Wprowadzenie w błąd dotyczy najczęściej celu płatności lub tożsamości odbiorcy. Zakwalifikowanie takiego przelewu jako nieautoryzowanego jest trudniejsze, ponieważ przepisy o usługach płatniczych nie regulują wprost skutków zgody wyrażonej pod wpływem manipulacji.
Ocena zmienia się, gdy sprawca sam przygotował przelew, a klient zatwierdził komunikat przedstawiony mu jako anulowanie innej operacji, blokada rachunku albo potwierdzenie tożsamości. Treść komunikatu autoryzacyjnego pokazuje wówczas, czy bank jasno poinformował o rodzaju czynności, kwocie i odbiorcy. Dla oceny autoryzacji istotne jest również ustalenie, kto wprowadził dane transakcji, z jakiego urządzenia nastąpiło logowanie oraz jakie zmiany wykonano wcześniej na rachunku. Jeżeli bank wywodzi autoryzację lub rażące niedbalstwo klienta, powinien oprzeć swoje stanowisko na danych pozwalających odtworzyć przebieg operacji.
Przejęcie rachunku i działania klienta mogą wystąpić równocześnie
W bardziej rozbudowanych oszustwach część operacji wykonuje sprawca, a część – klient działający zgodnie z jego instrukcjami. Bank nie powinien ujmować całego zdarzenia pod jednym ogólnym określeniem „operacje wykonane przy użyciu prawidłowych danych”.
Przykładowo sprawca może zresetować hasło, zalogować się do bankowości i przelać środki z karty kredytowej na rachunek osobisty klienta. Równocześnie klient, przekonany o trwającym ataku, wypłaca pieniądze z bankomatu. Później wpłaca gotówkę na rachunek wskazany przez oszusta.
Przelew wykonany po przejęciu rachunku wymaga odrębnej oceny od wypłat dokonanych kartą przez jej właściciela. Każda operacja ma własny sposób inicjowania, autoryzacji i wykonania. Łączy je mechanizm oszustwa, ale przepisy o odpowiedzialności za transakcje płatnicze mogą znaleźć zastosowanie w różnym zakresie.
Poszczególne operacje powinny zostać opisane z uwzględnieniem danych o logowaniach, urządzeniach, adresach IP, zmianach hasła i limitów oraz sposobie potwierdzenia każdej transakcji. Zbiorcza informacja, że wszystkie czynności wykonano poprawnie, opisuje działanie systemu bankowego, ale nie wyjaśnia jeszcze, kto zainicjował operacje i czy klient wyraził na nie zgodę.
Wypłata gotówki i wpłata za pomocą kodu BLIK
Wypłata gotówki dokonana przez właściciela karty przy użyciu własnego PIN-u zwykle wyraża zgodę na pobranie określonej kwoty z rachunku. Wprowadzenie w błąd dotyczy wtedy przyczyny wypłaty: klient sądzi, że zabezpiecza pieniądze albo wykonuje polecenie banku lub Policji.
Dalsza wpłata gotówki we wpłatomacie za pomocą kodu BLIK przekazanego przez oszusta stanowi kolejną czynność. Pieniądze nie są już przelewane bezpośrednio z rachunku osoby poszkodowanej. Klient umieszcza banknoty w urządzeniu, a kod kieruje wpłatę na rachunek powiązany z tym kodem.
Znaczenie zachowuje działanie zabezpieczeń banku. Seria wysokich wypłat następujących bezpośrednio po sobie, poprzedzona zmianą hasła, przejęciem bankowości albo innymi nietypowymi operacjami, wymaga odniesienia do bankowych mechanizmów wykrywania oszustw. Odpowiedź reklamacyjna ograniczona do informacji, że karta i PIN były prawidłowe, nie wyjaśnia tego elementu sprawy.
Spoofing a zarzut rażącego niedbalstwa
Banki często uzasadniają odmowę zwrotu tym, że klient powinien był rozpoznać oszustwo. Taka ocena wymaga odtworzenia całej komunikacji ze sprawcami.
Inaczej przedstawia się krótka rozmowa z przypadkowego numeru, a inaczej wieloetapowe działanie obejmujące telefon wyświetlany jako połączenie z banku, SMS w wątku oznaczonym jego nazwą, znajomość danych klienta, fałszywe dokumenty oraz rozmowę z osobą podającą się za funkcjonariusza Policji. Presja czasu i utrzymywanie stałego kontaktu z pokrzywdzonym również należą do przyjętej metody działania.
Bank, który powołuje się na rażące niedbalstwo, powinien wskazać konkretny obowiązek naruszony przez klienta oraz wykazać, że naruszenie doprowadziło do nieautoryzowanej transakcji. Ogólne przypomnienie, że bank nigdy nie prosi o hasło lub kod, nie zastępuje tej analizy.
Trzeba jeszcze ustalić, jakie dane klient przekazał, do czego zostały wykorzystane i kto faktycznie wykonał sporne operacje.
Wykształcenie, zawód i wcześniejszy sposób korzystania z bankowości elektronicznej mogą wpływać na ocenę zachowania klienta, lecz nie przesądzają jej wyniku. Osoba regularnie opłacająca rachunki i korzystająca z BLIK-a przy zakupach internetowych nie musi znać technicznych możliwości podmiany nazwy nadawcy SMS ani sposobu działania wpłat BLIK.
Bank powinien monitorować nietypowe operacje
Rozporządzenie delegowane Komisji (UE) 2018/389 zobowiązuje dostawców usług płatniczych do stosowania mechanizmów monitorowania pozwalających wykrywać transakcje nieautoryzowane lub nielegalne. Mechanizmy te powinny uwzględniać elementy typowe dla danego użytkownika, kwotę transakcji, znane scenariusze oszustw, sygnały wskazujące na obecność złośliwego oprogramowania, a w określonych przypadkach także niestandardowe korzystanie z urządzenia lub oprogramowania dostępowego.
Znaczenie może mieć cała sekwencja zdarzeń, na przykład:
- logowanie z nowego urządzenia;
- reset hasła;
- zwiększenie limitu transakcyjnego;
- przelew z rachunku kredytowego;
- dodanie nowego odbiorcy;
- kilka wysokich wypłat lub przelewów w krótkim czasie.
Przepisy nie nakazują bankowi telefonicznego potwierdzania każdej nietypowej operacji. W sporze znaczenie ma jednak ustalenie, czy bankowy system rozpoznał podwyższone ryzyko oraz jak zareagował na sekwencję zdarzeń odbiegającą od wcześniejszego sposobu korzystania z rachunku. Dotyczy to zwłaszcza sytuacji, w których w krótkim czasie dochodzi do zmiany danych dostępowych, podwyższenia limitów, dodania odbiorcy i wykonania kilku wysokich operacji.
Obowiązek monitorowania nie zastępuje analizy autoryzacji. Może jednak wpływać na ocenę sposobu wykonania umowy przez bank i jego reakcji na rozpoznawalny scenariusz oszustwa.
Zwrot środków i późniejsze roszczenie banku
Z zastrzeżeniem terminu zgłoszenia określonego w art. 44 ust. 2 ustawy o usługach płatniczych, art. 46 tej ustawy zobowiązuje bank do zwrotu kwoty nieautoryzowanej transakcji niezwłocznie, nie później niż do końca następnego dnia roboczego po stwierdzeniu jej wystąpienia albo otrzymaniu zgłoszenia. Od obowiązku tego bank może odstąpić, jeżeli ma uzasadnione i należycie udokumentowane podstawy, aby podejrzewać oszustwo popełnione przez klienta, oraz poinformuje o tych podstawach na piśmie organy ścigania.
W wyroku z 15 października 2026 r. w sprawie C-70/25 TSUE uznał, że zarzut rażącego niedbalstwa klienta nie pozwala bankowi wstrzymać zwrotu kwoty nieautoryzowanej transakcji. Najpierw bank wykonuje obowiązek zwrotu. Następnie może dochodzić od klienta naprawienia straty, jeżeli udowodni, że klient umyślnie albo wskutek rażącego niedbalstwa naruszył obowiązki dotyczące korzystania z instrumentu płatniczego, a naruszenie to doprowadziło do powstania straty. Ciężar dowodu spoczywa na banku.
Więcej o samym wyroku piszemy w artykule TSUE: bank musi najpierw zwrócić środki po nieautoryzowanej transakcji.
Po dokonaniu zwrotu bank może dochodzić od klienta naprawienia straty na zasadach wskazanych w wyroku C-70/25. Odpowiedź na wezwanie banku powinna odnosić się do podstawy roszczenia i rzeczywistego przebiegu oszustwa oraz wskazywać, jakich dowodów dotyczących autoryzacji i działania systemów bezpieczeństwa brakuje w stanowisku banku.
Dokumenty potrzebne do oceny sprawy
Podstawą analizy jest chronologia zestawiająca rozmowy, wiadomości i operacje bankowe według godzin. Pozwala ona ustalić, czy w chwili logowania lub wykonywania transakcji klient rozmawiał ze sprawcą oraz które czynności wykonywał samodzielnie.
Do wstępnej oceny wystarczają zazwyczaj:
- historia rachunku i potwierdzenia spornych operacji;
- wiadomości SMS oraz e-maile otrzymane od sprawców;
- historia połączeń telefonicznych i komunikatorów;
- reklamacja wraz z odpowiedziami banku;
- wezwanie do zapłaty, jeżeli bank żąda zwrotu środków;
- potwierdzenie zgłoszenia sprawy organom ścigania.
Oryginalne wiadomości e-mail warto zachować w formacie EML wraz z nagłówkami i załącznikami. Z telefonu nie należy usuwać historii połączeń, wiadomości ani plików. Dane techniczne dotyczące logowań, urządzeń, adresów IP i oceny ryzyka operacji mogą być potrzebne na dalszym etapie, jeżeli stanowisko banku nie wyjaśnia przebiegu autoryzacji.
Więcej o zgłoszeniu zdarzenia i reklamacji piszemy w poradniku Nieautoryzowane transakcje – jak odzyskać utracone środki?.
Ocena odpowiedzialności banku
Nazwa użytej metody opisuje sposób działania oszusta. Odpowiedzialność banku zależy od przebiegu konkretnych operacji: kto je przygotował, kto je zatwierdził, jaką informację otrzymał klient i jak zareagowały bankowe systemy bezpieczeństwa.
W sprawach łączących przejęcie rachunku, wypłaty gotówki i wpłaty BLIK każda operacja wymaga osobnej kwalifikacji. Dopiero takie rozdzielenie pozwala ocenić, które transakcje były nieautoryzowane, czy bank prawidłowo wykonał obowiązek zwrotu oraz czy ma podstawy do dochodzenia od klienta naprawienia poniesionej straty.
Oszustwo na pracownika banku – analiza sprawy
W sprawach dotyczących vishingu, spoofingu i innych form cyberoszustwa nie wystarcza ustalenie, że użyto prawidłowego kodu, karty lub PIN-u. Trzeba odtworzyć przebieg każdej operacji i ustalić, kto ją przygotował, kto ją zatwierdził oraz jakie informacje widział klient w chwili podejmowania decyzji.
Znaczenie mają również dane techniczne banku, sposób działania mechanizmów bezpieczeństwa oraz to, czy przed spornymi operacjami wystąpiły nietypowe zdarzenia, takie jak zmiana hasła, nowe urządzenie, podwyższenie limitów albo seria wysokich wypłat.
Do wstępnej analizy przydatna jest przede wszystkim chronologia zdarzeń, historia rachunku, reklamacja i odpowiedź banku, wiadomości od sprawców oraz historia połączeń.
