Phishing, vishing i nieautoryzowane transakcje płatnicze – jak się przed nimi chronić

Codziennie słyszymy o nowych metodach działania cyberprzestępców: phishingu, vishingu (voice phishing), spoofingu czy kradzieżach danych do bankowości mobilnej.

Gdy z konta znikają oszczędności życia lub – co gorsza – pojawia się na nim kredyt na telefon zaciągnięty przez oszusta, ofiara często zostaje sama. Banki rutynowo odrzucają reklamacje, twierdząc, że klient „podał PIN” lub „zatwierdził transakcję”, a Policja po pewnym czasie umarza postępowanie z powodu niewykrycia sprawców.

W DSK wiemy, że to nie koniec drogi. To moment, w którym potrzebne jest profesjonalne wsparcie.

Prowadzimy sprawy zarówno „obronne”, jak i „ofensywne” – w zależności od tego, czy bank występuje z roszczeniem przeciwko klientowi, czy też klient dochodzi zwrotu środków z tytułu nieautoryzowanych transakcji płatniczych. Działamy kompleksowo – od reklamacji i postępowania przed Rzecznikiem Finansowym, po spór sądowy oraz reprezentację w postępowaniu karnym pokrzywdzonego.

Phishing – co to jest i jak rozpoznać phishing?

Phishing – co to właściwie znaczy?

To metoda oszustwa polegająca na podszywaniu się pod bank, firmę kurierską, operatora płatności lub inną zaufaną instytucję w celu wyłudzenia danych logowania, kodów SMS, danych karty czy numeru PESEL.

Phishing – przykłady:

• e-mail o „zablokowanym koncie bankowym”,
• SMS z linkiem do „dopłaty 1,99 zł do paczki”,
• fałszywa strona logowania do banku,
• wiadomość o „zwrocie podatku”.

Jak rozpoznać phishing?

• presja czasu („Twoje konto zostanie zablokowane!”),
• literówki w adresie strony,
• podejrzany link,
• prośba o podanie pełnych danych logowania.

Co to jest vishing (voice phishing)?

Vishing (voice phishing) to oszustwo telefoniczne. Przestępca dzwoni i podaje się za pracownika banku, Policję, KNF czy dział bezpieczeństwa jakiejś instytucji.

Vishing – przykłady:

• „Właśnie ktoś próbuje zaciągnąć kredyt na Pani dane”,
• „Proszę podać kod SMS, aby zablokować przelew”,
• „Proszę przelać środki na rachunek techniczny”.

To właśnie w takich schematach często dochodzi do kredytów na telefon – oszustw, które bank próbuje później egzekwować od ofiary.

Spoofing – czym jest?

Spoofing polega na podszywaniu się pod numer telefonu lub adres e-mail instytucji.

Ofiara widzi na wyświetlaczu np. numer infolinii swojego banku – i ufa rozmówcy. W rzeczywistości numer został technicznie „podmieniony”.

Spoofing bardzo często towarzyszy vishingowi i stanowi element zorganizowanego procederu przestępczego.

Gdzie zgłosić próbę wyłudzenia pieniędzy?

Jeśli doszło do próby wyłudzenia lub oszustwa bankowego:

1. Złóż reklamację w banku – natychmiast.
2. Zgłoś sprawę na Policję.
3. Zgłoś incydent do CERT Polska.
4. Złóż wniosek o interwencję do Rzecznika Finansowego.

W wielu przypadkach kluczowe jest szybkie zabezpieczenie:

• historii połączeń,
• logów bankowych,
• treści SMS-ów,
• regulaminów banku obowiązujących w dniu transakcji.

Nieautoryzowane transakcje – kiedy bank musi oddać pieniądze?

Zgodnie z ustawą o usługach płatniczych, ciężar dowodu spoczywa na banku.
To bank musi wykazać, że transakcja była autoryzowana i że klient dopuścił się umyślności lub rażącego niedbalstwa.

Samo wpisanie kodu SMS nie oznacza jeszcze skutecznej autoryzacji w sensie prawnym.

Coraz częściej sądy uznają, że przy profesjonalnie zaplanowanych atakach (spoofing + manipulacja psychologiczna) nie można przypisywać klientowi winy.

Nasze sukcesy – prawo stoi po Twojej stronie

Skutecznie walczymy z instytucjami finansowymi, udowadniając przed sądami, że odpowiedzialność za luki w systemach bezpieczeństwa nie może spoczywać wyłącznie na kliencie. Oto przykłady spraw, które wygraliśmy:

• Obrona przed spłatą 30.000 zł z karty kredytowej: Nasz klient stracił kartę kredytową w wyniku kradzieży, a sprawcy zdobyli do niej PIN. Wykonali 18 transakcji na łączną kwotę ponad 30.000 złotych. Choć były one uwierzytelnione prawidłowym kodem, sąd podzielił naszą argumentację: transakcje nie były autoryzowane, a bank nie udowodnił klientowi rażącego niedbalstwa. Klient nie musiał spłacać skradzionej kwoty.
• Kredyt „na klik” na 60.000 zł: Oszuści podszywający się pod pracowników banku zmanipulowali klientkę i zaciągnęli pożyczkę przez aplikację na kwotę 60.000 złotych. Bank domagał się spłaty kwoty kredytu z odsetkami. Sąd uznał nasze stanowisko, że umowa kredytowa w ogóle nie istnieje w sensie prawnym, ponieważ klientka nigdy nie złożyła świadomego oświadczenia woli o jej zawarciu.
• Odzyskanie 60.000 zł: W imieniu klientki pozwaliśmy bank o zwrot środków ukradzionych po profesjonalnie przygotowanym ataku – sprawcy posługiwali się numerem infolinii banku i danymi prawdziwych pracowników. Schemat obejmował m.in. wypłaty gotówki BLIK z bankomatu oraz przelewy realizowane z wykorzystaniem internetowych operatorów płatności. Sąd uznał, że dokonane transakcje na łączną kwotę ponad 60.000 złotych – choć uwierzytelnione kodami, były nieautoryzowane w rozumieniu ustawy o usługach płatniczych, a precyzyjnie zaplanowany proceder przestępczy zdejmuje z klientki zarzut niedbalstwa. Bank musiał zwrócić pieniądze z odsetkami.

W sporze z bankiem liczą się detale i doskonała znajomość ustawy o usługach płatniczych. Banki często próbują przerzucić całą winę na płatnika (zarzucając mu umyślność lub rażące niedbalstwo), ignorując fakt, że metody oszustów są coraz bardziej wyrafinowane. W DSK potrafimy wykazać, gdzie leży granica odpowiedzialności klienta, a gdzie zaczyna się ryzyko zawodowe banku.

Jak działamy w sporze z bankiem?

• zabezpieczamy materiał dowodowy,
• prowadzimy reklamację w sposób strategiczny,
• kierujemy sprawę do Rzecznika Finansowego,
• nadzorujemy postępowanie karne,
• reprezentujemy klienta w sądzie – zarówno gdy pozywa bank, jak i gdy bank pozywa klienta.

Im szybsza reakcja, tym większa szansa na skuteczną obronę.

Jeżeli bank odmawia zwrotu środków, wzywa do zwrotu środków i próbuje przerzucić odpowiedzialność na klienta, warto skonsultować sprawę na wczesnym etapie.  Im szybsza będzie reakcja, tym większa szansa na zabezpieczenie kluczowych dowodów i ułożenie właściwej strategii sporu.

Ochrona przed phishingiem – co możesz zrobić już dziś?

• nigdy nie podawaj kodów SMS przez telefon,
• nie klikaj w linki z nieznanych źródeł,
• sprawdzaj adres strony przed logowaniem,
• aktywuj powiadomienia push o transakcjach,
• ustaw limity dzienne przelewów.

Świadomość zagrożeń to pierwsza linia obrony.

Padłeś ofiarą oszustwa? Nie jesteś bezbronny.

Ty lub ktoś Tobie bliski stracił pieniądze?
Na Twoim koncie pojawił się kredyt zaciągnięty przez oszusta?
Bank odmawia zwrotu środków lub umorzenia kredytu?

Skontaktuj się z nami.

Przeanalizujemy Twoją sprawę i przedstawimy realny plan działania.

FAQ – Najczęstsze pytania w sporach z bankiem

• Czy to, że transakcja była „uwierzytelniona”, oznacza że była autoryzowana?

Nie zawsze. Uwierzytelnienie techniczne (np. kod SMS, PIN, biometria) nie przesądza jeszcze o skutecznej autoryzacji w sensie prawnym. W sporze istotne jest to, czy klient świadomie i swobodnie wyraził zgodę na konkretną operację.

• Czy bank może automatycznie uznać, że klient dopuścił się rażącego niedbalstwa?

Nie. Każda sytuacja powinna być oceniana indywidualnie. Coraz częściej sądy podkreślają, że profesjonalnie przygotowane ataki (np. z użyciem spoofingu i manipulacji psychologicznej) nie mogą być utożsamiane z lekkomyślnością klienta.

• Czy jeśli bank odrzucił reklamację, to sprawa jest zamknięta?

Nie. Odrzucenie reklamacji nie kończy drogi prawnej. Możliwe jest skierowanie sprawy do Rzecznika Finansowego oraz dochodzenie roszczeń przed sądem powszechnym.

• Czy postępowanie karne ma wpływ na spór z bankiem?

Może mieć znaczenie dowodowe, ale brak ustalenia sprawców nie oznacza automatycznie, że roszczenie wobec banku jest bezzasadne. Odpowiedzialność cywilna banku i odpowiedzialność karna sprawców to dwie odrębne kwestie.

• Czy każda sprawa o phishing kończy się procesem sądowym?

Nie. W części przypadków możliwe jest zakończenie sporu na etapie reklamacji lub po interwencji Rzecznika Finansowego. Decyzja o skierowaniu sprawy do sądu powinna być poprzedzona analizą dokumentów i ryzyka procesowego.

• Czy warto działać, jeśli od zdarzenia minęło już trochę czasu?

Tak. Choć szybka reakcja jest najkorzystniejsza (i często ma kluczowe znaczenie w kontekście zabezpieczenia materiału dowodowego), również sprawy zgłaszane później wymagają indywidualnej oceny prawnej.