W erze rozwijających się nieustannie systemów informatycznych, w tym również systemów bankowości internetowej, klienci banków – a może przede wszystkim zgromadzone przez nich środki, stanowiące niejednokrotnie dorobek całego życia – coraz częściej, a wręcz nie bójmy się użyć słowa: „nagminnie”, narażeni są na ataki ze strony cyberprzestępców.
Ostatnimi czasy jedną z najpopularniejszych form, za pomocą których cyberprzestępcy mają się świetnie jest Spoofing.
Czym jest Spoofing?
Już spieszę z wyjaśnieniem.
Pojęcie samego Spoofingu nie doczekało co prawda jeszcze definicji legalnej, niemniej biorąc pod uwagę ustawodawstwo unijne oraz krajowe, najpewniej i takiej się też doczekamy.
Niemniej na ten moment Spoofing (ang. spoof– podszywać się, fałszować tożsamość), określany jest jako jedna z form socjotechnicznego oszustwa, polegająca na podszywaniu się przez oszusta pod inne urządzenie lub użytkownika sieci celem pozyskania danych lub zainstalowania „złośliwego” oprogramowania lub ominięcia mechanizmów kontroli dostępu.
Przykładowo wskazać można następujące rodzaje Spoofingu:
- Spoofing e-mail,
- Spoofing stron internetowych,
- CLI Spoofing (telefoniczny), który jest formą dominującą.
CLI Spoofing posiada definicję legalną, która została zawarta w ustawie z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej.
Zgodnie z tą definicją przez CLI spoofing rozumie się nieuprawnione posłużenie się lub korzystanie przez użytkownika lub przedsiębiorcę telekomunikacyjnego wywołującego połączenie głosowe informacją adresową wskazującą na osobę fizyczną, osobę prawną albo jednostkę organizacyjną nieposiadającą osobowości prawnej inną niż ten użytkownik lub przedsiębiorca telekomunikacyjny, służące podszyciu się pod inny podmiot, w szczególności w celu wywołania strachu, poczucia zagrożenia lub nakłonienia odbiorcy tego połączenia do określonego zachowania, zwłaszcza do przekazania danych osobowych, niekorzystnego rozporządzenia mieniem lub instalacji oprogramowania.
Jak przebiega taki typowy atak?
Po kolei cały proceder wygląda następująco:
– na telefonie „ofiary” wyświetla się numer banku,
– cyberprzestępca podaje dane klienta banku by wzbudzić zaufanie,
– informuje o rzekomym zagrożeniu (np. wychwyceniu próby logowania, otrzymania informacji z oddziału banku, odnotowania „podejrzanego” ruchu w systemie bankowym),
– oszust nakłania do wykonania przelewu za pośrednictwem bankowości internetowej, aplikacji, bądź zlecenia przelewu w oddziale, na potencjalny nr rachunku technicznego, celem ochrony środków klienta,
– następuje utrata środków z rachunku bankowego.
Dlaczego Spoofing jest tak skuteczny?
To prosty mechanizm psychologiczny wykorzystujący:
– autorytet instytucji (np. banku), pod którą podszywa się oszust,
– presję czasu,
– wywołanie poczucia zagrożenia u właściciela rachunku bankowego,
Połączenie powyższych czynników powoduje, że Spoofing jest bardzo skuteczny i wyrządzający ogromne konsekwencje w postaci utraty znaczących środków finansowych przez klienta.
Dobrze wiemy już czym jest spoofing i dlaczego jest tak powszechny i skuteczny.
Spoofing i co dalej?
Jeśli już zweryfikujemy, że padliśmy ofiarą Spoofingu najlepiej jest działać od razu i wieloaspektowo.
Po pierwsze należy zgłosić zawiadomienie o podejrzeniu popełnienia przestępstwa do organów ścigania (np. Policja czy Prokuratura).
Po drugie złożyć reklamację do Banku, w którym prowadzony jest rachunek bankowy z którego utracono środki. Należy też szczegółowo opisać całe zdarzenia oraz je udokumentować (np. screeny połączenia, wiadomości SMS, przesłane dane przez oszusta dot. „rachunku technicznego”).
Spoofing a odpowiedzialność Banku
No dobrze, przyjmijmy, że jesteśmy na etapie, gdy jako oszukany klient zgłosiliśmy zawiadomienie o podejrzeniu popełnienia przestępstwa oraz co istotne złożyliśmy reklamację do banku.
Czy możemy oczekiwać zwrotu środków przez bank?
W jakim terminie taki zwrot ma nastąpić?
Czy banki uznają automatycznie swoją odpowiedzialność i zwrócą środki?
Odpowiedzi na dwa pierwsze pytania odnajdziemy w ustawie z dnia z dnia 19 sierpnia 2011 r. o usługach płatniczych (dalej: u.u.p.).
Na gruncie powyższej ustawy bank, jako dostawca usług płatniczych będzie ponosił odpowiedzialność za nieautoryzowane transakcje.
Niemniej w pierwszej kolejności, to klient (użytkownik) musi pamiętać by zadziałać i niezwłocznie zgłosić fakt Spoofingu w ramach reklamacji do banku. Jest to szczególnie ważne, gdyż brak zgłoszenia powiadomienia banku (w formie reklamacji), w terminie 13 miesięcy od obciążenia rachunku bankowego, skutkuje wygaśnięciem roszczenia użytkownika z tytułu nieautoryzowanych, niewykonanych lub nienależycie wykonanych transakcji płatniczych (art. 44 ust. 1 i 2 u.u.p.). A taką nieautoryzowaną transakcją będzie wówczas transakcja wykonana w wyniku Spoofingu.
Wracając już do odpowiedzialności banku…
W przypadku wystąpienia nieautoryzowanej transakcji, co do zasady bank, zgodnie z art. 46 ust. 1 u.u.p, powinien zwrócić klientowi kwotę nieautoryzowanej transakcji płatniczej niezwłocznie, nie później jednak niż do końca dnia roboczego następującego m.in. po dniu otrzymania stosownego zgłoszenia (reklamacji).
I w tym momencie przechodzimy do ostatniego z postawionych pytań – Czy banki uznają automatycznie swoją odpowiedzialność i zwrócą środki?
Odpowiedź – NIE
Banki niechętnie uznają swoją odpowiedzialność w przypadku Spoofingu i z reguły odmawiają zwrotu środków.
Dlaczego tak się dzieje?
Banki w odpowiedziach na zgłoszone reklamacje klientów odpowiadają standardowo, iż skoro transakcja płatnicza została uwierzytelniona (tj. klient zalogował się na stronę banku, zlecił przelew poprzez aplikację lub osobiście w siedzibie lub oddziale banku), to tym samym transakcja ta była autoryzowana przez klienta. Tym samym nie miał miejsca przypadek nieautoryzowanej transakcji i brak jest wówczas odpowiedzialności ze strony banku.
Czy w takiej sytuacji klient ma związane ręce i nie ma czym się bronić?
Odpowiedź – NIE
Banki co do zasady utożsamiają uwierzytelnianie z autoryzacją. Pojęcie te nie są jednak synonimiczne i wystąpienie uwierzytelnienia nie powoduje automatycznie, że taka transakcja była autoryzowana przez klienta.
Uwierzytelnianie bowiem, stanowi jedynie procedurę potwierdzenia tożsamości klienta (użytkownika) przy użyciu indywidulanych danych uwierzytelniających. Z kolei autoryzacja, to świadome wyrażenie zgody przez klienta na wykonanie konkretnej transakcji płatniczej, a więc złożenia oświadczenia woli obejmującego określoną operację płatniczą.
Samo prawidłowe uwierzytelnienie klienta nie może być utożsamiane automatycznie z autoryzacją transakcji. Niezbędne jest bowiem ustalenie czy klient w momencie zlecenia transakcji miał świadomość charakteru transakcji i skutków jej wykonania (tj. że klient wyraził świadomą zgodę na przelew środków na nr rachunku bankowego oszusta).
Warto w tym miejscu podkreślić, że zgodnie z art. 45 ust. 1 u.u.p., to na banku jako dostawcy usług płatniczych spoczywa ciężar udowodnienia, że transakcja płatnicza została autoryzowana przez klienta.
Także klient ma przestrzeń i argumenty do obrony i walki o zwrot utraconych środków.
Niemniej, bazując na własnej praktyce prawniczej oraz uwzględniając specyfikę działania banków, śmiem twierdzić, że bez sporu sądowego często się nie obejdzie. Dopóki bank nie stanie przed obliczem Temidy, dopóty trudno oczekiwać, że z własnej inicjatywy zwróci klientowi utracone środki.
To właśnie postępowanie sądowe pozwala wówczas ustalić, czy bank wykonał obowiązki ciążące na nim jako na dostawcy usług płatniczych w oparciu o przepisy ustawy o usługach płatniczych oraz czy zachowanie klienta można zakwalifikować jako przypadek rażącego niedbalstwa, które wyłączałoby wówczas odpowiedzialność banku.
Z uwagi na powyższe najlepszym rozwiązaniem jest więc zaopatrzenie się przed i na czas procesu w wsparcie profesjonalnego pełnomocnika, posiadającego praktykę w powyższej materii.
