Czytaj SMS‑y z banku. Sądy potwierdzają, że warto to robić

Jeśli padłeś ofiarą oszustwa phishingowego, możesz liczyć na odzyskanie pieniędzy. Jak informuje Niebezpiecznik, okradzeni często wygrywają w sądach sprawy przeciwko bankom. W wyrokach pojawia się jednak pewne zastrzeżenie, które może odegrać istotną rolę w temacie rekompensaty za skradzione pieniędzy.

Jeśli zostaniecie okradzeni przez cyberprzestępców, pamiętajcie, że często to bank musi oddać pieniądze i zrobić to w ciągu jednego dnia. Zazwyczaj wezwanie do zwrotu pieniędzy jest jednak ignorowane – banki twierdzą, że może być to próba wyłudzenia lub klient banku dopuścił się tzw. rażącego niedbalstwa. W drugim przypadku pieniądze i tak powinny zostać zwrócone, a dopiero potem bank może pozwać klienta i domagać się ich ponownego zwrotu.

Dalsza część artykułu pod materiałem wideo

Jak podaje Niebezpiecznik, w wybranych wyrokach sądów pojawiają się wnioski, które podkreślają rolę czytania wiadomości SMS, które mają służyć do autoryzacji transakcji. Przykładem jest wyrok z 25 marca 2024 r., który zapadł w Olsztynie (sygn. akt IX Ca 109/24). Właścicielka konta padłą ofiarą phishingu w lutym 2020 r. Kliknęła fałszywą reklamę, gdzie poproszono o podanie kodu i numeru PESEL. Oszuści zdołali wykraść z jej konta 920 zł, a następnie 1234,19 euro.

Jak czytamy dalej, przedstawiciele banku twierdzili, że powódka jest winna kradzieży. Kwestionowano, czy faktycznie nie wiedziała o wykonanej transakcji. Ustalono, że "logowanie do systemu Millnet przebiegło prawidłowo", a potem ktoś zalogował się na konto. Dokonano zmiany limitów na rachunku i dodano zaufanego odbiorcę, a czynności te trzeba było zatwierdzić kodami z wiadomości SMS. Transakcje wykonywano z adresów IP wskazujących na Rosję, co bank zdawał się ignorować.

Bank przegrał sprawę przed Sądem w Mrągowie, gdyż uznano, że kobieta nie dopuściła się "rażącego niedbalstwa" – padła ofiarą manipulacji. Po złożeniu apelacji bank nie ugrał zbyt wiele – musiał zwrócić odsetki za jeden dzień mniej. Sąd Okręgowy zgodził się, że właścicielka nie dopuściła się rażącego niedbalstwa. Jednak możliwe jest przypisanie ofierze phishingu rażącego niedbalstwa.

W orzecznictwie przyjmuje się, że samo podanie danych umożliwiających zalogowanie do bankowości elektronicznej, w sytuacji gdy dla autoryzacji (potwierdzenia) czynności potrzebne jest jeszcze podanie kodów autoryzacyjnych przesłanych w treści wiadomości SMS, nie stanowi jeszcze przejawu rażącego niedbalstwa. Dopiero udostępnienie danych logowania oraz kodów autoryzacyjnych może być poczytywane jako przejaw rażącego niedbalstwa, szczególnie wówczas gdy z treści wiadomości sms wynika, że kod służy autoryzacji czynności, której uprawniony użytkownik nie zamierza autoryzować, innymi słowy nie zamierza jej przeprowadzić

(…)

Pozwany nie udowodnił, że to powódka udostępniła osobom trzecim zarówno dane do logowania do bankowości internetowej jak i kody autoryzujące sporne czynności, a tylko łączne udostępnienie ww. danych można by potraktować w kategorii rażącego niedbalstwa. Wobec powyższego pozwany nie udowodnił, że to płatnik (powódka) ponosi w niniejszej sprawie odpowiedzialność za nieautoryzowane transakcje płatnicze.

To bank ma obowiązek udowodnienia, że okradziony był "rażąco niedbały". Sąd uznał ,że zachowanie właścicielki konta mogło być w pewnych warunkach uznane za rażąco niedbałe, ale bank nie mógł udowodnić przekazania wszystkich kodów autoryzacyjnych.