Pieniądze przechowywane na rachunku bankowym przechodzą na własność banku, a wyłudzenie tych środków nie powinno oznaczać, że szkodę poniesie posiadacz konta – taką argumentację przedstawił Sąd Okręgowy w Warszawie, rozstrzygając sprawę włamania na rachunek klientki. Posiadaczka rachunku ma otrzymać z powrotem ponad 120 tys. zł, chociaż nie udało się precyzyjnie ustalić jak dokonano kradzieży.
Puste konto w banku i wiadomość SMS o dokonanej zmianie numeru telefonu komórkowego używanego do potwierdzania transakcji – taki był początek sprawy, która rozegrała się w 2012 r. i trafiła na wokandę Sądu Okręgowego w Warszawie. Klientka straciła ponad 120 tys. zł i bezskutecznie starała się o odzyskanie pieniędzy najpierw poprzez reklamację w banku, a następnie wzywając bank do zapłaty pod groźbą skierowania sprawy do sądu.
19 grudnia 2016 r. sąd wydał nieprawomocne orzeczenie (sygn. akt I C 229/15), w którym zasądził od banku na rzecz klientki całą sporną kwotę wraz z odsetkami. Co ciekawe, w uzasadnieniu odwołano się nie tylko do ustawy o usługach płatniczych, ale także do kodeksu cywilnego.
Złodziej przejął kontrolę nad rachunkiem
Zgodnie z ustaleniami sądu do wyprowadzenia pieniędzy z rachunku doszło przy użyciu zarówno bankowości internetowej, jak i telefonicznej. Wszystko odbyło się w ciągu około 20 minut. Sekwencja zdarzeń była następująca:
- nieznany sprawca próbował, bez powodzenia, trzykrotnie zmienić hasło w bankowości internetowej. Dostęp do serwisu transakcyjnego został zablokowany.
- Nieznany sprawca zalogował się do serwisu bankowości telefonicznej (podając numer klienta i telekod) i ustalił nowe hasło do bankowości internetowej.
- Złodziej połączył się z infolinią banku, zalogował się i podając się za posiadacza rachunku zlecił pracownikowi dokonanie zmiany numeru telefonu, na który przesyłane są hasła jednorazowe SMS.
- Pracownik infolinii zweryfikował dane podawane przez połączoną osobę, uzyskał poprawne odpowiedzi i ręcznie zaktualizował numer telefonu.
- Nieznany sprawca zalogował się do serwisu bankowości internetowej i zlecił przelew na ponad 120 tys. zł.
Prawowita posiadaczka rachunku otrzymała SMS z informacją o dokonanej zmianie numeru telefonu. Wiadomość odczytała jednak dopiero wieczorem i zlekceważyła powiadomienie jako „błąd systemu”. Tymczasem na jej koncie nie było już pieniędzy od kilku godzin. „Prowadzone w kierunku przestępstwa oszustwa postępowanie karne doprowadziło jedynie do ujawnienia tożsamości osób, które założyły w pozwanym Banku rachunki bankowe, na które to rachunki transferowano następnie środki pieniężne. Organy ścigania nie zdołały natomiast ustalić sprawców, którzy dzięki pokonaniu zabezpieczeń Banku złożyli dyspozycję przelewu środków zgromadzonych na rachunku bankowym” – czytamy w orzeczeniu.
Niewątpliwie włamywacze przed skokiem zdobyli szereg informacji o posiadaczce konta – m.in. numer klienta i dane potrzebne do weryfikacji na infolinii (PESEL, imiona rodziców, miejsce urodzenia) oraz telekod. Być może, jak spekuluje sąd w orzeczeniu, użyto oprogramowania typu keylogger albo wyłudzono informacje za pomocą phishingu. Szczególnie zastanawiające jest, skąd złodzieje znali telekod – został on zmieniony rok przed atakiem, a operacja potwierdzana była SMS-em wysłanym na telefon ofiary. Być może kod był na tyle prosty (data urodzenia?), że oszustom udało się go zgadnąć.
Czy klientka wykazała się „rażącą niedbałością”?
Sąd nie był w stanie ustalić, w jaki sposób wrażliwe dane trafiły do włamywaczy. Stwierdzono również, że bank przeprowadził zlecone operacje zgodnie z wewnętrznymi procedurami, a systemy monitorujące transakcje nie oznaczyły przelewów jako podejrzanych. „Po stronie Banku nie istniał obowiązek, przy zleceniu zmiany dotychczas stosowanego numeru telefonu, każdorazowego oddzwaniania do klienta na podany we wniosku o otwarcie rachunku bankowego numeru telefonu” – zauważono jednak w orzeczeniu, wytykając lukę w zabezpieczeniach.
Klientka logowała się do bankowości internetowej z domowego komputera osobistego, z legalnym i aktualizowanym systemem operacyjnym i aktualnym oprogramowaniem antywirusowym. Powódka twierdziła, że nie udostępniała nikomu haseł, nawet małżonkowi.
„Na podstawie ustaleń poczynionych w toku postępowania dowodowego, w ocenie Sądu, można stwierdzić, że co najmniej niefrasobliwe ze strony powódki było zignorowanie informacji przesłanej SMS-em o zmianie numeru telefonu. Zdaniem Sądu, powódka niezwłocznie po odczytaniu wiadomości, a nastąpiło to wieczorem 26 października 2012 r. powinna podjąć działania zgodnie z procedurą reklamacyjną. Zmiana numeru telefonu ma tak duże znaczenie dla obsługi rachunku bankowego, że dochowując należytej staranności, nie można ignorować tego typu informacji, nawet jeżeli jest podejrzenie, że stanowi ona +błąd systemu+. Jednakże posiadacz rachunku nie ma obowiązku ciągłego sprawdzania poczty elektronicznej. Zważywszy, że powódka przesłaną jej informację odczytała dopiero wieczorem, to brak jej działania pozostawał bez związku z wyprowadzeniem środków z jej rachunku bankowego. Przelew bowiem nastąpił przed godziną 11.00” – czytamy w orzeczeniu.
Mimo tego zastrzeżenia uznano, że posiadaczka rachunku nie naruszyła w żaden sposób obowiązków, o których mowa w art. 42 ustawy o usługach płatniczych (przechowywanie instrumentu płatniczego z należytą starannością). Twierdzenie banku, że klientka przyczyniła się do powstania szkody oddalono jako bezzasadne. Ciężar dowodu w tym zakresie spoczywa na banku – same wątpliwości nie są wystarczające, by twierdzić, że klient wykazał się niedbałością. Zgodnie z prawem regulującym obszar usług płatniczych posiadaczka rachunku zgłosiła nieautoryzowaną transakcję, a bank był zobowiązany niezwłocznie ją zwrócić.
Skradziono pieniądze banku, a nie klientki
Jednocześnie w orzeczeniu sądu wskazano, że ofiarą oszustwa w takim przypadku jest bank, a nie klient powierzający instytucji swoje pieniądze. „Zawarcie umowy rachunku bankowego powoduje, że środki pieniężne posiadacza przechodzą na własność banku. Mimo braku jednoznacznego sformułowania w odnośnych przepisach ustawy, w doktrynie i w orzecznictwie powszechny i w zasadzie niekontrowersyjny jest pogląd, że bank uzyskuje własność deponowanych pieniędzy” – czytamy w dokumencie.
„Reasumując, mimo wyłudzenia przez osobę nieuprawnioną mienia stanowiącego własność banku, nie dojdzie do powstania szkody po stronie posiadacza rachunku, gdyż bank nadal pozostanie zobowiązany do zaspokojenia jego wierzytelności w pełnej wysokości ze swoich środków (…) Ze swojego długu wobec posiadacza rachunku bank nie zwolni się nawet wtedy, gdy dochowa należytej staranności przy dokonywaniu wypłaty osobie nieuprawnionej”.
