Klientka PKO BP, która nigdy wcześniej nie brała pożyczki gotówkowej, jednego dnia zaciągnęła 80 tys. zł kredytu, otworzyła nowe konto i poprosiła, by tam wpłynęły pieniądze. Tłumaczyła, że chce zrobić mężowi niespodziankę. Wypłaciła gotówkę, a następnie opróżniła drugie konto z 16 tys. zł oszczędności. Bank nie zauważył w tych działaniach nic podejrzanego. Mąż przez 20 minut czekał na infolinii, próbując połączyć się z konsultantem, by wszcząć alarm.
Łącznie tego dnia z placówek banku wyszło 96 tys. zł. PKO BP tłumaczy, że klientka zachowywała się spokojnie i naturalnie. Rodzina pyta jednak, czy system bezpieczeństwa banku naprawdę powinien opierać się głównie na tym, czy osoba przy okienku wygląda na zdenerwowaną.
Pożyczka, nowe konto, gotówka
Sprawa zaczęła się od wielogodzinnego vishingu (manipulacji telefonicznej). Według relacji rodziny oszuści podszywali się pod pracowników banku oraz przedstawicieli instytucji publicznych. Mieli przesyłać spreparowane wiadomości, dokumenty i instrukcje, które uwiarygadniały całą historię. Klientka była przekonana, że wykonuje polecenia osób działających w jej interesie.
Zobacz także
Tego dnia pojawiła się w oddziale PKO BP. Z ustaleń banku wynika, że zgłosiła zainteresowanie pożyczką gotówkową. Pracownikowi miała powiedzieć, że pieniądze chce przeznaczyć na zakup samochodu dla męża jako prezent z okazji rocznicy ślubu.
Poprosiła też o uruchomienie nowego konta, na które miały wpłynąć pieniądze z pożyczki. Kobieta tłumaczyła, że nie chce, aby środki z pożyczki trafiły na rachunek wspólny, bo zakup samochodu miał pozostać niespodzianką. Kredyt został przyznany, kobieta wypłaciła całą gotówkę. Oraz 16 tys. zł z drugiego rachunku.
Z formalnego punktu widzenia bank opisuje sprawę prosto: klientka przyszła do oddziału, przeszła obsługę, podpisała dokumenty i osobiście złożyła dyspozycje. PKO BP podkreśla, że dyspozycje zostały wykonane zgodnie z jej wolą.
Nie mamy wątpliwości co do prawidłowości samej procedury zaciągania pożyczki. Problem leży gdzie indziej - i tu nasuwa się ciąg pytań. Dlaczego w systemach banku nie zapaliła się czerwona lampka ostrzegawcza przy klientce, która nigdy wcześniej nie dokonywała tego typu operacji? Dlaczego – w dobie powszechnego wyłudzania pieniędzy metodą „na pracownika banku” – żaden z przeszkolonych do tego specjalnie konsultantów nie zauważył nic podejrzanego w dokonywanych operacjach?
Bank: klientka wyglądała normalnie
PKO BP w stanowisku dla Bankier.pl wskazuje, że w trakcie obsługi klientka „zachowywała się spokojnie i naturalnie”. Według banku była swobodna, uśmiechnięta i prowadziła rozmowę z pracownikiem w sposób typowy dla standardowej obsługi.
Bank dodaje, że kobieta nie prowadziła rozmów telefonicznych podczas obsługi, nie korzystała z telefonu w sposób mogący wskazywać na otrzymywanie instrukcji, a samo urządzenie nie było widoczne dla pracownika.
To ważna część odpowiedzi banku. PKO BP broni się tym, że pracownik placówki nie widział objawów manipulacji. Bank zaznacza też, że jego doradcy są szkoleni w rozpoznawaniu sygnałów mogących świadczyć o próbie oszustwa, w tym zachowań niewerbalnych. Według banku w wielu przypadkach pozwala to zatrzymać podejrzane transakcje.
Ale vishing często właśnie tak działa. Ofiara ma wyglądać normalnie. Ma mówić przygotowaną wersję. Ma zachowywać spokój, nie wzbudzać podejrzeń i nie ujawniać prawdziwego powodu wypłaty. W końcu w grze jest walka o oszczędności jej życia. Musi grać dobrze.
„To było dla niej całkowicie nietypowe”
Mąż klientki podkreśla w rozmowie z redakcją, że żona nigdy wcześniej nie korzystała z pożyczek gotówkowych.
„Żona nigdy wcześniej, ani w tym, ani w żadnym innym banku, nie brała pożyczki gotówkowej. Nie zakładała innych kont. W życiu wzięliśmy wcześniej dwa kredyty: jeden na lodówkę na raty, nie gotówkowy, a drugi to hipoteczny w PKO. Nigdy nie braliśmy kredytów gotówkowych” — przekazał redakcji.
Rodzina twierdzi, że już w reklamacjach wskazywała bankowi, że transakcje były nietypowe dla klientki. PKO BP odpowiada jednak, że samo złożenie wniosku o pożyczkę, nawet po raz pierwszy, otwarcie rachunku indywidualnego czy wypłata gotówki nie przesądzają o tym, że klient może być ofiarą oszustwa.
To prawda. Każda z tych czynności osobno może być całkowicie legalna i normalna. Klient ma prawo wziąć pożyczkę. Ma prawo założyć konto. Ma prawo wypłacić gotówkę. Problem polega na tym, że w tej sprawie nie chodzi o pojedynczą czynność. Chodzi o ich sekwencję.
Wysoka pożyczka gotówkowa. Nowe konto, aby pieniądze nie trafiły na rachunek wspólny. Wypłata 80 tys. zł w gotówce. Potem kolejna wypłata 16 tys. zł. Wszystko jednego dnia. Wszystko u klientki, dla której — według relacji rodziny — takie operacje były całkowicie nietypowe.
Bank uznał, że nie wystąpiły okoliczności wskazujące na ryzyko oszustwa. Rodzina uważa, że właśnie ten wniosek jest najbardziej niepokojący.
Infolinia w sytuacji alarmowej
Jest jeszcze jedna rzecz, o której należy wspomnieć. PKO BP wskazuje, że zgłoszenie męża klientki zostało zarejestrowane na infolinii 10 kwietnia o godz. 18:28. Dla porównania, ostatnia wypłata środków w placówce miała zostać wykonana o godz. 17:58. Bank argumentuje więc, że informacja o możliwym oszustwie dotarła już po zrealizowaniu dyspozycji wypłaty.
Mąż klientki relacjonuje jednak, że próbę kontaktu z bankiem podjął niezwłocznie po otrzymaniu powiadomienia z aplikacji o wypłacie środków. Według jego relacji około 20 minut czekał na połączenie z konsultantem. Redakcja widziała zrzut historii połączeń, z którego wynika, że telefon na infolinię wykonano o godz. 18:05.
To nie zmienia podstawowego faktu: telefon wykonano już po wypłacie gotówki. Nie ma sensu udawać, że bank mógł po prostu nacisnąć przycisk i cofnąć pieniądze. Można jedynie gdybać, że w ciągu tych kilku minut klientka nie zdążyłaby oddalić się daleko od placówki. Być może któryś z pracowników mógłby jeszcze zdążyć ją ostrzec.
Sytuacja pokazuje natomiast inny problem. Gdy rodzina próbowała zgłosić podejrzenie oszustwa, trafiła na standardową ścieżkę infolinii. W sytuacji, w której liczą się minuty, około 20 minut oczekiwania na rozmowę z pracownikiem brzmi jak wieczność.
"Przykro nam, ale nie mamy sobie nic do zarzucenia"
PKO BP nie kwestionuje, że klientka padła ofiarą przestępstwa. W stanowisku przesłanym redakcji bank napisał: „Przykro nam, że klientka stała się ofiarą przestępstwa”.
Jednocześnie bank nie dopatrzył się nieprawidłowości po swojej stronie. Wskazuje, że miał obowiązek przyjąć i zrealizować dyspozycje klientki zgodnie z umową rachunku oraz ogólnymi warunkami prowadzenia rachunków. Wszystkie czynności — według banku — zostały wykonane zgodnie z obowiązującymi procedurami.
To jest właśnie najbardziej niewygodny fragment tej sprawy.
Bo jeśli wszystko odbyło się zgodnie z procedurami, a efektem była wypłata 96 tys. zł przez osobę działającą pod wpływem oszustów, to pytanie brzmi nie tylko, czy pracownik popełnił błąd. Pytanie brzmi, czy procedury są wystarczające wobec oszustw, w których klient nie klika w fałszywy link, nie podaje kodu BLIK i nie przelewa pieniędzy z aplikacji, tylko przychodzi do oddziału i własnoręcznie podpisuje dokumenty.
W takim scenariuszu klasyczne zabezpieczenia działają gorzej, bo formalnie wszystko wygląda poprawnie. Klient jest obecny. Dokument tożsamości się zgadza. Podpis jest własnoręczny. Dyspozycja jest jasna. Gotówka zostaje wydana.
A jednak cały proces może być finałem przestępstwa.
Co musi się stać, żeby bank zareagował?
PKO BP podkreśla, że bezpieczeństwo klientów jest jednym z jego priorytetów. Bank deklaruje, że jego systemy każdego dnia wykrywają ponad 98 proc. prób cyberataków i zatrzymują podejrzane transakcje o wartości kilku miliardów złotych rocznie. Wskazuje też na szkolenia pracowników, działania edukacyjne i współpracę z policją oraz Centralnym Biurem Zwalczania Cyberprzestępczości.
Tyle że ta historia pokazuje inny problem niż typowy cyberatak. Tu nie zawiódł login, hasło czy autoryzacja mobilna. Oszuści zaatakowali człowieka, a potem przeprowadzili go przez legalną, bankową ścieżkę.
Bank twierdzi, że klientka wyglądała naturalnie. Rodzina odpowiada, że cała sekwencja operacji była dla niej skrajnie nietypowa.
I to jest pytanie, które zostaje po tej sprawie: czy bankowe systemy bezpieczeństwa potrafią rozpoznać oszustwo wtedy, gdy klient robi dokładnie to, do czego został zmanipulowany — spokojnie, zgodnie z procedurą i własnym podpisem?
Jeśli taki ciąg zdarzeń nie zapala czerwonej lampki w największym banku w kraju, jednym z najbardziej scyfryzowanych i technologicznie rozwiniętych, to trzeba zapytać szerzej: jak podobne sytuacje mają wychwytywać mniejsze instytucje, w tym banki spółdzielcze, które nie dysponują porównywalnymi budżetami, systemami i zapleczem cyberbezpieczeństwa?
Bo problem nie kończy się na jednym oddziale i jednej rodzinie. To pytanie o całą bankową linię obrony przed oszustwami, w których przestępcy nie muszą pokonać systemu. Wystarczy, że przekonają klienta, by system wykonał za nich całą pracę.
