Klientka BNP Paribas nie zaprzecza, że podczas rozmowy z prawdziwą pracownicą banku potwierdziła transakcję. Bank najpierw zatrzymał przelew na 40 tys. zł, ale po telefonicznej weryfikacji zwolnił go do realizacji. Kobieta twierdzi, że była przekonana, iż uczestniczy w procedurze zabezpieczania własnych oszczędności. BNP Paribas nie kwestionuje, że mogło dojść do oszustwa, ale uznaje operację za prawidłowo autoryzowaną i odmawia zwrotu pieniędzy.
W sprawie nie chodzi o fakt, czy klientka potwierdziła przelew. Zrobiła to. Przyznaje, że podczas rozmowy z pracownicą banku odpowiedziała twierdząco. Różnica stanowisk dotyczy tego, co wówczas potwierdzała. Bank uważa, że świadomie zgodziła się na konkretną transakcję. Kobieta przekonuje, że nie wiedziała, iż pieniądze trafią na rachunek obcej osoby.
SMS miał potwierdzać tożsamość „pracownika”
Oszustwo rozpoczęło się od telefonu w sprawie rzekomej próby zaciągnięcia pożyczki na dane klientki. Później skontaktował się z nią mężczyzna podający się za pracownika BNP Paribas. W procederze uczestniczyła także osoba przedstawiająca się jako policjant. Rozmówcy mieli znać dane kobiety i przekonywali ją, że jej oszczędności są zagrożone.
Zobacz także
Klientka początkowo nie chciała przekazać danych umożliwiających dostęp do bankowości.
„Gdy stawiałam opór i nie chciałam podać danych logowania, oszust oświadczył, że na mój telefon przyszedł SMS potwierdzający, że rozmawiam z prawdziwym pracownikiem. Taki SMS rzeczywiście przyszedł i wyświetlił się w telefonie jako oficjalny komunikat banku” - relacjonuje.
Jak dodaje, nie korzystała z aplikacji GOmobile, za pomocą której klient BNP Paribas może zweryfikować tożsamość dzwoniącego pracownika.
„Otrzymany SMS z nazwą banku był dla mnie w pełni wiarygodnym i jedynym dostępnym dowodem tożsamości konsultanta” - tłumaczy.
Według jej relacji oszuści uzyskali dostęp do rachunku, zrywali lokaty i przygotowali przelew. Kobiecie powiedzieli, że otrzyma specjalne hasło bezpieczeństwa. Zapowiedzieli również telefon z banku i kilkakrotnie powtarzali, że jej zadaniem będzie potwierdzenie operacji.
BNP Paribas przedstawił Rzecznikowi Finansowemu techniczną stronę zdarzenia. Z odpowiedzi banku wynika, że 16 kwietnia 2026 r., po zalogowaniu do GOonline przy użyciu prawidłowego loginu i hasła, zlecono przelew SORBNET na 39 891 zł. Nastąpiło to o godz. 14:47:09. Cztery sekundy później bank wysłał wiadomość zawierającą kwotę, dane odbiorcy, fragment numeru jego rachunku oraz kod.
„Powyższy przelew został zautoryzowany kodem, przesłanym w formie wiadomości SMS na numer telefonu wskazany przez Klientkę do autoryzacji” - poinformował bank.
BNP Paribas podkreślił również, że „na wykonanie ww. przelewu nie miała miejsca żadna awaria po stronie banku”.
Klientka nie zaprzecza, że otrzymała wiadomość. Twierdzi jednak, że oszuści przedstawili zawarty w niej kod jako element procedury bezpieczeństwa.
„Oszuści zlecili z mojego konta niestandardowy dla mojego profilu klienta, błyskawiczny przelew SORBNET na kwotę 39 891 zł. Przestępcy zapowiedzieli, że zaraz zadzwoni pracownik banku, a moim jedynym zadaniem jest potwierdzenie tego hasła, co powtarzali manipulacyjnie kilka razy” - opisuje kobieta.
Bank zatrzymał przelew i zadzwonił
Operację wychwycił system monitorujący banku. Przelew został wstrzymany, a z klientką skontaktowała się prawdziwa pracownica BNP Paribas. „Po poprawnej weryfikacji, pracownik poinformował Klientkę, że dzwoni w celu potwierdzenia przelewu, podając wszystkie dane tego przelewu oraz dopytując, czy Klientka realizowała ten przelew oraz czy zna jego odbiorcę. Klientka odpowiedziała twierdząco, przelew został zrealizowany” - czytamy w piśmie banku do Rzecznika Finansowego.
Klientka przyznaje, że potwierdziła operację. Inaczej tłumaczy jednak znaczenie swojej odpowiedzi.
„Gdy zadzwoniła pierwsza, prawdziwa pracownica banku i zapytała, czy potwierdzam transakcję, odpowiedziałam twierdząco. Działałam pod wpływem podstępu, będąc w pełni przekonana, że potwierdzając hasło, potwierdzam wewnętrzną procedurę przeniesienia środków na moje nowe konto techniczne” - mówi.
„Nie miałam pojęcia, że środki są w rzeczywistości przelewane na konto obcej osoby fizycznej i że jest to wysokokwotowy przelew SORBNET, o czym dowiedziałam się dopiero z pisma banku do Rzecznika Finansowego. Nigdy wcześniej nie wykonywałam na swoim koncie nawet zwykłych przelewów Elixir, a tym bardziej transakcji SORBNET. Nie dokonałam zerwania lokat ani tego przelewu fizycznie na komputerze” - dodaje.
Zapytaliśmy BNP Paribas, czy pracownica zadała dwa osobne pytania: o wykonanie przelewu oraz o znajomość odbiorcy. Poprosiliśmy też o dokładne brzmienie pytań i odpowiedzi. Bank nie przytoczył rozmowy.
„W pierwszej rozmowie Klientka potwierdziła realizację przelewu, została poprawnie zweryfikowana oraz potwierdziła, że zna odbiorcę” - odpowiedział BNP Paribas.
Nie wiadomo zatem, czy rozmowa ograniczyła się do pytań zamkniętych, czy pracownica próbowała ustalić, skąd klientka zna odbiorcę, jaki jest cel przelewu i dlaczego wykonuje taką operację.
Drugi przelew wzbudził podejrzenia
Z pisma banku do Rzecznika Finansowego wynika, że kilkanaście minut później zlecono kolejny przelew do tego samego odbiorcy. Tym razem chodziło o 19 897,80 zł wysyłane w systemie Express Elixir. Ta operacja również została zatrzymana.
Podczas następnej rozmowy pracownik pytał nie tylko o przelew, ale także o zerwane lokaty. Według banku klientka potwierdziła wykonane operacje. „W dalszej części rozmowy pracownik wskazał na możliwość oszustwa i dopytał, czy Klientka była przez kogoś namawiana na realizację przelewu. Dopiero wówczas zostało potwierdzone z Klientką, że została oszukana” - napisał bank.
Dostęp do bankowości elektronicznej został zablokowany. Bank nie zrealizował drugiego przelewu.
Klientka uważa, że podczas drugiej rozmowy wykazano się większą dociekliwością. Jej zdaniem pytanie o to, czy ktoś nakłania ją do wykonania operacji, powinno paść już podczas pierwszego telefonu.
„Gdyby pierwsza pracownica banku wykazała się taką samą starannością, czujnością i empatią jak druga pani, do kradzieży kwoty 39 891 zł w ogóle by nie doszło” - ocenia.
Zapytaliśmy BNP Paribas, dlaczego podejrzenie manipulacji pojawiło się dopiero podczas drugiego kontaktu i czy pytanie o namawianie do przelewu jest stałym elementem weryfikacji transakcji zatrzymanej przez system antyfraudowy.
Bank nie przedstawił szczegółów procedury. Zwrócił też uwagę, że udzielone przez klientkę zwolnienie z tajemnicy bankowej obejmowało wyłącznie pierwszy przelew.
„Z uwagi na kwestie bezpieczeństwa bank nie ujawnia szczegółów dotyczących procedury weryfikacji. Możemy jedynie dodać, że ciąg zaistniałych zdarzeń zasugerował, że Klientka mogła zostać zmanipulowana przez oszusta” - odpowiedział.
Bank uznał transakcję za autoryzowaną
BNP Paribas stoi na stanowisku, że zastosował silne uwierzytelnienie. Dostęp do bankowości był zabezpieczony loginem i hasłem, a zlecenie potwierdzono kodem przesłanym na numer telefonu klientki. Bank dodatkowo zweryfikował przelew podczas rozmowy telefonicznej.
„W toku analizy potwierdziliśmy, że reklamowana transakcja była poprawnie uwierzytelniona i zautoryzowana. Klientka potwierdziła samodzielną autoryzację kwestionowanych transakcji, jak również otrzymane połączenie z banku w sprawie dodatkowej weryfikacji i autoryzacji” - stwierdził BNP Paribas.
Bank nie wyklucza, że kobieta padła ofiarą przestępców. Nie uznaje jednak przelewu za nieautoryzowany.
„Bank nie kwestionuje, że w sprawie mogło dojść do oszustwa i deklaruje pełną współpracę z organami powołanymi do ścigania przestępstw, jednak w niniejszej sprawie bank nie znajduje podstaw do uznania, że doszło do transakcji nieautoryzowanej w rozumieniu art. 46 ust. 1 u.u.p., a w konsekwencji, aby powstał obowiązek banku do zwrotu środków z tytułu przedmiotowej transakcji na podstawie tego przepisu” - czytamy w odpowiedzi.
BNP Paribas zaznaczył również, że nie podejrzewa klientki o próbę oszustwa.
„Klientka przyznała fakt samodzielnego zautoryzowania transakcji, jednak stwierdziła, że działała pod wpływem błędu. Bank w tej sytuacji nie dokonał zawiadomienia organów ścigania” - wyjaśnił.
Po przyjęciu zgłoszenia bank zwrócił się do banku odbiorcy za pośrednictwem systemu OGNIVO z prośbą o blokadę lub zwrot środków. W odpowiedzi otrzymał informację, że prośba została przekazana odbiorcy, który może dobrowolnie oddać pieniądze. Środków nie udało się w ten sposób odzyskać.
Klientka sama zawiadomiła policję. Sprawą zajmuje się prokuratura.
Rzecznik Finansowy o świadomej zgodzie
Klientka zwróciła się również do Rzecznika Finansowego. Rzecznik podjął interwencję i wystąpił do BNP Paribas o dokumenty oraz wyjaśnienia. Nie oznacza to rozstrzygnięcia sporu na korzyść klientki. W piśmie do banku przedstawiono jednak zasady, według których należy oceniać autoryzację transakcji.
„Transakcja jest autoryzowana, gdy wyrażono na nią zgodę w sposób przewidziany w umowie. Tylko wtedy bank ma prawo ją wykonać. Bank nie może natomiast obciążyć rachunku, jeżeli zgoda na dokonanie transakcji nie została wyrażona świadomie” - napisał Rzecznik Finansowy.
W dalszej części pisma czytamy:
„Jeśli bank jedynie wykaże, że użyto karty lub innego narzędzia płatniczego, to wciąż nie wystarcza to, aby uznać, że transakcja była autoryzowana. Bank musi udowodnić, że to płatnik wyraził zgodę na transakcję”.
Rzecznik odniósł się też do oszustw, w których przestępcy podszywają się pod pracowników instytucji finansowych.
„Model oszustwa »na pracownika banku« jest od lat znany na rynku finansowym. Osoby nieuprawnione działają według powtarzalnego schematu. Oszuści często utrzymują też połączenie telefoniczne z płatnikiem, co utrudnia kontakt banku z klientem. W takiej sytuacji bank powinien uznać transakcje za podejrzane i dodatkowo je zweryfikować” - wskazał Rzecznik.
W piśmie zwrócono uwagę, że osoba poddana socjotechnice może być przekonana, iż chroni własne oszczędności, a nie przekazuje je przestępcom.
„Płatnik działał pod wpływem manipulacji (socjotechniki), która mogła wpływać na jego decyzje i ocenę sytuacji. Przekazywane informacje mogły wydawać się wiarygodne także z uwagi na wykorzystanie narzędzi teleinformatycznych, takich jak spoofing. Płatnik działał w przekonaniu, że chroni swoje środki, a nie że przekazuje je osobom nieuprawnionym” - czytamy w dokumencie.
Rzecznik zaznaczył ponadto, że nie można automatycznie przypisywać klientowi rażącego niedbalstwa tylko dlatego, że padł ofiarą profesjonalnie przygotowanego phishingu, vishingu lub smishingu. Ostateczna ocena należy do sądu.
Bank po interwencji podtrzymał swoją decyzję.
„Po przeprowadzonej analizie nie odnajdujemy podstaw do uznania roszczenia o zwrot środków z tytułu prawidłowo zrealizowanej transakcji oraz do przedstawienia propozycji polubownego rozwiązania sporu” - odpowiedział BNP Paribas.
Co wynika z formularza reklamacyjnego?
Klientka zwraca również uwagę na bankowy dokument, w którym sporna operacja została umieszczona pod nagłówkiem „Wykaz nieautoryzowanych transakcji”. Jej zdaniem może to świadczyć o tym, że bank początkowo sam zakwalifikował przelew jako nieautoryzowany.
BNP Paribas odrzuca taką interpretację.
„Jest to konstrukcja standardowego formularza reklamacyjnego. Wykaz transakcji, które Klient oświadcza jako nieautoryzowane w momencie przyjęcia sprawy przez bank” - wyjaśnił.
Kobieta twierdzi też, że logowanie, zerwanie lokat i zlecenie przelewu nastąpiły z obcego urządzenia oraz adresu IP, które nie odpowiadały jej wcześniejszej aktywności. Bank nie potwierdził tego w odpowiedziach udostępnionych redakcji.
BNP Paribas zapewnia natomiast, że posiada system identyfikujący podejrzane operacje. Według banku korzysta on między innymi z ochrony behawioralnej oraz narzędzi wykrywających połączenia podszywające się pod bank. Szczegółowych ustawień systemu instytucja nie ujawnia.
Obie strony zgadzają się zatem co do podstawowych faktów: kod SMS został użyty, bank zatrzymał przelew, pracownica zadzwoniła do klientki, a ta potwierdziła transakcję. Różnią się w ocenie tego, czy kobieta rozumiała, że zgadza się na przekazanie 39 891 zł konkretnej osobie.
Najwięcej mogłoby wyjaśnić pełne nagranie pierwszej rozmowy. Pozwoliłoby ustalić, jakie informacje przekazała pracownica, jak dokładnie sformułowała pytania i co odpowiedziała klientka. Znaczenie mogą mieć również logi bankowości oraz wcześniejszy sposób korzystania z rachunku. Jeżeli strony nie dojdą do porozumienia, ocena tych dowodów i rozstrzygnięcie, kto poniesie stratę, będą należały do sądu.
