Polska: Bank odda 107 tys. zł klientowi okradzionemu przez cyberatak

Polska

Fot. Shutterstock, Inc.

Ostatnio obserwujemy wzrost aktywności cyberprzestępców, chcących za wszelką cenę dostać się do kont bankowych nieświadomych klientów. Z drugiej strony sądy coraz częściej stają po stronie okradzionych ofiar. Ostatnio mogliśmy zobaczyć wyrok, nakazujący bankowi zwrócenie 107 tys. złotych klientowi okradzionemu w wyniku ataku.

Powód został zaatakowany według schematu man-in-the-browser. Gdy logował się do banku, jego komputer był zainfekowany złośliwym oprogramowaniem (mimo obecności programu antywirusowego), które podmieniło część strony bankowej. Malware został uruchomiony z załącznika e-maila z kampanii, podszywającej się pod firmę kurierską. Sąd jednak uznał, że skoro ofiara ataku logowała się na właściwą stronę, nie doszło tu do żadnego wyraźnego zaniedbania ze strony klienta. Podobnego zdania sąd był w sprawie potwierdzeń, które zostały przysłane SMS-em. Nożna uznać, że okradziony nie przeczytał ich z należytą uwagą, ale sąd nie uznał tego za rażące niedbalstwo.

Atak miał miejsce 3 lata temu. Po zalogowaniu się na stronę bankowości internetowej, by zlecić przelew, powód zobaczył (fałszywy) komunikat przypominający te wysyłane przez bank. Komunikat informował o potrzebie dodatkowego zabezpieczenia transakcji zlecanych za pośrednictwem strony. Komunikatu nie udało się ominąć, a w tle szkodliwy komponent podjął próbę utworzenia zaufanego odbiorcy w ustawieniach konta. Na telefon pechowego klienta wysłane zostało potwierdzenie SMS z kodem.

Przy trzecim logowaniu powód się poddał. By w końcu pominąć komunikat, zdecydował się wpisać kod z trzeciej wiadomości SMS, łudząco przypominającej potwierdzenie przelewu, a następnie zlecił planowany przelew. W ten sposób na jego liście pojawił się nowy zaufany odbiorca, do którego można było wysyłać pieniądze bez potwierdzania tego kolejnym SMS-em. Atakujący mieli już wszystko, czego potrzebowali, by wyprowadzić pieniądze z jego konta. Następnego dnia wykonali 4 przelewy na kwoty 24 950 zł, 27 340 zł, 27 440 zł i 28,10 zł dla równego rachunku. Klient nie otrzymał żadnego powiadomienia o nich, gdyż wędrowały do zaufanego odbiorcy, dodanego dzień wcześniej.

Atak miał miejsce 6 czerwca 2015, przelewy wyszły 7 czerwca. 9 czerwca do banku wpłynęła reklamacja, a na policję informacja o podejrzeniu kradzieży. Sprawa trafiła do Prokuratury Rejonowej, a od połowy 2016 roku w ręce Prokuratury Krajowej, Wydziału Zamiejscowego Departamentu ds. Przestępczości Zorganizowanej i Korupcji w L., razem ze sprawami innych ofiar ataków tego typu.

Pozwany bank oczywiście informował na stronach internetowych o zasadach bezpiecznego korzystania z bankowości internetowej, a przy logowaniu powiadamiał klientów o istniejącym zagrożeniu i tym konkretnie ataku. Przed sądem żona poszkodowanego potwierdziła, że po kradzieży szukali danych na ten temat na stronie banku i nie udało im się do nich dotrzeć. Ponieważ nie był to odosobniony przypadek kradzieży w ramach tej kampanii, sąd uznał, że… bank nie informował o ataku dostatecznie dobrze.

Według wyroku Sądu Okręgowego z 12 maja 2018 roku (Sygn. akt I C 566/17) klient oskarżonego banku miał prawo być przekonany, iż komunikat pochodzi od banku. Jego próby obejścia komunikatu świadczą rzekomo, że nie podszedł do niego bezrefleksyjnie. Bankowi nie udało się wykazać, że klient dopuścił się rażącego niedbalstwa, choć trudno się z tym zgodzić, skoro wcześniej otworzył podejrzany załącznik na swoim komputerze. Niedbalstwem zdaniem sądu byłoby na przykład dobrowolne podanie danych logowania osobie trzeciej. Dlatego bank musi oddać prawie całą kwotę klientowi. Trzeba bowiem wiedzieć, że według ustawy o usługach płatniczych klient odpowiada za nieautoryzowane transakcje do pewnej kwoty – obecnie jest to 50 euro, które przepadną niezależnie od decyzji sądu. Ofiara odzyska więc 106 929,77 zł.

W tym roku został wydany jeszcze jeden podobny wyrok. Na barkach banków spoczywa udowodnienie, że klient zachował się niedbale. Orzecznictwo staje po stronie ofiar ataków, prawdopodobnie słusznie – oraz trudniej bronić się przed finezyjnie ukrytymi oszustwami.



11.08.2018 Anna Rymsza, Dobreprogramy.pl


Dodaj komentarz

Kod antysapmowy
Odśwież

Najnowsze komentarze

Wiadomości

Sauna Club, w którym zginał Holender, prawdopodobn

News image

Możliwe, że w niemieckim sauna clubie, w którym w minioną niedzielę zginął 64-letni Holender, doszło...

Holandia | Środa, 17 Lipiec 2019

Read more

Życie w Holandii

News image

ŻYCIE W HOLANDII: Od 1 lipca 2019 r. wyższa płaca minimalna! Najwięcej zyskają młodsi pracownicy

Na początku lipca 2019 roku miesięczna płaca minimalna osób w wieku 21 lat wzrosła aż o 262,15 euro ...

News image

Życie w Holandii: Chorobowe (Ziektewet)

Kiedy należy się zasiłek chorobowy z UVW (Urzędu Pracy)?Czy jesteś chory i nie masz stałej pracy? Na...

Więcej w: Życie w Holandii

Atrakcje turystyczne

News image

Białe miasteczko Thorn

Thorn było dawniej niewielką osadą prowadzoną przez opactwo i klasztor oraz 20 szlachetnie urodzonyc...

News image

Zuid-Holland, Lisse - Keukenhof

Keukenhof jest największym na świecie kwiatowym ogrodem. Co roku na wiosnę na 32 hektarach wystawion...

Więcej w: Atrakcje turystyczne

Muzea

News image

Niderlandzki Instytut Obrazu i Dźwięku w Hilversum

Muzeum Niderlandzki Instytut Obrazu i Dźwięku (Nederlands Instituut voor Beeld en Geluid) znajduje s...

News image

Amsterdam, Dom Rembrandta (Rembrandthuis)

Aby zwiedzić Amsterdam potrzeba wielu, wielu dni. W stolicy znajduje się około stu muzeów a to przec...

Więcej w: Muzea