Phishing i nieautoryzowany przelew – co zrobić i kiedy bank powinien zwrócić pieniądze?

Phishing to metoda, a nie jeden typ przestępstwa

Phishing polega najczęściej na podszyciu się pod bank, firmę kurierską, urząd, kontrahenta albo inną zaufaną osobę w celu uzyskania danych, dostępu albo skłonienia ofiary do wykonania określonej czynności. W zależności od przebiegu zdarzenia mogą wchodzić w grę m.in. oszustwo z art. 286 k.k., oszustwo komputerowe z art. 287 k.k., bezprawny dostęp do informacji lub systemu z art. 267 k.k. albo inne przestępstwa dotyczące danych i dostępu.

Dlatego zawiadomienie nie powinno być ograniczone do hasła „padłem ofiarą phishingu”. Trzeba opisać dokładny mechanizm: wiadomość, stronę, telefon, dane, które podano, sposób logowania, moment autoryzacji, historię transakcji i dalszy kontakt ze sprawcą.

Najważniejsze rozróżnienie: autoryzowana czy nieautoryzowana?

Art. 40 ustawy o usługach płatniczych uznaje transakcję za autoryzowaną, gdy płatnik wyraził zgodę na jej wykonanie w sposób przewidziany w umowie z dostawcą. W klasycznym przejęciu rachunku, gdy sprawca sam loguje się i zleca przelew bez zgody właściciela, punkt wyjścia do kwalifikacji jako transakcji nieautoryzowanej jest silniejszy.

Trudniejsze są sprawy, w których oszust telefonicznie lub przez fałszywą stronę przekonuje ofiarę, aby to ona sama zatwierdziła konkretny przelew lub dodała odbiorcę. Wówczas bank może twierdzić, że transakcja została formalnie autoryzowana. Ocena wymaga dokładnego odtworzenia tego, na co użytkownik faktycznie wyraził zgodę i jaki mechanizm uwierzytelnienia zastosowano.

Ciężar dowodu nie spoczywa wyłącznie na kliencie

Art. 45 ustawy stanowi, że to dostawca musi udowodnić, że transakcja została autoryzowana i prawidłowo zapisana w systemie oraz że nie wystąpiła usterka techniczna. Co szczególnie ważne, samo wykazanie zarejestrowanego użycia instrumentu płatniczego nie wystarcza jeszcze do udowodnienia autoryzacji albo rażącego niedbalstwa użytkownika.

To oznacza, że w sporze trzeba badać pełny materiał techniczny: sposób logowania, urządzenie, adresy IP, historię sesji, zastosowane uwierzytelnienie, komunikaty wyświetlane klientowi, moment zmiany danych, dodanie odbiorcy i inne elementy, które pozwalają odtworzyć rzeczywisty przebieg operacji.

Co zrobić natychmiast po wykryciu phishingu?

Należy jak najszybciej powiadomić bank, zablokować dostęp lub instrument płatniczy, zmienić dane uwierzytelniające i zabezpieczyć wiadomości, adresy stron, numery telefonów oraz historię operacji. Jeżeli na urządzeniu mogło dojść do infekcji, warto zachować materiał techniczny przed jego usunięciem. Szybka reakcja ma znaczenie zarówno dla ograniczenia strat, jak i późniejszego odtworzenia mechanizmu autoryzacji.

13 miesięcy nie oznacza, że można czekać

Art. 44 wymaga niezwłocznego powiadomienia dostawcy o nieautoryzowanej, niewykonanej albo nienależycie wykonanej transakcji. Przepis ustanawia również 13-miesięczny termin, po którym roszczenia z tych tytułów co do zasady wygasają. Nie jest to jednak „bezpieczny termin na zgłoszenie”. Im późniejsze zgłoszenie, tym większe ryzyko utraty możliwości zatrzymania pieniędzy i zabezpieczenia śladów.

Kiedy płatnik może odpowiadać?

Art. 46 przewiduje określone przypadki odpowiedzialności płatnika za nieautoryzowane transakcje, w tym pełną odpowiedzialność, gdy doprowadził do nich umyślnie albo w wyniku umyślnego lub rażąco niedbałego naruszenia obowiązków dotyczących korzystania z instrumentu. Ocena „rażącego niedbalstwa” nie może być automatyczna. Powinna odnosić się do konkretnych okoliczności, sposobu działania oszustów, komunikatów banku i zachowania klienta.

Po zgłoszeniu utraty, kradzieży, przywłaszczenia lub nieuprawnionego użycia instrumentu płatniczego płatnik co do zasady nie odpowiada za późniejsze nieautoryzowane transakcje, chyba że sam doprowadził do nich umyślnie.

Zwrot ustawowy i chargeback to różne mechanizmy

W praktyce klienci często używają pojęcia „chargeback” jako ogólnego określenia odzyskania pieniędzy. Tymczasem chargeback jest mechanizmem charakterystycznym dla transakcji kartowych i wynika z zasad organizacji płatniczych, podczas gdy obowiązek zwrotu nieautoryzowanej transakcji płatniczej wynika z ustawy o usługach płatniczych. W sprawie przelewu bankowego podstawą roszczenia nie jest więc sam mechanizm chargeback.

Rozróżnienie ma znaczenie przy formułowaniu reklamacji. Należy wskazać właściwy reżim prawny, opisać brak autoryzacji i zażądać dokumentów pozwalających zweryfikować sposób uwierzytelnienia oraz przebieg sesji. W przypadku płatności kartowej można równolegle ocenić, czy istnieją podstawy do procedury chargeback.

Silne uwierzytelnianie nie przesądza automatycznie o zgodzie klienta

Fakt użycia kodu SMS, aplikacji mobilnej, biometrii albo innego elementu silnego uwierzytelniania jest ważnym dowodem technicznym, ale sam w sobie nie zamyka sporu. Ustawa rozdziela prawidłowe uwierzytelnienie od kwestii, czy klient rzeczywiście autoryzował konkretną operację. Dlatego trzeba analizować treść komunikatu autoryzacyjnego, wskazanie kwoty i odbiorcy oraz to, czy mechanizm użyty przez sprawców mógł zniekształcić informację przedstawioną użytkownikowi.

W zaawansowanych sprawach istotne mogą być również dane o zmianie urządzenia zaufanego, rejestracji aplikacji, dodaniu odbiorcy, zmianie limitów lub aktywacji nowych kanałów dostępu. Pojedynczy log nie powinien zastępować pełnej rekonstrukcji sekwencji zdarzeń.

Reklamacja powinna zawierać konkretne żądania dowodowe

Oprócz żądania zwrotu środków warto wskazać, jakie informacje są potrzebne do oceny autoryzacji: dokładny czas logowania i zlecenia transakcji, identyfikatory urządzeń, adresy IP, sposób zastosowania silnego uwierzytelnienia, historię zmian bezpieczeństwa rachunku oraz treść komunikatów autoryzacyjnych. Jeżeli bank odmawia, uzasadnienie powinno zostać skonfrontowane z tym materiałem, a nie tylko z ogólnym stwierdzeniem o użyciu poprawnych danych.

W sporze sądowym jakość tej dokumentacji może decydować o wyniku. Dlatego działania po incydencie powinny równolegle służyć ograniczeniu szkody i zabezpieczeniu przyszłego materiału dowodowego.

Przeczytaj również

• Deepfake, zmanipulowane nagranie i dowód cyfrowy – jak badać autentyczność materiału?
• Cyberincydent a odpowiedzialność zarządu: czego w 2026 r. nie można delegować do IT

Warto przeczytać także

• Atak ransomware w firmie: obowiązki prawne i pierwsze 72 godziny
• Naruszenie danych osobowych – kiedy biegnie 72 godziny na zgłoszenie do organu?