Phishing a odpowiedzialność instytucji finansowej. Gdzie kończy się błąd klienta, a zaczyna ryzyko banku?

• Nie każda poprawnie wykonana transakcja jest transakcją autoryzowaną
• Rażące niedbalstwo klienta wymaga czegoś więcej niż samej nieostrożności
• Największe ryzyko zaczyna się jeszcze przed reklamacją
• Podsumowanie

Problem zaczyna się wtedy, gdy transakcja z technicznego punktu widzenia została przeprowadzona prawidłowo, ale klient twierdzi, że nigdy nie chciał jej wykonać. Wówczas spór dotyczy nie tylko bezpieczeństwa systemu, lecz także samej autoryzacji transakcji.

Nie każda poprawnie wykonana transakcja jest transakcją autoryzowaną

W praktyce łatwo przyjąć, że skoro do bankowości zalogowano się prawidłowymi danymi, a operację potwierdzono kodem SMS albo w aplikacji mobilnej, klient musiał ją zaakceptować. Ustawa o usługach płatniczych każe jednak oddzielić techniczne uwierzytelnienie (art. 32i u.u.p) od rzeczywistej zgody na konkretną transakcję (art. 40 ust. 1-2 u.u.p.) Zapis systemowy potwierdza użycie instrumentu i danych uwierzytelniających, ale nie rozstrzyga, czy klient działał świadomie i chciał doprowadzić do przelewu na dany rachunek.

Ten aspekt ma kluczowe znaczenie dla rozkładu ciężaru dowodu. W sporze dotyczącym nieautoryzowanej transakcji instytucja finansowa nie może poprzestać na przedstawieniu historii logowania, użycia tokena czy wysłania kodu. Konieczne może być wykazanie szerszego kontekstu, w tym sposobu zatwierdzenia operacji, treści komunikatów, danych urządzenia, adresu IP oraz tego, czy transakcje odbiegały od dotychczasowego zachowania klienta. Im bardziej nietypowa jest sekwencja zdarzeń, tym mniej przekonujące może okazać się stanowisko, że wszystko odbyło się zgodnie z procedurą.

Problem jest szczególnie widoczny przy oszustwach, w których przestępca nie przełamuje zabezpieczeń systemu, lecz nakłania klienta do wykonania potrzebnych czynności. Klient wpisuje kod, instaluje aplikację albo podaje dane, ale robi to w przekonaniu, że blokuje podejrzane przelewy lub zabezpiecza rachunek we współpracy z pracownikiem banku. Z punktu widzenia systemu kolejne etapy mogą wyglądać prawidłowo. Z prawnego punktu widzenia pojawia się jednak pytanie, czy klient rzeczywiście zgodził się na transakcję, której skutkiem było wyprowadzenie środków.

Rażące niedbalstwo klienta wymaga czegoś więcej niż samej nieostrożności

Nie każde nierozsądne zachowanie klienta oznacza rażące niedbalstwo. Pojęcie to ma charakter kwalifikowany i powinno być odnoszone do okoliczności konkretnego przypadku, a nie wyłącznie do końcowego skutku zdarzenia. Znaczenie ma wiek klienta, jego doświadczenie, znajomość bankowości elektronicznej, wcześniejsze ostrzeżenia, sposób działania sprawcy oraz presja, pod którą podejmowane były decyzje. To, co po fakcie wydaje się oczywistym błędem, w chwili ataku może być elementem zaplanowanego scenariusza socjotechnicznego.

Z perspektywy instytucji finansowej ryzykowne jest założenie z góry, że podanie kodu, danych karty albo zainstalowanie aplikacji do zdalnego dostępu przesądza o odpowiedzialności klienta. Takie okoliczności mogą świadczyć o braku ostrożności, lecz nie zawsze wystarczą do wykazania jej rażącego charakteru. Sąd może uwzględnić, że oszust posługiwał się numerem telefonu kojarzonym z bankiem lub organem publicznym, znał część danych klienta i konsekwentnie wzmacniał poczucie zagrożenia. Znaczenie może mieć również to, czy klient był wcześniej informowany o konkretnym sposobie działania przestępców.

Z tego powodu edukacja klientów nie powinna sprowadzać się do zakładki na stronie internetowej i standardowego komunikatu w regulaminie. Ostrzeżenia muszą odpowiadać aktualnym metodom oszustów, trafiać do klientów kanałami, z których rzeczywiście korzystają, i wprost opisywać sytuacje, w których bank nigdy nie poprosi o określone działanie. Z punktu widzenia późniejszego sporu istotne jest także, aby instytucja potrafiła wykazać, kiedy i w jaki sposób taki komunikat został przekazany. Ogólna informacja o zachowaniu ostrożności może nie wystarczyć przy wyspecjalizowanym i wcześniej mało znanym modelu oszustwa.

Największe ryzyko zaczyna się jeszcze przed reklamacją

Sprawy phishingowe pokazują, że bezpieczeństwo nie może być oceniane wyłącznie przez pryzmat tego, czy system dopuścił logowanie i przyjął prawidłowy kod. Znaczenie ma również to, czy potrafił rozpoznać nietypowe zachowanie użytkownika. Seria przelewów wykonywanych w krótkim czasie, nowi odbiorcy, operacje o wysokiej wartości, zmiana urządzenia albo nagłe wykorzystanie produktów kredytowych mogą tworzyć obraz, który powinien uruchomić dodatkową weryfikację. Dopiero ich zestawienie może wskazywać na realne ryzyko oszustwa.

Dodatkowa weryfikacja nie musi oznaczać całkowitego zablokowania bankowości elektronicznej. Może polegać na krótkim wstrzymaniu operacji, kontakcie zwrotnym z klientem albo wyświetleniu komunikatu, który wprost wskazuje odbiorcę i skutek zatwierdzenia. Istotne jest, aby mechanizm nie pytał jedynie, czy klient potwierdza operację, lecz pomagał mu zorientować się, że wykonuje dokładnie tę czynność, przed którą rzekomy pracownik banku miał go chronić. W atakach socjotechnicznych liczy się bowiem nie tylko siła uwierzytelnienia, lecz także odporność całego procesu na manipulację.

Równie ważny jest sposób rozpatrywania reklamacji. Odpowiedź oparta wyłącznie na stwierdzeniu, że system działał prawidłowo, transakcję zatwierdzono właściwym kodem, a bank nie odnotował awarii, może nie odpowiadać na zasadnicze pytania wynikające z ustawy o usługach płatniczych. Osobno należy ocenić, czy transakcja była autoryzowana, czy klient naruszył swoje obowiązki, czy naruszenie miało charakter umyślny lub rażący oraz czy istnieją podstawy do odstąpienia od niezwłocznego zwrotu środków. Każda z tych kwestii wymaga odrębnych ustaleń i osobnego materiału dowodowego.

Podsumowanie

Nie istnieje jeden schemat rozstrzygania wszystkich przypadków phishingu. Są sytuacje, w których zachowanie klienta może uzasadniać przypisanie mu odpowiedzialności, ale wymaga to wykazania konkretnych faktów, a nie tylko wskazania, że użyto prawidłowych danych. Dla banków i innych dostawców usług płatniczych kluczowe staje się więc zachowanie pełnego materiału dotyczącego przebiegu operacji, działania systemów antyfraudowych, komunikacji z klientem i wcześniejszych ostrzeżeń. Taki materiał pozwala odtworzyć rzeczywisty przebieg zdarzenia i zdecydować o granicach odpowiedzialności.

Największym zagrożeniem pozostaje automatyzacja procesu. Poprawność techniczna nie zawsze oznacza świadomą zgodę, a nieostrożność nie zawsze osiąga poziom rażącego niedbalstwa. Instytucje finansowe powinny rozwijać nie tylko zabezpieczenia techniczne, lecz również procedury reagowania, komunikaty autoryzacyjne, mechanizmy wykrywania nagłych, budzących wątpliwość czynności i sposób prowadzenia postępowania reklamacyjnego. W sporach o nieautoryzowane transakcje coraz częściej liczy się nie to, ile zabezpieczeń formalnie funkcjonowało, ale czy były one zdolne zadziałać wobec konkretnego, przewidywalnego sposobu oszustwa.