Bank, który „dzwoni” z aplikacji: kto zapłaci, gdy klient sam zainstaluje złośliwe oprogramowanie?
Wyobraźmy sobie przedsiębiorcę, który wyszukuje w sklepie internetowym aplikację swojego banku. Klika w pierwszy wynik, instaluje program, loguje się i autoryzuje kilka operacji, bo „tak każe system”. Po godzinie z rachunku firmy znika kilkadziesiąt tysięcy złotych. Bank odpowiada krótko: klient sam zainstalował aplikację i sam zatwierdził transakcje, więc rażące niedbalstwo po jego stronie. Czy to koniec sprawy? Wbrew pozorom nie. Nowa metoda oszustw, w której przestępcy podstawiają fałszywą aplikację podszywającą się pod bankową, to nie tylko problem technologiczny, ale przede wszystkim prawny spór o rozkład odpowiedzialności.
**Dlaczego ten temat jest ważny**
Schemat jest coraz częściej opisywany: ofiara trafia na spreparowaną stronę lub link, pobiera plik instalacyjny, który wygląda jak legalna aplikacja banku, a w tle zyskuje on uprawnienia do odczytu SMS-ów, wyświetlania nakładek na ekranie i zdalnego sterowania urządzeniem. Użytkownik jest przekonany, że korzysta z bankowości, podczas gdy przestępca wykonuje operacje jego rękami albo zupełnie bez jego udziału. Dla przedsiębiorców, którzy zarządzają rachunkiem firmowym z jednego telefonu, to ryzyko o skali egzystencjalnej. Kluczowe pytanie brzmi: czy bank może zasłonić się tym, że to klient zainstalował złośliwy program?
**Analiza: co mówi ustawa o usługach płatniczych**
Podstawą jest ustawa z 19 sierpnia 2011 r. o usługach płatniczych, wdrażająca dyrektywę PSD2. Art. 46 ust. 1 przewiduje, że dostawca usług płatniczych (bank) odpowiada za transakcję nieautoryzowaną. Co ważne, w razie zakwestionowania transakcji ciężar dowodu spoczywa na banku. Zgodnie z art. 46 ust. 3 samo zarejestrowanie użycia instrumentu płatniczego nie jest wystarczające, by wykazać, że płatnik autoryzował transakcję lub dopuścił się umyślnie albo wskutek rażącego niedbalstwa naruszenia obowiązków z art. 42. To przepis, o którym banki wolą nie przypominać w korespondencji reklamacyjnej.
Art. 46 ust. 1 nakłada na bank obowiązek niezwłocznego, nie później niż do końca następnego dnia roboczego, zwrotu kwoty nieautoryzowanej transakcji i przywrócenia rachunku do stanu sprzed jej wykonania. Wyjątek dotyczy sytuacji, gdy bank ma uzasadnione i należycie udokumentowane podstawy, by podejrzewać oszustwo po stronie klienta, i poinformuje o tym organy ścigania.
Z kolei art. 46 ust. 2 stanowi, że płatnik odpowiada za nieautoryzowane transakcje do kwoty stanowiącej równowartość 50 euro, jeżeli transakcja wynikła z posłużenia się utraconym lub skradzionym instrumentem albo jego przywłaszczenia. Pełna odpowiedzialność klienta, zgodnie z art. 46 ust. 3, pojawia się dopiero wtedy, gdy nieautoryzowana transakcja jest skutkiem umyślnego naruszenia obowiązków lub rażącego niedbalstwa.
I tu zaczyna się właściwy spór. Banki argumentują, że pobranie aplikacji spoza oficjalnego sklepu, ujawnienie kodów lub zatwierdzenie operacji w sytuacji ostrzeżeń stanowi rażące niedbalstwo. Sądy natomiast konsekwentnie podkreślają, że rażące niedbalstwo to rażące, a nie zwykłe zaniedbanie: zachowanie, które w oczywisty sposób odbiega od elementarnych reguł ostrożności i jest niezrozumiałe dla przeciętnego użytkownika. Kryterium oceny jest obiektywne, a jednocześnie uwzględnia kontekst: profesjonalizm podrobionej aplikacji, jej zgodność wizualna z oryginałem, wiarygodność kanału, którym dotarł link.
W orzecznictwie sądów powszechnych oraz w stanowiskach Rzecznika Finansowego powtarza się kilka tez. Po pierwsze, bank odpowiada za dobór i skuteczność mechanizmów silnego uwierzytelniania (art. 32a i nast. ustawy). Po drugie, jeżeli bank nie wykrył transakcji nietypowych, np. serii przelewów na nowe rachunki, wysokich kwot niezgodnych z historią rachunku czy zmiany urządzenia autoryzującego, może to świadczyć o wadliwości systemu monitorowania. Po trzecie, sam fakt, że klient dał się oszukać metodą socjotechniczną, nie przesądza jeszcze o rażącym niedbalstwie. Ocena należy do sądu i zależy od okoliczności konkretnej sprawy.
Warto zwrócić uwagę na różnicę między dwiema sytuacjami. Gdy przestępca bez wiedzy klienta wykonuje przelewy, korzystając z przejętej sesji, mamy typową transakcję nieautoryzowaną i pełną odpowiedzialność banku, z zastrzeżeniem rażącego niedbalstwa. Gdy natomiast klient sam, choć pod wpływem manipulacji, zatwierdza przelew na rachunek oszusta, bank będzie twierdził, że transakcja była autoryzowana. Sądy oceniają wtedy, czy zgoda była świadoma i dotyczyła konkretnej transakcji. Zgoda wymuszona fałszywym komunikatem o „zabezpieczeniu środków” bywa traktowana odmiennie niż świadome zlecenie przelewu.
Dodatkowo w grę wchodzi art. 415 Kodeksu cywilnego oraz odpowiedzialność kontraktowa z art. 471 k.c. Jeśli bank naruszył obowiązek należytej staranności, wynikający z art. 355 § 2 k.c. (podwyższony standard dla podmiotów zawodowych), klient może dochodzić odszkodowania także poza reżimem ustawy o usługach płatniczych.
**Aspekt praktyczny: co zrobić jako przedsiębiorca**
Przedsiębiorcy mają tu gorszą pozycję niż konsumenci. Art. 3 ustawy o usługach płatniczych w połączeniu z art. 144 pozwala w umowie z podmiotem niebędącym konsumentem wyłączyć lub zmodyfikować część przepisów o odpowiedzialności, w tym skrócić terminy zgłoszenia. Wiele umów rachunkowych dla firm to wykorzystuje, dlatego pierwszym krokiem jest dokładna lektura regulaminu, zwłaszcza zapisów o terminach reklamacji i zasadach rozkładu ciężaru dowodu.
Gdy dojdzie do incydentu, liczy się każda godzina:
1. Natychmiast zablokuj dostęp do bankowości i instrument płatniczy przez infolinię; odnotuj godzinę zgłoszenia.
2. Zgłoś nieautoryzowane transakcje pisemnie, najlepiej w formie pozwalającej udowodnić datę. Art. 51 ustawy wymaga zawiadomienia banku bez zbędnej zwłoki, a po 13 miesiącach roszczenie z tego tytułu wygasa.
3. Zabezpiecz dowody: zrzuty ekranu, wiadomości, link, z którego pobrano aplikację, nazwę pliku, dane urządzenia. Nie resetuj telefonu przed wykonaniem kopii.
4. Złóż zawiadomienie o przestępstwie, zwykle kwalifikowane z art. 278 § 1 lub art. 286 § 1 Kodeksu karnego, a w przypadku włamania do systemu także z art. 267 k.k.
5. Złóż reklamację, żądając zwrotu środków na podstawie art. 46 ust. 1, i wyraźnie wskaż, że to bank musi udowodnić autoryzację i rażące niedbalstwo.
6. W razie odmowy rozważ skargę do Rzecznika Finansowego, wniosek do sądu polubownego przy KNF (dla przedsiębiorców dostępność zależy od zapisów umowy) albo pozew.
Z perspektywy prewencji warto wdrożyć w firmie proste zasady: aplikacje bankowe wyłącznie z oficjalnych sklepów i ze strony banku, osobne urządzenie do bankowości, limity transakcji dostosowane do rzeczywistych potrzeb, dwuosobowa akceptacja przelewów powyżej określonej kwoty oraz szkolenie pracowników z podstaw socjotechniki. Nie jest to tylko higiena bezpieczeństwa; to także dowód należytej staranności, który może przesądzić o oddaleniu zarzutu rażącego niedbalstwa.
**Konkluzja**
Argument „sam sobie zainstalował” nie jest wytrychem, który zwalnia bank z odpowiedzialności. Ustawa o usługach płatniczych przerzuca ciężar dowodu na dostawcę usług, a standard rażącego niedbalstwa jest wysoki. Jednocześnie przedsiębiorcy nie powinni liczyć na automatyczny zwrot środków: umowy firmowe bywają mniej korzystne, a spory o autoryzację są długie i dowodowo wymagające. Rekomendacje są trzy. Po pierwsze, przed incydentem przeanalizuj umowę rachunkową i ustaw limity. Po drugie, w razie ataku reaguj w ciągu godzin, nie dni, i dokumentuj wszystko. Po trzecie, nie przyjmuj odmowy banku za ostateczną, bo wiele z nich nie wytrzymuje konfrontacji z art. 46 ustawy i z kontrolą sądu.
Powyższy artykuł ma charakter informacyjny i nie stanowi porady prawnej.
