Source: https://czasopismo.legeartis.org/2019/03/zignorowanie-ostrzezen-klienta-banku.html
Timestamp: 2019-04-20 16:14:52
Legal References Found: art. 278

art. 42
 art. 50

art. 45
 art. 42
 art. 355
 art. 45
 art. 40
 art. 417
 art. 42
 art. 43
 art. 45
 art. 46
 art. 50

Document Content:
Zignorowanie ostrzeżeń przez klienta banku a nieautoryzowana transakcja
Tutejsze łamy pełne są opisów orzeczeń przesądzających o odpowiedzialności banku za włamanie na konto klienta będące efektem phishingu, socjotechniki lub innych sprytnych zabiegów. Dziś zatem kolejny ciekawy przypadek: czy zignorowanie ostrzeżeń przez klienta banku, który dostaje esemesy informujące go o nieznanych operacjach, może być potraktowane jako naruszenie ustawowych obowiązków? Czy bank będzie odpowiadał za utratę pieniędzy klienta, jeśli nie doszło do włamania do systemu? Czy bank ma obowiązek profilowania użytkowników i reagowania w przypadku niestandardowej operacji? Czy ewentualne uchylenie się od odpowiedzialności przez bank może wynikać z faktu, że użytkownik bankowości elektronicznej korzysta z darmowego programu antywirusowego, który być może nie jest tak dobry jak płatny? (wyrok Sądu Apelacyjnego w Warszawie z 30 sierpnia 2018 r., sygn. akt VI ACa 509/17).
Zignorowanie ostrzeżeń przez klienta banku może skutkować jego odpowiedzialnością za wyczyszczenie jego konta z pieniędzy — bank nie może ponosić konsekwencji za niefrasobliwość swoich klientów
Spór dotyczył odpowiedzialności banku za wyprowadzenie pieniędzy z rachunku firmowego klienta (łącznie 7 przelewów na kwotę 137 tys. złotych).
Feralnego dnia nieznany sprawca zalogował się na konto klienta i złożył dyspozycję utworzenia nowego szablonu odbiorcy; klient otrzymał esemesa autoryzacyjnego, ale zignorował go, bo uznał, iż jest to codzienna informacja o saldzie konta; kodu nie użył i nikomu nie przekazał — a jednak hasło zostało wykorzystane do wykonania operacji. Po kilkunastu minutach klient sam zalogował się do banku i wykonał zaplanowane przez siebie operacje (co ciekawe korzystał z tego samego adresu IP co oszust). Kilka godzin później zaczęła się operacja wyprowadzania środków do zdefiniowanego odbiorcy (oszust najprawdopodobniej raz się pomylił, bo klient dostał esemesa z kodem do autoryzacji przelewu, ale znów go zignorował).
Klient zauważył, że z jego rachunku zginęły pieniądze dopiero wieczorem, zatem złożył reklamację w banku i zawiadomienie o popełnieniu przestępstwa — bank reklamację odrzucił wskazując, że nie ponosi odpowiedzialności za skutki korzystania z zainfekowanego komputera, zaś przeciwko beneficjentowi przelewów (najprawdopodobniej był to słup) wniesiono akt oskarżenia z art. 278 par. 1 kk.
art. 42 ust. 1-2 ustawy o usługach płatniczych (w brzmieniu aktualnym)
2. W celu spełnienia obowiązku, o którym mowa w ust. 1 pkt 1, użytkownik, z chwilą otrzymania instrumentu płatniczego, podejmuje niezbędne środki służące zapobieżeniu naruszeniu indywidualnych danych uwierzytelniających, w szczególności jest obowiązany do przechowywania instrumentu płatniczego z zachowaniem należytej staranności oraz nieudostępniania go osobom nieuprawnionym.
Sąd zauważył, iż żadna z operacji nie polegała na przełamaniu zabezpieczeń systemu bankowego, zaś wszystkie logowania odbywały się z użyciem jego osobistego ID i hasła — co oznacza, iż bankowi nie można zarzucać naruszenia obowiązków w zakresie bezpieczeństwa zgromadzonych środków (art. 43 ust. 1 pkt 1 uup, art. 50 ust. 2 pr.bank.), a przynajmniej powód nie udowodnił okoliczności pozwalających przypisać ową odpowiedzialność (art. 46 ust. 3 uup). Odpowiedzialności banku nie można wywieść także z faktu, że nie zablokował automatycznie dostępu do konta ze względu na niestandardowe operacje — owszem, poszkodowany nigdy nie zlecał ani ustanowienia zaufanych odbiorców, ani przelewów natychmiastowych, ale już nie potwierdził się jego zarzut, że nigdy wcześniej suma dziennych przelewów nie przekraczała 20 tys. złotych (zwłaszcza, że łączne miesięczne obroty na rachunku sięgały kilku milionów).
W konsekwencji oznacza to, że to powód nie wywiązał się z obowiązków nieudostępnienia instrumentu płatniczego osobom nieuprawnionym i nie podjął niezbędnych kroków w celu przeciwdziałania naruszeniom bezpieczeństwa urządzeń, przy użyciu których logował się do banku. Sąd negatywnie ocenił korzystanie z bezpłatnego programu antywirusowego („taki rodzaj programów, niezależnie od tego iż nie jest przeznaczony dla firm, to nie zapewnia należytej ochrony antyphishingowej i antywirusowej”) a także to, że powód potrafił nic powiedzieć o systemach antyspamowych i zaporze firewall (obowiązek stosowania takich zabezpieczeń nakładał nań regulamin bankowy), a komputer przechowywał w pracy, czyli miejscu, gdzie dostęp do sprzętu miało wiele osób. Za okoliczność obciążającą uznano także także to, że kwartał później sprzedał komputer i tablet, z którego korzystał feralnego dnia, co uniemożliwiło zbadanie sprzętu — zaś niezależnie od tego, że nie ustalono w jaki sposób sprawca użył tego samego adresu IP i w jaki sposób uzyskał dostęp do („doskonale zabezpieczonej”, jak ocenił biegły) komórki powoda, to jednak bank nie może ponosić odpowiedzialności za transakcje wykonane zgodnie z ustalonymi procedurami.
art. 45 ust. 1 i 3 ustawy o usługach płatniczych (w brzmieniu aktualnym)
To raczej klient wykazał się dużą niefrasobliwością: zignorował otrzymane esemesy, chociaż ich treść powinna wzbudzić jego podejrzenia — gdyby zawiadomił bank o podejrzanych komunikatach (taki obowiązek wynika z art. 42 ust. 1 pkt 2 uup), może udałoby się je zablokować, a co najmniej rozważać odpowiedzialność banku za zaniedbania.
Sąd stwierdził, że brak dowodu na przełamanie zabezpieczeń bankowych pozwala na ustalenie, iż nie doszło do „włamania” do systemu po stronie banku — zaś bank nie ma obowiązku zapewnienia zabezpieczeń indywidualnych dla systemów komputerowych płatników oraz do analizy danych wychodzących z komputerów klientów pod kątem działań przestępczych — takich powinności nie nakłada nań ani prawo bankowe, ani ustawa o usługach płatniczych, ani też nie można ich wywieść z art. 355 par. 2 kc.
Finalnie oznacza to, że pozwany bank skutecznie — zgodnie z zasadami rozkładu ciężaru dowodów wynikających z art. 45 uup — wykazał, iż to powód autoryzował utworzenie nowego szablonu płatności (skutek dla kolejnych przelewów wynikał z art. 40 ust. 1 uup), co wyklucza zarówno odpowiedzialność ex contractu (art. 471 kc), jak i ex delicto (art. 415 kc), zatem powództwo zostało oddalone w całości.
Zamiast komentarza: rzecz jasna wyrok jest prawidłowy, zaś to, co można odbierać za niuans — bank musi przeciwdziałać włamaniom do własnego systemu, ale nie może odpowiadać za skutki ew. włamania na sprzęt klienta lub innego nieuprawnionego użycia instrumentu po stronie klienta — wcale niuansem nie jest.
Najważniejszy jednak morał brzmi: nie olewajcie dziwnych komunikatów, nawet jeśli wydają się absurdalne — zignorowanie ostrzeżeń przez klienta banku może oznaczać faktyczne przejęcie odpowiedzialności za takie oszustwo (inna sprawa, że mnie i tak zastanawia użycie tego samego adresu IP zakończenia sieci — co może wskazywać, że przekrętu dopuścił się jakiś insider).
Tags: art. 417 kc art. 42 uup art. 43 uup art. 45 uup art. 46 uup art. 50 pr. bank. bank usługi płatnicze
← Czy strona może wziąć udział w rozprawie przez komunikator internetowy?
Czy dyscyplinarne zawieszenie kancelarii radcowskiej na 1 rok — za jazdę autem po cofnięciu uprawnień — jest karą niewspółmiernie surową? →
Zarzut korzystania z bezpłatnego programu antywirusowego jest śmieszny. No ale na szczęście nie był chyba decydujący dla rozstrzygnięcia sprawy.
Zgadza się, mnie podobnie kojarzy się regulaminowy wymóg stosowania takich zabezpieczeń (bank nie może ponosić odpowiedzialności za nieodpowiedzialnego użytkownika, ale nie może mu dyktować „pod rygorem” techniki).
Szkoda że same banki są z techniką do tyłu i np. limitują liczbę znaków w haśle czy nie pozwalaja używać w hasle ASCII. Paradoksalnie dzisiaj lepiej mogą być chronione social data i mejle niż pieniądze, bo o ile Facebook i GMail obsługują U2F, to banki nie.
Jak ktoś chce być superbezpieczny, to może wydać w sumie 200 zł na minikomputer (np. Raspberry Pi) i starą Nokię, które będą używane tylko do e-bankowosci.
A tutaj coś zgoła innego https://niebezpiecznik.pl/post/sad-najwyzszy-bank-ma-oddac-ukradzione-pieniadze-jesli-nie-udowodnil-niedbalstwa-klienta/
Proszę bardzo: https://czasopismo.legeartis.org/2018/07/odpowiedzialnosc-banku-phishing.html
Zwracam uwagę, że jest bardzo duża różnica między tymi orzeczeniami (i nie mam na myśli tego, że orzeczono na niekorzyść banku).
Absurd goni absurd. Facet, który autoryzuje dodanie odbiorcy zaufanego nie jest winny rażącego niedbalstawa (z innego orzeczenia) i wygrywa z bankiem. Facet, który dostaje informację o nieudanym logowaniu i nie zgłasza jej do banku, a potem traci pieniądze bez swojego udziału przegrywa z bankiem.
Przeczytaj uważnie wszystko. Prawo jest dla starannych, a te sprawy ewidentnie się różnią.
„taki rodzaj programów, niezależnie od tego iż nie jest przeznaczony dla firm, to nie zapewnia należytej ochrony antyphishingowej i antywirusowej” – ciekawe czy można podać sąd do sądu za rozpowszechnianie fałszywych twierdzeń i oczernianie firmy produkującej takie oprogramowanie?
A dwa – facet, który – jak mi wynika z opisu – nie ma zielonego pojęcia o informatyce, a do tego obraca milionami poskąpił na informatyka, który zabezpieczyłby mu system i laptopa. Nauka kosztuje.
Ja się trzymam tego, co mi kiedyś powiedział jeden informatyk: „jakbym chciał, żeby u klienta wszystko było super-zabezpieczone, na każdym stanowisku byłby Linux, w najgorszym przypadku Mac. Ale użyszkodnik by się zblokował mentalnie.”
Chciałoby się powiedzieć „Citi” i wszystko jasne.
Niektóre banki posiadają pewne zabezpieczenia, aby weryfikować innymi sposobami czy to ta sama osoba.
Argument z tym samym adresem IP jest niesamowicie śmieszny. Jestem ciekaw na jakim etapie Citi gromadzi te dane?
Bo i adres można ofiary łatwo wydobyć, a również mowa i sieci firmowej, czyli działają za NATem. Do tego mowa, że przestępca posługiwał się loginem i hasłem ofiary…
Można podejrzewać, że to też był phishing tylko miał słabego prawnika, który nie potrafił poprzeć argumentów klienta banku. Szkoda.
Czemu myślisz, że to Citi? Obrazek to tylko kolorowy bajerek ;-)
„Za realizację wysokokwotowych zleceń na rachunki prowadzone w innych niż (…) S.A. bankach za pośrednictwem systemu (…) w kwocie niższej niż 1 mln zł (…) S.A. w dniu zawarcia umowy pobierał opłatę w kwocie 35 zł.”
Pasowałby ing i pko bp, ale ing nie jest w Warszawie chyba.
No i: https://www.pkobp.pl/informacje_o_zmianach/regulamin_swiadczenia_uslug_bankowosci_elektronicznej_w_pko_banku_polskim_sa.pdf
pasuje do: „składającego dyspozycje klienta albo ustanowionego użytkownika” :)
(Już więcej spamował nie będę)
Trochę to straszne. Nie używam żadnego programu antywirusowego. Firewall tylko wbudowany w system. Ciekawe co by bank powiedział jakby mi kasa zginęła …
A wiarusy są? ;-)
Myślę, że sa … :)
Czyli, że używając komputera obowiązkowo muszę mieć oprogramowanie antywirusowe?
Nawet używając systemu Linux?
Witam. Od wielu lat zajmuję się tematyką etycznego hackingu , kryptografii, kryptoanalizy, inżynierii wstecznej, programowania i ogólnie pojętego cyberbezpieczeństwa (choć nazwę uważam za komiczny potworek, al niech tam, przyjęła się…). Mam zamiar wypowiedzieć się jedynie w kwestii programów antywirusowych i ich wpływu na bezpieczeństwo. Generalizując w rękach niewprawnego i nieobeznanego z IT użytkownika, klikającego w co popadnie, to poprawiają one bezpieczeństwo. Wystarczy jednak bardziej świadomy użytkownik i program staje się zbędny, wręcz obniża bezpieczeństwo systemu. Postaram się w paru uproszczeniach to przekazać. Po pierwsze paradoksalnie bezpieczeństwo nie jest priorytetem podczas tworzenia kodu takich programów. Same programy antywirusowe (w zasadzie każdy)… Czytaj więcej »
Łał, czy polecasz zainstalować dziadkom Cubes OS zamiast Elementary OS?
„Witam. Od wielu lat zajmuję się” – popieram „Łał, czy polecasz zainstalować dziadkom” – dziadkom polecam zainstalować to, z czym dadzą sobie radę. Prezesom polecam albo naukę albo zatrudnienie kogoś, kto się zna. „jakbym chciał, żeby u klienta wszystko było super-zabezpieczone, na każdym stanowisku byłby Linux,” – fakt. Ale można to wypośrodkować, firewall z analizą pakietów i aktywnym blokowaniem ataków na linuxie, jako bramę, kontakt do internetu spoza firmy wyłącznie przez NAT, zablokowanie portów podatnych na ataki i pracownicy mogą sobie mieć windowsy. Najwyżej zaszyfruje im komputer, to się odtworzy z kopii i tyle. Ostatnio miałem do czynienia z sytuacją,… Czytaj więcej »