Naletel si na podvod a prišiel si o peniaze? Právnik Súdneho dvora EÚ vysvetlil, čo musí banka urobiť
Stačí jeden falošný odkaz a z účtu môžu zmiznúť peniaze. Phishingové podvody dnes fungujú až nepríjemne jednoducho a banky sa často bránia tým, že klient urobil chybu. Prípad z Poľska sa však dostal až pred Súdny dvor Európskej únie a jeho právny výklad môže výrazne zamiešať kartami v tom, kto v takýchto situáciách nesie zodpovednosť.
Stačí jeden nepozorný klik a z účtu môžu zmiznúť peniaze. Phishingové podvody dnes fungujú až nepríjemne jednoducho. Podvodník pošle odkaz, ktorý vyzerá ako stránka banky. Zadáš prihlasovacie údaje a o pár sekúnd môže byť po všetkom. Keď potom klient žiada banku o vrátenie peňazí, často počuje rovnakú odpoveď: urobil si chybu, takže za stratu nesieš zodpovednosť ty.
Lenže výklad európskeho práva naznačuje, že situácia nemusí byť taká jednoduchá.
Generálny advokát Súdneho dvora EÚ Athanasios Rantos totiž uviedol, že banka musí v prvom kroku peniaze z neautorizovanej transakcie vrátiť, aj keď klient naletel phishingu. Až následne sa môže riešiť, či klient konal hrubo nedbanlivo a či by mal peniaze banke vrátiť späť.
Podvod začal úplne bežnou situáciou na bazári
Celý spor vznikol pri situácii, ktorú dnes pozná veľa ľudí. Zákazníčka jednej poľskej banky predávala vec cez internetovú aukčnú platformu. Krátko po zverejnení inzerátu ju kontaktoval údajný kupujúci.
Poslal jej odkaz s tým, že cez neho má potvrdiť platbu alebo doručenie. Stránka vyzerala ako prihlasovacie rozhranie jej banky. Mala rovnaké farby, logo aj formulár na zadanie údajov, takže na prvý pohľad pôsobila dôveryhodne.
Neprehliadni
V skutočnosti išlo o phishing. Podvodníci vytvorili stránku, ktorá len napodobňovala bankový formulár. Keď žena zadala prihlasovacie údaje, dostali sa priamo k útočníkovi. Ten sa následne prihlásil do jej účtu a vykonal neautorizovanú platbu.
Na druhý deň transakciu nahlásila banke aj polícii. Peniaze však späť nedostala.
Banka tvrdila, že klientka konala hrubo nedbanlivo, keď zadala svoje prihlasovacie údaje na podvodnej stránke. Podľa banky preto nemusela škodu refundovať.
Žena sa obrátila na súd. Poľský súd následne požiadal Súdny dvor Európskej únie o výklad pravidiel, ktoré určujú zodpovednosť bánk pri neautorizovaných platbách.
Banky musia najskôr peniaze vrátiť
Rantos vo svojom stanovisku vysvetlil, ako podľa neho treba vykladať smernicu PSD2 o platobných službách.
„Právo Európskej únie vyžaduje, aby banka v prvom kroku okamžite vrátila sumu neautorizovanej transakcie, pokiaľ nemá dobrý dôvod podozrievať klienta z podvodu,“ uvádza sa v tlačovej správe Súdneho dvora EÚ.
Banka teda nemôže automaticky odmietnuť refundáciu len preto, že klient naletel phishingu alebo urobil chybu pri ochrane svojich údajov.
Najprv musí peniaze vrátiť. Až potom sa rieši, kto za celú situáciu nesie zodpovednosť.
Banka môže peniaze žiadať späť
Refundácia však ešte neznamená, že spor je definitívne vyriešený.
Ak banka dokáže, že klient úmyselne alebo hrubou nedbanlivosťou porušil svoje bezpečnostné povinnosti, môže od neho požadovať náhradu škody.
„Ak banka preukáže, že zákazník úmyselne alebo hrubou nedbanlivosťou nesplnil svoje povinnosti týkajúce sa bezpečnostných údajov, môže požadovať, aby klient znášal vzniknuté straty,“ uvádza stanovisko generálneho advokáta.
Ak klient odmietne peniaze vrátiť, banka musí spor riešiť na súde.
Ak by súd potvrdil tento výklad, banky by museli zmeniť postup
Phishingové podvody dnes patria medzi najčastejšie finančné útoky. Podvodníci sa vydávajú za kuriérov, kupujúcich na bazároch alebo za banku. Stačí kliknúť na odkaz a zadať prihlasovacie údaje.
Mnohé banky doteraz tvrdili, že klient si za takúto stratu môže sám. Preto odmietali okamžitú refundáciu.
Ak by sa však Súdny dvor EÚ priklonil k názoru generálneho advokáta, prax by sa mohla výrazne zmeniť. Banky by museli najskôr peniaze vrátiť klientovi a až potom riešiť prípadnú zodpovednosť.
Stanovisko generálneho advokáta ešte nie je konečný rozsudok. O prípade rozhodnú sudcovia Súdneho dvora EÚ neskôr.
Ak by však súd potvrdil tento výklad, pre klientov by to znamenalo zásadnú zmenu. Pri phishingovom útoku by banka musela peniaze vrátiť okamžite a až následne dokazovať, či klient porušil bezpečnostné pravidlá.
