Bank odda 107 tys. zł klientowi okradzionemu przez cyberatak

Powód został zaatakowany według schematu man-in-the-browser. Gdy logował się do banku, jego komputer był zainfekowany złośliwym oprogramowaniem (mimo obecności programu antywirusowego), które podmieniło część strony bankowej. Malware został uruchomiony z załącznika e-maila z kampanii, podszywającej się pod firmę kurierską. Sąd jednak uznał, że skoro ofiara ataku logowała się na właściwą stronę, nie doszło tu do żadnego wyraźnego zaniedbania ze strony klienta. Podobnego zdania sąd był w sprawie potwierdzeń, które zostały przysłane SMS-em. Można uznać, że okradziony nie przeczytał ich z należytą uwagą, ale sąd nie uznał tego za rażące niedbalstwo.

Atak miał miejsce 3 lata temu. Po zalogowaniu się na stronę bankowości internetowej, by zlecić przelew, powód zobaczył (fałszywy) komunikat przypominający te wysyłane przez bank. Komunikat informował o potrzebie dodatkowego zabezpieczenia transakcji zlecanych za pośrednictwem strony. Komunikatu nie udało się ominąć, a w tle szkodliwy komponent podjął próbę utworzenia zaufanego odbiorcy w ustawieniach konta. Na telefon pechowego klienta wysłane zostało potwierdzenie SMS z kodem.

Przy trzecim logowaniu powód się poddał. By w końcu pominąć komunikat, zdecydował się wpisać kod z trzeciej wiadomości SMS, łudząco przypominającej potwierdzenie przelewu, a następnie zlecił planowany przelew. W ten sposób na jego liście pojawił się nowy zaufany odbiorca, do którego można było wysyłać pieniądze bez potwierdzania tego kolejnym SMS-em. Atakujący mieli już wszystko, czego potrzebowali, by wyprowadzić pieniądze z jego konta. Następnego dnia wykonali 4 przelewy na kwoty 24 950 zł, 27 340 zł, 27 440 zł i 28,10 zł dla równego rachunku. Klient nie otrzymał żadnego powiadomienia o nich, gdyż wędrowały do zaufanego odbiorcy, dodanego dzień wcześniej.

Atak miał miejsce 6 czerwca 2015, przelewy wyszły 7 czerwca. 9 czerwca do banku wpłynęła reklamacja, a na policję informacja o podejrzeniu kradzieży. Sprawa trafiła do Prokuratury Rejonowej, a od połowy 2016 roku w ręce Prokuratury Krajowej, Wydziału Zamiejscowego Departamentu ds. Przestępczości Zorganizowanej i Korupcji w L., razem ze sprawami innych ofiar ataków tego typu.

Pozwany bank oczywiście informował na stronach internetowych o zasadach bezpiecznego korzystania z bankowości internetowej, a przy logowaniu powiadamiał klientów o istniejącym zagrożeniu i tym konkretnie ataku. Przed sądem żona poszkodowanego potwierdziła, że po kradzieży szukali danych na ten temat na stronie banku i nie udało im się do nich dotrzeć. Ponieważ nie był to odosobniony przypadek kradzieży w ramach tej kampanii, sąd uznał, że… bank nie informował o ataku dostatecznie dobrze.

Według wyroku Sądu Okręgowego z 12 maja 2018 roku (Sygn. akt I C 566/17) klient oskarżonego banku miał prawo być przekonany, iż komunikat pochodzi od banku. Jego próby obejścia komunikatu świadczą rzekomo, że nie podszedł do niego bezrefleksyjnie. Bankowi nie udało się wykazać, że klient dopuścił się rażącego niedbalstwa, choć trudno się z tym zgodzić, skoro wcześniej otworzył podejrzany załącznik na swoim komputerze. Niedbalstwem zdaniem sądu byłoby na przykład dobrowolne podanie danych logowania osobie trzeciej. Dlatego bank musi oddać prawie całą kwotę klientowi. Trzeba bowiem wiedzieć, że według ustawy o usługach płatniczych klient odpowiada za nieautoryzowane transakcje do pewnej kwoty – obecnie jest to 50 euro, które przepadną niezależnie od decyzji sądu. Ofiara odzyska więc 106 929,77 zł.

W tym roku został wydany jeszcze jeden podobny wyrok. Na barkach banków spoczywa udowodnienie, że klient zachował się niedbale. Orzecznictwo staje po stronie ofiar ataków, prawdopodobnie słusznie – oraz trudniej bronić się przed finezyjnie ukrytymi oszustwami.