Oszustwo BLIK – kiedy bank powinien zwrócić pieniądze?

Jak najczęściej przebiega oszustwo BLIK?

Określenie „oszustwo BLIK” obejmuje kilka różnych mechanizmów. Z punktu widzenia prawa nie powinno się ich traktować jednakowo, ponieważ poszkodowany może wykonać zupełnie inne czynności i mieć inną świadomość celu operacji.

Najczęściej spotykane scenariusze to:

• przejęcie konta w komunikatorze i prośba rzekomego znajomego o pilny kod BLIK,
• fałszywy pracownik banku, który nakłania do instalacji programu zdalnego dostępu, podania danych albo wykonania „operacji zabezpieczającej”,
• fałszywy kupujący lub sprzedający w serwisie ogłoszeniowym, przesyłający link do podstawionej strony płatności,
• phishing, czyli przejęcie danych logowania do bankowości na stronie imitującej bank, firmę kurierską lub operatora płatności,
• przejęcie telefonu albo sesji bankowej i wykonanie operacji bez wiedzy właściciela rachunku,
• nakłonienie do przelewu lub wypłaty pod fałszywym pretekstem, przy czym klient widzi rzeczywistą kwotę i rodzaj operacji.

W pierwszej kolejności należy więc odtworzyć nie tylko to, kto fizycznie wpisał kod lub kliknął przycisk, lecz także na jaką konkretną operację klient rzeczywiście wyraził zgodę i jakie informacje widział w chwili jej zatwierdzania.

Czy transakcja była autoryzowana?

Zgodnie z art. 40 ustawy o usługach płatniczych transakcja jest autoryzowana, jeżeli płatnik wyraził zgodę na jej wykonanie w sposób uzgodniony z bankiem. Nie każda operacja dokonana po zastosowaniu prawidłowych danych technicznych musi zatem odpowiadać rzeczywistej zgodzie klienta.

Granica nie zawsze jest oczywista. Przykładowo osoba może wpisać kod, wierząc, że weryfikuje tożsamość albo odbiera płatność, podczas gdy w rzeczywistości zatwierdza wypłatę z bankomatu. Znaczenie ma wówczas treść komunikatu autoryzacyjnego, jego czytelność, ostrzeżenia wyświetlane przez bank oraz to, czy klient miał realną możliwość rozpoznania rodzaju transakcji.

Uwierzytelnienie to nie zawsze autoryzacja

Uwierzytelnienie służy sprawdzeniu tożsamości użytkownika albo ważności użytego instrumentu płatniczego. Autoryzacja oznacza natomiast zgodę płatnika na wykonanie konkretnej transakcji. Pojęcia te są ze sobą związane, ale nie są tożsame.

Art. 45 ustawy o usługach płatniczych stanowi, że ciężar udowodnienia autoryzacji, prawidłowego zapisania transakcji i braku usterki spoczywa na dostawcy. Ustawa wyraźnie wskazuje również, że samo zarejestrowane użycie instrumentu płatniczego nie wystarcza do wykazania autoryzacji ani umyślnego działania lub rażącego niedbalstwa płatnika.

Dlatego odpowiedź banku ograniczona do informacji, że użyto prawidłowego kodu BLIK, aplikacji mobilnej, kodu PIN albo silnego uwierzytelniania, nie musi wyczerpywać wymaganej analizy. Istotne jest także wykazanie zgody na sporną operację oraz odniesienie się do przebiegu oszustwa.

Kiedy bank powinien zwrócić pieniądze po oszustwie BLIK?

Jeżeli transakcja była nieautoryzowana, art. 46 ust. 1 ustawy o usługach płatniczych przewiduje zwrot jej kwoty niezwłocznie, nie później niż do końca następnego dnia roboczego po stwierdzeniu transakcji przez bank albo po otrzymaniu zgłoszenia. Rachunek powinien zostać przywrócony do stanu, jaki istniałby, gdyby transakcja nie nastąpiła.

Ustawa przewiduje wyjątek, gdy bank ma uzasadnione i należycie udokumentowane podstawy, aby podejrzewać oszustwo po stronie płatnika, oraz pisemnie poinformuje o tym organy ścigania. Nie jest to jednak ogólna możliwość wstrzymania zwrotu wyłącznie dlatego, że bank chce zakończyć własne postępowanie reklamacyjne.

Termin zgłoszenia

Klient powinien powiadomić bank niezwłocznie po wykryciu operacji. Art. 44 ustawy wyznacza maksymalny termin 13 miesięcy od obciążenia rachunku; po jego przekroczeniu roszczenia z tego tytułu co do zasady wygasają. Trzynastu miesięcy nie należy traktować jako bezpiecznego czasu na oczekiwanie — opóźnienie utrudnia zablokowanie kolejnych operacji, odzyskanie środków i zabezpieczenie dowodów.

Termin odpowiedzi na reklamację

Reklamacja dotycząca praw i obowiązków z ustawy o usługach płatniczych powinna zostać rozpatrzona w ciągu 15 dni roboczych. W szczególnie skomplikowanej sprawie bank może wydłużyć termin maksymalnie do 35 dni roboczych, ale powinien wyjaśnić przyczynę opóźnienia i wskazać, jakie okoliczności pozostają do ustalenia. Terminu odpowiedzi reklamacyjnej nie należy mylić z zasadą zwrotu nieautoryzowanej transakcji do końca następnego dnia roboczego.

Czy bank może powołać się na rażące niedbalstwo klienta?

Płatnik odpowiada w pełnej wysokości za nieautoryzowane transakcje, jeżeli doprowadził do nich umyślnie albo w wyniku umyślnego lub rażąco niedbałego naruszenia obowiązków dotyczących bezpiecznego korzystania z instrumentu płatniczego i ochrony danych uwierzytelniających.

Rażącego niedbalstwa nie należy automatycznie utożsamiać z każdym błędem, brakiem doświadczenia albo ulegnięciem profesjonalnie przygotowanej manipulacji. Ocena zależy od konkretnych okoliczności, w tym konstrukcji oszustwa, presji wywieranej na klienta, treści ostrzeżeń i komunikatów oraz zachowania odbiegającego od zwykłego sposobu korzystania z rachunku.

Bank może wskazywać między innymi na:

• dobrowolne przekazanie kodu BLIK, hasła lub kodu autoryzacyjnego nieznanej osobie,
• zainstalowanie programu umożliwiającego zdalny dostęp do telefonu lub komputera,
• zignorowanie jednoznacznego komunikatu o wypłacie z bankomatu, kwocie albo odbiorcy,
• wielokrotne potwierdzanie kolejnych operacji mimo ostrzeżeń i nietypowego przebiegu zdarzeń.

Nie oznacza to jednak, że samo postawienie takiego zarzutu kończy sprawę. Zgodnie z art. 45 ust. 2 ciężar wykazania okoliczności świadczących o umyślnym działaniu lub rażącym niedbalstwie spoczywa na banku. Odpowiedź powinna więc odnosić się do konkretnych dowodów, a nie wyłącznie do ogólnych postanowień regulaminu.

Co zrobić bezpośrednio po oszustwie BLIK?

Pierwsze minuty i godziny mogą mieć znaczenie dla zablokowania dalszych operacji oraz późniejszego postępowania dowodowego. Z bankiem należy kontaktować się przez oficjalny numer z aplikacji, strony banku albo karty — nie przez numer podany w podejrzanej wiadomości.

1. Zablokuj dostęp i instrumenty płatnicze.
   Powiadom bank o oszustwie, zastrzeż wymagane instrumenty, zakończ aktywne sesje i usuń nieznane urządzenia. Ustal z bankiem, czy konieczna jest blokada rachunku, BLIK-a, karty lub bankowości elektronicznej.
2. Zmień dane dostępowe z bezpiecznego urządzenia.
   Jeżeli przestępca miał zdalny dostęp do telefonu lub komputera, nie wykonuj zmiany haseł na tym samym urządzeniu przed jego sprawdzeniem i odłączeniem od sieci.
3. Zgłoś każdą sporną transakcję.
   Wskaż datę, godzinę, kwotę i rodzaj operacji oraz wyraźnie zaznacz, których transakcji nie autoryzowałeś. Poproś o numer zgłoszenia i jego potwierdzenie na trwałym nośniku.
4. Zabezpiecz przebieg rozmów i wiadomości.
   Nie usuwaj SMS-ów, historii połączeń, czatu, linków, potwierdzeń ani ekranów aplikacji. Zapisz chronologię zdarzeń, zanim szczegóły ulegną zatarciu.
5. Zawiadom Policję lub prokuraturę.
   Przekaż dowody i uzyskaj sygnaturę albo numer sprawy. Zawiadomienie karne jest ważne, ale nie zastępuje reklamacji do banku.
6. Zgłoś phishing do CERT Polska.
   Podejrzaną stronę można zgłosić przez incydent.cert.pl, a SMS zawierający złośliwy link przekazać bezpłatnie na numer 8080.

Jak napisać reklamację do banku po oszustwie BLIK?

Reklamacja powinna być konkretna, chronologiczna i zgodna z wcześniejszymi zgłoszeniami. Nie warto opierać jej wyłącznie na gotowym wzorze, jeżeli nie odpowiada on rzeczywistemu przebiegowi zdarzeń.

W piśmie należy w szczególności:

• oznaczyć posiadacza rachunku, rachunek oraz każdą kwestionowaną transakcję,
• wyraźnie wskazać, czy transakcja nie została autoryzowana i na czym polegał brak zgody,
• opisać krok po kroku kontakt z oszustem oraz czynności wykonane przez klienta,
• wyjaśnić, jakie informacje wyświetlały się podczas zatwierdzania i jak zostały zrozumiane,
• wskazać moment wykrycia oszustwa i datę pierwszego zgłoszenia do banku,
• zażądać zwrotu kwoty i przywrócenia rachunku na podstawie art. 46 ustawy, jeżeli transakcja była nieautoryzowana,
• zażądać przedstawienia dowodów autoryzacji oraz odniesienia się do art. 45 ustawy,
• dołączyć dostępne potwierdzenia, zrzuty ekranu i dane sprawy karnej,
• zażądać zabezpieczenia logów, nagrań rozmów, danych urządzeń i informacji o regułach bezpieczeństwa zastosowanych przy transakcji.

Jakie dowody mają znaczenie w sporze z bankiem?

Ocena odpowiedzialności wymaga zestawienia relacji klienta z informacjami technicznymi posiadanymi przez bank. Warto zabezpieczyć dowody przed usunięciem konta, zmianą telefonu albo utratą dostępu do komunikatora.

Po stronie klienta istotne mogą być:

• pełna historia rozmów, wiadomości i połączeń z oszustem,
• adres fałszywej strony, zrzuty ekranu i wiadomości zawierające link,
• potwierdzenia zgłoszeń do banku, Policji, prokuratury i CERT Polska,
• informacje o instalowanych aplikacjach, zdalnym dostępie i powiadomieniach systemowych,
• dokładny opis ekranów widocznych podczas zatwierdzania operacji,
• historia rachunku oraz wcześniejszy, typowy sposób korzystania z usług BLIK.

Od banku można żądać wyjaśnienia i zabezpieczenia między innymi:

• sposobu zainicjowania i uwierzytelnienia każdej transakcji,
• treści komunikatu autoryzacyjnego i ostrzeżeń przedstawionych klientowi,
• identyfikatorów urządzeń, sesji, czasu logowania i zmian ustawień rachunku,
• informacji o nietypowości operacji względem dotychczasowego profilu klienta,
• działania mechanizmów wykrywania nadużyć oraz przyczyn braku blokady lub dodatkowej weryfikacji,
• podstaw faktycznych i prawnych uznania, że klient autoryzował transakcję albo dopuścił się rażącego niedbalstwa.

Co zrobić, gdy bank odmawia zwrotu pieniędzy?

Odmowa reklamacji nie przesądza o braku roszczenia. Należy sprawdzić, czy bank rzeczywiście wykazał zgodę na konkretną transakcję, czy tylko potwierdził techniczne użycie kodu lub aplikacji. Istotne jest również to, czy odpowiedź odnosi się do zarzutów, dowodów, terminu zwrotu oraz mechanizmów bezpieczeństwa.

Po otrzymaniu odmowy możliwe jest:

• złożenie odwołania w trybie przewidzianym przez bank,
• wystąpienie do Rzecznika Finansowego o postępowanie interwencyjne,
• złożenie wniosku o pozasądowe rozwiązanie sporu przy Rzeczniku Finansowym,
• uzyskanie istotnego poglądu Rzecznika Finansowego w toczącej się sprawie sądowej,
• wniesienie przeciwko bankowi pozwu o zapłatę, jeżeli analiza prawna i dowodowa uzasadnia roszczenie.

Postępowanie karne przeciwko sprawcy i roszczenie wobec banku to odrębne drogi. Brak wykrycia przestępcy albo umorzenie dochodzenia nie musi automatycznie przesądzać wyniku sporu cywilnego z bankiem. Z kolei odzyskanie środków od sprawcy wymaga odpowiedniego rozliczenia, aby nie doszło do podwójnej kompensacji tej samej szkody.