Utrata pieniędzy z konta na skutek cyberataku - odpowiedzialność ponosi bank

Banki bronią się przed odpowiedzialnością

Dziennik Gazeta Prawna (Nr z 24.05.2017 r.) podaje informację, że „...Bank musi udowodnić fakt autoryzowania transakcji przez klienta, niedopełnienia obowiązków, czy też dopuszczenia się rażącego niedbalstwa w przypadku ataku hakerów. Inaczej odpowiedzialność za skradzione pieniądze spada na tę instytucję...” a następnie, że „...zgodnie z artykułem 50. prawa bankowego, banki są zobowiązane do „dołożenia szczególnej staranności w zakresie zapewnienia bezpieczeństwa przechowywanych środków pieniężnych..."

Powyższe zasady implikują dwa bardzo ważne fakty:

Fakt 1: Polskie prawo stoi po stronie konsumentów

W przypadku cyberataku skierowanego na infrastrukturę informatyczną banku, którego rezultatem będzie kradzież środków finansowych, przyjęto założenie, że to zaatakowany bank nie dołożył odpowiedniej staranności mającej na celu właściwe zabezpieczenie dóbr swoich klientów.  W związku z tym, to on jest winny szkód, jakie poniosły podmioty, które zaufały jego specjalistom – a zatem bank ma obowiązek zaspokoić roszczenia pokrzywdzonych, zwracając im utracone pieniądze.

Fakt 2: Zaufałeś bankowi? Bank jest odpowiedzialny za Twoje pieniądze

Inny czarny scenariusz to atak skierowany nie przeciwko całości systemu informatycznego banku, ale na konkretne konto konkretnego użytkownika. Czy w takim przypadku odpowiedzialny będzie bank, czy może sam klient? Otóż w zdecydowanej większości bank. Dzieje się tak dlatego, że określenie wyraźnej granicy pomiędzy odpowiedzialnością klienta a instytucji finansowej (w tym przypadku banku) jest bardzo trudne, a należy pamiętać, że indywidualne konto jest przecież częścią systemu chronionego przez bank.

Na straży interesów właścicieli kont stoi prawo; art. 46 ustawy o usługach płatniczych (DzU z 2011 r. nr 199, poz. 1175, t.j. DzU z 2014 r., poz. 873) mówi wyraźnie: „...w przypadku wystąpienia nieautoryzowanej transakcji płatniczej dostawca płatnika jest obowiązany niezwłocznie zwrócić płatnikowi kwotę nieautoryzowanej transakcji płatniczej, a w przypadku gdy płatnik korzysta z rachunku płatniczego, przywrócić obciążony rachunek płatniczy do stanu, jaki istniałby, gdyby nie miała miejsca nieautoryzowana transakcja płatnicza..."

Innymi słowy, jeżeli nasze pieniądze zostały wytransferowane z konta bez naszej wiedzy i zgody, bank jest zobowiązany do pokrycia zaistniałych strat, szczególnie w sytuacji, kiedy klient banku padł ofiarą phishingu (metoda oszustwa, w której przestępca podszywa się pod inną osobę lub instytucję, w celu wyłudzenia określonych informacji; np. danych logowania, szczegółów karty kredytowej lub nakłonienia ofiary do określonych działań), pharmingu (bardziej niebezpieczna dla użytkownika oraz trudniejsza do wykrycia forma phishingu. Charakterystyczne dla pharmingu jest to, że nawet po wpisaniu prawidłowego adresu strony www, ofiara zostanie przekierowana na fałszywą - choć mogącą wyglądać tak samo - stronę www. Ma to na celu przejęcie wpisywanych przez użytkownika do zaufanych witryn haseł, numerów kart kredytowych i innych poufnych danych), ewentualnie kiedy podczas próby logowania na stronę banku zorientował się, że coś wygląda podejrzanie i przerwał operację, ale nie na tyle szybko, aby zapobiec przechwyceniu przez przestępcę haseł.

Wyjątek

W przypadku ataku na konto indywidualne, sytuacja może skomplikować się, jeżeli atak nastąpił na skutek rażącego niedbalstwa klienta, które ów czyn umożliwiło – np. przekazania danych poufnych osobom trzecim, lub ewidentnego złamania dotyczących kwestii bezpieczeństwa warunków umowy z bankiem (który to bank musi owo niedbalstwo udowodnić). Inne przykłady ograniczenia odpowiedzialności banku to rozsyłanie nieszyfrowanymi wiadomościami danych logowania lub pozostawienie ich w miejscu publicznym na zewnętrznych nośnikach.

NOWOŚĆ na Infor.pl: Prenumerata elektroniczna Dziennika Gazety Prawnej KUP TERAZ!

Na szczęście, nawet takie scenariusze nie są dla właściciela zaatakowanego konta beznadziejne; a to dlatego, że w trosce o swoje dobre imię i zaufanie klientów, banki często decydują się na rekompensatę strat, poniesionych przez użytkowników rachunków na skutek ich własnego zaniedbania.

Wyjście awaryjne

Jak widać, zarówno przepisy jak i praktyka bankowa dają właścicielom solidne gwarancje na to, aby w razie cyberataku skutkującego kradzieżą środków finansowych, owe środki wróciły na swoje miejsce. Niestety, może dojść do sytuacji, w której bank będzie starał się uniknąć odpowiedzialności za konsekwencje działań przestępczych. Co wtedy? Należy konsekwentnie i stanowczo walczyć o swoje; pierwszym krokiem jest skarga wystosowana do banku. Jeżeli zostanie odrzucona, należy odwołać się od decyzji, w razie potrzeby nawet kilka razy. Gdyby jednak ta droga okazała się nieskuteczna, zawsze pozostaje skierowanie sprawy do sądu.