Jeśli dojdzie do kradzieży z konta bankowego to ukradzione środki powinny być zwrócone przez bank w ciągu jednego (!) dnia roboczego. Tak stanowi prawo, choć wciąż nie jest to powszechna wiedza. W praktyce banki omijają przepisy zarzucając klientom “niedbalstwo” lub odwrotnie — twierdząc iż staranność klienta nie miała znaczenia! Na problem zwrócił ostatnio uwagę Rzecznik Finansowy, ale my możemy podeprzeć statystyki Rzecznika kilkoma sprawami naszych Czytelników, jakie sami analizowaliśmy w ostatnich miesiącach. UWAGA! Ten artykuł dotyczy TYLKO I WYŁĄCZNIE przypadków kradzieży pieniędzy z rachunku/konta w banku za pomocą przelewu, a nie przy użyciu karty płatniczej (debetowej lub kredytowej). Jeśli straciłeś środki poprzez nieautoryzowaną transakcję kartą płatniczą, to te pieniądze zawsze szybko i sprawnie powinieneś odzyskać, dzięki procedurze CHARGEBACK — o ile w odpowiedni sposób zgłosisz tę kradzież do swojego banku. Szczegółowy opis procedury CHARGEBACK znajdziesz: w drugim odcinku naszego podcastu Na Podsłuchu — przesłuchaj go na YouTube lub Spotify albo w dowolnej aplikacji do podcastów (wpisz “na podsłuchu” lub “niebezpiecznik”). w tym artykule i w tym wpisie na Facebooku. Kradzież i zwrot pieniędzy – jak to *powinno* działać? Zacznijmy od wyjaśnienia dwóch kwestii prawnych. Po pierwsze, banki odpowiadają za nieautoryzowane transakcje płatnicze. Jeśli więc przestępca przeleje z Twojego konta jakieś pieniądze, bank za to odpowiada i… Ma. Te. Pieniądze. Oddać. Zwrot ma nastąpić “niezwłocznie, nie później jednak niż do końca dnia roboczego następującego po dniu stwierdzenia wystąpienia nieautoryzowanej transakcji” Tak stanowi art. 46 Ustawy o usługach płatniczych. Po drugie, transakcję uważa się za autoryzowaną jeśli płatnik wyraził na nią zgodę (art. 40 Ustawy). To zaś oznacza, że transakcją nieuatoryzowaną będzie każda transakcja zlecona przez osobę do tego nieuprawnioną. Dla uznania transakcji za (nie)autoryzowaną nie jest istotne, czy dana osoba mogła znać loginy i hasła albo czy potwierdziła transakcję kodem jednorazowym. Prowadzi to wszystko do wniosku, że bank ma oddać pieniądze zawsze, gdy transakcji dokonała osoba do tego nieuprawniona. Takie postawienie sprawy było zamiarem ustawodawcy i miało służyć wymuszeniu na bankach zasady “security first”. Jeśli banki poświęcą bezpieczeństwo dla wygody to niech płaczą i płacą – taka jest idea. I jest to idea słuszna. Chcesz obniżyć bezpieczeństwo wszystkim klientom, żeby wygodą przyciągnąć nowych klientów? — ponieś tego konsekwencje (por. Fatalna decyzja banku BZWBK ułatwiła kradzież setek tysięcy złotych z kont klientów). Co robić po kradzieży pieniędzy z konta w banku? Infografika poniżej przedstawia procedurę postępowania w przypadku kradzieży pieniędzy z konta. Pozwoliliśmy sobie lekko zmienić infografikę Rzecznika Finansowego, bo często zdarza się, że o danym ataku ostrzegamy Polaków szybciej i szerzej niż koledzy z CERT-u. A koledzy z CERT-u i tak monitorują nasz serwis i dodają do swojej bazy incydenty także na podstawie informacji z naszych artykułów ;) Żeby było jasne: Nie umniejszamy zasług CERT-u. Bardzo ważne jest żeby informacja o kradzieży dotarła również do nich, bo (w przeciwieństwie do nas) koledzy z CERT-u skrupulatnie kategoryzują zagrożenia i mają budżet oraz moc nadaną ustawą, aby reagować na incydent innymi metodami niż “prośby i nacisk ze strony mediów” na różne instytucje i firmy. Można powiedzieć, że się w tych działaniach redakcja Niebezpiecznika i CERT idealnie się dopełniają :) Infografika przedstawia też jeden haczyk. Art. 46 ustawy mówi, że odpowiedzialność może być przerzucona na klienta banku jeśli dopuścił się on “rażącego niedbalstwa” (np. rozpowiadał o swoim haśle na prawo i lewo). Ramy “rażącego niedbalstwa” nie są dokładnie określone. Banki zazwyczaj powiedzą, że działanie klienta było “rażąco niedbałe” i jeśli klient się z tym nie zgadza to niech idzie do sądu. Takie podejście pozwala “przytrzymać” pieniądze klienta, który jako człowiek pozbawiony niekiedy całości oszczędności nie będzie miał dobrych warunków do bojów w sądzie. “Rażące niedbalstwo” w orzeczeniach sądów Niektórzy klienci jednak idą do sądu i czasem odzyskują duże kwoty, choć nie przebiega to ani łatwo ani szybko. W sierpniu ubiegłego roku pisaliśmy o wyroku, w którym Sąd nakazał oddał bankowi oddać 107 tys. zł ofierze infekcji złośliwym oprogramowaniem. Zdaniem Sądu nie można przypisać klientowi winy za to, że został zainfekowany, a nawet gdyby była w tym jakaś jego wina to raczej nie wynikała ona z niedbalstwa na poziomie “rażącym”. Podobny wyrok zapadł wcześniej w Sądzie Najwyższym. Jeszcze wcześniej bo w czerwcu 2016 r. pisaliśmy o wyroku dotyczącym kobiety, która ustawiła datę urodzenia jako PIN. To też – zdaniem sądu – nie było rażące niedbalstwo (z czym można dyskutować, ale wyrok trzeba uznać). Pisaliśmy też o wyroku, który nakazał bankowi zwrócenie 86 tys. zł, a już szczególnie ciekawy był wyrok potwierdzający, że noszenie karty płatniczej w kieszeni nie jest rażącym niedbalstwem :) (wyrok SR w Gliwicach, sygn. akt I C 2524/14). Wyroki korzystne dla klientów niestety nie zmieniają zasadniczej strategii banków. Nadal bardziej opłaca się im się zwlekać i przerzucać winę w 100% na klienta, nawet tam gdzie ewidentnie to nie (tylko) klient zawinił. Rzecznik Finansowy: Rośnie liczba próśb o interwencję Przed długim weekendem Rzecznik Finansowy opublikował swoją analizę na ten temat. Wynika z niej, że tylko w I kwartale 2019 r. do Rzecznika trafiły 83 wnioski o interwencje w takich sprawach, czyli dokładnie tyle samo co w całym 2016 roku. W całym 2018 roku takich wniosków było 246, czyli o 70% więcej niż w roku 2017. Wzrost zgłoszeń nas nie dziwi. Od roku bardzo narósł problem kradzieży metodą “SMS-em na dopłatę”, która — choć ciągle o niej ostrzegamy — dziennie powoduje nawet kilkuset tysięczne straty w portfelach Polaków (por. Najpopularniejszy w Polsce atak. Wciąż nie wszyscy wiedzą na czym polega i wciąż tracą pieniądze.). Atak jest skuteczny, bo wiele osób na ekranach smartfonów nie weryfikuje adresów odwiedzanych stron, gdyż jest to utrudnione (mały ekran, nie w pełni pokazany adres strony). Jeśli jeszcze tego nie zrobiliście, przekażcie tego linka do naszego artykułu dotyczącego tego ataku wszystkim swoim znajomym. Zdaniem Rzecznika Finansowego wina leży nie tylko w zwiększonej liczbie ataków, ale również po stronie banków, które dają “złudne poczucie bezpieczeństwa”. Ustawione przez klienta limity, dotyczące na przykład liczby czy wartości przelewów dziennych, są łatwo zmieniane przez oszustów, jeśli tylko są one zbyt niskie, żeby opróżnić ze wszystkich środków konto klienta (…) Niewątpliwie wstrzymanie się przez bank ze zwrotem środków powinno być działaniem wyjątkowym, a nie standardowym , jak ma to miejsce w dzisiejszej praktyce – mówiła Izabela Dąbrowska-Antoniak dyrektor Wydziału Klienta Rynku Bankowo-Kapitałowego w biurze Rzecznika Finansowego. W czasie sporów sądowych często podnoszony jest argument, że niektóre transakcje mogły być łatwo wykryte jako podejrzane. Czy naprawdę tak często zdarza się, że ktoś zbiera latami pieniądze na koncie, a potem w ciągu kilku godzin ustawia odbiorcę zaufanego i przesyła do niego pieniądze w 17 przelewach błyskawicznych z aplikacji mobilnej, w dodatku logując się z innego kraju niż zwykle? Owszem, w życiu zdarzają się różne nagłe sytuacje, ale niska skuteczność systemów antyfraudowych jest przy takich sprawach zastanawiająca. Choć trzeba też przyznać że i przestępcy coraz lepiej potrafią usypiać ich czujność (sposób zakładania kont słupów, korzystanie z innych metod niż “odbiorca zaufany” do wyprowadzenia środków, etc.). Rzecznik Finansowy uważa, że banki powinny natychmiastowo oddawać pieniądze, a następnie ewentualnie wytaczać pozwy swoim klientom by udowodnić fakt zaistnienia “rażącego niedbalstwa”. Zapraszamy was do zapoznania się z analizą Rzecznika Finansowego (dostępna jest prezentacja tez analizy), a tymczasem my proponujemy wam przegląd historii kilku ofiar kradzieży, które starały się o zwrot pieniędzy i go nie dostały. Historie tych ofiar były różne i różnie można oceniać ich faktyczny wpływ na wystąpienie kradzieży, ale są to historie prawdziwe, które bywają bardziej pouczające niż chłodne statystyki. PKO BP: “Podanie danych jest rażąco niedbałe” Fryderyk (imię zmienione) stracił pieniądze jako klient PKO BP. Z jego konta w lipcu tego roku wyprowadzono 4,7 tys. złotych w dwóch przelewach (3 tys. i później 1,7 tys.). Fryderyk padł ofiarą oszustwa, które zaczęło się od wejścia na stronę phishingową wyglądającą jak strona firmy kurierskiej (brzmi znajomo?). Z tej strony Fryderyk został przekierowany na fałszywą stronę banku, która posłużyła do wyłudzenia zarówno loginu i hasła jak i kodu jednorazowego. Bank odmówił zwrócenia pieniędzy gdyż – jego zdaniem – rażąco niedbałe było podanie danych na stronie otwartej z linku niewiadomego pochodzenia. Pytanie brzmi, czy zachowanie Fryderyka naprawdę było “rażąco niedbałe”? Wiemy, że większość naszych Czytelników uzna za rażąco niedbałe każde złapanie się na phishing, ale sądy (składające się z normalnych ludzi, a nie “bezpieczników”) nierzadko są zdania, że działanie nieświadome nie może być działaniem rażąco niedbałym (bo rażąco niedbałym może być ktoś, kto świadomie przekracza zasady). Teoretycznie klienci powinni znać regulaminy i czytać ostrzeżenia banków, ale w jednym z wyroków sąd zauważył, że takie komunikaty nie zawsze są skuteczne. Naszym zdaniem Fryderyk mógłby iść do sądu choć – dodajmy szczerze – w jego przypadku kwestia rażącego niedbalstwa będzie dyskusyjna (choć niekoniecznie przesądzona). Fryderyk w końcu nie przeczytał ze zrozumieniem SMS-a, którego od banku otrzymał i nie upewnił się podczas logowania, że znajduje się na prawdziwej stronie banku. To podstawy, można by rzec, bezpiecznego bankowania. Ale czy bank skutecznie je na klientach wymusza i czy skutecznie im do głowy kładzie, jak bardzo jest to istotne i czym grozi odstępstwo od tych działań? Zwracaliśmy uwagę na to, że komunikaty w SMS-ach i aplikacjach mobilnych nie są super przejrzyste i nawet dla nas (ludzi z branży) mogą być nie w pełni jasne i zrozumiałe, co dopiero dla zwykłego Fryderyka. Czy nie powinno być tak, że jeśli klient nie wykona tych czynności “sprawdzających” to nie może wykonać transakcji? Bank powinien to przecież wymuszać (jest to i w jego interesie). Ale jak? Czy od strony banku można sprawdzić, że klient przeczytał URL na stronie logowania oraz treść SMS-a z kodem i to ze zrozumieniem? Tak. Jedyną opcją jest osobne, dedykowane wyłącznie do bankowości urządzenie wyposażone w mechanizmy challenge-response (elementem kodu autoryzującego jest np. kwota na jaką klient zleca przelew i numer rachunku docelowego. I to klient te parametry wpisuje. Wtedy nawet jeśli przestępca przechwyci kod socjotechniką i socjotechniką podstawi klientowi zły rachunek docelowy, to nie zmieni kwoty transakcji na wyższą i ukradnie tylko “złotówkę“). Ale niestety, żaden bank w Polsce z takich urządzeń nie korzysta, bo za drogo i zbyt niewygodnie dla klientów. Problem w tym, że za te wady “za drogo” i “zbyt niewygodnie” cenę ponoszą klienci, nie banki. Przejdźmy do następnego przypadku gdzie… bank w ogóle nie chciał dyskutować o niestaranności, a mimo to odmówił. BZ WBK (obecnie Santander): “Staranność klienta nie ma znaczenia” Z konta Pascala (imię zmienione) pewnego dnia wypłynęło ponad 15,7 tys. zł. Wszystko w trzech przelewach ekspresowych (dwa razy po 4,9 i raz 5,8 tys.). W ten sam sposób, tego samego dnia, ten sam sprawca okradł kilku innych ludzi. Najwyraźniej doszło do zainfekowania komputerów ofiar, co umożliwiło wykradzenie danych uwierzytelniających w celu ustanowienia odbiorcy zaufanego, do którego popłynęły przelewy. Przypominamy jeszcze, że BZ WBK (obecnie Santander) miał problem z fałszywą aplikacją mobilną w Google Play. Pascal złożył reklamację. Bank odmówił twierdząc, że autoryzacja była prawidłowa. Pascal zwrócił się więc do Rzecznika Finansowego, który przedstawił opinię zgodną z orzecznictwem sądów (czyli że transakcji autoryzowanej przez przestępcę nie sposób uznać za “autoryzowaną”). Oto fragment opinii RF. Bank odpowiedział na opinię Rzecznika Finansowego. Nie tylko stwierdził, że wszystko przebiegło jak należy, ale dodatkowo upomniał rzecznika, że prawa nie można rozumieć zbyt rygorystycznie: Dzięki tej odpowiedzi mamy wgląd w to, jak jeden z banków interpretuje ustawę. Bank przy tym całkiem przemilczał kwestię “rażącego niedbalstwa” i jest to zrozumiałe, bo trudno wykazać niedbalstwo u ofiary infekcji, która dodatkowo posiadała zabezpieczenie antywirusowe. A tak właśnie było z Pascalem. Choć bank uznał, że przepisy nie znajdują zastosowania, to na szczęście Pascal może się od takiej decyzji odwoływać i prowadzić spór sądowy z bankiem. Przypomnijmy – Sąd Najwyższy był nieco innego zdania. Naszym zdaniem Pascal powinien iść do sądu i — jeśli faktycznie w jego przypadku login, hasło i kod do autoryzacji pozyskano z zainfekowanego urządzenia, to powinien wygrać, bo w takim przypadku nie miał jak zauważyć ani błędnego URL strony banku podczas logowania, ani SMS-a dotyczącego transakcji (którego zazwyczaj po cichu “przechwytuje” złośliwa aplikacja mobilna). Ofiary takich ataków muszą jednak wcześniej zainfekować swoje urządzenie złośliwą aplikacją i dać jej zgodę na dostęp do SMS-ów (fakt: fałszywa aplikacja wygląda wiarygodnie, reklamuje się w wiarygodnych serwisach internetowych, a prośba o dostęp do SMS-ów nie budzi w tym kontekście podejrzeń). Niektóre reklamacje uznano Jak już wspomnieliśmy, ten kto okradł Pascala okradł również 5 innych osób na łączną kwotę 102 tys, zł. Sprawą zajęła się Prokuratura Rejonowa w Nowej Soli. Pascal napisał nam o czymś bardzo ciekawym, czego dowiedział się z dokumentów prokuratury. Otóż zostałem poinformowany, że dwie z sześciu osób okradzionych w ten sam dzień, w ten sam sposób, przez tego samego sprawcę itd. dostały od Banku Zachodniego zwrot środków na mocy porozumienia podpisanego w swoich oddziałach. Jako strona w sprawie łączonej dostałem wgląd do akt przesłuchań. Te osoby stwierdziły w zeznaniach, że zwrot nastąpił jedynie dlatego, że posiadają w Banku Zachodnim od wielu lat jeszcze kilka innych kont i pokaźnych lokat. Pascal pisał o tym także w pismach do banku i do Rzecznika Finansowego. BZ WBK uważa, że to absolutnie bez znaczenia. Sądzimy, że właśnie dlatego bank nie chce drążyć kwestii staranności i niedbalstwa. Bo czy Pascal mógł być bardziej niedbały niż inni klienci, których reklamacje uznano w kontekście — jak wygląda — tego samego ataku? Oczywiście swoimi kanałami również spytaliśmy BZ WBK o tę sprawę. Reprezentująca bank Ewa Krawczyk odpowiedziała nam krótko. Nie będziemy odnosić się do konkretnych przypadków, bo obowiązuje nas tajemnica bankowa. Bank każdy przypadek traktuje indywidualnie i tak go rozpatruje. Stracił pieniądze to niech odda laptopa! Jeszcze podrążymy sprawę Pascala. Z pism od banku wynika, że możliwość uznania roszczenia nie jest całkiem wykluczona, ale – zdaniem banku – wymaga to zakończenia postępowania karnego i ustalenia wszystkich faktów (bo sam bank przyznał nie wie wszystkiego, choć już raz (nie)wiedza na tym poziomie pozwoliła mu to odrzucić reklamację klienta). Niestety zgłoszenie sprawy na policję skończyło się dla Pascala wydaniem postanowienia o zatrzymaniu jego sprzętu. Laptop został zatrzymany na około 3 miesiące. Nie jest dla nas tajemnicą, że policja zwykle zatrzymuje sprzęt na długo ze względu na słabą dostępność biegłych. Znamy przypadki, gdy sprzęt trzymany był około 2 lat! Laptop został mi zabrany na 3 miesiące, w z związku z czym możliwość pracy zawodowej została bardzo ograniczona. Odbiło się to mocno na dochodach w tym okresie i tak naprawdę skutkuje do dziś. W mojej branży tak długie zaniedbywanie klientów i pozbawienie narzędzia pracy wraz z wszystkimi materiałami powoduje nieodwracalne straty finansowe i niestety wizerunkowe. Pascal miał szczęście bo pewna osoba zbliżona do organów ścigania dała mu cynk kiedy policja przyjdzie po sprzęt. To może być bardzo zaskakująca wizyta, a niewydanie sprzętu może być uznane za utrudnianie postępowania. Tu damy też jedną radę osobom poszkodowanym, u drzwi których pojawia się policjant z nakazem zabrania sprzętu. Policjanci, zgodnie z prawem, w większości przypadków powinni jedynie zabezpieczyć nośniki danych (np. dyski) a nie cały sprzęt i mogą się przy tym zgodzić na skopiowanie ważnych danych i należy na to naciskać. A w przypadku odmowy, pisać skargi. Polecamy lekturę naszego cyklu “Poniedziałek z Prawnikiem”, gdzie poruszaliśmy problem przeszukania lokalu przez policję — jak się zachować i co mogą zabrać policjanci oraz odpowiedzi na Wasze pytania w tej sprawie tu i tu. Wróćmy do Wandy (też BZ WBK/Santander) Teraz chcemy jeszcze raz wrócić do przypadku Wandy, który był opisany w tekście o kradzieżach z wyłudzeniami kart SIM. Tak się składa, że Wanda również była klientką BZ WBK/Santander, a jej reklamacji również nie uznano. Przypomnijmy – Wanda została okradziona po tym, jak oszust wyłudził z salonu T-Mobile duplikat karty SIM. W przypadku ofiar podmianki karty SIM naprawdę trudno mówić o “rażącym niedbalstwie”. Przecież do wyłudzenia kart dochodzi albo z powodu niedbalstwa firmy telekomunikacyjnej, albo z powodu posłużenia się przez oszusta sfałszowanym dowodem osobistym. Czy zatem klient może być uznany za “rażąco niedbałego”, jeśli stał się ofiarą oszustwa dokonanego w salonie operatora? Naszym zdaniem absolutnie nie. Oto fragment policyjnego dokumentu dotyczącego tej sprawy. Wanda podobnie jak Pascal zgłosiła sprawę na policję, ale śledztwo w tej sprawie już zostało zakończone umorzeniem. Co prawda ktoś pojawił się w salonie z pełnomocnictwem, ale policja nie zabezpieczyła nagrań z monitoringu w salonie (*slow poke*). Zadowolono się wyjaśnieniami, że osoby prowadzące salon nie miały podejrzeń co do pełnomocnictwa. Pieniądze przelane na konto oszusta zostały wypłacone z bankomatów, które też powinny być monitorowane, ale… nie były. Przesłuchano też właścicieli rachunków w mBanku. Jak zapewne się domyślacie, były to osoby bezrobotne i nadużywające alkoholu, którym ktoś kiedyś zaproponował 200 zł za założenie rachunku… Łańcuch niemocy cię okradł, kliencie Widzimy tutaj coś, co można nazwać “łańcuchem niemocy”. Właściciele salonu T-Mobile nie mogli dostrzec nic podejrzanego w pełnomocnictwie, policja nie mogła poprosić o nagrania z salonu, bankomaty nie zawsze mają monitoring i najważniejsze – bank nie poczuwa się do odpowiedzialności. Klient okradziony na kwotę ponad 200 tys. zł pozostaje sam i może tylko się sądzić. Już wcześniej pytaliśmy T-Mobile o salon w Błoniu. Operator w ogóle nie odpowiedział na nasze pytania. Bo nie musi. Wiele instytucji wielu rzeczy nie musi. Łańcuch niemocy lubi to! Dodajmy, że Wanda skierowała sprawę do sądu. Gdy ostatnio ją pytaliśmy, czekała na wyznaczenie terminu rozprawy. Takie sprawy niestety ciągną się latami, a z wykradzionych pieniędzy Wanda korzystać nie może. “Na reklamację odpowiemy jak skończy się śledztwo” Przyjrzyjmy się jeszcze jednemu przypadkowi. Lucjuszowi (imię zmienione) ukradziono z konta 26 tys. złotych. Nie jesteśmy całkowicie pewni jak do tego doszło. Lucjusz stwierdził, że przy próbie zalogowania się do bankowości elektronicznej Santander (Dawniej BZ WBK) na stronie internetowej banku pojawiło się “nieznane mu okno” i był jakiś problem z zalogowaniem. Po wyjściu z pracy podczas jazdy samochodem mój smartfon zaczął dziwnie się zachowywać po odebraniu “wiadomości systemowej” zaczął się zawieszać, mrugać, nie mogłem wykonać żadnej operacji. Po próbie zamknięcia wszystkich aplikacji i po kilku minutach wszystko wróciło do normy ale to był czas który był wg mnie potrzebny do wykradnięcia SMS Kodu. Sytuacja powtórzyła się jeszcze raz później, około Lucjusz ujrzał też na telefonie zachętę do zmiany domyślnej aplikacji do SMS-ów. Nie jesteśmy całkowicie pewni czy dziwne zachowanie smartfona miało związek z kradzieżą, ale tak czy owak do kradzieży doszło i sprawa została zgłoszona na Policję. Lucjusz złożył też reklamację do banku. Santander w pewnym sensie nie odpowiedział na reklamację. Owszem, Lucjiusz otrzymał pismo z banku, w którym stwierdzono, że “zakwestionowane operacje finansowe zostały wykonane zgodnie z otrzymaną dyspozycją oraz potwierdzone odpowiedzią z smsKodem (…)”. Napisano też: “to zdarzenie prawdopodobnie ma związek z obecnością złośliwego oprogramowania na państwa urządzeniach”. Dalej bank napisał, że… Z uwagi na powyższe okoliczności decyzja w przedmiocie roszczenia może zostać podjęta dopiero po zakończeniu postępowania prowadzonego przez organy ścigania Czyli bank de facto nie odpowiedział na reklamację. Raczej przesłał on do klienta pismo z informacją, że odpowiedź zostanie udzielona po bardzo długim czasie. Tego typu śledztwa mogą trwać wiele miesięcy lub ponad rok, a co w tym czasie ma robić ofiara, która nawet byłaby gotowa iść do sądu? Czy ma czekać? Nie musisz czekać na zakończenie śledztwa Nie każdy wie, że rozpatrywaniu reklamacji przez banki jest poświęcona osobna ustawa (o rozpatrywaniu reklamacji przez podmioty rynku finansowego i o Rzeczniku Finansowym). Ta ustawa daje konkretny czas na udzielenie odpowiedzi, a jeśli bank odpowiedzi nie udziela to reklamację uważa się za uznaną. Postanowiliśmy więc zadać Rzecznikowi Finansowemu proste pytanie – czy bank może wydłużać termin na odpowiedź do czasu zakończenia śledztwa? Odpowiedzi udzielił nam Marcin Jaworski, ekspert ds. komunikacji i edukacji z biura Rzecznika Finansowego. Pogrubienia w odpowiedzi zostały dodane przez nas. Nie ma żadnego przepisu, który by pozwalał przedłużyć czas odpowiedzi na reklamacje powyżej 60 dni. Generalną zasadą jest udzielenie odpowiedzi w ciągu 30 dni, a tylko w wyjątkowych przypadkach może on zostać wydłużony do 60 dni. (więcej szczegółów w załączonym schemacie). W praktyce w tego typu przypadkach nie ma też specjalnych podstaw do oczekiwania na zakończenie śledztwa w sprawie kradzieży pieniędzy z konta bankowego. Z punktu widzenia odpowiedzialności banku istotne znaczenie ma tylko to, czy jest on w stanie udowodnić, że to klient autoryzował taką transakcję, albo doprowadził do jej realizacji umyślnie lub wskutek rażącego niedbalstwa. Podkreślam, że ma udowodnić, a nie tylko uprawdopodobnić. To oznacza, że wskazanie przez bank faktu przeprowadzenia transakcji w serwisie internetowym, nie oznacza, że transakcja została przez klienta autoryzowana. Jeśli bank nie jest w stanie tego udowodnić, powinien niezwłocznie zwrócić konsumentowi kwotę nieautoryzowanej transakcji płatniczej. Odpowiedzialność konsumenta ogranicza się co najwyżej do równowartości kwoty 50 euro. Sądy, włącznie z Sądem Najwyższym, podkreślają, że bank, jako profesjonalista powinien opracować takie rozwiązania i procedury, żeby było niemożliwe posłużenie się nimi przez osoby nieuprawnione. Takie podejście podziela też Rzecznik Finansowy. Warto podkreślić, że ta zasada zgodnie z którą ryzyko odpowiedzialności z tytułu przeprowadzenia nieautoryzowanej transakcji płatniczej spoczywa w całości na banku, została wprowadzona przez unijną dyrektywę PSD regulującą kwestię usług płatniczych i jest ona powtórzona w polskiej ustawie o usługach płatniczych. Na zakończenie warto wspomnieć, że spotykamy się ze skandaliczną praktyką niektórych banków, wobec osób, którym przestępcy nie tylko ukradli zgromadzone na koncie pieniądze, ale też zaciągnęli kredyt korzystając z uproszczonych procedur jego udzielania w ramach serwisu transakcyjnego. Notujemy przypadki, w których banki z jednej strony odmawiają przyjęcia odpowiedzialności do czasu zakończenia śledztwa, ale z drugiej żądają od klienta regularnych spłat zaciągniętego przez przestępców kredytu. Warto też zwrócić uwagę, że od 20 grudnia wchodzą w życie nowe przepisy ustawy o usługach płatniczych, które przewidują skrócenie podstawowego terminu rozpatrywania reklamacji przez dostawcę usług płatniczych do 15 dni roboczych od dnia otrzymania reklamacji. W szczególnie skomplikowanych przypadkach przewidywany termin rozpatrzenia reklamacji i udzielenia odpowiedzi, powinien być nie dłuższy niż 35 dni roboczych od dnia otrzymania reklamacji. Trzeba podkreślić, bo ta kwestia często budzi wątpliwości, do zachowania tych terminów, jest wystarczające wysłanie odpowiedzi przed ich upływem, a w przypadku odpowiedzi udzielonych na piśmie – nadanie w placówce pocztowej. Pan Marcin wspomniał o “załączonym schemacie” i chyba zapomniał go załączyć, ale sami znaleźliśmy go sobie na stronie Rzecznika Finansowego. Zwróćcie uwagę, że wydłużenie czasu odpowiedzi na reklamację powinno się wiązać ze wskazaniem okoliczności, które muszą zostać ustalone do rozpatrzenia sprawy. Owszem, w opisanej sytuacji Santander wskazał pewną okoliczność (zakończenie śledztwa), ale przecież bank nie ma wpływu na zaistnienie tej okoliczności i jest niezwykle mało prawdopodobne, by okoliczność ta zaistniała w przewidzianym terminie. Kiedy bank może przedłużyć odpowiedź na reklamację? Nie jest żadną tajemnicą, że banki zwykle odpowiadają na trudne reklamacje w ostatnim dniu na odpowiedź. Jest to niewątpliwie strategia obliczona na to, aby niezadowolony klient “ochłonął”, a być może także zniechęcił się do dalszej walki. W tym kontekście zmiana ustawy i skrócenie terminów wydawało się niezłym pomysłem. Co robić? Jak żyć? Dla klientów mamy dwie wiadomości, dobrą i złą. Dobra wiadomość – prawo jest po waszej stronie. Zła wiadomość – banki, ze zrozumiałych powodów, to prawo interpretują inaczej niż Rzecznik Finansowy i na razie nie ma instrumentów, żeby je zmusić do działania zgodnie z przepisami. Dlatego przede wszystkim radzimy nie trzymać oszczędności całego życia (całych środków firmy) na jednym koncie. W razie grubszej kradzieży zostaniecie pozbawieni nawet pieniędzy potrzebnej na wynajęcie prawnika, a to może wam się bardzo przydać. Wyegzekwowanie pieniędzy na drodze polubownej może być trudne lub niemożliwe. Owszem, można pisać odwołania do rzeczników klienta czy Rzecznika Finansowego, ale to może oznaczać wydawanie pieniędzy na znaczki i tracenie czasu na poczcie. Z naszych obserwacji wynika, że wprowadzona w niektórych bankach instytucja “rzecznika klienta” służy głównie temu, aby wydłużyć procedurę odzyskiwania pieniędzy i aby ktoś kreatywnie odpisał dlaczego zwrot pieniędzy nie wchodzi w grę. Podkreślamy w tym miejscu, że rozumiemy opór banków, które myślą w takich oto kategoriach: “Jeśli zaczniemy oddawać pieniądze każdej ofierze kradzieży to otworzymy niebezpieczną furtkę”. Z drugiej jednak strony prawo ukształtowano z myślą, że to bank ma być profesjonalistą od zabezpieczeń, a klient to amator. Klient nie ma wpływu na poziom zabezpieczeń, a bank go ma. Profesjonalizm banków w zakresie faktycznie trudnych do sforsowania zabezpieczeń wymagałby – powiedzmy szczerze – pewnych ustępstw w dziedzinie user experience. Wspomniane przez nas wyżej magiczne urządzenie do bankowości (i niczego innego) lub zwiększona częstość potwierdzania podejrzanych transakcji telefonicznie (oj, to koszty dla banku, a banki kosztów nie lubią). Dlatego póki co pozostaje Ci się, drogi czytelniku, zabezpieczać na własną rękę. Polecamy Twojej uwadze nasze artykuły o tym jak bezpiecznie korzystać z bankowości internetowej: 6 rad jak bezpiecznie wykonywać przelewy W ten sposób najczęściej są okradani Polacy — uważaj na te SMS-y Jak złodzieje od lat okradają Polaków na miliony Płatność iPhonem bezpieczniejsza niż kartą zbliżeniową Dlaczego (nie)warto używać aplikacji mobilnej banku Więcej porad dotyczących bezkosztowego zabezpieczenia swojego konta w banku, ale także danych przed wyciekami i prywatności przekazujemy na naszym wykładzie “Jak nie dać się zhackować?” skierowanym do każdego, kto korzysta z internetu na komputerze lub smartfonie Dowiedz się, jak zabezpieczyć swoje pieniądze, dane i tożsamość przed cyberprzestępcami. Wpadnij na nasz kultowy 3,5 godzinny wykład pt. "Jak nie dać się zhackować?" i poznaj kilkadziesiąt praktycznych i prostych do wdrożenia porad, które skutecznie podniosą Twoje bezpieczeństwo. Na ten wykład powinien przyjść każdy, kto korzysta z internetu na smartfonie lub komputerze. Prowadzimy go przystępnym językiem, przeplatając demonstracjami ataków na żywo -- dlatego zabierz ze sobą swoich rodziców! W najbliższych tygodniach będziemy w poniższych miastach: WARSZAWA, 6 września 2022 -- kliknij tu aby się zapisać! BIAŁYSTOK, 7 września 2022 -- zapisz się klikając tutaj! LUBLIN, 13 września 2022 -- kliknij tu aby się zapisać! POZNAŃ, 18 września 2022 -- kliknij tu aby się zapisać! RZESZÓW, 22 września 2022 -- kliknij tu aby się zapisać! KRAKÓW, 26 września 2022 -- kliknijże tu i zapiszże się! KATOWICE, 3 października 2022 -- kliknij tu aby się zapisać! GDAŃSK, 7 października 2022 -- kliknij tu aby się zapisac! WROCŁAW, 11 października 2022 -- kliknij tu aby się zapisać! Zobacz pełen opis wykładu klikając tutaj lub kup bilet na wykład klikając tu. Banki powinny też brać pod uwagę, że ich działania marketingowe skłaniają ludzi do korzystania z e-bankowości i bankowości mobilnej. Wzrost liczby użytkowników dobrze wygląda w raportach, ale nie zawsze idzie za tym świadomość w temacie bezpieczeństwa. Na marginesie — czy któryś z banków oferuje “bezpieczną bankowość”, tj. taką, za którą on ponosi 100% winy? Może niektórzy klienci byliby w stanie zrezygnować z dostępu online (świadomie i całkowicie chcieliby go zablokować)? Transakcje chcieliby wykonywać w oddziale, bo robią to rzadko, albo dany rachunek to jedynie ich rachunek oszczędnościowy. Gdyby pieniądze zniknęły z konta, przy wyłącznie dostępie “przez placówkę”, wina byłaby wtedy w 100% po stronie kasjera, który ew. źle zweryfikował dowód kolekcjonerski. Nic nie można by klientowi-ofierze zarzucić. Czy jakiś bank jeszcze na takie “upośledzone” konto bez dostępu poza placówką pozwala? Kto wie? I tak dochodzimy do smutnego wniosku. Klienci są przez banki zachęcani do korzystania z udogodnień technicznych, których w pełni nie rozumieją, zwłaszcza pod kątem zagrożeń. A kiedy ich niewiedza wyjdzie na jaw, cierpią oni, a nie bank, który ich do nowoczesnej, szybkiej, “bezpiecznej” i wygodnej metody dostępu zachęcił. Łatwość dokonywania transakcji, wygoda i bezpieczeństwo nie zawsze idą w parze… Przeczytaj także: