Oszustwa bankowe
nieautoryzowane transakcje handlowe

⬥ Stan faktyczny

Bohaterem sprawy był klient jednego z dużych banków komercyjnych. Pewnego dnia odebrał telefon z numeru, który w identyfikacji wyświetlał się jako oficjalna infolinia banku. Rozmówca przedstawił się jako pracownik działu bezpieczeństwa i poinformował o rzekomej próbie nieautoryzowanego przelewu z konta klienta. Działał bardzo profesjonalnie,  znał jego imię i nazwisko, a ton rozmowy brzmiał urzędowo.

Oszust poinstruował klienta, że aby „zatrzymać” podejrzaną transakcję, musi wprowadzić kod SMS, który za chwilę otrzyma. W rzeczywistości kod służył do autoryzacji nowego przelewu wysokiej wartości. Klient w dobrej wierze wprowadził kod, wierząc, że ratuje swoje pieniądze.

Po kilku minutach na rachunku zniknęła kwota ponad 80 000 zł.

Mężczyzna natychmiast skontaktował się z bankiem, zablokował konto i zgłosił reklamację, domagając się zwrotu środków jako nieautoryzowanej transakcji. Równolegle złożył zawiadomienie o przestępstwie. Bank po kilku tygodniach odpowiedział odmownie. W uzasadnieniu wskazał, że klient sam zatwierdził operację kodem SMS, co — zdaniem banku — oznaczało jej autoryzację.

⬥ Dalszy przebieg sprawy

Spór trafił na drogę sądową. W toku postępowania sąd przeanalizował nie tylko treść korespondencji z bankiem i potwierdzenia transakcji, ale również mechanizm, w jaki doszło do oszustwa. Istotne było, że:

• połączenie telefoniczne pochodziło z numeru, który wyglądał jak autentyczna infolinia banku (tzw. spoofing), 
• rozmówca posługiwał się szczegółowymi danymi klienta, co uwiarygodnia przekaz, 
• przelew miał charakter nietypowy — wysoka kwota i odbiorca zagraniczny, 
• bank nie zastosował żadnych dodatkowych procedur bezpieczeństwa ani nie próbował potwierdzić operacji alternatywnym kanałem. 

W sprawie przywołano przepisy ustawy o usługach płatniczych implementujące dyrektywę PSD2- szczególnie art. 45, który nakłada na bank obowiązek udowodnienia, że transakcja została faktycznie autoryzowana przez klienta.

⬥ Wyrok i uzasadnienie

W wyroku z dnia 17 stycznia 2020 r., sygn. akt I ACa 1511/18, Sąd Apelacyjny w Łodzi uznał, że doszło do nieautoryzowanej transakcji, a bank nie wykazał, by klient działał umyślnie lub rażąco niedbale.

Sąd wskazał, że:

• podanie kodu SMS w sytuacji manipulacji nie oznacza świadomego udzielenia zgody na transakcję, 
• sam fakt potwierdzenia operacji nie może być automatycznie utożsamiany z autoryzacją w rozumieniu przepisów, 
• obowiązek zapewnienia odpowiedniego poziomu bezpieczeństwa i wychwytywania nietypowych operacji spoczywa na banku, 
• bank powinien był wdrożyć skuteczniejsze procedury ochronne. 

W konsekwencji bank został zobowiązany do zwrotu pełnej kwoty utraconych środków wraz z odsetkami.

⬥ Wnioski z orzeczenia

Ten przypadek dobrze pokazuje, że w sytuacjach oszustw opartych na spoofingu i manipulacji nie można automatycznie przerzucać winy na ofiarę. Sąd wyraźnie podkreślił, że to instytucja finansowa ponosi odpowiedzialność za skuteczne zabezpieczenie transakcji, a nie klient, który został zmanipulowany.

Wyrok stanowi ważny punkt odniesienia w podobnych sprawach, pokazuje, że odmowa zwrotu środków przez bank nie przesądza o wyniku sporu.