Dzwoni telefon. Wyświetlacz smartfona pokazuje oficjalną nazwę Twojego banku. Głos w słuchawce przedstawia się jako pracownik działu bezpieczeństwa i informuje, że Twoje oszczędności są zagrożone lub że właśnie trwa próba nielegalnego wyprowadzenia środków. Konsultant jest niezwykle profesjonalny, mówi spokojnym głosem i operuje faktami, o których-  jak Ci się wydaje-  wiedzę może mieć wyłącznie bank. Aby zablokować rzekomy atak i zabezpieczyć konto, prosi o zainstalowanie na telefonie lub komputerze aplikacji do zdalnego pulpitu, takiej jak AnyDesk czy TeamViewer. Pod wpływem ogromnego stresu i autorytetu instytucji finansowej wykonujesz polecenia. Kilka godzin później logujesz się do bankowości elektronicznej i przeżywasz szok: oszczędności życia zniknęły, a na Twoim profilu widnieją gigantyczne, nowo zaciągnięte pożyczki, o które nigdy nie wnioskowałeś.

To nie scenariusz filmu kryminalnego, ale codzienna rzeczywistość tysięcy osób, które padają ofiarą zaawansowanych przestępstw socjotechnicznych, takich jak vishing czy spoofing. Największy dramat poszkodowanych zaczyna się jednak wtedy, gdy zgłaszają sprawę do swojego banku, licząc na pomoc. Zamiast wsparcia, niemal natychmiast otrzymują standardową odmowę uznania reklamacji. Banki masowo umywają ręce, wmawiając ofiarom tzw. „rażące niedbalstwo” i bezdusznie żądając spłaty wyłudzonych przez przestępców kredytów.

Czy w takiej sytuacji jesteś na straconej pozycji i musisz płacić za błędy przestępców? Absolutnie nie. Przepisy prawa oraz coraz silniejsza, niezwykle korzystna linia orzecznicza sądów w całej Polsce wyraźnie pokazują, że odpowiedzialność za te zdarzenia spoczywa na instytucjach finansowych. Banki mają ustawowy obowiązek chronić nasze środki przed przestępcami, a ich systemy antyfraudowe zbyt często zawodzą. Masz pełne prawo walczyć w sądzie o zwrot każdej utraconej złotówki oraz o całkowite unieważnienie fikcyjnych długów. W tym artykule wyjaśniamy, jak skutecznie wygrać batalię z bankiem.

Przykład z naszej praktyki: Jak w 48 godzin stracić oszczędności i zyskać fikcyjne kredyty

Aby najlepiej zrozumieć mechanizm tego przestępstwa oraz to, gdzie leży realna odpowiedzialność, warto przyjrzeć się sprawie jednej z naszych klientek, 70-letniej pani Janiny z Gdańska. Jej historia idealnie obrazuje, że współczesny vishing to nie jest zwykłe „nabranie się” na losowy telefon, lecz precyzyjnie wyreżyserowany atak bazujący na informacjach, które powinny być pilnie strzeżone przez bank.

Wszystko zaczęło się od rutynowej operacji – bankomat zatrzymał kartę płatniczą klientki bez jakiejkolwiek winy z jej strony. Pani Janina natychmiast udała się do oddziału, zastrzegła kartę, wypłaciła gotówkę w kasie i złożyła dyspozycję wydania nowej karty, która miała zostać przesłana tradycyjną pocztą. Zaledwie cztery dni później na jej telefon zadzwonił mężczyzna podający się za pracownika banku. Zaoferował „pomoc w aktywacji nowej karty”. Co kluczowe, oszust doskonale wiedział, że poprzednia karta została zablokowana i że klientka czeka na przesyłkę z nowym plastikiem. Dla 70-letniej kobiety był to ostateczny dowód na to, że rozmawia z oficjalnym przedstawicielem instytucji finansowej. Pod wpływem autorytetu rozmówcy podała dane logowania i zainstalowała na telefonie oprogramowanie AnyDesk, dające przestępcom zdalny wgląd w ekran urządzenia.

To, co wydarzyło się w ciągu kolejnych 48 godzin, obciąża wyłącznie systemy bezpieczeństwa banku. Przestępcy uzyskali pełną kontrolę nad bankowością elektroniczną i błyskawicznie przystąpili do drenażu konta:

Wyprowadzili oszczędności klientki za pomocą ekspresowego przelewu SORBNET na kwotę 30 500 zł z fikcyjnym i kuriozalnym tytułem „darowizna dla wnuczki z okazji urodzin” przekazanym na konto obcego mężczyzny.

Zaciągnęli za pomocą bankowości elektronicznej dwie pożyczki na łączną kwotę 64 000 zł (odpowiednio 50 000 zł i 14 000 zł), które system bankowy przyznał automatycznie w zaledwie kilka minut.
 

Środki z wyłudzonych pożyczek natychmiast przelali przez bramkę płatniczą Autopay oraz za pomocą sześciu transakcji bezgotówkowych zrealizowanych… w Dubaju w Zjednoczonych Emiratach Arabskich na kwotę blisko 40 000 zł.

Najbardziej zatrważający w tej historii jest fakt, że transakcje w Dubaju zostały autoryzowane w systemie nową kartą płatniczą, która w tym samym czasie fizycznie znajdowała się w nienaruszonej, zamkniętej kopercie w drodze pocztowej do Polski. Klientka wyjęła ją ze skrzynki kilka dni po tym, jak jej konto zostało już doszczętnie wyczyszczone. System bankowy pozwolił na cyfryzację i pełne użycie karty na drugim końcu świata, zanim jej prawny posiadacz w ogóle dotknął przesyłki. Mimo tak drastycznego, anomalnego wzorca transakcji u starszej osoby, systemy antyfraudowe banku nie zablokowały ani jednej operacji. Po odkryciu kradzieży bank odrzucił reklamację, żądając spłaty rat kredytów.

Anatomia manipulacji a luki w systemach bankowych

Główną linią obrony banków w starciu z poszkodowanymi klientami jest powoływanie się na regulaminy oraz twierdzenie, że udostępnienie haseł lub instalacja programu typu AnyDesk stanowi „rażące niedbalstwo” użytkownika. Banki próbują sprowadzić sprawę do prostej narracji: „klient sam oddał klucze do mieszkania złodziejowi, więc sam jest sobie winien”. Z punktu widzenia prawa i psychologii społecznej taka argumentacja jest głęboko wadliwa.

Przede wszystkim należy rozróżnić zwykłe niedbalstwo od rażącego niedbalstwa. Rażące niedbalstwo to zachowanie graniczące z umyślnością, całkowite zlekceważenie elementarnych zasad ostrożności, które są oczywiste dla każdego człowieka. Tymczasem w przypadku spersonalizowanego vishinghu mamy do czynienia z profesjonalnym, socjotechnicznym atakiem. Przestępcy nie działają na oślep. Dysponują pakietem informacji o kliencie, które stanowią ścisłą tajemnicę bankową – znają historię niedawnych zdarzeń, numery telefonów czy status wydawanych produktów.

Jeżeli klient ulega manipulacji dlatego, że dzwoniący oszust operuje prawdziwymi danymi z systemu bankowego, to zaufanie klienta nie jest bezmyślnością, lecz logicznym następstwem faktu, że bank nie dopilnował poufności swoich danych. Atak był sprofilowany za pomocą wiedzy, której źródło znajdowało się w banku lub u jego podwykonawców. Bank nie może czerpać korzyści procesowych i zrzucać winy na konsumenta w sytuacji, gdy przestępstwo stało się możliwe przez nieszczelność jego własnego systemu informacyjnego lub proceduralnego.

Przepisy chronią konsumenta- ustawa o usługach płatniczych

Pozycja prawna poszkodowanego konsumenta w starciu z bankiem jest wbrew pozorom bardzo silna. Kluczowe znaczenie mają tutaj przepisy Ustawy o usługach płatniczych (u.u.p.) oraz Kodeksu cywilnego (k.c.).

Po pierwsze, zgodnie z art. 46 ust. 1 u.u.p., w przypadku wystąpienia nieautoryzowanej transakcji płatniczej (czyli takiej, na którą klient nie wyraził zgody), bank ma bezwzględny obowiązek niezwłocznego zwrotu kwoty tej transakcji płatnikowi. Powinno to nastąpić najpóźniej do końca następnego dnia roboczego po dniu stwierdzenia transakcji lub po otrzymaniu stosownego zgłoszenia. Bank może się od tego uchylić tylko wtedy, gdy ma udokumentowane podejrzenie oszustwa ze strony samego klienta i zgłosi to organom ścigania. Co niezwykle istotne, zgodnie z art. 45 u.u.p., to na banku spoczywa ciężar udowodnienia, że transakcja była prawidłowo uwierzytelniona i autoryzowana. Samo wykazanie przez bank, że operacja została zatwierdzona z użyciem loginu, hasła czy kodu SMS, w świetle polskiego prawa nie jest wystarczającym dowodem na to, że transakcję autoryzował klient, ani że dopuścił się rażącego niedbalstwa.

Po drugie, w odniesieniu do wyłudzonych kredytów i pożyczek, fundamentalne znaczenie mają przepisy Kodeksu cywilnego dotyczące oświadczeń woli (art. 60 w zw. z art. 58 k.c.). Aby umowa pożyczki była ważna, konieczny jest tzw. konsens stron – czyli zgodne, świadome i swobodne oświadczenie woli klienta i banku. W sytuacji, gdy procedurę kredytową przechodzą oszuści ukryci za sesją zdalnego pulpitu, klient nie ma najmniejszego zamiaru zaciągania długu. Jego wola nie była skierowana na wywołanie takiego skutku prawnego. Skoro poszkodowany nie złożył oświadczenia woli o zawarciu umowy pożyczki, to stosunek prawny pożyczki pomiędzy nim a bankiem w ogóle nie powstał. Umowa ta z punktu widzenia prawa nie istnieje, a bank nie ma żadnej podstawy prawnej do żądania spłaty rat ani naliczania odsetek.

Dodatkowo, art. 50 ust. 2 Prawa bankowego nakłada na instytucje finansowe obowiązek dochowania szczególnej staranności w zakresie zapewnienia bezpieczeństwa przechowywanych środków pieniężnych. Jako profesjonalistów, banki obowiązuje podwyższony miernik staranności (art. 355 § 2 k.c.). Dopuszczenie do sytuacji, w której systemy IT bezrefleksyjnie zatwierdzają lawinę skrajnie nietypowych operacji (jak nagłe pożyczki i natychmiastowe transfery zagraniczne nowo wydaną kartą przed jej odebraniem), stanowi ewidentne niedopełnienie tego profesjonalnego standardu.

Banki przegrywają w całej Polsce- orzecznictwo sądów polski

Wszystkie powyższe argumenty prawne znajdują pełne odzwierciedlenie w orzecznictwie polskich sądów powszechnych. Sądy coraz surowiej oceniają bezduszne podejście banków i w hurtowy sposób wydają wyroki nakazujące zwrot zagrabionych oszczędności oraz anulowanie wyłudzonych kredytów.

Modelowym przykładem jest głośny wyrok Sądu Rejonowego w Człuchowie z dnia 8 lutego 2024 r. (sygn. akt I C 251/23). W sprawie tej powódka padła ofiarą sprytnego oszustwa socjotechnicznego – przestępcy podający się za doradców inwestycyjnych nakłonili ją do wykonywania operacji w aplikacji mobilnej w celu rzekomego księgowania zysków. W rzeczywistości oszuści uzyskali dostęp do jej rachunku i uruchomili w jej imieniu wysoki limit kredytowy na kwotę 50 000 zł, po czym wyprowadzili te pieniądze. Bank kategorycznie domagał się spłaty zadłużenia. Sąd Rejonowy w Człuchowie wbił szpilę w narrację banku i uwzględnił powództwo konsumentki w całości. Sąd na podstawie art. 189 k.p.c. orzekł o nieistnieniu stosunku prawnego kredytu. W uzasadnieniu sędzia wskazał wprost, że formalne zatwierdzenie operacji w aplikacji pod wpływem podstępu nie stanowiło świadomego oświadczenia woli powódki. Sąd uznał umowę kredytową za niebyłą, a na podstawie przepisów o bezpodstawnym wzbogaceniu (art. 405 k.c.) nakazał bankowi natychmiastowy zwrot wszystkich kwot, które ten zdążył bezprawnie pobrać z konta kobiety na poczet spłaty fikcyjnego długu.

Podobne stanowisko zajął Sąd Rejonowy Szczecin-Centrum w Szczecinie w wyroku z dnia 23 maja 2023 r. (sygn. akt XI C 1225/21). W tamtejszym postępowaniu sąd drobiazgowo przeanalizował techniczne aspekty uwierzytelniania i odpowiedzialności za bezpieczeństwo kanałów elektronicznych. Skonstatowano, że zabezpieczenia banku muszą być odporne na zaawansowane metody infiltracji ze strony osób trzecich. Jeśli przestępcy są w stanie przejąć sesję logowania, to system autoryzacji banku nie spełnia swojej ustawowej roli, a ryzyko z tym związane nie może być przerzucane na konsumenta.

Sprawy te odbijają się szerokim echem w ogólnopolskich mediach ekonomicznych. Portale takie jak Bankier.pl regularnie opisują batalie sądowe ofiar cyberoszustw, które kończą się porażkami instytucji finansowych. Dziennikarze i eksperci rynku finansowego wprost wskazują, że banki bezprawnie próbują przymusić poszkodowanych klientów do spłaty wyłudzonych na ich dane zobowiązań, jednak w zderzeniu z profesjonalnie przygotowanym pozwem sądowym ich argumentacja rozpada się jak domek z kart.

Jak możemy Ci pomóc?

Świadomość prawna i znajomość aktualnej linii orzeczniczej to pierwszy i najważniejszy krok do odzyskania utraconego bezpieczeństwa finansowego. Jeżeli Ty lub ktoś z Twoich bliskich znaleźliście się w podobnej sytuacji – Wasze konto zostało wyczyszczone, a bank nęka Was wezwaniami do spłaty kredytu, który zaciągnęli oszuści-  pamiętajcie: nie musicie zgadzać się z niesprawiedliwą decyzją banku. Macie pełne prawo domagać się sprawiedliwości przed sądem.

Nasza kancelaria posiada wieloletnie i bogate doświadczenie w prowadzeniu procesów przeciwko największym bankom w Polsce w sprawach o nieautoryzowane transakcje bankowe oraz wyłudzenia kredytów przez AnyDesk, vishing czy phishing. Praktycznie w każdym tygodniu zgłaszają się do nas kolejne osoby poszkodowane przez cyberprzestępców. Wiemy, jak rozmawiać z bankami, jakich dokumentów i logów systemowych żądać na etapie procesu oraz jak skutecznie wykazać przed sądem luki w procedurach bezpieczeństwa instytucji finansowych. Pomagamy naszym klientom przejść przez cały proces bezstresowo, doprowadzając do unieważnienia fikcyjnych długów i odzyskania zrabowanych oszczędności.

Nie czekaj, aż bank rozpocznie wobec Ciebie procedurę windykacyjną lub dokona wpisów w BIK, które zablokują Twoją wiarygodność finansową. Skontaktuj się z nami już dziś, aby przesłać dokumenty do bezpłatnej, wstępnej analizy prawnej Twojego przypadku. Przeanalizujemy historię transakcji, ocenimy szanse procesowe i pomożemy Ci odzyskać spokój oraz utracone pieniądze.