- Bezprawnik -
- Finanse -
- BNP Paribas zatrzymał duży przelew. Potem zadzwonił do klientki, ale pieniądze i tak trafiły do oszustów
BNP Paribas zatrzymał duży przelew. Potem zadzwonił do klientki, ale pieniądze i tak trafiły do oszustów
Przelew na 39 891 zł zatrzymał system antyfraudowy BNP Paribas. Chwilę później do klientki zadzwoniła prawdziwa pracownica banku, kobieta potwierdziła transakcję — i pieniądze trafiły na konto oszustów. Bank uważa, że transakcja została autoryzowana prawidłowo, więc zwrot pieniędzy się klientce nie należy.
Nie chodzi o to, czy klientka potwierdziła przelew, tylko co właściwie wtedy potwierdzała
Zaczęło się od telefonu w sprawie pożyczki, którą ktoś rzekomo próbował wziąć na dane kobiety. Potem odezwał się do niej mężczyzna przedstawiający się jako pracownik banku, a w rozmowach brał udział również rzekomy policjant. Oszuści zerwali lokaty i przygotowali przelew, a kobiecie powtarzali, że jej jedynym zadaniem będzie potwierdzenie hasła bezpieczeństwa.
Jak relacjonuje bankier.pl, obie strony (czyli pokrzywdzona klientka i bank) opisują przebieg zdarzeń niemal identycznie. Z pisma banku do Rzecznika Finansowego wynika, że zlecenie SORBNET wyszło z rachunku 16 kwietnia 2026 r. o godz. 14:47:09, po zalogowaniu poprawnym loginem i hasłem. Cztery sekundy później klientka dostała wiadomość z kwotą, danymi odbiorcy, fragmentem numeru rachunku i kodem. Kobieta nie kwestionuje, że SMS do niej przyszedł. Twierdzi natomiast, że kod przedstawiono jej jako „hasło bezpieczeństwa" w procedurze przenoszenia oszczędności na rzekome konto techniczne.
Autoryzacja to nie uwierzytelnienie. Stanowisko Rzecznika Finansowego
Bank powołuje się na silne uwierzytelnienie: login, hasło i kod przesłany SMS-em. Rzecznik Finansowy w piśmie do BNP Paribas przypomniał jednak, że to dwie różne rzeczy. Transakcja jest autoryzowana tylko wtedy, gdy zgoda została wyrażona świadomie, a wykazanie, że użyto narzędzia płatniczego, samo w sobie niczego nie przesądza; udowodnić zgodę płatnika musi bank.
Rzecznik zwrócił też uwagę, że model oszustwa „na pracownika banku" jest znany od lat i przebiega według powtarzalnego schematu, więc instytucja powinna traktować takie zlecenia jako podejrzane i weryfikować je dodatkowo. W tym samym kierunku idzie część orzecznictwa, z którego wynika, że bank nie może już zasłaniać się kodem SMS.
Jedynym dowodem tożsamości konsultanta była wiadomość SMS
Kiedy klientka zaczęła stawiać opór, usłyszała, że za chwilę dostanie wiadomość potwierdzającą, iż rozmawia z prawdziwym konsultantem. SMS faktycznie dotarł i w telefonie wyglądał jak każdy inny komunikat od banku. Kobieta przyznaje, że nie korzystała z dostępnej w aplikacji GOmobile funkcji weryfikacji dzwoniącego pracownika, więc wiadomość z nazwą instytucji była dla niej jedynym punktem odniesienia.
Wykaz nadpisów SMS zastrzeżony dla podmiotów publicznych
W polskich przepisach połączenie telefoniczne i SMS mają zupełnie inny poziom ochrony. O ile ustawa o zwalczaniu nadużyć w komunikacji elektronicznej pozwoliła bankom wpisywać do prowadzonego przez UKE wykazu numery służące wyłącznie do odbierania połączeń, co blokuje podszywanie się pod infolinię, o tyle wykaz nadpisów SMS prowadzony przez CSIRT NASK zastrzeżono dla podmiotów publicznych; bank takim podmiotem nie jest. Operatorzy muszą blokować wiadomości zgodne z wzorcami smishingu, tyle że wzorzec powstaje dopiero wtedy, gdy kampania zostanie wykryta i opisana.
Nazwa banku wyświetlona w wątku z wcześniejszymi, autentycznymi wiadomościami działa więc na odbiorcę mocniej niż jakakolwiek instrukcja bezpieczeństwa. Przestępcy korzystają z tego na dużą skalę — w innej sprawie nowe oszustwo na dezaktywowaną kartę pozbawiło ofiarę blisko 200 tys. zł.
Druga rozmowa wykryła oszustwo w kilka minut. W pierwszej zabrakło jednego pytania
Ten sam bank, tego samego dnia, poradził sobie z identycznym schematem zupełnie inaczej. Kilkanaście minut po pierwszym przelewie z rachunku wyszło kolejne zlecenie, na 19 897,80 zł w systemie Express Elixir, do tego samego odbiorcy. System znów je zatrzymał, tyle że tym razem konsultant nie poprzestał na pytaniach o samą operację i zerwane lokaty — dopytał też, czy ktoś namawia klientkę do wykonania przelewu. Dopiero wtedy wyszło na jaw, że kobieta padła ofiarą oszustwa; dostęp do bankowości zablokowano, a drugiego przelewu nie zrealizowano.
Różnica między obiema rozmowami sprowadza się do jednego pytania — i to pytania, które odnosi się wprost do mechanizmu manipulacji, a nie do treści zlecenia. Osoba przekonana, że chroni własne oszczędności, na pytanie o znajomość odbiorcy odpowie twierdząco w dobrej wierze, bo w jej wyobrażeniu odbiorcą jest ona sama. Bank nie ujawnił, czy pytanie o namawianie stanowi stały element weryfikacji zatrzymanych transakcji, nie przytoczył też przebiegu pierwszej rozmowy. Można się domyślać, że pełne nagranie byłoby w tym sporze dowodem rozstrzygającym.
Przepisy, które rozstrzygnęłyby od ręki ten spór, już istnieją — tylko jeszcze nie zaczęły obowiązywać
Ustawa o usługach płatniczych dzieli transakcje na autoryzowane i nieautoryzowane, a przelew wykonany przez zmanipulowanego klienta trafia do pierwszej kategorii; zwrot pieniędzy za nieautoryzowane transakcje odpada w takich sprawach już na starcie.
Zmienić ma to unijne rozporządzenie PSR, którego uzgodnione teksty Rada opublikowała w kwietniu 2026 r. Konsument, który padł ofiarą oszustwa polegającego na podszywaniu się pod jego dostawcę usług płatniczych, ma odzyskać całą kwotę, o ile niezwłocznie zgłosi sprawę bankowi i policji; wykazanie rażącego niedbalstwa będzie wtedy zadaniem banku. W polskich sporach sądy idą zresztą w podobną stronę — bank ma patrzeć, kim jest oszukany klient, a nie wyłącznie na to, czy kod z SMS-a został wpisany poprawnie. Sprawa klientki BNP Paribas mieści się w tym opisie niemal punkt po punkcie.
Kiedy PSR zacznie obowiązywać i kogo obejmie?
Publikacji w Dzienniku Urzędowym UE spodziewano się dopiero w drugiej połowie 2026 r., a większość przepisów PSR ma być stosowana po upływie 21 miesięcy od wejścia w życie. Nowy reżim obejmie przy tym podszywanie się pod samego dostawcę usług płatniczych — prób rozciągnięcia go na podszywanie się pod policję czy urzędy w finalnym tekście nie utrzymano, choć akurat w tej sprawie rzekomy policjant odegrał sporą rolę.
Klientce BNP Paribas te zmiany nie pomogą. Sprawą zajmuje się już prokuratura, a jeśli spór nie skończy się ugodą, o tym, kto poniesie stratę, zdecyduje sąd, oceniając nagranie pierwszej rozmowy, logi bankowości i dotychczasowy sposób korzystania z rachunku.
Sprawa nie jest z góry przegrana, na co wskazuje przełomowy wyrok w sprawie nieautoryzowanych transakcji, w którym ciężar dowodu sąd przerzucił na instytucję finansową.
zobacz więcej:
