Phishing v spletnem bančništvu: kdo odgovarja za neodobrena plačila?

Zavajajoče verodostojno e-poštno sporočilo domnevne matične banke, SMS s povezavo ali klic domnevnega bančnega uslužbenca – phishing ima veliko pojavnih oblik. Cilj storilcev je vselej pridobiti dostopne podatke in odobritve, da bi sprožili nakazila v breme imetnika računa.

Ko je denar odtekel, ga od storilcev večinoma ni mogoče dobiti nazaj. Za oškodovance je tedaj odločilno, ali mora institucija, ki vodi račun, znesek povrniti. Zakon to vprašanje ureja v določbah o plačilnih storitvah v nemškem Civilnem zakoniku (BGB).

Načelo: povračilo neodobrenih plačil

Izhodišče je § 675u BGB. Po njem ponudnik plačilnih storitev pri neodobreni plačilni transakciji nima pravice do povračila svojih stroškov. Stranki mora znesek plačila nemudoma povrniti in račun vrniti v stanje, v kakršnem bi bil brez bremenitve.

Plačilo je odobreno le, če je imetnik računa vanj privolil. Če so nakazilo sprožile tretje osebe s pridobljenimi podatki, tega praviloma ni. Težavnejši so primeri, v katerih so oškodovanci pod vplivom zavajanja odobritev podali sami. Ali je tedaj podana odobritev, je odvisno od okoliščin – na primer od tega, kaj je bilo stranki v postopku odobritve prikazano.

Kdaj odgovarjajo stranke same

Zahtevku za povračilo lahko banka ugovarja z lastnim odškodninskim zahtevkom po § 675v BGB. Če škoda temelji na zlorabni uporabi plačilnega instrumenta, zakon najprej predvideva omejeno soudeležbo stranke v višini največ 50 evrov. Za celotno škodo pa stranka odgovarja, če je ravnala z goljufivim namenom ali če je svoje dolžnosti skrbnosti kršila naklepno ali hudo malomarno.

Med te dolžnosti sodi varovanje osebnih varnostnih elementov pred nepooblaščenim dostopom in nemudna prijava zlorabe. V praksi se spor večinoma vrti okoli vprašanja, ali je ravnanje stranke mogoče opredeliti kot hudo malomarno.

Huda malomarnost – vprašanje posameznega primera

Hudo malomarno ravna, kdor zahtevano skrbnost krši v posebej težki meri in ne opravi razmislekov, ki se ponujajo sami po sebi. Preprosta napaka za to ne zadošča. Sodišča pri presoji upoštevajo med drugim naslednje vidike:

• Kako profesionalno in verodostojno je bilo zavajanje zasnovano?
• Ali so obstajali prepoznavni opozorilni znaki, na primer nenavadni naslovi pošiljatelja ali jezikovne posebnosti?
• Ali so bile kode za odobritev posredovane po telefonu ali na tuji spletni strani?
• Kateri podatki o znesku in prejemniku so bili prikazani v postopku odobritve?
• Ali je banka konkretno in ažurno opozarjala pred uporabljeno prevarantsko shemo?

Dokazno breme je v bistvenih točkah na banki. Po § 675w BGB sama zabeležba, da je bil uporabljen plačilni instrument skupaj z avtentikacijo, ni nujno dovolj za dokaz odobritve ali hude kršitve dolžnosti stranke.

Kaj storiti po dogodku s phishingom

• Nemudoma poskrbite za blokado dostopa do spletnega bančništva in prizadetih kartic, na primer prek banke ali osrednje številke za blokado.
• Banko nemudoma obvestite o neodobrenem plačilu in pisno zahtevajte povračilo.
• Zavarujte dokaze: ne brišite e-poštnih sporočil, SMS-ov, seznamov klicev in posnetkov zaslona.
• Podajte kazensko ovadbo na policiji.
• Potek dogodkov pravočasno pisno zabeležite po spominu.

Hitrost je potrebna tudi iz pravnih razlogov: od prijave blokade stranka za nadaljnja zlorabna razpolaganja načeloma ne odgovarja več, razen če ravna z goljufivim namenom. Poleg tega so zahtevki izključeni, če banka o neodobreni plačilni transakciji ni obveščena najpozneje 13 mesecev po bremenitvi (§ 676b BGB).

Sklep

Zakon tveganje neodobrenih plačil izhodiščno pripisuje ponudniku plačilnih storitev. Polna odgovornost stranke praviloma pride v poštev le ob naklepu ali hudi malomarnosti, ali pa je ta očitek upravičen, je mogoče presoditi le na podlagi konkretnega poteka dogodkov. Če banka povračilo zavrne, je lahko pravna preveritev obrazložitve smiselna.