Zdecydowana większość internetowych oszustw ma jeden wspólny etap – wyłudzenie pieniędzy od ofiary. Niezależnie od tego, jaki schemat wykorzystują przestępcy, by doprowadzić do przekazania środków, ostatecznie musi dojść do płatności. To kluczowy moment, w którym oszuści osiągają swój cel. To zwrot ze specyficznie rozumianej „inwestycji”. Chociażby z tego powodu kwestia odpowiedzialności za transakcje płatnicze, które są efektem działań przestępców pozostaje języczkiem u wagi.
Obowiązujące dziś zasady wydają się proste. Zgodnie z unijną dyrektywą o usługach płatniczych (PSD) co do zasady za nieautoryzowane transakcje odpowiada dostawca usługi. Ma on obowiązek niezwłocznie zwrócić płatnikowi kwotę transakcji, której użytkownik nie zlecił i nie potwierdził.
W obowiązującym prawie przewidziano jednak wyjątki. Po pierwsze to scenariusze, gdzie klient sam próbował oszukać dostawcę lub doprowadził do nieautoryzowanej transakcji umyślnie lub wskutek rażącego niedbalstwa. Wówczas dostawca usługi płatniczej musi mieć twarde dowody, że doszło do takiej sytuacji, a o próbie oszustwa powinien zawiadomić policję lub prokuraturę. Drugi scenariusz to pochodna terminu przewidzianego w prawie. Konsument powinien zgłosić nieautoryzowaną lub niewłaściwie zrealizowaną transakcję nie później niż 13 miesięcy po jej wystąpieniu. Trzeci scenariusz dotyczy zagubionych lub skradzionych instrumentów płatniczych, gdzie przewidziano limit odpowiedzialności (50 euro) za transakcje wykonane przed zastrzeżeniem.
Pozostaje jeszcze przypadek szczególny – transakcja zostaje zgłoszona przez klienta jako nieautoryzowana, ale z punktu widzenia dostawcy usług płatniczych nie mieści się w tej kategorii. To scenariusze, gdzie znajdą się zarówno incydenty nazywane „friendly fraud”, w którym konsument kwestionuje transakcję jak najbardziej prawidłową licząc na odzyskanie wydanych pieniędzy, jak i takie, gdzie ofiarę skłoniono do przesłania środków oszustom.
Jak rozkładają się straty z oszustw płatniczych? Większość spada na barki klientów
Nieco światła na to, jak w praktyce wygląda wykorzystanie tych scenariuszy rzuca opublikowany w grudniu 2025 roku przez Europejski Urząd Nadzoru Bankowego (EBA) oraz Europejski Bank Centralny (ECB) wspólny raport. Wzięto w nim pod lupę ciemną stronę płatności bezgotówkowych w Unii Europejskiej i poświęcono w nim sporo uwagi rozkładowi odpowiedzialności za transakcje oszukańcze.
Zlecenia uznaniowe (w Polsce przykładem jest polecenie przelewu) odpowiadają za największą część oszustw płatniczych, ale jednocześnie mają najniższy odsetek transakcji oszukańczych. Pozorny paradoks wynika z wolumenu transakcji – przelewy to dominujący kwotowo sposób transferu środków. Odsetek oszustw na poziomie 0,001 proc. przekłada się na blisko 2,5 mld euro wartości przestępstw w 2024 r. Dla porównania, w przypadku kart płatniczych odsetek jest wielokrotnie wyższy (0,033 proc. wartości transakcji), ale oznacza „zaledwie” ok. 1,3 mld euro oszustw.
Przelewy są także jedynym obszarem, w którym widać zdecydowany i zatrważający trend. W 2024 r. za trzy czwarte wartości oszustw odpowiadały sytuacje, w których przestępca skłonił ofiarę do wysłania pieniędzy. Proporcja ta rośnie niemal liniowo. W połowie 2022 r. wynosiła 57 proc., rok później – 63 proc., w połowie 2024 r. – 71 proc. Podobny trend obserwujemy w Polsce. Z najnowszych danych NBP wynika, że w I kwartale 2026 r. udział ten ponownie wzrósł i wynosił 61,9 proc. wartościowo. Taką część w transakcjach oszukańczych z użyciem polecenia przelewu stanowiły sytuacje, gdzie „manipulowano płatnikiem”.
W 2024 r. z tytułu oszukańczych przelewów łączne straty wyniosły 2,2 mld euro i to w tej kategorii największy udział w odpowiedzialności finansowej przypadł klientom (ok. 85 proc.). W pozostałych typach transakcji konsekwencje oszustw rozłożone były bardziej równomiernie.
W dokumencie przedstawiono zestawienie podziałów odpowiedzialności za oszukańcze przelewy w poszczególnych krajach. W Polsce 98 proc. strat z tego typu transakcji przypisano użytkownikom, a 2 proc. dostawcom usług płatniczych. Wyższy odsetek odnotowano tylko w Bułgarii, Estonii, Słowacji, Słowenii, na Łotwie, Litwie, Węgrzech i w Luksemburgu.
„Jeśli chodzi o transfery uznaniowe, w 2024 roku użytkownicy ponosili większość strat w większości krajów. Warto zauważyć, że wszystkie kraje z wyjątkiem Austrii, Irlandii, Włoch, Malty, Norwegii i Portugalii zgłaszają udziały użytkowników przekraczające 80 proc. całkowitych strat z powodu oszustw związanych z tym instrumentem. Sugeruje to, że w większości krajów sposób postępowania w przypadku oszustwa przy zleceniach uznaniowych, często używających SCA (silnego uwierzytelnienia klienta), jest szczególnie surowy dla użytkowników. Uznanie wszystkich transakcji uwierzytelnionych przez SCA jako autoryzowanych może być istotnym powodem takiego, a nie innego podziału odpowiedzialności” – czytamy w raporcie.
Kość niezgody – co to jest nieautoryzowana transakcja?
Ostatnie zdanie z cytatu dotyka wprost kwestii od lat stanowiącej w Polsce arenę sporów pomiędzy bankami a instytucjami reprezentującymi interesy konsumentów. Załóżmy, że ofiara oszustwa wysyła sama przelew do przestępcy podszywającego się za pośrednictwem internetowego komunikatora pod krewnego w finansowej potrzebie (wyłudzenie na „e-wnuczka”). Transakcja zostaje poprawnie zlecona i potwierdzona przez posiadacza rachunku, z użyciem silnego uwierzytelnienia, powiedzmy w aplikacji mobilnej. W rzeczywistości wysyłający płatność nie chciał jednak przekazać środków oszustowi. Jego intencja była zupełnie inna.
Bankowcy wskazują, że taka operacja została prawidłowo uwierzytelniona. Oznacza to, że tożsamość zleceniodawcy została potwierdzona zgodnie z zasadami wynikającymi z umowy z klientem i przepisów prawa. Mieści się w tym także wykorzystanie co najmniej dwóch niezależnych od siebie mechanizmów, a więc SCA. Hasło „autoryzacja” odwołuje się raczej do kwestii, czy klient wyraził zgodę na taką, a nie inną operację. A tego dostawca nie jest w stanie zweryfikować. Kłopot w tym, że w ustawie o usługach płatniczych pomylono, zdaniem bankowców, hasła „uwierzytelnienie” i „autoryzacja”. I obciążono obowiązkiem wykazania, że transakcja została prawidłowo autoryzowana banki i instytucje płatnicze.
Instytucje chroniące konsumentów widzą sprawę zupełnie inaczej. „Ustawa o usługach płatniczych nie zawiera definicji legalnej pojęcia nieautoryzowanej transakcji płatniczej […] A contrario, z nieautoryzowaną transakcją płatniczą mamy do czynienia w sytuacji, gdy płatnik nie wyraził na nią zgody” – wskazywał w swoim opracowaniu już w 2020 r. Rzecznik Finansowy. Podobne spojrzenie ma UOKiK, który objął postępowaniem dotyczącym zasad obchodzenia się z nieautoryzowanymi transakcjami niemal wszystkie banki na rynku. Sprawa ciągnie się od 2022 r., a banki i regulator starają się dojść do porozumienia. Zakończenie, w postaci wydania przez UOKiK decyzji zobowiązującej, przewidywane jest w sierpniu.
Na dziś zatem kwestia odpowiedzialności za oszustwa kończące się bezgotówkową płatnością jest skomplikowana i niejasna. Jeśli ofiara prawidłowo, w technicznym sensie, zleciła operację i ją potwierdziła, bank nie uzna zwykle transakcji za nieautoryzowaną. Podobnie będzie, gdy w grę wchodzi lekkomyślne postępowanie (np. zainstalowanie oprogramowania pochodzącego od oszustów), które można opisać jako rażącą niedbałość lub naruszenie co najmniej jednego z obowiązków wymienionych w ustawie (m.in. korzystanie z instrumentu płatniczego zgodnie z umową, przechowywanie go z należytą starannością, nieudostępnianie osobom nieuprawnionym). Zdeterminowani oszukani decydują się czasem na wystąpienie na drogę sądową. Tam natomiast zdarzają się przypadki, że ich argumenty znajdują zrozumienie. Sukcesami w precedensowych sporach chwalił się chociażby Rzecznik Finansowy.
Prewencyjne ograniczenia – to już się dzieje
Nieautoryzowane transakcje stanowią coraz większy problem dla banków, także reputacyjny. Reakcją obronną jest wzmacnianie zabezpieczeń, co odbija się na doświadczeniach użytkowników. Bankowość elektroniczną od jej pierwszych chwil zachwalano jako rewolucyjną zmianę w zarządzaniu finansami. Miała ona dawać klientom możliwość rozporządzania pieniędzmi z dowolnego miejsca na Ziemi, wygodnie i bez ograniczeń. Narastająca fala oszustw stopniowo ograniczała tę obietnicę.
Pierwsza fala zmian dotknęła kart płatniczych, które mimo zmian w technologii (wprowadzenie standardu kart mikroprocesorowych EMV) obciążone były wymogami wstecznej kompatybilności. Pojawiło się geoblokowanie transakcji, domyślne wyłączanie transakcji z użyciem paska magnetycznego, opcje zarządzania typami operacji, zamrażania kart. Część limitów pozostała w użyciu nawet po eliminacji najsłabszego ogniwa starej technologii.
Teraz jesteśmy świadkami drugiej fali – obejmującej ograniczenia w przelewach i zleceniach obciążeniowych. W ostatnich miesiącach w Polsce kilka banków wprowadziło nowe, niższe domyślne limity transakcji. Pojawiły się także przypadki wyłączania „na start” tzw. przelewów wrażliwych, czyli operacji natychmiastowych i walutowych. Do tego dochodzą zapowiedzi specjalnych procedur przy zmianach kluczowych parametrów, np. ustalaniu maksymalnej wysokości transakcji. Konsumenci dostają także dodatkowe opcje szybkiego reagowania na podejrzane ruchy na rachunkach, np. „panic buttons” blokujące krytyczne funkcje w bankowości mobilnej i internetowej.
Ten trend można podsumować hasłem samoregulacyjnej prewencji. Cel to utrudnienie działania oszustom. Efektem ubocznym jest jednak mniejsza swoboda dla użytkowników. W imię walki ze scamami żegnamy się z elastycznością, którą charakteryzowała „bankowość elektroniczną 1.0”. Mniej widocznym przejawem wprowadzania ograniczeń jest także coraz powszechniejsze użycie proaktywnego monitoringu transakcji i ich blokowania, czy zachęcanie użytkowników do uruchamiania narzędzi weryfikacji behawioralnej.
VOP da dodatkową linię obrony
W nurt prewencji wpisują się także niektóre zmiany w prawie. Już za rok banki w Polsce będą musiały stosować mechanizm nazwany weryfikacją odbiorcy płatności (VOP – Verification of Payee). Dla przelewów w strefie euro rozwiązanie to jest obowiązkowe od 9 października 2025 r. To efekt wejścia w życie unijnego rozporządzenia o przelewach natychmiastowych.
Do 9 lipca 2027 r. banki w Polsce muszą być w stanie wysyłać płatności natychmiastowe euro i korzystać z usługi weryfikacji odbiorcy płatności. Projekt ustawy o zmianie niektórych ustaw w celu rozwoju rynku finansowego oraz zwiększenia stabilności finansowej na tym rynku przewiduje, że taki sam termin będzie dotyczyć weryfikacji dla poleceń przelewu w złotych.
Weryfikacja odbiorcy płatności w praktyce wprowadzi dodatkowy krok przed zleceniem polecenia przelewu. Dane beneficjenta podawane przez zleceniodawcę będą porównywane z danymi zapisanymi w instytucji prowadzącej rachunek docelowy. Jeśli będą w pełni zgodne, otrzymamy informację o pełnym powodzeniu weryfikacji. Jeśli podane przez nas informacje lekko różnią się od tych zapisanych w banku odbiorcy płatności, zostaniemy ostrzeżeni o tzw. „częściowej zgodności”. Różnice mogą wynikać z transliteracji obcojęzycznych nazw, różnej szczegółowości zapisów (np. Firma X zamiast Firma X Sp. z o.o.). W scenariuszu trzecim dane przez nas podane są zupełnie inne niż te, na jakie założono docelowy rachunek. Otrzymamy ostrzeżenie o braku zgodności.
Warto podkreślić, że niezależnie od tego, jaki wynik będzie miała weryfikacja, ostateczną decyzję o zleceniu przelewu podejmuje klient. Niezgodność danych nie oznacza, że płatność zostanie zablokowana. Ostrzeżenie da jednak wyraźny sygnał, że być może właśnie spotkaliśmy się z wyłudzeniem. VOP będzie miała zatem istotne znaczenie dla ustalenia zakresu odpowiedzialności ofiar oszustw. Przejście do realizacji zlecenia mimo ostrzeżenia, że dane odbiorcy są inne niż podane przez nadawcę trudno będzie uznać za zachowanie należytej ostrożności.
PSR zmieni układ sił. I jeszcze ograniczy swobodę płacenia
Kluczowa zmiana w podziale odpowiedzialności za oszustwa pojawi się dopiero wraz z wejściem w życie pakietu unijnych regulacji – PSR i PSD3. Prace nad nimi są na ostatniej prostej. Za najważniejszą zmianę wynikającą z PSR wypada uznać przerzucenie odpowiedzialności za konsekwencje oszustw typu spoofing na dostawców usług płatniczych. Konsument, który padnie ofiarą socjotechnicznych sztuczek i zostanie skłoniony do autoryzowania transakcji przez oszusta podszywającego się pod jego bank lub dostawcę usług płatniczych (np. z wykorzystaniem sfałszowanego numeru telefonu, e-maila czy aplikacji), mieć będzie prawo do zwrotu pełnej kwoty transakcji. Warunkiem będzie zgłoszenie oszustwa swojemu dostawcy usług płatniczych oraz policji bez zbędnej zwłoki.
Dla konsumentów, także polskich, istotne będzie rozstrzygnięcie dzisiejszej konfuzji wokół autoryzacji. Samo pomyślne przejście silnego uwierzytelniania nie będzie już traktowane jako wystarczający dowód na to, że płatnik autoryzował transakcję płatniczą. Przed odmową zwrotu pieniędzy, bank będzie zmuszony poprosić klienta o wyjaśnienie okoliczności i uwzględnić jego informacje w ogólnej ocenie sytuacji. Brak wyjaśnień nie może być przy tym traktowany jako wystarczający powód do odmowy zwrotu środków.
Jednocześnie dostawcy usług online (np. platformy internetowe) zaczną partycypować w odpowiedzialności za oszustwa. Dostawcy usług płatniczych zyskają prawo do ubiegania się o odszkodowanie, jeśli platformy po powiadomieniu nie usuną niezwłocznie nielegalnych treści lub witryn oszukańczych, które bezpośrednio prowadzą do wyłudzania środków.
Korzystne dla konsumentów rozwiązania to jednak tylko jedna strona medalu. Środki prewencyjne zostaną wzmocnione i zyskają prawne fundamenty. Przeciwdziałać efektom oszustw ma wprowadzenie okresów ochronnych w zmianach limitów, czyli 4-godzinnego opóźnienia w realizacji zlecenia klienta. Podobne ograniczenie dotknie zdalnej aktywacji aplikacji mobilnej na nowym urządzeniu. Z kolei obowiązkowe monitorowanie transakcji w czasie rzeczywistym będzie zapewne owocować częstszymi niż do tej pory blokadami.
Rozporządzenie PSR wbrew pozorom nie jest tylko punktem odniesienia gdzieś na horyzoncie. W zwarciu UOKiK kontra banki obie strony mają świadomość, co już wkrótce stanie się obowiązującym prawem. Można się zatem spodziewać, że mocno wpłynie ono na wypracowane porozumienie i praktykę ustalania odpowiedzialności za transakcje oszukańcze.
0 komentarzy