Klientka PKO BP, która nigdy
wcześniej nie brała pożyczki gotówkowej, jednego dnia zaciągnęła 80 tys. zł
kredytu, otworzyła nowe konto i poprosiła, by tam wpłynęły pieniądze. Tłumaczyła, że chce zrobić mężowi niespodziankę. Wypłaciła gotówkę, a następnie opróżniła drugie konto z 16 tys. zł oszczędności. Bank nie zauważył w tych działaniach nic podejrzanego. Mąż przez 20 minut czekał na infolinii, próbując
połączyć się z konsultantem, by wszcząć alarm.
Łącznie tego dnia z placówek banku wyszło 96 tys. zł. PKO BP tłumaczy, że klientka
zachowywała się spokojnie i naturalnie. Rodzina pyta jednak, czy system
bezpieczeństwa banku naprawdę powinien opierać się głównie na tym, czy osoba
przy okienku wygląda na zdenerwowaną.
Pożyczka, nowe konto, gotówka
Sprawa zaczęła się od
wielogodzinnego vishingu (manipulacji telefonicznej). Według relacji rodziny
oszuści podszywali się pod pracowników banku oraz przedstawicieli instytucji
publicznych. Mieli przesyłać spreparowane wiadomości, dokumenty i instrukcje,
które uwiarygadniały całą historię. Klientka była przekonana, że wykonuje
polecenia osób działających w jej interesie.
Tego dnia pojawiła się w
oddziale PKO BP. Z ustaleń banku wynika, że zgłosiła
zainteresowanie pożyczką gotówkową. Pracownikowi miała powiedzieć, że pieniądze
chce przeznaczyć na zakup samochodu dla męża jako prezent z okazji rocznicy
ślubu.
Poprosiła też o uruchomienie
nowego konta, na które miały wpłynąć pieniądze z pożyczki. Kobieta tłumaczyła,
że nie chce, aby środki z pożyczki trafiły na rachunek wspólny, bo zakup
samochodu miał pozostać niespodzianką. Kredyt został przyznany, kobieta
wypłaciła całą gotówkę. Oraz 16 tys. zł z drugiego rachunku.
Z formalnego punktu widzenia
bank opisuje sprawę prosto: klientka przyszła do oddziału, przeszła obsługę,
podpisała dokumenty i osobiście złożyła dyspozycje. PKO BP podkreśla, że dyspozycje
zostały wykonane zgodnie z jej wolą.
Nie mamy wątpliwości co do
prawidłowości samej procedury zaciągania pożyczki. Problem leży gdzie indziej – i tu nasuwa się ciąg pytań. Dlaczego
w systemach banku nie zapaliła się czerwona lampka ostrzegawcza przy klientce,
która nigdy wcześniej nie dokonywała tego typu operacji? Dlaczego – w dobie
powszechnego wyłudzania pieniędzy metodą „na pracownika banku” – żaden z
przeszkolonych do tego specjalnie konsultantów nie zauważył nic podejrzanego w
dokonywanych operacjach?
Bank: klientka wyglądała
normalnie
PKO BP w stanowisku dla
Bankier.pl wskazuje, że w trakcie obsługi klientka „zachowywała się spokojnie i
naturalnie”. Według banku była swobodna, uśmiechnięta i prowadziła rozmowę z
pracownikiem w sposób typowy dla standardowej obsługi.
Bank dodaje, że kobieta nie
prowadziła rozmów telefonicznych podczas obsługi, nie korzystała z telefonu w
sposób mogący wskazywać na otrzymywanie instrukcji, a samo urządzenie nie było
widoczne dla pracownika.
To ważna część odpowiedzi
banku. PKO BP broni się tym, że pracownik placówki nie widział objawów
manipulacji. Bank zaznacza też, że jego doradcy są szkoleni w rozpoznawaniu
sygnałów mogących świadczyć o próbie oszustwa, w tym zachowań niewerbalnych.
Według banku w wielu przypadkach pozwala to zatrzymać podejrzane transakcje.
Ale vishing często właśnie tak
działa. Ofiara ma wyglądać normalnie. Ma mówić przygotowaną wersję. Ma
zachowywać spokój, nie wzbudzać podejrzeń i nie ujawniać prawdziwego powodu
wypłaty. W końcu w grze jest walka o oszczędności jej życia. Musi grać dobrze.
„To było dla niej całkowicie nietypowe”
Mąż klientki podkreśla w
rozmowie z redakcją, że żona nigdy wcześniej nie korzystała z pożyczek
gotówkowych.
„Żona nigdy wcześniej, ani w
tym, ani w żadnym innym banku, nie brała pożyczki gotówkowej. Nie zakładała
innych kont. W życiu wzięliśmy wcześniej dwa kredyty: jeden na lodówkę na raty,
nie gotówkowy, a drugi to hipoteczny w PKO. Nigdy nie braliśmy kredytów
gotówkowych” — przekazał redakcji.
Rodzina twierdzi, że już w
reklamacjach wskazywała bankowi, że transakcje były nietypowe dla klientki. PKO
BP odpowiada jednak, że samo złożenie wniosku o pożyczkę, nawet po raz
pierwszy, otwarcie rachunku indywidualnego czy wypłata gotówki nie przesądzają
o tym, że klient może być ofiarą oszustwa.
To prawda. Każda z tych
czynności osobno może być całkowicie legalna i normalna. Klient ma prawo wziąć
pożyczkę. Ma prawo założyć konto. Ma prawo wypłacić gotówkę. Problem polega na tym, że w
tej sprawie nie chodzi o pojedynczą czynność. Chodzi o ich sekwencję.
Wysoka pożyczka gotówkowa.
Nowe konto, aby pieniądze nie trafiły na rachunek wspólny. Wypłata 80 tys. zł w
gotówce. Potem kolejna wypłata 16 tys. zł. Wszystko jednego dnia. Wszystko u
klientki, dla której — według relacji rodziny — takie operacje były całkowicie
nietypowe.
Bank uznał, że nie wystąpiły
okoliczności wskazujące na ryzyko oszustwa. Rodzina uważa, że właśnie ten
wniosek jest najbardziej niepokojący.
Infolinia w sytuacji alarmowej
Jest jeszcze jedna rzecz, o której należy wspomnieć. PKO BP wskazuje, że zgłoszenie
męża klientki zostało zarejestrowane na infolinii 10 kwietnia o godz. 18:28.
Dla porównania, ostatnia wypłata środków w placówce miała zostać wykonana o
godz. 17:58. Bank argumentuje więc, że informacja o możliwym oszustwie dotarła
już po zrealizowaniu dyspozycji wypłaty.
Mąż klientki relacjonuje
jednak, że próbę kontaktu z bankiem podjął niezwłocznie po otrzymaniu
powiadomienia z aplikacji o wypłacie środków. Według jego relacji około 20
minut czekał na połączenie z konsultantem. Redakcja widziała zrzut historii
połączeń, z którego wynika, że telefon na infolinię wykonano o godz. 18:05.
To nie zmienia podstawowego
faktu: telefon wykonano już po wypłacie gotówki. Nie ma sensu udawać, że bank
mógł po prostu nacisnąć przycisk i cofnąć pieniądze. Można jedynie gdybać, że w ciągu tych kilku minut klientka nie zdążyłaby oddalić się daleko od placówki. Być może któryś z pracowników mógłby jeszcze zdążyć ją ostrzec.
Sytuacja pokazuje natomiast inny problem. Gdy
rodzina próbowała zgłosić podejrzenie oszustwa, trafiła na standardową ścieżkę
infolinii. W sytuacji, w której liczą się minuty, około 20 minut oczekiwania na
rozmowę z pracownikiem brzmi jak wieczność.
„Przykro nam, ale nie mamy sobie nic do zarzucenia”
PKO BP nie kwestionuje, że
klientka padła ofiarą przestępstwa. W stanowisku przesłanym redakcji bank
napisał: „Przykro nam, że klientka stała się ofiarą przestępstwa”.
Jednocześnie bank nie
dopatrzył się nieprawidłowości po swojej stronie. Wskazuje, że miał obowiązek
przyjąć i zrealizować dyspozycje klientki zgodnie z umową rachunku oraz
ogólnymi warunkami prowadzenia rachunków. Wszystkie czynności — według banku —
zostały wykonane zgodnie z obowiązującymi procedurami.
To jest właśnie najbardziej
niewygodny fragment tej sprawy.
Bo jeśli wszystko odbyło się
zgodnie z procedurami, a efektem była wypłata 96 tys. zł przez osobę działającą
pod wpływem oszustów, to pytanie brzmi nie tylko, czy pracownik popełnił błąd.
Pytanie brzmi, czy procedury są wystarczające wobec oszustw, w których klient
nie klika w fałszywy link, nie podaje kodu BLIK i nie przelewa pieniędzy z
aplikacji, tylko przychodzi do oddziału i własnoręcznie podpisuje dokumenty.
W takim scenariuszu klasyczne
zabezpieczenia działają gorzej, bo formalnie wszystko wygląda poprawnie. Klient
jest obecny. Dokument tożsamości się zgadza. Podpis jest własnoręczny.
Dyspozycja jest jasna. Gotówka zostaje wydana.
A jednak cały proces może być
finałem przestępstwa.
Co musi się stać, żeby bank
zareagował?
PKO BP podkreśla, że
bezpieczeństwo klientów jest jednym z jego priorytetów. Bank deklaruje, że jego
systemy każdego dnia wykrywają ponad 98 proc. prób cyberataków i zatrzymują
podejrzane transakcje o wartości kilku miliardów złotych rocznie. Wskazuje też
na szkolenia pracowników, działania edukacyjne i współpracę z policją oraz
Centralnym Biurem Zwalczania Cyberprzestępczości.
Tyle że ta historia pokazuje
inny problem niż typowy cyberatak. Tu nie zawiódł login, hasło czy autoryzacja
mobilna. Oszuści zaatakowali człowieka, a potem przeprowadzili go przez
legalną, bankową ścieżkę.
Bank twierdzi, że klientka
wyglądała naturalnie. Rodzina odpowiada, że cała sekwencja operacji była dla
niej skrajnie nietypowa.
I to jest pytanie, które
zostaje po tej sprawie: czy bankowe systemy bezpieczeństwa potrafią rozpoznać
oszustwo wtedy, gdy klient robi dokładnie to, do czego został zmanipulowany —
spokojnie, zgodnie z procedurą i własnym podpisem?
Jeśli taki ciąg zdarzeń nie
zapala czerwonej lampki w największym banku w kraju, jednym z najbardziej
scyfryzowanych i technologicznie rozwiniętych, to trzeba zapytać szerzej: jak
podobne sytuacje mają wychwytywać mniejsze instytucje, w tym banki
spółdzielcze, które nie dysponują porównywalnymi budżetami, systemami i
zapleczem cyberbezpieczeństwa?
Bo problem nie kończy się na
jednym oddziale i jednej rodzinie. To pytanie o całą bankową linię obrony przed
oszustwami, w których przestępcy nie muszą pokonać systemu. Wystarczy, że przekonają
klienta, by system wykonał za nich całą pracę.
0 komentarzy