Klientka BNP Paribas nie
zaprzecza, że podczas rozmowy z prawdziwą pracownicą banku potwierdziła
transakcję. Bank najpierw zatrzymał przelew na 40 tys. zł, ale po telefonicznej
weryfikacji zwolnił go do realizacji. Kobieta twierdzi, że była przekonana, iż
uczestniczy w procedurze zabezpieczania własnych oszczędności. BNP Paribas nie
kwestionuje, że mogło dojść do oszustwa, ale uznaje operację za prawidłowo
autoryzowaną i odmawia zwrotu pieniędzy.
W sprawie nie chodzi o fakt,
czy klientka potwierdziła przelew. Zrobiła to. Przyznaje, że podczas rozmowy z
pracownicą banku odpowiedziała twierdząco. Różnica stanowisk dotyczy tego, co
wówczas potwierdzała. Bank uważa, że świadomie zgodziła się na konkretną
transakcję. Kobieta przekonuje, że nie wiedziała, iż pieniądze trafią na
rachunek obcej osoby.
SMS miał potwierdzać tożsamość
„pracownika”
Oszustwo rozpoczęło się od
telefonu w sprawie rzekomej próby zaciągnięcia pożyczki na dane klientki.
Później skontaktował się z nią mężczyzna podający się za pracownika BNP Paribas.
W procederze uczestniczyła także osoba przedstawiająca się jako policjant.
Rozmówcy mieli znać dane kobiety i przekonywali ją, że jej oszczędności są
zagrożone.
Klientka początkowo nie chciała przekazać danych umożliwiających dostęp
do bankowości.
„Gdy stawiałam opór i nie
chciałam podać danych logowania, oszust oświadczył, że na mój telefon przyszedł
SMS potwierdzający, że rozmawiam z
prawdziwym pracownikiem. Taki SMS rzeczywiście przyszedł i wyświetlił się w
telefonie jako oficjalny komunikat banku” – relacjonuje.
Jak dodaje, nie korzystała z aplikacji GOmobile, za
pomocą której klient BNP Paribas może zweryfikować tożsamość dzwoniącego
pracownika.
„Otrzymany SMS z nazwą banku był dla mnie w pełni
wiarygodnym i jedynym dostępnym dowodem tożsamości konsultanta” – tłumaczy.
Według jej relacji oszuści
uzyskali dostęp do rachunku, zrywali lokaty i przygotowali przelew. Kobiecie
powiedzieli, że otrzyma specjalne hasło bezpieczeństwa. Zapowiedzieli również
telefon z banku i kilkakrotnie powtarzali, że jej zadaniem będzie potwierdzenie
operacji.
BNP Paribas przedstawił
Rzecznikowi Finansowemu techniczną stronę zdarzenia. Z odpowiedzi banku wynika,
że 16 kwietnia 2026 r., po zalogowaniu do GOonline przy użyciu prawidłowego
loginu i hasła, zlecono przelew SORBNET na 39 891 zł. Nastąpiło to o godz.
14:47:09. Cztery sekundy później bank wysłał wiadomość zawierającą kwotę, dane
odbiorcy, fragment numeru jego rachunku oraz kod.
„Powyższy przelew został
zautoryzowany kodem, przesłanym w formie wiadomości SMS na numer telefonu
wskazany przez Klientkę do autoryzacji” – poinformował bank.
BNP Paribas podkreślił
również, że „na wykonanie ww. przelewu nie miała miejsca żadna awaria po
stronie banku”.
Klientka nie zaprzecza, że
otrzymała wiadomość. Twierdzi jednak, że oszuści przedstawili zawarty w niej
kod jako element procedury bezpieczeństwa.
„Oszuści zlecili z mojego
konta niestandardowy dla mojego profilu klienta, błyskawiczny przelew SORBNET
na kwotę 39 891 zł. Przestępcy zapowiedzieli, że zaraz zadzwoni pracownik
banku, a moim jedynym zadaniem jest potwierdzenie tego hasła, co powtarzali
manipulacyjnie kilka razy” – opisuje kobieta.
Bank zatrzymał przelew i
zadzwonił
Operację wychwycił system
monitorujący banku. Przelew został
wstrzymany, a z klientką skontaktowała się prawdziwa pracownica BNP Paribas.
„Po poprawnej weryfikacji, pracownik poinformował Klientkę, że dzwoni w celu
potwierdzenia przelewu, podając wszystkie dane tego przelewu oraz dopytując,
czy Klientka realizowała ten przelew oraz czy zna jego odbiorcę. Klientka
odpowiedziała twierdząco, przelew został zrealizowany” – czytamy w piśmie banku
do Rzecznika Finansowego.
Klientka przyznaje, że
potwierdziła operację. Inaczej tłumaczy jednak znaczenie swojej odpowiedzi.
„Gdy zadzwoniła pierwsza, prawdziwa pracownica banku i zapytała, czy
potwierdzam transakcję, odpowiedziałam twierdząco. Działałam pod wpływem
podstępu, będąc w pełni przekonana, że potwierdzając hasło, potwierdzam
wewnętrzną procedurę przeniesienia środków na moje nowe konto techniczne” –
mówi.
„Nie miałam pojęcia, że środki
są w rzeczywistości przelewane na konto obcej osoby fizycznej i że jest to
wysokokwotowy przelew SORBNET, o czym dowiedziałam się dopiero z pisma banku do
Rzecznika Finansowego. Nigdy wcześniej
nie wykonywałam na swoim koncie nawet zwykłych przelewów Elixir, a tym bardziej
transakcji SORBNET. Nie dokonałam zerwania lokat ani tego przelewu
fizycznie na komputerze” – dodaje.
Zapytaliśmy BNP Paribas, czy
pracownica zadała dwa osobne pytania: o wykonanie przelewu oraz o znajomość
odbiorcy. Poprosiliśmy też o dokładne brzmienie pytań i odpowiedzi. Bank nie
przytoczył rozmowy.
„W pierwszej rozmowie Klientka
potwierdziła realizację przelewu, została poprawnie zweryfikowana oraz
potwierdziła, że zna odbiorcę” – odpowiedział BNP Paribas.
Nie wiadomo zatem, czy rozmowa
ograniczyła się do pytań zamkniętych, czy pracownica próbowała ustalić, skąd
klientka zna odbiorcę, jaki jest cel przelewu i dlaczego wykonuje taką
operację.
Drugi przelew wzbudził
podejrzenia
Z pisma banku do Rzecznika
Finansowego wynika, że kilkanaście minut
później zlecono kolejny przelew do tego samego odbiorcy. Tym razem chodziło
o 19 897,80 zł wysyłane w systemie Express Elixir. Ta operacja również została zatrzymana.
Podczas następnej rozmowy
pracownik pytał nie tylko o przelew, ale także o zerwane lokaty. Według banku
klientka potwierdziła wykonane operacje.
„W dalszej części rozmowy pracownik wskazał na możliwość oszustwa i dopytał,
czy Klientka była przez kogoś namawiana na realizację przelewu. Dopiero wówczas
zostało potwierdzone z Klientką, że została oszukana” – napisał bank.
Dostęp do bankowości
elektronicznej został zablokowany. Bank
nie zrealizował drugiego przelewu.
Klientka uważa, że podczas drugiej rozmowy wykazano się
większą dociekliwością. Jej zdaniem pytanie o to, czy ktoś nakłania ją do
wykonania operacji, powinno paść już podczas pierwszego telefonu.
„Gdyby pierwsza pracownica
banku wykazała się taką samą starannością, czujnością i empatią jak druga pani,
do kradzieży kwoty 39 891 zł w ogóle by nie doszło” – ocenia.
Zapytaliśmy BNP Paribas,
dlaczego podejrzenie manipulacji pojawiło się dopiero podczas drugiego kontaktu
i czy pytanie o namawianie do przelewu jest stałym elementem weryfikacji
transakcji zatrzymanej przez system antyfraudowy.
Bank nie przedstawił
szczegółów procedury. Zwrócił też uwagę, że udzielone przez klientkę zwolnienie
z tajemnicy bankowej obejmowało wyłącznie pierwszy przelew.
„Z uwagi na kwestie
bezpieczeństwa bank nie ujawnia szczegółów dotyczących procedury weryfikacji.
Możemy jedynie dodać, że ciąg
zaistniałych zdarzeń zasugerował, że Klientka mogła zostać zmanipulowana przez oszusta”
– odpowiedział.
Bank uznał transakcję za
autoryzowaną
BNP Paribas stoi na stanowisku, że zastosował silne uwierzytelnienie.
Dostęp do bankowości był zabezpieczony loginem i hasłem, a zlecenie
potwierdzono kodem przesłanym na numer telefonu klientki. Bank dodatkowo
zweryfikował przelew podczas rozmowy telefonicznej.
„W toku analizy
potwierdziliśmy, że reklamowana transakcja była poprawnie uwierzytelniona i
zautoryzowana. Klientka potwierdziła samodzielną autoryzację kwestionowanych
transakcji, jak również otrzymane połączenie z banku w sprawie dodatkowej
weryfikacji i autoryzacji” – stwierdził BNP Paribas.
Bank nie wyklucza, że kobieta padła ofiarą przestępców. Nie uznaje
jednak przelewu za nieautoryzowany.
„Bank nie kwestionuje, że w
sprawie mogło dojść do oszustwa i deklaruje pełną współpracę z organami
powołanymi do ścigania przestępstw, jednak w niniejszej sprawie bank nie
znajduje podstaw do uznania, że doszło do transakcji nieautoryzowanej w
rozumieniu art. 46 ust. 1 u.u.p., a w konsekwencji, aby powstał obowiązek banku
do zwrotu środków z tytułu przedmiotowej transakcji na podstawie tego przepisu”
– czytamy w odpowiedzi.
BNP Paribas zaznaczył również,
że nie podejrzewa klientki o próbę oszustwa.
„Klientka przyznała fakt
samodzielnego zautoryzowania transakcji, jednak stwierdziła, że działała pod
wpływem błędu. Bank w tej sytuacji nie dokonał zawiadomienia organów ścigania”
– wyjaśnił.
Po przyjęciu zgłoszenia bank
zwrócił się do banku odbiorcy za pośrednictwem systemu OGNIVO z prośbą o blokadę
lub zwrot środków. W odpowiedzi otrzymał informację, że prośba została
przekazana odbiorcy, który może dobrowolnie oddać pieniądze. Środków nie udało
się w ten sposób odzyskać.
Klientka sama zawiadomiła
policję. Sprawą zajmuje się prokuratura.
Rzecznik Finansowy o świadomej
zgodzie
Klientka zwróciła się również
do Rzecznika Finansowego. Rzecznik podjął interwencję i wystąpił do BNP Paribas
o dokumenty oraz wyjaśnienia. Nie oznacza to rozstrzygnięcia sporu na korzyść
klientki. W piśmie do banku przedstawiono jednak zasady, według których należy
oceniać autoryzację transakcji.
„Transakcja jest autoryzowana,
gdy wyrażono na nią zgodę w sposób przewidziany w umowie. Tylko wtedy bank ma
prawo ją wykonać. Bank nie może
natomiast obciążyć rachunku, jeżeli zgoda na dokonanie transakcji nie została
wyrażona świadomie” – napisał Rzecznik Finansowy.
W dalszej części pisma
czytamy:
„Jeśli bank jedynie wykaże, że
użyto karty lub innego narzędzia płatniczego, to wciąż nie wystarcza to, aby
uznać, że transakcja była autoryzowana. Bank
musi udowodnić, że to płatnik wyraził zgodę na transakcję”.
Rzecznik odniósł się też do
oszustw, w których przestępcy podszywają się pod pracowników instytucji
finansowych.
„Model oszustwa »na pracownika banku« jest od lat znany na rynku
finansowym. Osoby nieuprawnione działają według powtarzalnego schematu.
Oszuści często utrzymują też połączenie telefoniczne z płatnikiem, co utrudnia
kontakt banku z klientem. W takiej sytuacji bank powinien uznać transakcje za
podejrzane i dodatkowo je zweryfikować” – wskazał Rzecznik.
W piśmie zwrócono uwagę, że
osoba poddana socjotechnice może być przekonana, iż chroni własne oszczędności,
a nie przekazuje je przestępcom.
„Płatnik działał pod wpływem
manipulacji (socjotechniki), która mogła wpływać na jego decyzje i ocenę sytuacji.
Przekazywane informacje mogły wydawać się wiarygodne także z uwagi na
wykorzystanie narzędzi teleinformatycznych, takich jak spoofing. Płatnik
działał w przekonaniu, że chroni swoje środki, a nie że przekazuje je osobom
nieuprawnionym” – czytamy w dokumencie.
Rzecznik zaznaczył ponadto, że
nie można automatycznie przypisywać
klientowi rażącego niedbalstwa tylko dlatego, że padł ofiarą profesjonalnie
przygotowanego phishingu, vishingu lub smishingu. Ostateczna ocena należy
do sądu.
Bank po interwencji podtrzymał
swoją decyzję.
„Po przeprowadzonej analizie
nie odnajdujemy podstaw do uznania roszczenia o zwrot środków z tytułu
prawidłowo zrealizowanej transakcji oraz do przedstawienia propozycji
polubownego rozwiązania sporu” – odpowiedział BNP Paribas.
Co wynika z formularza
reklamacyjnego?
Klientka zwraca również uwagę
na bankowy dokument, w którym sporna operacja została umieszczona pod
nagłówkiem „Wykaz nieautoryzowanych transakcji”. Jej zdaniem może to świadczyć
o tym, że bank początkowo sam zakwalifikował przelew jako nieautoryzowany.
BNP Paribas odrzuca taką
interpretację.
„Jest to konstrukcja
standardowego formularza reklamacyjnego. Wykaz transakcji, które Klient
oświadcza jako nieautoryzowane w momencie przyjęcia sprawy przez bank” –
wyjaśnił.
Kobieta twierdzi też, że
logowanie, zerwanie lokat i zlecenie przelewu nastąpiły z obcego urządzenia
oraz adresu IP, które nie odpowiadały jej wcześniejszej aktywności. Bank nie
potwierdził tego w odpowiedziach udostępnionych redakcji.
BNP Paribas zapewnia
natomiast, że posiada system identyfikujący podejrzane operacje. Według banku
korzysta on między innymi z ochrony behawioralnej oraz narzędzi wykrywających
połączenia podszywające się pod bank. Szczegółowych ustawień systemu instytucja
nie ujawnia.
Obie strony zgadzają się zatem
co do podstawowych faktów: kod SMS został użyty, bank zatrzymał przelew,
pracownica zadzwoniła do klientki, a ta potwierdziła transakcję. Różnią się w
ocenie tego, czy kobieta rozumiała, że zgadza się na przekazanie 39 891 zł
konkretnej osobie.
Najwięcej mogłoby wyjaśnić
pełne nagranie pierwszej rozmowy. Pozwoliłoby ustalić, jakie informacje
przekazała pracownica, jak dokładnie sformułowała pytania i co odpowiedziała
klientka. Znaczenie mogą mieć również logi bankowości oraz wcześniejszy sposób
korzystania z rachunku. Jeżeli strony nie dojdą do porozumienia, ocena tych
dowodów i rozstrzygnięcie, kto poniesie stratę, będą należały do sądu.
0 komentarzy