Nieautoryzowane transakcje bankowe – jak UOKiK chce chronić klientów i ich pieniądze

Dynamiczny rozwój bankowości elektronicznej i mobilnej zwiększył komfort korzystania z usług finansowych, ale jednocześnie otworzył nowe możliwości dla cyberprzestępców. UOKiK przygotował więc zalecenia dla banków i dostawców usług płatniczych, mające na celu zwiększenie bezpieczeństwa konsumentów. O szczegółach pisze adwokat Mateusz Dudziak z Działu Prawa Karnego Kancelarii Sobota Jachira, ekspert od nieautoryzowanych transakcji.

Urząd Ochrony Konkurencji i Konsumentów (UOKiK), to instytucja państwowa powołana do życia w 1990 r. i odpowiedzialna za pilnowanie, by rynek w Polsce działał uczciwie, a prawa konsumentów były właściwie chronione. Urząd zajmuje się dwoma głównymi obszarami: ochroną konkurencji i ochroną konsumentów.

W zakresie ochrony interesów klientów indywidualnych urząd reaguje, gdy firmy stosują nieuczciwe praktyki rynkowe, na przykład wprowadzają w błąd w reklamach, ukrywają prawdziwe koszty usług lub zapisują w umowach klauzule niekorzystne dla konsumentów. Może w takich sytuacjach nakładać kary, wydawać zalecenia, publikować ostrzeżenia i kierować sprawy do sądu. Nie dziwi więc, że Urząd zwrócił uwagę na ochronę klientów banków, zwłaszcza w obliczu rosnącej liczby nieautoryzowanych transakcji bankowych.

Przeczytaj też: Czy bank może odmówić zwrotu pieniędzy w przypadku kradzieży środków z konta bankowego klienta? | Kancelaria Sobota Jachira

Dlaczego UOKiK wydał zalecenia dla banków?

Rozwój technologii sprawił, że większość usług bankowych można dziś zrealizować z poziomu telefonu lub komputera. Wygoda ta ma jednak swoją cenę – oszuści coraz częściej wykorzystują manipulację, socjotechnikę i luki w systemach bezpieczeństwa, by przejmować dostęp do kont klientów.

Choć zalecenia UOKiK nie mają charakteru przepisów prawa, w praktyce banki często je respektują, modyfikując regulaminy i systemy bezpieczeństwa. Instytucja zauważyła bowiem, że dotychczasowe mechanizmy – wynikające z dyrektyw unijnych i krajowych ustaw – bywają niewystarczające wobec nowych form oszustw.

Jak klienci mogą stracić kontrolę nad kontem bankowym i pieniędzmi na nim?

Urząd wskazał kilka obszarów, w których istnieje szczególne ryzyko nieautoryzowanych działań i opisał je:

1. Możliwość samodzielnego zwiększenia limitów transakcyjnych na koncie klienta z poziomu aplikacji mobilnej lub strony internetowej i utrzymywanie przez klientów wysokich limitów transakcyjnych
   Ryzyko: Oszuści po przejęciu danych do autoryzacji przelewu (o metodach pisaliśmy w innym artykule), zwiększają limity transakcji, w celu jak najszybszego transferu wszystkich pieniędzy z konta klienta banku
2. Możliwość zaciągnięcia zobowiązania finansowego z poziomu aplikacji mobilnej lub strony internetowej
   Ryzyko: Oszuści nie poprzestają na kradzieży pieniędzy z wykorzystaniem mechanizmu nieautoryzowanych transakcji. Korzystając z okazji do łatwego i bezprawnego zysku, w ramach tego samego oszustwa, zaciągają kredyty lub pożyczki na cudze dane z poziomu aplikacji lub strony internetowej banku.
3. Możliwość samodzielnej zmiany danych na koncie klienta, w tym np. zmiany metod komunikacji (np. numeru telefonu, adresu e-mail) lub danych wpływających na ocenę zdolności kredytowej lub aktywowania dodatkowych funkcji z poziomu aplikacji mobilnej lub strony internetowej.
   Ryzyko: Oszuści po przejęciu danych do logowania, np. podmieniają numer telefonu klienta na inny numer telefonu, na który otrzymują dane do autoryzacji transakcji.
4. Możliwość wykonania transakcji kartą płatniczą bez jej fizycznego użycia, niewymagająca silnego uwierzytelnienia klienta.
   Ryzyko: Oszuści po przejęciu danych do logowania zyskują dostęp do unikatowych danych karty płatniczej, co pozwala wykonać transakcję, bez fizycznego dostępu do karty

Jakie działania UOKIK zalecił bankom, żeby chronić klientów?

Monitorowanie behawioralne

Z reguły klient banku dokonuje transakcji zgodnie z przyjętym przez siebie schematem. Część przelewów ma swoje stałe terminy, większość przelewów mieści się w określonym przedziale wysokości, biorąc pod uwagę, cykliczne uzyskiwanie przychodów, przelewy cechują się określoną częstotliwością i w większości zamkniętym kręgiem stałych odbiorców, rzadziej są natychmiastowe i w większości przypadków mają jedną walutę (PLN).

Tak więc, gdy oszust dokonuje w krótkim przedziale czasu serii autoryzacji przelewów na wysokie kwoty, na niezdefiniowany dotychczas rachunek odbiorcy, często zagraniczny, prowadząc w większości przypadków do zerowego stanu na rachunku klienta, np. po uprzednim zwiększeniu limitów transakcji, którego klient wcześniej nie wykonywał w ogóle lub od dłuższego czasu, to taka sekwencja odbiega od typowych zachowań płatniczych klienta a system antyfraudowy banku powinien wyodrębnić taką anomalię i uruchomić dodatkowe procedury weryfikacji, w celu upewnienia się, że to nie oszust a klient, rzeczywiście chce wykonać tego typu transakcje, odbiegające od typowych. Widać na tym przykładzie, że przed bankami postawiono wyzwanie, polegające na takim zoptymalizowaniu systemu bezpieczeństwa, który będzie reagować wtedy, kiedy powinien, a nie za każdym razem, gdy jakaś transakcja odbiega od normy. Banki stale aktualizują więc systemy antyfraudowe, aby zachować balans między wygodą klienta a jego bezpieczeństwem.

Wprowadzenie tzw. „cooling period”

W praktyce funkcja to oznaczawdrożenie funkcji opóźniającej wykonanie transakcji od złożenia dyspozycji w systemie przez klienta do czasu jej wykonania przez dostawcę.

Dostawca usług płatniczych powinien stosować cooling period w okoliczno­ściach, w których dokonana przez niego analiza ryzyka lub zalecenia Prezesa UOKiK wskazują, że takie działanie jest zasadne. Jeśli więc transakcja jest nietypowa, to bank powinien zażądać dodatkowej weryfikacji przed wykonaniem przelewu innym kanałem komunikacji niż tym którą zatwierdzono transakcję lub zobowiązać klienta do uprzedniego poinformowania o zamiarze wykonania transakcji powyżej zdefiniowanego limitu. Ma to również zastosowanie w przypadku zaciągania pożyczek lub kredytów. Bank wstrzyma się wiec z przelewem środków do czasu uzyskania potwierdzenia przez klienta.

Bezpieczne limity transakcyjne

Jeśli klient zdecyduje się jednak na istotne podwyższenie limitu transakcyjnego to powinien zostać wdrożony komunikat voice lub kontakt ze strony pracownika dostawcy usług płatniczych z konsumentem, lub inna forma dodatkowego potwierdzenia innym kanałem niż ten, w ramach którego została złożona dyspozycja pod­wyższenia limitu transakcyjnego a następnie w ustalonym czasie, limity transakcji powinny zostać automatycznie obniżone do domyślnej wysokości.

Uwierzytelnienie pracownika banku

Uwierzytelnienie się przez pracownika dostawcy usług płatniczych powinno następować automatycznie po zainicjowaniu kontaktu przez dostawcę – nie powinno być uzależnione od żądania klienta. Powinno zatem dojść do wygenerowania w aplikacji mobilnej konsumenta komu­nikatu PUSH i poinformowanie o tym konsumenta w trakcie połączenia lub ustalenia z klientem sposobu weryfikacji pracownika (np. z wykorzystaniem ustalonego wcześniej z klientem kodu PIN, hasła lub opisu wzoru graficznego).

Co mogą zrobić klienci banków, żeby chronić swoje pieniądze w banku?

Nowe zalecenia z pewnością poprawią bezpieczeństwo transakcji, lecz nie wyeliminują wszystkich potencjalnych zagrożeń. Zawsze zachowaj więc czujność przy otwieraniu wiadomości e-mail i SMS, a także weryfikuj czy osoba, z którą rozmawiasz, to na pewno pracownik banku. Pamiętaj, prawdziwy pracownik banku, nie będzie wymagał podania przez Ciebie w trakcie rozmowy danych do logowania i danych do autoryzacji przelewów. Nie pozwól też, aby osoba, z którą prowadzisz rozmowę miała dostęp do twojego telefonu i aplikacji bankowej poprzez aplikację, którą poleca tobie zainstalować. Regularnie sprawdzaj też historię rachunku i ustawienia limitów.

 Jeśli padłeś ofiarą nieautoryzowanego przelewu lub masz wątpliwości co do odpowiedzialności banku, warto skorzystać z pomocy specjalistów. Nasz zespół prawny pomaga w sprawach dotyczących oszustw bankowych, dochodzenia zwrotu środków oraz postępowań przed Rzecznikiem Finansowym i UOKiK.

Skontaktuj się z nami, aby omówić swoją sytuację i poznać możliwe rozwiązania prawne:

[email protected]