Giną pieniądze z konta. Wina tylko klienta? UOKiK upomina banki i przedstawia listę rzeczy, które powinny robić, by zmniejszać ryzyko

UOKiK upomina banki. I daje im listę zaleceń. Banki oczekują od swoich klientów ostrożności i rozwagi. I tego, żeby klienci nie otwierali przestępcom drzwi do swoich pieniędzy. Ale czy banki czasem też tego nie ułatwiają? Urząd Ochrony Konkurencji i Konsumentów spisał najczęściej spotykane praktyki banków i fintechów, które – ułatwiając nam dostęp do pieniędzy – jednocześnie zwiększają ryzyko, że ktoś nas okradnie. Czy bankowcy przejmą się tą listą zaleceń? Co zajmuje na niej pierwsze miejsce?

Możliwość zdalnego zmieniania limitów transakcji, udzielanie kredytów w aplikacji mobilnej, natychmiastowe przelewy. Te wszystkie udogodnienia w płatnościach są bardzo wygodne, jednak rodzą dodatkowe ryzyko – jeśli dane logowania na konto klienta przechwycą przestępcy, to łatwiej im będzie ukraść jeszcze więcej pieniędzy. Urząd Ochrony Konkurencji i Konsumentów stworzył katalog zaleceń dla banków, z którego wynika, jak banki mogą lepiej chronić klientów przed tymi zagrożeniami.

Ta wygoda… to ryzyko!

To bardzo ważne, bo dziś banki myślą przede wszystkim o tym, by dostarczyć klientowi możliwość zarządzania pieniędzmi w jak najbardziej wygodnej formie. A jeśli – korzystając z tych udogodnień – ktoś nam ukradnie pieniądze, to banki często zrzucają z siebie winę: „my tylko dostarczyliśmy usługę, nie nasz problem, że klient nie potrafi z niej bezpiecznie korzystać”. Oczywiście, bywamy nieostrożni. Ale wymiar kary wynikający z tej nieostrożności czasem bywa nadmiernie wysoki, co wynika z zasad działania usług bankowych.

Wyobraź sobie taką sytuację. Wchodzisz do sklepu z artykułami RTV i widzisz upragniony telewizor, przedmiot marzeń od wielu miesięcy, przeceniony o 30%. Wreszcie jest w Twoim zasięgu finansowym. No, prawie, bo właśnie wróciłeś z małżonką z wakacji i jesteście nieco spłukani z gotówki. Promocja na telewizor ma się skończyć przed najbliższą wypłatą. Wyciągasz więc telefon, uruchamiasz aplikację swojego banku, wykonujesz parę ruchów palcem i już masz pożyczkę gotówkową na koncie.

Niestety, pojawiają się problemy przy płatności. Okazuje się, że transakcja przekracza ustalony z bankiem limit dzienny, ale szybko zmieniasz ten limit w aplikacji, płacisz i zadowolony wracasz do domu. Masz prezent urodzinowy dla żony, a sam w końcu obejrzysz mecze Ligi Mistrzów w jakości 4K.

Jednak to, co jest wygodą – szybki kredyt lub zmiana limitów transakcyjnych – może stać się przekleństwem, jeśli przestępcy zdobędą Twoje dane logowania do banku. Jeśli zdobędą dostęp do konta, to w przeciągu minut, korzystając z kombinacji szybkiego kredytu i podniesienia limitu transakcji mogą Ci wyczyścić konto z olbrzymich kwot. I to takich, których jeszcze nie zarobiłeś. I na których spłatę – jeśli bank uzna, że to wszystko Twoja wina – będziesz pracować przez wiele miesięcy.

Pieniądze giną z konta. Wina banku czy klienta?

A bank może uznać, że to Twoja wina, bo żeby pieniądze wyszły z Twojego konta musisz zatwierdzić transakcję – kodem SMS, albo powiadomieniem push z aplikacji mobilnej. Jeśli akcja złodziei jest sprytna, to oprócz danych logowania mają też Twój numer telefonu. Zadzwonią do Ciebie i przekonają, że musisz szybko przelać dziecku 5 zł, albo zapłacić 250 zł za pomoc lekarską dla chorej matki. Zatwierdzasz transakcję, nie patrząc na szczegóły. I pieniądze – nie 250 zł, tylko dziesiątki tysięcy złotych – lecą do złodziei. Przelewem ekspresowym oczywiście, więc nie ma szans na przyblokowanie transakcji.

Bank uznaje, że jesteś jedynym winnym także dlatego, że nie zgodziłeś się na stosowanie biometrii behawioralnej, czyli na analizę sposobu stukania w klawiaturę i trzymania telefonu, na podstawie której bank sporządziłby Twój profil. Gdyby go sporządził, mógłby wykryć, że to nie Ty zalogowałeś się do banku, chcąc wyprowadzić z konta wszystkie pieniądze (przy okazji zaciągając pożyczkę gotówkową na jeden klik i zrzucając na ROR cały dostępny limit z karty kredytowej).  Uznałeś, że Twoja prywatność jest ważniejsza.

Jaki powinien być podział winy za kradzież pieniędzy? Owszem, byłeś nieostrożny, nie sprawdziłeś jaką transakcję zatwierdzasz, a wcześniej nieświadomie ujawniłeś dane do logowania i numer telefonu komórkowego oraz uwierzyłeś człowiekowi, który dzwonił do Ciebie, w jakąś bajeczkę. Ale przecież to bank dostarczył narzędzia do kradzieży: możliwości zwiększenia limitu dziennego transakcji online, udzielenia kredytu przez aplikację mobilną, wykonania przelewu ekspresowego.

Szybkie kredyty, natychmiastowe przelewy i zmienne limity transakcyjne to nie jedyne udogodnienia, które banki nam dostarczają, zwiększając jednocześnie ryzyko, że będziemy ofiarą kradzieży. Urząd Ochrony Konkurencji i Konsumentów w swoim najnowszym raporcie wymienia również inne ryzykowne udogodnienia – np. możliwość samodzielnej zmiany danych klienta w systemie transakcyjnym (bo przestępcy mogą w ten sposób przekierować komunikację banku do siebie), czy niewystarczające zabezpieczenia przy kartowych płatnościach zdalnych.

UOKiK upomina banki. 16 zaleceń

Na szczęście – dla klientów – czasy się zmieniają. Regulatorzy i sądy coraz bardziej niechętnie patrzą na skłonność banków do traktowania następstw cyberprzestępstw jako problemu dotyczącego tylko i wyłącznie klienta. W końcu to bank lub instytucja płatnicza, np. fintech, dostarczyły narzędzi pozwalających przestępcom zdalnie wyprowadzić pieniądze. Ostatecznie doprowadził do tego klient, zatwierdzając transakcję lub udostępniając kod BLIK złodziejowi. Ale system to umożliwił.

„Bezpieczeństwo transakcji online to wspólny interes dostawców i odbiorców usług płatniczych. Niedopuszczalne jest przerzucenie całej odpowiedzialności w tym zakresie na konsumenta” – napisał UOKiK w zaleceniach dla dostawców usług płatniczych, czyli głównie dla banków, ale też do fintechów i wszystkich firm, które legalnie zajmują się przechowywaniem i transportowaniem naszych pieniędzy z miejsca A do miejsca B.

Regulator – jak się wydaje sensownie – założył, że nie można oczekiwać od klientów monitorowania wszystkich nowych zagrożeń i odpowiedzialność za to przesunął również na banki. Bo to instytucje finansowe odpowiadają za utrzymanie równowagi pomiędzy wygodą dla klienta a bezpieczeństwem pieniędzy.

„Dostawcy usług płatniczych powinni na bieżąco wdrażać wszelkie niezbędne środki zaradcze, reagując niezwłocznie na pojawiające się zagrożenia. Podejmowane działania mają skutecznie zapobiegać nieautoryzowanym i oszukańczym transakcjom płatniczym” – podał UOKiK. I, żeby było jasne co na pewno wchodzi w zakres obowiązków banków, przedstawił listę 16 zaleceń dla dostawców usług płatniczych.

Bank ma monitorować transakcje i wychwytywać podejrzane

Na czele listy zaleceń UOKiK jest monitorowanie transakcji klientów. „Przepuszczanie” przez banki podejrzanych transakcji bez sprawdzania czy są faktycznie zlecane przez klientów od dość dawna było kością niezgody między bankami a regulatorem. Banki często odmawiają uznania reklamacji, jeśli stwierdzą, że transakcja została prawidłowo autoryzowana. Jak odnotował jednak już w jednym z wcześniejszych komunikatów UOKiK, banki mają obowiązek wprowadzenia takich zabezpieczeń, które zmniejszą ryzyko oszustw.

„Obowiązek banku nie kończy się na wykazaniu prawidłowości uwierzytelnienia przy wykonywaniu transakcji. Istotne jest zapewnienie przez instytucje finansowe takich środków bezpieczeństwa, które ograniczą działania oszustów. Transakcja jest autoryzowana jedynie wtedy, gdy jej uwierzytelnienie nastąpiło za wiedzą i zgodą konsumenta” – mówił cytowany wówczas w komunikacie prezes UOKiK Tomasz Chróstny.

Teraz ten obowiązek banków przybrał postać formalnego zalecenia. Banki będą musiały sprawdzać transakcje nietypowe, na przykład w nietypowej dla klienta wysokości, nietypowo częstych, dokonywanych po zmianie na koncie klienta (co mogłoby sugerować przejęcie konta) czy na przykład zagranicznych, kiedy klient wcześniej takich nie wykonywał.

Jeśli bank ma wątpliwości w stosunku do transakcji lub jakiejś innej zmiany na koncie klienta – na przykład wypłaty pieniędzy z udzielonego ekspresowo kredytu, zmiany danych klienta dokonanych zdalnie w systemie transakcyjnym (np. nowy numer telefonu do kontaktu) czy znaczącego podwyższenia limitu dziennego kwot transakcji – powinien zastosować tzw. cooling period. Czyli okres, w którym złożona dyspozycja jest zawieszona dopóki nie zostanie potwierdzona przez klienta w innym kanale komunikacji niż ten, w którym została zgłoszona.

Dostawca usług płatniczych powinien informować klientów o objęciu danej dyspozycji cooling period, co do zasady innym kanałem niż aplikacja mobilna lub konto klienta dostępne z poziomu serwisu internetowego. Innym sposobem na potencjalne wątpliwości może być po prostu kontakt telefoniczny, inicjowany przez pracownika banku.

Czytaj więcej o tym problemie: Nasza czytelniczka padła ofiarą kradzieży. A bank, choć wiedział, że transakcja jest podejrzana, to pieniądze i tak z systemu wypuścił…

Czytaj również: Oszustwo internetowe metodą na „miłą blondynkę” i kradzież błyskawiczna. Pani Aneta straciła 7200 zł. Dlaczego bank domniemanego oszusta nie może zwrócić pieniędzy?

Czytaj też: Klikasz w podesłany przez nieznajomego link i… tracisz wszystkie pieniądze z konta. Banki spychają z siebie 100% odpowiedzialności. Czy to fair?

Karty jednorazowe do transakcji internetowych i nie tylko

Jakie są propozycje UOKiK w sprawie transakcji kartowych? Po pierwsze, regulator chce, by banki oferowały, znane już klientom aplikacji Revolut, jednorazowe karty wirtualne. Czyli takie, które są dostępne wyłącznie w aplikacji (stąd wirtualne, bank ich nie wysyła w formie plastikowej na adres korespondencyjny) i unieważniają się po jednej transakcji, więc nikt nie użyje danych takiej karty drugi raz, by nam ukraść pieniądze.

Jeśli chodzi o karty fizyczne, to bank powinien wymagać silnego, podwójnego zabezpieczenia transakcji (procedura SCA). Sprowadza się ona do tego, że trzeba potwierdzać każdą transakcję logując się do aplikacji mobilnej, wpisując przesłany kod albo uwierzytelniając się w jakiś inny sposób. A jeśli bank czegoś takiego nie oferuje? Wtedy numer CVC/CVV (dodatkowy identyfikator) nie powinien być wydrukowany na karcie – tak by z danych naszej karty nie mógł skorzystać ktoś, kto jej zrobi na przykład zdjęcie.

Lista zaleceń UOKiK jest oczywiście dłuższa. Obejmuje ona:

• Panic buton, czyli funkcja blokująca wszystkie transakcje. Po użyciu takiego przycisku przez klienta, wszystkie transakcje byłyby wstrzymane do momentu odwiedzin klienta w placówce lub przez określony czas.
• Racjonalnie niskie domyślne limity transakcji, tak by nie odbiegały one w górę od średnich limitów ustalanych przez samych klientów – z opcją zmiany przez klienta, jednak w przemyślany sposób.
• Ograniczanie zakresu usług domyślne włączonych, na przykład takich jak szybkie przelewy czy przelewy transgraniczne, zwłaszcza dla nowych klientów – oczywiście również z opcją ich włączenia przez klienta. Klient powinien być uprzedzany o możliwych konsekwencjach.
• Odmowa dostępu do konta z danego urządzenia, jeśli jest do niego podłączona sesja zdalna, czyli jeśli bank ustali, że komputer jest używany przez kogoś jako „przedłużacz”, czyli jest możliwość, że tak naprawdę korzysta z niego osoba trzecia, a nie wyłącznie klient.
• Proste i zrozumiałe komunikaty do klientów w każdym kanale komunikacji. Chodzi o to, żeby klient zawsze zdawał sobie sprawę z konsekwencji odblokowania jakiejś funkcji, podwyższenia limitu itp. Warto, żeby każdy klient wiedział, gdzie sprawdzić te limity, ile one wynoszą i że można je obniżyć.
• Specjalna linia telefoniczna do zgłaszania nieautoryzowanych transakcji. Rzecz w tym, żeby można było zareagować błyskawicznie, żeby klient nie czekał np. pół godziny na połączenie z infolinią, gdy sytuacja jest podbramkowa i liczy się każda minuta

Lista minimalnych wymogów, nie rozgrzeszenie

A co się stanie, jeśli pomimo zastosowania się przez bank do wszystkich zaleceń UOKiK, ktoś ukradnie klientowi pieniądze? Czy to już na pewno wina klienta? Wcale niekoniecznie. Przynajmniej zdaniem urzędników. Jak pisze UOKiK, „zalecenia nie wyłączają stosowania innych środków zaradczych i mechanizmów bezpieczeństwa w przypadku pojawienia się czynników ryzyka innych niż wskazane w tym dokumencie”.

Jak już wspominałem, to bank ma być odpowiedzialny za monitorowanie zagrożeń i reagowanie na nie. Odhaczenie listy UOKiK nie daje automatycznego rozgrzeszenia. Jeśli banki nie wypełnią zaleceń UOKiK, to zapewne zostanie to uznane za ich zaniedbanie. Co istotnie zwiększa prawdopodobieństwo, że będą musiały pokrywać straty klientów.

To oczywiście nie oznacza, że klienci są w pełni rozgrzeszeni. To ma być trochę tak, jak w przypadku procedury chargeback, czyli zwrotu pieniędzy klientowi, gdy za coś zapłaci kartą, a dany przedmiot okaże się niepełnowartościowy bądź w ogóle nie dotrze. W takiej sytuacji konsekwencje zależą od tego, kto zaniedbał swoich obowiązków – sklep, bank, pośrednik rozliczający płatność?

zdjęcie tytułowe: UOKiK upomina banki w sprawie kradzieży pieniędzy z kont klientów. Copilot Designer/Markus Spiske/Unsplash