1. Najczęstsze metody cyberoszustw
Przed omówieniem mechanizmów prawnych warto zrozumieć, w jaki sposób dochodzi do kradzieży środków – jest to bowiem istotne przy ocenie winy i bezpośrednio wpływa na odpowiedzialność banku.
Phishing polega na rozsyłaniu fałszywych e-maili lub SMS-ów (tzw. smishing) imitujących wiadomości od banku, urzędu skarbowego czy znanych serwisów. Ofiara klika w sfałszowany link, trafia na stronę łudząco podobną do bankowej i wpisuje dane logowania oraz kod SMS autoryzujący przelew – który natychmiast trafia do cyberprzestępcy.
Vishing (ang. voice phishing) to telefoniczne wyłudzenie danych. Przestępcy podszywają się pod pracownika działu bezpieczeństwa banku, informatyka, policjanta lub prokuratora i wywierają presję psychologiczną, nakłaniając ofiarę do zainstalowania aplikacji do zdalnego pulpitu (np. AnyDesk, TeamViewer) lub podyktowania kodu SMS. Ofiara często pozostaje w przekonaniu, że współpracuje z bankiem.
SIM-swap to przejęcie karty SIM przez wyrobienie duplikatu u operatora – przestępca kontroluje numer telefonu, przez co otrzymuje kody SMS-owe autoryzujące transakcje.
Spoofing numeru telefonu umożliwia podrobienie numeru infolinii bankowej przy połączeniu przychodzącym, co wzmacnia wiarygodność fałszywego „pracownika banku”.
2. Prawo po Twojej stronie – art. 46 ustawy o usługach płatniczych
Podstawowym aktem prawnym regulującym tę materię jest ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (dalej: u.u.p.). Jej art. 46 ust. 1 nakłada na bank obowiązek niezwłocznego zwrotu kwoty nieautoryzowanej transakcji, najpóźniej do końca dnia roboczego następującego po dniu stwierdzenia wystąpienia nieautoryzowanej transakcji lub po dniu otrzymania zgłoszenia od klienta; w przypadku gdy płatnik korzysta z rachunku płatniczego, bank przywraca obciążony rachunek płatniczy do stanu, jaki istniałby, gdyby nie miała miejsca nieautoryzowana transakcja płatnicza. Bank może wstrzymać zwrot wyłącznie wtedy, gdy ma uzasadnione i należycie udokumentowane podstawy, aby podejrzewać oszustwo po stronie samego klienta, i poinformuje o tym w formie pisemnej organy powołane do ścigania przestępstw.
Ciężar dowodu – po stronie banku
Co kluczowe dla klientów: na dostawcy (banku) spoczywa ciężar udowodnienia, że transakcja płatnicza została autoryzowana (tj. że klient rzeczywiście wyraził na nią zgodę) i prawidłowo zapisana w systemie (art. 45 ust. 1 u.u.p.). Trybunał Sprawiedliwości UE w wyroku z 11.11.2020 r. (C-287/19, DenizBank AG przeciwko Verein für Konsumenteninformation) potwierdził, że samo wykazanie przez bank zarejestrowanego użycia instrumentu płatniczego nie jest wystarczające do udowodnienia, że transakcja została autoryzowana przez klienta ani że klient działał w wyniku rażącego zaniedbania. Ciężar udowodnienia tych okoliczności spoczywa na dostawcy (art. 45 ust. 2 u.u.p.).
Odpowiedzialność banku a brak silnego uwierzytelnienia
Jeżeli bank nie zastosował silnego uwierzytelniania użytkownika (SCA – strong customer authentication), płatnik nie ponosi odpowiedzialności za nieautoryzowane transakcje, chyba że działał umyślnie (art. 46 ust. 4a u.u.p.). Innymi słowy: jeśli bank nie wdrożył wymaganego dwuetapowego potwierdzenia tożsamości, nie może obciążyć klienta skutkami oszustwa.
3. Kiedy bank może odmówić zwrotu?
Ustawa o usługach płatniczych precyzuje sytuacje, w których odpowiedzialność za nieautoryzowaną transakcję przechodzi na klienta:
Rażące niedbalstwo płatnika (art. 46 ust. 3 u.u.p.)
Płatnik odpowiada za nieautoryzowane transakcje w pełnej wysokości, jeżeli doprowadził do nich umyślnie albo w wyniku umyślnego lub będącego skutkiem rażącego niedbalstwa naruszenia co najmniej jednego z obowiązków z art. 42 u.u.p.. Obowiązki te obejmują przede wszystkim ochronę indywidualnych danych uwierzytelniających (haseł, kodów PIN, kodów SMS) przed dostępem osób trzecich oraz niezwłoczne zgłoszenie utraty, kradzieży lub nieuprawnionego użycia instrumentu płatniczego. Bank musi jednak udowodnić rażące niedbalstwo klienta – samo wykazanie, że klient podał kod SMS, nie wystarczy.
Pojęcie rażącego niedbalstwa jest ocenne i każdorazowo wymaga analizy konkretnego stanu faktycznego. W orzecznictwie i doktrynie podkreśla się, że wobec banku stosuje się podwyższony miernik staranności z uwagi na zawodowy charakter prowadzonej przez niego działalności. Sądy badają m.in.: stopień wyrafinowania ataku, skuteczność mechanizmów ostrzegawczych banku, okoliczności, w jakich klient ujawnił dane, oraz to, czy bank dołożył należytej staranności przy weryfikacji transakcji niestandardowych.
Zgłoszenie po terminie 13 miesięcy
Roszczenia klienta wygasają, jeżeli nie dokona on zgłoszenia w terminie 13 miesięcy od dnia obciążenia rachunku (art. 44 ust. 2 u.u.p.). Trybunał Sprawiedliwości UE w wyroku z 1.08.2025 r. (C-665/23, IL przeciwko Veracash SAS) doprecyzował, że warunek zgłoszenia jest spełniony wyłącznie wówczas, gdy użytkownik powiadomił dostawcę bez zbędnej zwłoki o tym, że stwierdził nieautoryzowaną transakcję, i powiadomienie to nastąpiło nie później niż w ciągu 13 miesięcy od daty obciążenia rachunku. Opóźnienie z powiadomieniem – celowe lub wynikające z rażącego zaniedbania – może pozbawić klienta prawa do zwrotu w zakresie strat wynikłych z tego opóźnienia.
Odpowiedzialność do 50 euro przy utracie lub przywłaszczeniu instrumentu
Przy posłużeniu się utraconym lub skradzionym instrumentem płatniczym klient odpowiada do równowartości 50 euro (art. 46 ust. 2 u.u.p.) – ale tylko wówczas, gdy miał możliwość wcześniejszego stwierdzenia tej utraty; jeśli nie mógł jej stwierdzić, nie odpowiada wcale.
4. Kluczowe kroki po utracie środków – checklista
Krok 1: Niezwłoczne zgłoszenie do banku (art. 42 u.u.p.) Skontaktuj się z infolinią banku i zablokuj kartę/dostęp do bankowości elektronicznej. Zażądaj pisemnego potwierdzenia zgłoszenia i zapisz datę oraz godzinę. Pamiętaj – opóźnione zgłoszenie może zmniejszyć lub wyłączyć Twoje roszczenia.
Krok 2: Złożenie reklamacji Złóż reklamację na piśmie (lub przez system bankowości elektronicznej, jeśli bank to umożliwia), wskazując, że transakcja była nieautoryzowana w rozumieniu art. 45–46 u.u.p., i żądając zwrotu środków. Bank ma 5 dni roboczych na odpowiedź w sprawach reklamacyjnych (15 dni w złożonych sprawach, wyjątkowo 35 dni).
Krok 3: Zawiadomienie organów ścigania Niezwłocznie złóż zawiadomienie o popełnieniu przestępstwa (art. 286 lub art. 287 Kodeksu karnego – oszustwo komputerowe). Protokół przyjęcia zawiadomienia jest ważnym dowodem w późniejszym sporze z bankiem.
Krok 4: Zabezpieczenie dowodów Zachowaj zrzuty ekranu fałszywych e-maili/SMS-ów, nagrania rozmów (jeśli możliwe), historię połączeń, potwierdzenia transakcji, korespondencję z bankiem. Dokumentacja ta ma kluczowe znaczenie dla ustalenia, że transakcja była nieautoryzowana i że nie działałeś w wyniku rażącego niedbalstwa.
Krok 5: Wniosek o odzyskanie środków (art. 143a–143c u.u.p.) Jeśli środki trafiły na rachunek w tym samym lub innym banku, złóż wniosek o podjęcie działań w trybie art. 143a u.u.p. – bank płatnika jest zobowiązany w ciągu 3 dni roboczych podjąć starania w celu odzyskania kwoty transakcji płatniczej i powiadomić Cię o ich wyniku. Działania te są dla płatnika bezpłatne.
5. Odmowa banku – co dalej?
Jeśli bank odmówi zwrotu lub nie odpowie w ustawowym terminie, masz do dyspozycji kilka ścieżek:
Rzecznik Finansowy – instytucja bezpłatnego, pozasądowego rozwiązywania sporów między klientem a podmiotem rynku finansowego. Złożenie skargi do Rzecznika Finansowego jest szybkie i bezkosztowe; Rzecznik może wydać wiążące stanowisko lub skierować sprawę do mediacji.
Komisja Nadzoru Finansowego (KNF) – organ nadzorczy, który może nałożyć na bank sankcje administracyjne za nieprzestrzeganie przepisów u.u.p..
Postępowanie sądowe – jeśli bank nadal odmawia zwrotu, pozostaje droga cywilna. Podstawą powództwa jest art. 46 u.u.p. w zw. z art. 45 u.u.p. – z ciężarem dowodu po stronie banku. Pamiętaj: bank zobowiązany jest udowodnić rażące niedbalstwo klienta lub umyślne działanie; sam fakt przeprowadzenia transakcji przy użyciu zarejestrowanych danych uwierzytelniających tego nie przesądza.
Odpowiedzialność odszkodowawcza banku z tytułu niedochowania podwyższonego standardu staranności – bank jako instytucja finansowa jest zobowiązany do zachowania podwyższonego, szczególnego stopnia staranności wynikającego z art. 355 § 2 k.c. i art. 65 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe (dalej: pr. bank.). W orzecznictwie Sądu Najwyższego utrwalona jest linia wskazująca, że wobec banku należy stosować podwyższony miernik staranności (wyroki SN: z 8.03.2001 r., I CKN 991/2000; z 28.05.1999 r., III CKN 196/98, OSNC 2000/1, poz. 8; z 26.07.2001 r., II CKN 1269/00, OSNC 2002/3, poz. 42). Bank, który nie wdrożył skutecznych mechanizmów wykrywania podejrzanych transakcji lub nie ostrzegł klienta o zidentyfikowanym ataku, może ponosić odpowiedzialność odszkodowawczą kontraktową lub deliktową.
6. Rola adwokata
Sprawy o odzyskanie środków utraconych wskutek phishingu lub vishingu należą do jednych z trudniejszych w praktyce bankowej – banki dysponują wyspecjalizowanymi działami prawnymi i z reguły kwestionują zarówno brak autoryzacji, jak i należytą staranność klienta. Wsparcie adwokata jest szczególnie istotne w następujących obszarach:
- Prawidłowe sformułowanie reklamacji – powołanie się na art. 45–46 u.u.p., wskazanie braku autoryzacji transakcji i żądanie zwrotu z powołaniem na ciężar dowodu banku.
- Analiza zachowania banku pod kątem braku SCA – jeśli bank nie zastosował silnego uwierzytelnienia, płatnik jest z zasady zwolniony z odpowiedzialności.
- Ocena, czy bank może skutecznie powołać się na rażące niedbalstwo – w sprawach phishingowych/vishingowych sądy każdorazowo badają, czy dane wyłudzono przy użyciu na tyle wyrafinowanych technik, że przeciętny, starannie działający klient nie był w stanie się im oprzeć.
- Postępowanie przed Rzecznikiem Finansowym i ewentualne postępowanie sądowe – w tym zabezpieczenie materiału dowodowego i przygotowanie pozwu.
- Równoległe postępowanie karne – zeznania i dokumenty z postępowania karnego mogą być istotnym dowodem w sporze cywilnym z bankiem.
Podsumowanie
| Aspekt | Treść |
| Podstawa prawna obowiązku zwrotu | Art. 46 ust. 1 u.u.p. – niezwłoczny zwrot kwoty nieautoryzowanej transakcji |
| Ciężar dowodu | Na banku – musi udowodnić autoryzację lub rażące niedbalstwo klienta (art. 45 u.u.p.) |
| Termin zgłoszenia | 13 miesięcy od obciążenia rachunku; bez zbędnej zwłoki po stwierdzeniu transakcji |
| Przesłanka wyłączenia odpowiedzialności banku | Rażące niedbalstwo lub umyślność klienta (art. 46 ust. 3 u.u.p.) |
| Brak silnego uwierzytelnienia (SCA) | Klient zwolniony z odpowiedzialności, chyba że działał umyślnie (art. 46 ust. 4a u.u.p.) |
| Ścieżki dochodzenia roszczeń | Reklamacja → Rzecznik Finansowy → postępowanie sądowe |
Utrata środków w wyniku phishingu lub vishingu to nie tylko stres, ale przede wszystkim konkretna szkoda majątkowa, do naprawienia której zobowiązany jest bank – o ile nie wykaże, że klient umyślnie lub przez rażące niedbalstwo doprowadził do transakcji. Im szybciej zostaną podjęte właściwe działania prawne, tym większa szansa na odzyskanie środków.
Autor: adw. Robert Kozarzewski Kancelaria Adwokacka Adwokat Robert KozarzewskiNiniejszy artykuł ma charakter informacyjny i nie stanowi porady prawnej w indywidualnej sprawie. W celu uzyskania pomocy prawnej zapraszam do kontaktu z Kancelarią.
