Wyłudzony login, skradzione pieniądze

Mieszkańcy gminy Szubin od czterech miesięcy walczą z bankiem o umorzenie kredytu, który na ich konto zaciągnął haker. Przestępca dostał się na konto, wyłudzając numer klienta i hasło, po czym wziął kredyt na ponad 18 tys. zł. Za te pieniądze kupił kryptowaluty. Bank chce umorzyć połowę zobowiązania, ale klienci nie zamierzają spłacać długu pochodzącego z przestępstwa.

W piątkowy ranek 4 września 2020 roku Beata Burzyńska postanowiła sprawdzić stan swojego konta bankowego. Wzięła do ręki telefon komórkowy, by dokonać tego za pomocą aplikacji mobilnej. Aplikacja poprosiła o podanie danych, a mianowicie o numer klienta i hasło internetowe.
- Wydało to mi się dziwne, bo nigdy tak nie było. Zawsze wbijałam PIN i to już było wszystko. Pomyślałam, że może bank przeprowadza jakąś aktualizację i trzeba się będzie logować do tej aplikacji. Zalogowałam się, sprawdziłam stan konta, a miałam wtedy na koncie 24 zł i na drugi dzień, w sobotę rano, wchodzę znowu w aplikację, patrzę, a tam pełno powiadomień o przeprowadzonych transakcjach na kantor kryptowalut. Patrzę dalej, a tam widzę, że jest zaciągnięty kredyt na ponad 18 tys. zł. Zadzwoniłam na infolinię banku PKO, zgłosiłam problem, a potem jeszcze na policję i tak się zaczęło to wszystko - mówi Beata Burzyńska.
ZGŁOSZENIE
Ktoś włamał się do telefonu naszej rozmówczyni i na jej nazwisko wziął kredyt podając inne dane. Mieszkanka gminy Szubin zobaczyła, że gros z tych pieniędzy zostało przelane na konto kantoru zajmującego się handlem kryptowalutami. Takich przelewów było kilkanaście. Włamanie zostało dokonane prawdopodobnie wieczorem 4 września, a przelewy do kantoru kryptowalut miały miejsce w nocy z 4 na 5 września, między 23.30 a 3.00. Były to przelewy o niemal tej samej sumie, bo niecałe 1.000 zł - 998 zł, 993 zł, a ostatni przelew opiewał na sumę tylko ponad 500 zł, bo na koncie zostało 1,1 tys. zł i przestępca zostawił swoim ofiarom ostatnie pół tysiąca. I właśnie ta suma wzbudziła podejrzenie klientki banku, bo jeszcze dzień wcześniej konto było niemal puste.
Mieszkanka gminy Szubin powiedziała nam, że podczas zgłoszenia sprawy na infolinię banku od konsultantki otrzymała polecenie zresetowania telefonu i to zrobiła. Po zgłoszeniu na policję czekała w domu na przyjazd funkcjonariusza, który jeszcze tego samego dnia przyjechał i przeprowadził z nią rozmowę. Po weekendzie miała dopełnić kolejnych formalności związanych z dochodzeniem policyjnym i - jak mówi - to wszystko. Beata Burzyńska z mężem nie czują, żeby działania policji zmierzały do skutecznego ujawnienia sprawcy. Nie wiedzą także, czy śledztwo trwa, czy zostało umorzone.
- Policjant po kilku dniach powiedział nam, że z banku dostał pismo i bank napisał, że on nie jest winny w tej sprawie. Na to policjant do mnie, że teraz on sam nie wie czy to ja jestem winna, czy bank. Ja na to odpowiedziałam, że: „Chwileczkę, jakbym to ja zrobiła, to przecież bym nie przychodziła i nie zgłaszała tej sprawy“ - wyjaśnia pani Beata.
- Dowiedzieliśmy się od policji, że bank nie udzielił policji wszystkich odpowiedzi. Policja miała sprawdzić bilingi i nie sprawdziła. Bank się upierał, że przychodziły do nas SMS-y. My takich nie dostaliśmy. Sam w końcu się udałem do salonu operatora, wyciągnąłem te bilingi i im wysłałem. Wynika z nich, że żadnych SMS-ów z banku nie było - dodaje Robert Burzyński.
KTO DOSTAŁ SMS-Y
O co chodzi z tymi SMS-ami? Państwo Burzyńscy tłumaczą, że chęć wzięcia kredytu powinna być potwierdzona poprzez SMS, a żaden z nich na telefon pani Beaty nie przyszedł. Mało tego, nie otrzymała również żadnego e-maila z potwierdzeniem wzięcia kredytu ani z umową czy harmonogramem spłat. Osoba, która w jej imieniu wzięła kredyt podała zupełnie inny adres e-mail, na który - prawdopodobnie - bank wysłał dokumenty. Do tego przestępca podał inne źródło utrzymania mieszkanki gminy Szubin. Włamywacz jako źródło dochodu kredytobiorcy wpisał działalność rolniczą, podczas gdy wpływy na konto są z wypłaty Roberta Burzyńskiego, a żona dochodu nie ma.
Nasi rozmówcy dziwią się, że dane, które się nie zgadzały ze stanem faktycznym, nie wzbudziły w banku żadnych podejrzeń. Pytają, dlaczego nikt z banku nie wstrzymał transakcji i następnego dnia telefonicznie nie potwierdził danych. Kredyt został udzielony, a kredytobiorca nawet o tym nie wiedział. - Nie wiemy, kto udzielał tego kredytu. Pracownik czy system komputerowy - dziwią się nasi rozmówcy.
Beata Burzyńska, powołując się na pismo z banku podkreśla, że logowanie na jej konto nastąpiło z kilkunastu różnych adresów IP. Jej zdaniem, skoro bank wie, że takie logowania były, to może te dane przekazać policji, a ta po adresach IP mogłaby odnaleźć sprawcę.
Zapytaliśmy nakielską policję o zabezpieczenie bilingów i o stan dochodzenia w sprawie wyłudzenia pieniędzy z konta państwa Burzyńskich. Podkomisarz Justyna Andrzejewska, oficer prasowy KPP w Nakle poinformowała, że nie wszystkie informacje związane z prowadzonym postępowaniem mogą być ujawnione.
- Postępowanie dotyczące oszustwa komputerowego, jakie zgłoszone zostało w szubińskim komisariacie przez mieszkankę gminy, jest w toku. Z informacji uzyskanych przez pokrzywdzoną oraz z dotychczasowych ustaleń śledczych wynika, że sprawca pozyskał dane do logowania do konta bankowego zgłaszającej i online zaciągnął kredyt, a następnie ze środków przyznanych przez bank wykonał szereg przelewów na zakup kryptowalut. Sprawa ta jest bardzo złożona i mimo wykonania już wielu czynności sprawca, póki co, nie został jeszcze ustalony - mówi Justyna Andrzejewska.
BANK JUŻ POBIERA RATY
Mieszkanka gminy Szubin udała się osobiście do banku, by wyjaśnić całą tę sytuację i dowiedziała się od pracownicy szubińskiego oddziału, że sprawa jest przegrana, pieniędzy odzyskać już się nie da, a kredytobiorcy i tak będą musieli spłacić zaciągnięte zobowiązanie.
Mimo że dochodzenie przez policję nie zostało zakończone, bank rozpoczął realizację harmonogramu spłat rat kredytu. Pobrał już dwie raty za ponad 200 zł. Pobrał z tych pieniędzy, które zostawił na koncie przestępca, ponieważ pani Beata postanowiła środków z feralnego konta nie ruszać. W grudniu ub. roku zabrakło na tym koncie środków potrzebnych na ściągnięcie trzeciej raty. Wtedy wszyscy członkowie rodziny na swoje telefony otrzymali powiadomienia od banku o braku dostępnych środków na koncie.
- Powiadomienie dostała też córka, która jest niepełnoletnia. Złożyłam od tego reklamację, bo sobie nie życzę, żeby mi dziecko w to wciągali. Nie dość, że będziemy teraz na czarnej liście dłużników, co dla nas jest przykre, bo zawsze i wszystko spłacaliśmy, to jeszcze córkę w to mieszają. Przez to ona może w przyszłości też mieć kłopoty - mówi oburzona mieszkanka gminy Szubin.
Pierwszą reklamację pani Beata złożyła przez pracownika infolinii. Drugą reklamację również przez pracownika infolinii. - Dostaliśmy na obie reklamacje odpowiedzi odmowne. Trzecia napisałam sama, ale w międzyczasie udaliśmy się do adwokata i to on nam wystosował kolejne pismo do banku - wyjaśnia Beata Burzyńska.
- Po tym piśmie od prawnika bank dał nam odpowiedź, że z 18 tys. zł kredytu, zrobił 14 tys. zł, które z kolei podzielili na pół i zaproponował, że połowę umorzy, a drugą połowę mamy spłacić my - dodał Robert Burzyński. - Tłumaczył, że to dlatego, bo jesteśmy ich klientami. My z tego kredytu nie mamy ani złotówki i ani złotówki nie chcemy spłacać.
BANK SIĘ NIE CZUJE WINNY
Klientka nie dochowała podstawowych zasad bezpieczeństwa i niestety padła ofiarą przestępców - takie stanowisko wyraził bank PKO w mailu od Romana Grzyba, eksperta tegoż banku.
Stwierdził, że logując się do aplikacji banku klientka podała dodatkowe dane, których aplikacja nie wymaga. - Komunikat z prośbą o podanie tych danych podstawiło fałszywe oprogramowanie, które było na telefonie. Klientka od lat aktywnie korzystała z aplikacji IKO i powinna wiedzieć, że logując się do aplikacji, nie powinna podawać loginu i hasła do serwisu internetowego iPKO. Dzięki tym danym przestępcy przejęli kontrolę nad jej kontem.
Ekspert PKO dodał, że atak hakerski nie był skierowany na aplikację IKO. Jego celem było wyłudzenie danych uwierzytelniających czyli loginu i hasła do serwisu internetowego. Bank nigdy przy logowaniu do aplikacji mobilnej nie domaga się takich informacji i we wszystkich możliwych miejscach ostrzega przed tego typu oszustwami.
- Zwracamy też uwagę, że zabezpieczenia, które stosujemy, uniemożliwiają dokonanie jakiejkolwiek transakcji i innych zmian w aplikacji mobilnej IKO, bez podania kodu PIN. Kredytu, o który Pan pyta, udzieliliśmy prawidłowo i zgodnie z procedurami - na podstawie dyspozycji, która została złożona po zalogowaniu do serwisu transakcyjnego danymi klientki i potwierdzona używanym przez nią narzędziem autoryzacji, czyli kodem SMS, który wysłaliśmy na numer telefonu pozostawiony w banku - wyjaśnia Roman Grzyb.
Zdaniem banku, zainstalowanie na telefonie szkodliwego oprogramowania niewiadomego pochodzenia oraz podanie danych do logowania do serwisu internetowego, mimo ostrzeżeń banku by tego nie robić, można uznać za rażące zaniedbanie, co zgodnie z art. 46 ust. 3 Ustawy o usługach płatniczych, skutkuje odpowiedzialnością klienta za nieautoryzowaną operację. Jednak z uwagi na wieloletnią współpracę i sytuację klientki bank zaproponował ugodę i pokrycie połowy kwoty utraconej w wyniku realizacji z jej rachunku nieuprawnionych przelewów. Bank złożył też na policji zawiadomienie o podejrzeniu popełnienia przestępstwa i zadeklarował ścisłą współpracę z organami ścigania w wyjaśnieniu tej sprawy.
SMS-ÓW NIE BYŁO
- Ta wina, którą obarcza nas bank, nie została nam udowodniona, bo gdzie jest umowa, gdzie są SMS-y do autoryzacji? - twierdzi nasza rozmówczyni. - Usłyszałam, że to sąd ma ustalić naszą niewinność. Czyli według banku dzisiaj jesteśmy oszustami i złodziejami, tak? Nasi rozmówcy nie zgodzili się na propozycję banku dotyczącą umorzenia połowy z sumy zaciągniętego kredytu.
Ich pełnomocnikiem jest radca prawny Dawid Rzeski. Jego zdaniem, odpowiedź z banku i działania banku nie są spójne. Bank bowiem powiadomił prokuraturę o wyłudzeniu, czym niejako przyznał się do tego, że doszło do włamania, i że doszło do nieautoryzowanej transakcji. Dawid Rzeski przytacza też orzecznictwo, które staje po stronie klienta, a nie banku. Jest wyrok Sądu Najwyższego z 2018 roku, w którym stwierdza, że to bank odpowiada za nieautoryzowane transakcje. Bank musi wykazać, że klient wykazał rażącą niedbałość. Zdaniem prawnika, bank tego nie wykazał. A z drugiej strony - to na banku ciąży odpowiedzialność stworzenia takiego systemu, który będzie bezpieczny. Klient nie musi się znać na sprawach technicznych. Skoro doszło do włamania to już samo to wskazuje na niedoskonałość systemu, który umożliwił przestępcom na włamanie.
Powiatowa Rzecznik Praw Konsumenta w Żninie Izabela Gronet powiedziała nam, że w swojej pracy ma do czynienia z podobnymi sprawami. Jej zdaniem, sprawa nie jest prosta. Powstał spór dotyczący autoryzacji transakcji. Klienci przyznają, że podali dane, które umożliwiły przestępcom włamanie się na konto i wyłudzenie pieniędzy. Propozycję spłaty części zobowiązania można więc potraktować jako dobrą wolę banku. Trzeba się zastanowić, czy tę ugodę przyjąć, czy nie. Przestępcy wprowadzili w błąd klientów i doprowadzili do rozporządzania ich mieniem. Zdaniem rzeczniczki, klienci w przypadku ustalenia sprawcy, będą mogli tych pieniędzy domagać się od sprawcy. Jeśli będzie wypłacalny.
Dawid Rzeski ma inne zdanie. Jego klienci nie zgodzą się na połowiczną ugodę. Nie mają zamiaru spłacać połowy kredytu, mając na względzie to, że bankowy system nie uniemożliwił przestępcom działania. Kluczowa sprawa dotyczy potwierdzenia transakcji, które powinno być wykonane esemesem. A esemes w tej sprawie nie przyszedł.
CZY KANTOR ODPOWIE?
W Wigilię Beata Burzyńska dostała kolejne pismo z banku, którego treść była zupełnie inna, niż to co odpowiedział wydział prasowy tygodnikowi Pałuki. Wynika z niego, że jeżeli kantor kryptowalut zwróci 2,5 tys. zł z trzech zablokowanych transakcji, to bank pójdzie z klientami na ugodę i umorzy resztę kredytu. Sprawa jest w toku.
BOI SIĘ KLIKAĆ
Mieszkańcy gminy Szubin założyli konto w innym banku. Z PKO BP nie chcą mieć kontaktu, ale muszą ze względu na ciągnącą się sprawę wyłudzenia kredytu. Teraz w podejmowaniu czynności bankowych są bardzo ostrożni.
- Ja już ich nie chcę znać. Nie chcę widzieć tego konta. Myślałem, że taki znany i solidny bank to nie będzie kłopotów, a są. Tyle lat w tym banku. Zamiast nas chronić jako klientów, to zrobili nas złodziejami. Nieładnie - żali się Robert Burzyński. - Teraz się boję kliknąć w cokolwiek, bo nie wiem, czy jutro się nie obudzę z kolejnym kredytem.

Remigiusz Konieczka
Pałuki nr 1508 (1/2021)

* Materiał powstał w ramach projektu Stowarzyszenia Gazet Lokalnych z Polsko-Amerykańską Komisją Fulbrighta Media bliżej ludzi, finansowanego ze środków Departamentu Stanu USA.