Tanulságos történetek: ezek az áldozatok sikeresen küzdöttek a bankjuk ellen

A kibercsalók nem állnak le, a rászedett ügyfelek pedig szinte minden alkalommal maguk állják a veszteséget a Magyar Nemzeti Bank (MNB) adatai szerint. A bankszámlás csalásoknál 99 százalékban ez a helyzet, a bankkártyás csalásoknál ez az arány folyamatosan emelkedik. 2019-ben, a covid előtt még a károk csupán 6-8 százalékát terhelték a bankkártyás ügyfelekre a bankok, az idei első negyedévben már a 84 százalékát. 

A nemrég indult Öt csapás program persze változtathat ezen, hiszen a jegybank jogszabály-módosítást kezdeményez annak érdekében, hogy legalább az adathalász esetek egy részében az ügyfelek visszakaphassák a pénzüket. Az új szabály értelmében a banknak kell viselnie a kárt, ha nem alkalmazott erős ügyfél-hitelesítést az adott tranzakciónál, és akkor is, ha a csalók a bank nevében keresik fel az ügyfelet, és veszik rá arra, hogy megadja az adatait. 

Ez a jogszabály azonban a tervek szerint csak 2026-ben lépne életbe, mivel a jegybanknak még egyeztetnie kell róla a Nemzetgazdasági Minisztériummal, és a parlamenten is át kell mennie ősszel.

Ennek ellenére voltak már olyan esetek, amikor a banki ügyfelek nem hiába küzdöttek az igazukért, és sikerült megtéríttetniük a kárukat a bankjukkal. Tavaly is több ilyen eset volt, ezek egy része a Pénzügyi Békéltető Testületnél (PBT) kötött ki. Érdemes tehát a károsultaknak tovább vinni az ügyüket, a hatóságok ugyanis a bankokkal szemben sokszor nekik adnak igazat. 

A Google hamis oldalt dobott fel

Kilenc olyan ügyben született például döntés 2024-ben, amelyben a visszaélés vizuális kód használatával valósult meg.

Ezekben az esetekben az ügyfelek egy internetes kereső találataként jutottak el a hamis banki oldalakra, és azon léptek be.

Mivel a csalók a valódi weboldalon azonnal beírták a begépelt adatokat, az ügyfelek megkapták a telefonjukra, illetve a mobilbankjukba az egyszer használatos belépési kódokat, amelyeket be is írtak a hamis honlapon. Ezek birtokában a csalók hozzáfértek a bankszámlákhoz, és fizetési műveleteket hajtottak ott végre. 

Az apróhirdetéses csalások áldozatainak eseteit is vizsgálat a PBT. A károsultak online próbáltak értékesíteni tárgyakat, a csalók pedig csomagküldő szolgáltatáson keresztül kérték az árut, amelyet előre ki akartak fizetni. Ez volt legalábbis, amit hazudtak az eladónak. Egy hamis csomagküldő szolgáltatót imitáló honlapra vezették az ügyfelet, akit onnan egy szintén hamis internetbanki felületre irányítottak. Az ott megadott adatok segítségével pedig hozzáfértek a károsultak bankszámláihoz, és illetéktelen tranzakciókat hajtottak végre azon.  

Ezeknél a jóvá nem hagyott fizetési műveleteknél a PBT nem találta bizonyítottnak a pénzügyi szolgáltatók azon hivatkozását, hogy az ügyfél súlyosan gondatlanul megszegte a készpénzhelyettesítő fizetési eszköz és annak használatához szükséges személyes hitelesítési adatok biztonságban tartására vonatkozó kötelezettségét.

Megbízható kedvezményezettet állítottak be a mobilbankban

Szintén az online apróhirdetéses csalások között voltak olyan esetek, amikor a csalók mobilalkalmazás regisztrációt hajtottak végre az ügyféltől kicsalt adatok révén, és megbízható kedvezményezettet rögzítettek az applikációban. Ezekben az esetekben is az állítólagos vevőjelöltek valamilyen csomagküldő szolgáltatással kérték a termék adásvételének és szállításának a lebonyolítását, amelyhez e-mailt küldtek. 

Az ügyfelek követve az utasításokat, az üzenetben szereplő linkről megnyitott, banki felületnek látszó adathalász weboldalon beírták a netbanki belépéshez szükséges azonosító adataikat, majd a banktól érkező SMS-ekben szereplő kódokat. A csalók a megszerzett adatok felhasználásával új mobilalkalmazást regisztráltak, valamint egy kisösszegű fizetés jóváhagyásával együtt megbízható kedvezményezettet rögzítettek az ügyfél fizetési számlájához kapcsolódóan. A károsult tehát azt hihette, valódi vevővel van dolga, aki kifizette az árut.

A csalók azonban, miután a megbízható kedvezményezettek (partnerek) részére történő további fizetési művelet esetén a bank már nem alkalmazott külön erős ügyfélhitelesítést, könnyen le tudták emelni a pénzt a károsultak számláiról.

Három ilyen eljárás folyt azonos szolgáltatóval szemben, ezekben a PBT megállapította, hogy a pénzügyi szolgáltató nem bizonyította, hogy a kérelmező magatartása elérte volna a súlyos gondatlanság szintjét.

Az Anydesknél sem egyértelmű a gondatlanság

Egy olyan ügy is a PBT asztalára került, ahol a kérelmezőt ismeretlen személyek rávették arra, hogy eszközére egy alkalmazást töltsön le, és lépjen be a netbankjába. Az ismeretlen személyekkel folytatott egyeztetés és az alkalmazás bezárása után az ügyfél arról kapott értesítést, hogy fizetési számláján jóvá nem hagyott fizetési műveletre került sor. Az eljárás során egyetértés volt abban, hogy a jogvita tárgyát képező tranzakció jóvá nem hagyott fizetési műveletnek minősül. 

A rendelkezésre álló bizonyítékok mérlegelése alapján a testület végül úgy ítélte meg, hogy a pénzügyi szolgáltató nem bizonyította, hogy a jóvá nem hagyott fizetési műveletekkel összefüggésben keletkezett kárt a kérelmező súlyosan gondatlan kötelezettségszegése okozta, így a szolgáltatót jóváírási kötelezettség terheli, vagyis az ügy a kérelmező javára dőlt el.

Honnan tudná valaki, hogy a külföldi ATM-et csalásra használják?

Volt egy olyan eset is, amikor a károsult ügyfél külföldön egy helyi illető által javasolt ATM készüléknél próbált készpénzt felvenni. A tranzakció PIN kóddal történő jóváhagyását követően azonban az ATM se készpénzt, se nyugtát nem adott ki. 

Ezzel szemben rövid időn belül több SMS-értesítés érkezett a károsult telefonjára sikeres ATM-es készpénzfelvételről. Az eljárás során a bank sem vitatta, hogy a kérelmező által kifogásolt tranzakciók jóvá nem hagyott fizetési műveleteknek minősülnek, a kárt szenvedett ügyfél pedig kérte a kárának megtérítését. 

A bank viszont azzal érvelt, hogy a kérelmező súlyosan gondatlanul járt el, amikor nem volt kellően körültekintő az ATM választásánál és annak használata során, továbbá amikor már észlelte a kártya elvesztését, azt nem tiltotta le. Ezért a bank szerint – figyelemmel a súlyosan gondatlan kötelezettségszegésre – a bankot jóváírási kötelezettség nem terheli.

A PBT viszont úgy ítélte meg, hogy a bank nem bizonyította azokat körülményeket, amelyekre tekintettel a kérelmezőnek, mint egy átlagos fogyasztónak fel kellett volna ismernie, hogy a kérdéses ATM-et esetlegesen visszaélésre használhatják.

Megállapította továbbá, hogy a kérelmező késedelmes bejelentése kapcsán tett banki hivatkozás a konkrét üggyel nem volt kapcsolatba hozható. Ezért bank köteles teljesíteni a kérelmező kártérítési igényét, ez meg is történt.

Ki vásárolt a kártyával?

Egy másik ügyben a kérelmező egy SMS-t kapott a bankjától, miszerint vásárlás történt a bankkártyájával, de állítása szerint azt nem ő kezdeményezte, és nem is hagyta jóvá, ezért kérte a kárának megtérítését. A bank viszont a tranzakciót a kérelmező által jóváhagyott fizetési műveletnek tekintette. 

A PBT álláspontja szerint a kérelemmel érintett ügyben a pénzügyi szolgáltató bizonyítékokkal hitelt érdemlően nem támasztotta alá, hogy a kifogásolt fizetési műveletet a kérelmező, mint fizető fél jóváhagyta volna, ezért megállapította, hogy az eljárás tárgyát képező fizetési művelet jóvá nem hagyott fizetési műveletnek minősül, és kötelezte pénzügyi szolgáltatót a tranzakció összegének megtérítésére.

Külföldön különösen veszélyes lehet a kártyahasználat

Szintén tanulságos az az ügy, amikor egy károsult ügyfél hitelkártyájával jogosulatlan, nem általa kezdeményezett és jóvá sem hagyott vásárlások történtek külföldön, melyekről a turista célú ott tartózkodása alatt nem szerzett tudomást. Mivel a bank a jóváírási igényét elutasította, az ügyfél a PBT-hez fordult, és kérte a kárának megtérítését. 

A pénzügyi szolgáltató azzal magyarázkodott, hogy a PIN kód megadásával hagyták jóvá ezeket a tranzakciókat, ezen túlmenően a kártya birtoklása és a fizikai kártyahasználat kizárja az idegenkezűséget, így a vitatott tranzakciókat a kérelmező által jóváhagyottnak tekinti.

A PBT megítélése szerint viszont a pénzügyi szolgáltató által előadottak önmagukban nem voltak alkalmasak annak bizonyítására, hogy a kifogásolt fizetési műveleteket a kérelmező, mint fizető fél jóváhagyta. A bank nem tudta bizonyítani, hogy a kifogásolt fizetési műveleteket a kérelmező jóváhagyta, a kérelmező szándékos vagy súlyosan gondatlan kötelezettségszegésére nem hivatkozott, ezért köteles helytállni a bekövetkezett teljes kárért. A Testület kötelezte a pénzügyi szolgáltatót, hogy a fizetési számla tekintetében a megterhelés előtti állapotot állítsa helyre, amit a bank végül meg is tett. 

Nem jött meg a postával a bankkártya

Egy olyan ügy is a PBT elé került, amelyben az ügyfél kipostázott bankkártyája és PIN kódja került illetéktelen kezekbe, a bank viszont azzal vádolta a klienset, hogy súlyosan gondatlanul járt el. Az ügyfél lakcímváltozást jelentett be a pénzügyi szolgáltatónál, mellyel együtt bejelentette, hogy a korábbi címére megküldött megújuló bankkártyáját nem kapta meg. 

A bejelentés alapján a pénzügyi szolgáltató új bankkártyát bocsátott ki, azt elküldte a kérelmező részére, és külön küldeményként postázta az ahhoz kapcsolódó PIN-kódot.

A címzett viszont sem az új kártyát, sem a PIN-kódot tartalmazó küldeményt nem kapta meg, azonban számlaegyenlegét leellenőrizve azt tapasztalta, hogy a bankkártyával több illetéktelen ATM-készpénzfelvételt hajtottak végre. 

A bejelentés során megállapították, hogy a kifogásolt fizetési műveletek oly módon valósultak meg, hogy a postázott PIN kód és bankkártya ismeretlen személy birtokába került, aki azzal ATM-készpénzfelvételeket végzett. Az eljárás során a PBT nem találta bizonyítottnak a pénzügyi szolgáltató azon hivatkozását, hogy az ügyfél súlyosan gondatlanul megszegte volna a készpénzhelyettesítő fizetési eszköz és annak használatához szükséges személyes hitelesítési adatok biztonságban tartására vonatkozó kötelezettségét, így a visszaéléssel eltulajdonított összeg megtérítésére kötelezte a szolgáltatót, aki a kötelezésében foglaltakat teljesítette, a vitatott összeget megfizette.

Rábeszélték a netbankra, egyből ki is fosztották a csalók

Csak a bankfiókban intézte a pénzügyeit korábban az egyik ügyfél, egy ilyen alkalommal viszont a fióki ügyintéző javasolta neki, hogy kössön netbanki szolgáltatás nyújtására vonatkozó szerződést, amelynél e-mailben és SMS-ben fogja megkapni a belépéshez szükséges azonosítókat. 

A kérelmező beleegyezett ebbe, és a megküldött kódokkal belépett a netbanki felületre, majd a rendszer előírása szerint módosította belépési jelszavát, és kilépett a netbankból. A szolgáltató azután SMS-ben értesítette, hogy két gyanús tranzakciót is észlelt a számláján. Amikor felhívta a telefonos ügyfélszolgálatot, arról tájékoztatták, hogy a bankszámlája terhére két azonnali átutalást hajtottak végre. 

Az eljárás során a pénzügyi szolgáltató arra hivatkozott, hogy a kérelmező a netbanki bejelentkezési adatait egy adathalász oldalon kiadta, amellyel az elkövetők egy banki mobilapplikációt telepítettek, és ezt egy SMS-ben küldött kóddal aktiválták. A két vitatott tranzakció az így aktivált mobilalkalmazáson keresztül hajtották végre.

A PBT azonban a pénzügyi szolgáltató hivatkozásait nem találta bizonyítottnak, leginkább azt nem, hogy a kérelmezőnek milyen jelekből kellett volna felismernie, hogy az adathalász oldal, melyet megnyitott, nem a valódi banki honlap. A pénzügyi szolgáltató által megküldött kódot tartalmazó SMS megszövegezése sem volt arra alkalmas, hogy abból a kérelmező felismerje, hogy az egy banki mobilalkalmazás telepítésére, annak aktiválására vonatkozik. 

A PBT a pénzügyi szolgáltató azon hivatkozását sem fogadta el, hogy a kérelmező súlyosan gondatlanul megszegte a készpénz-helyettesítő fizetési eszköz és annak használatához szükséges személyes hitelesítési adatok biztonságban tartására vonatkozó kötelezettségét, így a jóvá nem hagyott fizetési műveletekkel eltulajdonított összeg megtérítésére kötelezte a szolgáltatót, amely végül meg is térítette az okozott kárt.