Αφαίρεση χρημάτων μέσω phising. Τήρηση μέτρων ασφαλείας & ευθύνη τράπεζας

Γράφει ο Περικλής Πολυχρονίδης Νομικός Σύμβουλος ΕΕΑΕ

Το τελευταίο χρονικό διάστημα έχει παρατηρηθεί ότι χιλιάδες καταναλωτές, μεταξύ των οποίων και πολλοί επαγγελματίες στο χώρο της ιδιωτικής ασφάλισης και της ασφαλιστικής διαμεσολάβησης, έχουν πέσει θύματα διαδικτυακής απάτης με τη μέθοδο phishing. Με το παρόν επιχειρείται συνοπτική παρουσίαση πρόσφατης νομολογίας του Ειρηνοδικείου Θεσσαλονίκης (232/2023) σε υπόθεση διαδικτυακής απάτης με αφαίρεση ποσών από online τραπεζική συναλλαγή, που κρίνεται ότι έχει εξαιρετικό ενδιαφέρον.

Σύμφωνα με το σκεπτικό της ανωτέρω απόφασης η εισβολή τρίτου στο περιβάλλον της τραπέζης και η αποστολή στον καταναλωτή-πελάτη της sms με αποτέλεσμα την παραπλάνησή του και την υφαρπαγή των στοιχείων του, συνιστά γεγονός που καταδεικνύει ότι η τράπεζα δεν λάμβανε όλα τα αναγκαία μέτρα διασφάλισης της ασφάλειας της επικοινωνίας της με τους πελάτες της. Οι ηλεκτρονικές απάτες, είναι γεγονός ότι διενεργούνται με διαρκώς μεταλλασσόμενες και εξελισσόμενες μεθόδους, ώστε καθίσταται πράγματι δυσχερής η διακρίβωση του ορίου επιμέλειας που πρέπει να τηρεί και που πράγματι τηρεί κάθε τραπεζικό ίδρυμα, από τη μία μέρα ως την επόμενη. Αποτελεί όμως καθήκον της τράπεζας και πρέπει να είναι καθημερινό μέλημά της να ενημερώνεται, να ερευνά και να οχυρώνει με τις καλύτερες μεθόδους τα συστήματά της, ώστε να προστατεύσει τα συμφέροντα των πελατών της, που δεν έχουν τη δική της δύναμη, φύσει και θέση.

Ο πελάτης-καταναλωτής εξάλλου δεν διαφύλαξε τα ευαίσθητα τραπεζικά στοιχεία του και τα γνωστοποίησε, όταν του ζητήθηκε, με μήνυμα που τον μετέφερε με σύνδεσμο σε ιστότοπο. Δεν έπρεπε να το πράξει, έστω κι αν το μήνυμα προήλθε από το περιβάλλον της συνομιλίας μέσω sms με την τράπεζα, έστω κι αν οδηγήθηκε μέσω του συνδέσμου σε ιστότοπο που ομοίαζε με αυτόν της τράπεζας, διότι αποδείχθηκε πως η τράπεζα κατ` επανάληψη ενημερώνει και προειδοποιεί τους συναλλασσόμενους ότι η ίδια «ποτέ δε θα τους ζητήσει τους κωδικούς τους και τους συνιστά εμφατικά να μην απαντούν σε όσους τους ζητούν προσωπικά στοιχεία». Συνεπώς, για την αλίευση των προσωπικών στοιχείων του εξαπατηθέντος καταναλωτή ευθύνεται τόσο η τράπεζα για την πλημμελή θωράκιση των συστημάτων της που θα έπρεπε να είναι άριστη, όσο και ο καταναλωτής ο οποίος αθέτησε την υποχρέωσή του να προστατεύει τα στοιχεία του και δεν συμμορφώθηκε με τις οδηγίες ασφαλείας της τράπεζας.

Ένα ζήτημα, που απασχόλησε ιδιαίτερα το δικαστήριο, ήταν ότι διαπιστώθηκε ότι ο πελάτης της τράπεζας άμεσα, εντός λίγων λεπτών από την ενημέρωση για τη μεταφορά των χρημάτων του, επικοινώνησε τηλεφωνικά, συνεπώς ευθέως, με την τράπεζα και της κατήγγειλε το περιστατικό. Τούτου δοθέντος, εάν μέσα στα λίγα αυτά λεπτά δεν είχε ολοκληρωθεί η μεταφορά του ποσού στον λογαριασμό του τρίτου, και αυτή ολοκληρώθηκε και δεν παρεμποδίστηκε από την τράπεζα, παρότι ο πελάτης την είχε ενημερώσει, τότε η ευθύνη της τράπεζας για αθέτηση των συμβατικών υποχρεώσεών της για προστασία του πελάτη της είναι πλήρης, ανεξάρτητα από τη συμπεριφορά αμφότερων των διαδίκων κατά τον χρόνο του phishing. Εάν δηλαδή, κατόπιν της γνωστοποίησης προς την τράπεζα της μη γνησιότητας της εντολής εμβάσματος, η τράπεζα είχε τη δυνατότητα (χρονική και τεχνική) να προλάβει τη μη μεταφορά, αλλά δεν το έπραξε επιδεικνύοντας βαριά αμέλεια και ολοκλήρωσε τη συναλλαγή, τότε η ευθύνη της για την αποζημίωση του πελάτη της είναι πλήρης. Εν προκειμένω, αποδείχθηκε ότι η εκταμίευση των χρημάτων έγινε αυτόματα, χωρίς κάποια έγκριση από την τράπεζα, την ίδια στιγμή που δόθηκε η εντολή εμβάσματος. Δε μεσολάβησε λοιπόν, κανένα χρονικό περιθώριο, κι ούτε προβλέπεται σε αυτές τις περιπτώσεις, κανενός είδους έλεγχος από την τράπεζα.

Συνεπώς, τα χρήματα του πελάτη είχαν ήδη φύγει από την κατοχή της τράπεζας το ίδιο λεπτό που δόθηκε η εντολή εμβάσματος, διότι έτσι λειτουργεί το σύστημα της τράπεζας, το οποίο επέλεξε ο πελάτης της (είτε γενικά για τα εμβάσματα, είτε για τη συγκεκριμένη συναλλαγή), η δε ενημέρωσή της από τον πελάτη για τη γενόμενη απάτη, ουδεμία επίδραση θα μπορούσε να έχει. Κατόπιν των ανωτέρω το Δικαστήριο αποφάσισε ότι παράλληλα με την ευθύνη της τράπεζας για τη μη αποτελεσματική θωράκιση των συστημάτων της απέναντι στις διαρκώς μεταλλασσόμενες και εξελισσόμενες μεθόδους εξαπάτησης που τα πλήττουν, με απότοκο την περιουσιακή ζημία των πελατών της που την εμπιστεύτηκαν, η οποία συνιστά παράβαση των συμβατικών υποχρεώσεων της και γεννά συμβατική ευθύνη της, συντρέχει και η προσωπική ευθύνη του πελάτη της, ο οποίος δεν διαφύλαξε, ως όφειλε, τα ευαίσθητα τραπεζικά στοιχεία του και τα γνωστοποίησε, ενώ δεν έπρεπε να το πράξει έστω κι αν το μήνυμα που τον παραπλάνησε προήλθε από το περιβάλλον της συνομιλίας μέσω sms με την τράπεζα, έστω κι αν οδηγήθηκε μέσω του συνδέσμου σε ιστότοπο που ομοίαζε με αυτόν της τράπεζας, γιατί παρέβλεψε τις σχετικές οδηγίες και τις αυστηρές συστάσεις της τράπεζας, παραβαίνοντας το καθήκον διαφύλαξής τους. Έκρινε δε ότι η αγωγή του πελάτη της τράπεζας κατά της τράπεζας πρέπει να γίνει εν μέρει δεκτή και συγκεκριμένα ότι η τράπεζα έχει ευθύνη και υποχρέωση αποζημίωσης του πελάτη της κατά τα 5/6 της απαίτησής του, καθώς συντρέχει επίσης πταίσμα του πελάτη κατά ποσοστό 1/6 ως προς τη ζημία που υπέστη.

Aπό το περιοδικό ΔΙΑΣΦΑΛΙΖΩ