Cyberprzestępczość finansowa - prawa ofiary i obrona oskarżonego

Cyberprzestępczość finansowa to zbiorcze określenie czynów, w których technologia służy do bezprawnego wyprowadzenia cudzych pieniędzy: phishing, kradzież tożsamości, przejęcie konta bankowego, fałszywe bramki płatnicze czy złośliwe oprogramowanie. Polskie prawo patrzy na takie sprawy z dwóch stron. Po stronie ofiary chodzi o szybkie odzyskanie środków i pociągnięcie sprawcy do odpowiedzialności. Po stronie osoby oskarżonej - o rzetelną obronę, bo dowody cyfrowe bywają poszlakowe, a przypisanie sprawstwa konkretnej osobie często jest sporne. Ten artykuł wyjaśnia, jakie przepisy Kodeksu karnego mają tu zastosowanie, jak bank odpowiada za nieautoryzowane transakcje na gruncie ustawy o usługach płatniczych oraz jak wygląda obrona oskarżonego o przestępstwo komputerowe.

Jakie przepisy Kodeksu karnego mają tu zastosowanie

Najczęstszą kwalifikacją jest art. 287 Kodeksu karnego - oszustwo komputerowe. Karze podlega ten, kto w celu osiągnięcia korzyści majątkowej lub wyrządzenia szkody, bez upoważnienia wpływa na automatyczne przetwarzanie, gromadzenie lub przekazywanie danych informatycznych albo zmienia, usuwa czy wprowadza nowy zapis danych. Zagrożenie to kara od 3 miesięcy do 5 lat pozbawienia wolności. Gdy oszustwo polega na wprowadzeniu człowieka w błąd (np. klasyczny phishing nakłaniający ofiarę do podania danych), zastosowanie ma art. 286 k.k. - oszustwo, zagrożone karą od 6 miesięcy do 8 lat. Do tego dochodzą: art. 267 k.k. (bezprawne uzyskanie dostępu do informacji, hacking), art. 269a k.k. (zakłócanie systemu informatycznego), art. 269b k.k. (tworzenie i pozyskiwanie tzw. narzędzi hakerskich) oraz art. 270a i 310 k.k. przy fałszowaniu dokumentów lub środków płatniczych.

Prawa ofiary - zwrot środków z ustawy o usługach płatniczych

Jeśli z konta zniknęły pieniądze w wyniku nieautoryzowanej transakcji, kluczowa jest ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych. Zgodnie z jej art. 46 dostawca (bank) ma obowiązek zwrócić kwotę nieautoryzowanej transakcji niezwłocznie, nie później niż do końca następnego dnia roboczego po stwierdzeniu jej zgłoszenia lub otrzymaniu zgłoszenia - przywracając rachunek do stanu sprzed transakcji. To zasada D+1. Co istotne, ciężar dowodu spoczywa na banku: zgodnie z art. 45 ustawy to dostawca musi wykazać, że transakcja była autoryzowana albo że klient umyślnie lub wskutek rażącego niedbalstwa naruszył obowiązki. Samo zarejestrowanie użycia instrumentu płatniczego nie wystarcza za dowód autoryzacji. To bardzo silna ochrona konsumenta, którą wzmacnia orzecznictwo i stanowiska Rzecznika Finansowego.

Kiedy bank może odmówić zwrotu i jak się odwołać

Bank może uchylić się od zwrotu, jeśli udowodni, że doszło do oszustwa po stronie klienta albo że klient umyślnie lub wskutek rażącego niedbalstwa naruszył obowiązki dotyczące bezpieczeństwa (np. świadomie podał kod BLIK lub dane logowania oszustowi). Granica między zwykłym a rażącym niedbalstwem jest często sporna - i właśnie tu pomaga prawnik. Jeśli bank odmówi, ścieżka jest następująca: złożyć reklamację (bank ma na odpowiedź 30 dni, w sprawach skomplikowanych do 60 dni - ustawa o rozpatrywaniu reklamacji), w razie odmowy zwrócić się do Rzecznika Finansowego o interwencję lub pozasądowe rozwiązanie sporu, a ostatecznie wnieść powództwo cywilne. Brak odpowiedzi banku w terminie powoduje, że reklamację uznaje się za rozpatrzoną zgodnie z wolą klienta.

Terminy - nie zwlekaj ze zgłoszeniem

Czas działa na niekorzyść ofiary. Ustawa o usługach płatniczych w art. 44 przewiduje, że roszczenia z tytułu nieautoryzowanej transakcji wygasają, jeżeli płatnik nie zgłosi jej niezwłocznie, nie później niż w terminie 13 miesięcy od dnia obciążenia rachunku. Dlatego po zauważeniu kradzieży należy natychmiast zablokować kartę i dostęp do bankowości, złożyć reklamację oraz zawiadomić o przestępstwie organy ścigania (zawiadomienie z art. 304 Kodeksu postępowania karnego można złożyć na policji lub w prokuraturze). Im szybciej zgłosisz incydent, tym mniejsze ryzyko, że bank powoła się na rażące niedbalstwo, i tym większa szansa na zatrzymanie środków, zanim przelew wyjdzie do banku odbiorcy lub na kryptogiełdę.

Obrona osoby oskarżonej o przestępstwo komputerowe

Z drugiej strony stoi osoba, której postawiono zarzut. W sprawach cyber dowody są w przeważającej mierze poszlakowe: adresy IP, logi serwerów, dane o logowaniach, ruch sieciowy, analiza nośników. Adwokat bada, czy materiał dowodowy został pozyskany legalnie (przeszukanie i zabezpieczenie danych zgodnie z art. 236a k.p.k.), czy zachowano integralność dowodu cyfrowego i jego prawidłowe zabezpieczenie. Częstą linią obrony jest wykazanie, że ustalenie adresu IP nie dowodzi sprawstwa konkretnej osoby - z łącza mogło korzystać wiele osób, mógł być użyty serwer proxy, VPN albo przejęte urządzenie (tzw. obrona 'to nie ja przy klawiaturze'). Istotne jest też kwestionowanie zamiaru kierunkowego - przy art. 286 i 287 k.k. wymagany jest cel osiągnięcia korzyści majątkowej; jego brak wyłącza odpowiedzialność za to przestępstwo.

Słupy bankowe - nieświadomi pośrednicy przestępstwa

Osobna, częsta grupa oskarżonych to tzw. słupy - osoby, które udostępniły swoje konto bankowe do przyjęcia i dalszego przelania środków pochodzących z oszustwa, często za drobną opłatą i w przekonaniu, że to legalna praca zdalna. Prokuratura stawia im zarzut z art. 299 k.k. (pranie pieniędzy) lub pomocnictwa do oszustwa (art. 18 par. 3 w zw. z art. 286 k.k.). Linią obrony jest tu wykazanie braku wiedzy o przestępczym pochodzeniu środków i braku zamiaru - kluczowe jest, czy oskarżony wiedział lub na podstawie okoliczności powinien i mógł przypuszczać, że pieniądze pochodzą z czynu zabronionego. Rzetelne odtworzenie sposobu, w jaki dana osoba została zwerbowana, bywa decydujące dla wyniku sprawy.

Jak zabezpieczyć dowody i kiedy iść do prawnika

Niezależnie od tego, czy jesteś ofiarą, czy osobą oskarżoną, dokumentacja jest podstawą. Zachowaj wszystkie wiadomości SMS, e-maile, zrzuty ekranu, potwierdzenia przelewów, historię rozmów z bankiem (daty, godziny, nazwiska konsultantów, numery zgłoszeń). Ofiara powinna od razu złożyć reklamację w banku i zawiadomienie o przestępstwie, a dopiero potem - jeśli bank odmawia - kierować sprawę do Rzecznika Finansowego lub sądu. Osoba, która usłyszała zarzut albo została wezwana na przesłuchanie, powinna skontaktować się z adwokatem przed złożeniem wyjaśnień i korzystać z prawa do odmowy ich składania (art. 175 k.p.k.). W obu rolach wczesna pomoc prawna realnie zwiększa szanse na korzystne rozstrzygnięcie.