Co grozi za phishing? Odpowiedzialność karna i odzyskanie środków

Phishing to metoda oszustwa polegająca na podszywaniu się pod zaufaną instytucję (bank, urząd, firmę kurierską, operatora płatności) w celu wyłudzenia danych logowania, numerów kart, kodów BLIK lub bezpośredniego nakłonienia ofiary do wykonania przelewu. W polskim prawie nie istnieje odrębny przepis o nazwie "phishing". Czyn ten kwalifikuje się jednak na podstawie kilku artykułów Kodeksu karnego, w zależności od tego, na czym dokładnie polegało działanie sprawcy. Najczęściej stosowanym przepisem jest art. 287 k.k. (oszustwo komputerowe), a obok niego art. 286 k.k. (oszustwo klasyczne), art. 267 k.k. (bezprawne uzyskanie informacji) oraz art. 190a § 2 k.k. (przybranie cudzej tożsamości). Ten artykuł wyjaśnia, jaka kara realnie grozi sprawcy, jakie prawa ma ofiara i w jaki sposób odzyskać utracone środki.

Jak phishing jest kwalifikowany w polskim Kodeksie karnym

Kluczowy jest art. 287 § 1 k.k.: kto w celu osiągnięcia korzyści majątkowej lub wyrządzenia szkody, bez upoważnienia wpływa na automatyczne przetwarzanie, gromadzenie lub przekazywanie danych informatycznych albo zmienia, usuwa lub wprowadza nowy zapis danych, podlega karze pozbawienia wolności od 3 miesięcy do lat 5. Gdy sprawca po wyłudzeniu loginu i hasła wykonuje przelew z konta ofiary, najczęściej realizuje właśnie ten przepis. Jeśli zaś sprawca samym podstępem (np. fałszywym SMS-em) doprowadził ofiarę do tego, że to ona dobrowolnie wykonała przelew, czyn kwalifikuje się jako oszustwo z art. 286 § 1 k.k. (kara od 6 miesięcy do 8 lat). Samo bezprawne przełamanie zabezpieczeń lub uzyskanie dostępu do konta to art. 267 k.k. (grzywna, ograniczenie wolności albo pozbawienie wolności do lat 2). Podszywanie się pod inną osobę w celu wyrządzenia jej szkody majątkowej lub osobistej to art. 190a § 2 k.k. (do 8 lat po nowelizacji obowiązującej od 2023 r.). Często sprawcy stawia się zarzuty z kilku przepisów jednocześnie.

Jakie realnie kary grożą sprawcy phishingu

Wymiar kary zależy od kwalifikacji i skali szkody. Za oszustwo komputerowe z art. 287 § 1 k.k. sąd może orzec od 3 miesięcy do 5 lat pozbawienia wolności. W wypadku mniejszej wagi (art. 287 § 2 k.k.) grozi grzywna, ograniczenie wolności albo pozbawienie wolności do roku. Jeżeli czyn zostanie zakwalifikowany jako oszustwo z art. 286 k.k., górna granica rośnie do 8 lat. Gdy mienie ma znaczną wartość (powyżej 200 000 zł) lub wielką wartość (powyżej 1 000 000 zł), wchodzi w grę art. 294 k.k. zaostrzający karę do 10 lat. Obok kary pozbawienia wolności sąd niemal zawsze nakłada obowiązek naprawienia szkody (art. 46 k.k.) oraz może orzec grzywnę kumulatywną, jeśli sprawca działał w celu osiągnięcia korzyści majątkowej (art. 33 § 2 k.k.). Działanie w zorganizowanej grupie przestępczej (art. 258 k.k.) stanowi odrębny, dodatkowy zarzut.

Najczęstsze formy phishingu, na które trzeba uważać

Phishing przybiera wiele postaci. Klasyczny phishing e-mailowy to fałszywe wiadomości z linkiem do podrobionej strony banku. Smishing to ten sam mechanizm w SMS-ie (np. rzekoma dopłata do paczki lub do rachunku za prąd). Vishing to telefon od fałszywego "konsultanta banku" lub "pracownika działu bezpieczeństwa", który pod presją czasu nakłania do podania kodów albo zainstalowania aplikacji zdalnego pulpitu. Spear phishing jest ukierunkowany na konkretną osobę i wykorzystuje jej dane, a whaling celuje w kadrę zarządzającą firm. Coraz częściej spotyka się też oszustwo "na pracownika" (BEC), gdzie przestępca podszywa się pod prezesa i zleca pilny przelew. Cechą wspólną jest wywołanie presji czasu i emocji, które wyłączają czujność ofiary.

Obowiązki banku i kiedy musi zwrócić pieniądze

Zasady odpowiedzialności banku reguluje ustawa z 19 sierpnia 2011 r. o usługach płatniczych. Zgodnie z art. 46 tej ustawy, w razie nieautoryzowanej transakcji płatniczej bank ma obowiązek niezwłocznie, nie później niż do końca następnego dnia roboczego po stwierdzeniu nieautoryzowanej transakcji lub po otrzymaniu zgłoszenia, zwrócić kwotę transakcji i przywrócić rachunek do stanu sprzed obciążenia. To popularna zasada "D+1". Bank może odmówić zwrotu tylko wtedy, gdy wykaże, że transakcja była autoryzowana albo że klient umyślnie lub wskutek rażącego niedbalstwa naruszył obowiązki (np. samodzielnie podał kody autoryzacyjne oszustowi). Ciężar dowodu, że transakcja była autoryzowana, spoczywa na banku (art. 45 ustawy). Warto podkreślić, że samo podanie danych w wyniku zaawansowanego oszustwa nie zawsze oznacza rażące niedbalstwo, dlatego decyzje banków bywają skutecznie kwestionowane przed Rzecznikiem Finansowym i sądem.

Co zrobić krok po kroku, gdy padłeś ofiarą phishingu

Działaj natychmiast. Po pierwsze, zadzwoń na infolinię banku i zastrzeż dostęp do bankowości oraz kart; jeśli to możliwe, zażądaj zablokowania lub wycofania (recall) przelewu. Po drugie, zgłoś nieautoryzowaną transakcję na piśmie (reklamacja) — to uruchamia termin D+1 i obowiązek zwrotu. Po trzecie, złóż zawiadomienie o przestępstwie na policji lub w prokuraturze; zachowaj potwierdzenie. Po czwarte, zabezpiecz wszystkie dowody: zrzuty ekranu fałszywych wiadomości, numery telefonów, adresy stron, historię transakcji. Po piąte, zmień hasła do bankowości i poczty oraz zgłoś incydent do CERT Polska (incydent.cert.pl), który zajmuje się blokowaniem złośliwych domen. Jeśli wyciekły dane osobowe, rozważ zastrzeżenie numeru PESEL w aplikacji mObywatel — od listopada 2023 r. zastrzeżenie chroni przed wzięciem kredytu na Twoje dane.

Jak ofiara może odzyskać utracone środki

Pierwszą i najszybszą drogą jest reklamacja w banku oparta na ustawie o usługach płatniczych — jeśli transakcja była nieautoryzowana, bank powinien zwrócić środki w terminie D+1. Gdy bank odmówi, można złożyć wniosek do Rzecznika Finansowego o postępowanie interwencyjne lub polubowne, a następnie wytoczyć powództwo cywilne. W sprawie karnej ofiara, jeśli zostanie ustalony i skazany sprawca, może domagać się naprawienia szkody w trybie art. 46 k.k. już w procesie karnym, bez osobnego pozwu cywilnego. Niezależnie od tego pokrzywdzonemu przysługuje roszczenie z art. 415 Kodeksu cywilnego o naprawienie szkody wyrządzonej czynem niedozwolonym. Warto pamiętać, że szybkie zgłoszenie zwiększa szanse na recall przelewu, zanim środki zostaną wytransferowane przez słupy.

Jak chronić się przed phishingiem — praktyczne zasady

Stosuj długie, unikalne hasła i menedżer haseł, a wszędzie, gdzie to możliwe, włącz uwierzytelnianie dwuskładnikowe (2FA). Nigdy nie podawaj kodów autoryzacyjnych ani haseł na żądanie z telefonu, SMS-a czy e-maila — bank nigdy o nie nie prosi w ten sposób. Nie klikaj linków z wiadomości; wpisuj adres banku ręcznie w przeglądarce. Sprawdzaj dokładnie adres nadawcy i adres strony (literówki w domenie to typowy sygnał). Aktualizuj system i program antywirusowy. W razie telefonu od "banku" rozłącz się i oddzwoń na oficjalny numer z karty lub strony banku. Zachowaj szczególną czujność, gdy ktoś wywiera presję czasu lub straszy zablokowaniem konta — to klasyczna technika socjotechniczna.