Phishing i kradzież środków z konta – odpowiedzialność karna i odzyskanie pieniędzy

Phishing to wyłudzanie poufnych danych (loginów, haseł, kodów, danych kart) przez podszywanie się pod bank, urząd, kuriera czy znajomego, najczęściej w wiadomości e-mail, SMS lub przez fałszywą stronę. Sam phishing jest zwykle etapem prowadzącym do dalszego celu: nieuprawnionego przelewu i kradzieży środków z konta bankowego. W polskim prawie nie istnieje jeden przepis o nazwie „phishing” – te zachowania kwalifikuje się z kilku artykułów Kodeksu karnego, w zależności od tego, co dokładnie zrobił sprawca. Z drugiej strony osoba pokrzywdzona, której zniknęły pieniądze z konta, ma konkretne uprawnienia wobec banku, wynikające z ustawy o usługach płatniczych. Ten artykuł wyjaśnia obie perspektywy: jak kwalifikowana i karana jest taka działalność, jak wygląda obrona osoby oskarżonej (w tym tzw. słupa, którego konto posłużyło do przelewu) oraz jak ofiara może odzyskać środki.

Jak polskie prawo kwalifikuje phishing i kradzież z konta

Kluczowym przepisem jest art. 287 § 1 Kodeksu karnego – oszustwo komputerowe. Karze podlega ten, kto w celu osiągnięcia korzyści majątkowej lub wyrządzenia szkody, bez upoważnienia wpływa na automatyczne przetwarzanie, gromadzenie lub przekazywanie danych informatycznych albo zmienia, usuwa lub wprowadza nowy zapis danych – czyli np. wykonuje przelew z cudzego konta przy użyciu wyłudzonych danych. Grozi za to kara pozbawienia wolności od 3 miesięcy do lat 5. Często stosuje się też art. 286 § 1 KK (oszustwo klasyczne), gdy sprawca wprowadza ofiarę w błąd i doprowadza ją do niekorzystnego rozporządzenia mieniem – zagrożenie od 6 miesięcy do 8 lat. Samo bezprawne uzyskanie dostępu do danych lub przełamanie zabezpieczeń to art. 267 KK. Przy mieniu znacznej wartości stosuje się surowszą kwalifikację z art. 294 KK.

Dodatkowe przestępstwa: fałszowanie stron, malware, pranie pieniędzy

Phishing rzadko bywa jednym czynem. Utworzenie fałszywej strony banku albo wysyłanie wiadomości podszywających się pod instytucję może wyczerpywać znamiona fałszerstwa (art. 270 KK) lub przestępstw przeciwko ochronie informacji. Posługiwanie się złośliwym oprogramowaniem, urządzeniami lub programami przeznaczonymi do popełniania tych przestępstw oraz hasłami i kodami dostępu jest karalne na podstawie art. 269b KK. Jeśli sprawca następnie przyjmuje, przekazuje lub wyprowadza skradzione środki, by ukryć ich pochodzenie, dochodzi przestępstwo prania pieniędzy z art. 299 KK, zagrożone karą od 6 miesięcy do 8 lat pozbawienia wolności. W praktyce prokuratura często łączy kilka kwalifikacji, a przy działaniu w grupie stosuje art. 258 KK (udział w zorganizowanej grupie przestępczej).