„Twoja paczka oczekuje na dopłatę 1,99 zł” – oszustwo, które kosztuje tysiące
Kto nigdy nie otrzymał wiadomości o treści „Przesyłka została wstrzymana. Dopłać 1,99 zł i odbierz paczkę.”, „Adres dostawy jest niekompletny. Potwierdź dane.” czy „Twoja paczka nie może zostać doręczona. Kliknij link.”? Tego typu wiadomości SMS codziennie trafiają do tysięcy Polaków. Większość z nich wykorzystuje nazwy rozpoznawalnych marek, takich jak InPost, DHL, DPD czy Orlen Paczka. Oszuści doskonale wiedzą, że wiele osób oczekuje na przesyłki i nie zastanawia się długo nad autentycznością otrzymanej wiadomości.
W efekcie niewinne kliknięcie w link może doprowadzić nie tylko do utraty kilku złotych „dopłaty”, ale nawet do opróżnienia rachunku bankowego. Powstaje jednak pytanie: kto ponosi odpowiedzialność za taką stratę i czy pieniądze można odzyskać?
Jak działa oszustwo na „dopłatę do paczki”?
Schemat działania jest zwykle podobny. Poszkodowany otrzymuje wiadomość SMS zawierającą nazwę znanej firmy kurierskiej, informację o konieczności niewielkiej dopłaty oraz link prowadzący do strony przypominającej oficjalny serwis przewoźnika.
Po wejściu na stronę użytkownik proszony jest o podanie danych osobowych, wpisanie numeru karty płatniczej, zalogowanie się do bankowości elektronicznej oraz potwierdzenie transakcji kodem SMS lub w aplikacji bankowej.
W rzeczywistości dane trafiają bezpośrednio do przestępców, którzy wykorzystują je do wykonywania nieautoryzowanych transakcji lub przejęcia dostępu do rachunku bankowego.
Jak rozpoznać fałszywą wiadomość kurierską?
Szczególną ostrożność powinny wzbudzić informacje o konieczności drobnej dopłaty, nietypowe lub szczególnie długie adresy stron internetowych, presja czasu, błędy językowe lub prośby o logowanie do bankowości elektronicznej w celu „potwierdzenia dostawy” czy podanie danych karty.
Firmy kurierskie co do zasady nie wymagają logowania do banku w celu dopłaty za przesyłkę.
Czym jest smishing?
„Smishing” jest to rodzaj oszustwa realizowany za pośrednictwem wiadomości SMS, wykorzystująca wprowadzenie pokrzywdzonego w błąd co do tożsamości nadawcy oraz celu wykonywanych czynności.
W zależności od okoliczności działania sprawców mogą wyczerpywać znamiona m.in. oszustwa (art. 286 § 1 Kodeksu karnego), nieuprawnionego uzyskania informacji (art. 267 Kodeksu karnego), oszustwa komputerowego (art. 287 Kodeksu karnego) lub podszywania się pod inną osobę lub podmiot (art. 190a § 2 Kodeksu karnego).
Czy firmy kurierskie odpowiadają za stratę pieniędzy?
To jedno z najczęściej zadawanych pytań przez osoby pokrzywdzone. W większości przypadków odpowiedź brzmi: nie. Jeżeli przestępcy jedynie bezprawnie wykorzystali nazwę, logo lub identyfikację wizualną przewoźnika, odpowiedzialność firmy kurierskiej za utratę środków co do zasady nie powstaje, bowiem przedsiębiorca sam jest ofiarą podszywania się pod jego markę.
Nie oznacza to jednak, że poszkodowany pozostaje bez ochrony prawnej. Kluczowe znaczenie ma analiza relacji pomiędzy klientem a bankiem prowadzącym rachunek.
Kiedy bank powinien zwrócić utracone środki?
Najważniejsze znaczenie mają przepisy ustawy o usługach płatniczych. Zgodnie z art. 46 ust. 1 tej ustawy, w przypadku nieautoryzowanej transakcji płatniczej dostawca usług płatniczych jest zobowiązany do niezwłocznego zwrotu kwoty transakcji.
Zasadą jest zatem, że to bank powinien zwrócić pieniądze, chyba że wykaże istnienie ustawowych przesłanek zwalniających go z odpowiedzialności, to jest kiedy płatnik doprowadził do transakcji umyślnie albo w wyniku rażącego niedbalstwa. Co za tym idzie granica odpowiedzialności jest nieostra.
W orzecznictwie podkreśla się, że ocena zachowania klienta musi uwzględniać okoliczności konkretnego przypadku, poziom zaawansowania oszustwa oraz sposób działania przestępców.
Co zrobić po kliknięciu fałszywego linku?
Jeżeli doszło do podania danych lub zatwierdzenia podejrzanej operacji, należy niezwłocznie skontaktować się z bankiem i żądać blokady dostępu do rachunku, zastrzeżenia karty oraz weryfikacji ostatnich operacji.
Konieczne jest również zgłoszenie reklamacji, w której wskazać trzeba, że doszło do nieautoryzowanej transakcji płatniczej oraz zażądać zwrotu środków na podstawie ustawy o usługach płatniczych.
Ponadto warto złożyć zawiadomienie o popełnieniu przestępstwa do organów ścigania. Postępowanie karne nie zawsze prowadzi do wykrycia sprawców, ale dokumentuje okoliczności zdarzenia i może mieć znaczenie dowodowe.
Dlaczego odzyskanie pieniędzy nie zawsze zależy od wykrycia przestępcy?
Wiele osób błędnie zakłada, że zwrot środków jest możliwy wyłącznie po zatrzymaniu sprawcy, ale to nieprawda. W sporach dotyczących nieautoryzowanych transakcji kluczowe znaczenie ma odpowiedzialność banku wynikająca z ustawy o usługach płatniczych, a nie ustalenie tożsamości cyberprzestępcy. Dlatego nawet w sytuacji, gdy sprawca pozostaje nieznany, poszkodowany może dochodzić zwrotu utraconych środków.
Podsumowanie
Fałszywe wiadomości od cyberoszustów podszywających się pod znane firmy kurierskie należą obecnie do najpopularniejszych metod phishingu w Polsce. Ich skuteczność wynika z wykorzystania codziennych nawyków użytkowników oraz zaufania do znanych marek.
Utrata pieniędzy po kliknięciu w taki link nie oznacza jednak automatycznie utraty prawa do ich odzyskania. W wielu przypadkach kluczowe znaczenie ma analiza tego, czy doszło do nieautoryzowanej transakcji płatniczej oraz czy bank może skutecznie wykazać rażące niedbalstwo klienta.
Każda sprawa wymaga indywidualnej oceny, jednak warto pamiętać, że przepisy prawa przewidują mechanizmy ochrony osób pokrzywdzonych przez phishing i inne formy oszustw elektronicznych.
