Dvaja ľudia môžu prísť o peniaze takmer rovnakým podvodom a dopadnúť úplne inak. Jednému banka sumu vráti do konca nasledujúceho pracovného dňa, druhý nedostane nič. Deliaca čiara nevedie medzi šikovným a nešikovným, ale medzi tým, kto platbu napokon spustil.
V práve o platobných službách má slovo autorizovaná presný význam. Označuje súhlas s platobným príkazom, nie to, či bol príbeh, ktorým vás k platbe presvedčili, pravdivý. Na tomto rozlíšení stojí celý spor o vrátenie peňazí, vysvetľuje Bitdefender.
Ak vás falošný zamestnanec banky presvedčí presunúť peniaze na „bezpečný účet“ a prevod sami potvrdíte, platba sa považuje za autorizovanú. Aj keď išlo o trestný čin. Presne takto to na Slovákov skúšajú podvodníci, ktorí sa vydávajú za známu banku.
Opačný prípad je neautorizovaná platba. Podvodník získa vaše prihlasovacie údaje a prevod spustí sám, bez vášho súhlasu. Sem patrí väčšina útokov, ktoré sa začínajú falošnou prihlasovacou stránkou; ako sa brániť pred phishingom, sme rozpísali samostatne.
Neautorizovaná platba sa vracia takmer okamžite
Podľa PSD2 (revidovaná smernica o platobných službách (EÚ) 2015/2366) je platba autorizovaná len vtedy, keď platiteľ dal súhlas. Bez neho je neautorizovaná a poskytovateľ ju má vrátiť najneskôr do konca nasledujúceho pracovného dňa po tom, ako sa o nej dozvedel alebo ako mu ju niekto oznámil.
Času na oznámenie je viac, než sa zvykne myslieť. Lehota je vo väčšine prípadov 13 mesiacov. To neznamená, že sa oplatí čakať; čím skôr platbu nahlásite, tým skôr začne bežať povinnosť banky konať.
Časť škody môže zostať na vás. Ak ste nekonali podvodne ani s hrubou nedbanlivosťou, pri stratenom, odcudzenom alebo zneužitom platobnom prostriedku znášate najviac 50 eur. Vyplýva to zo stanoviska, ktoré zverejnil Európsky orgán pre bankovníctvo.
Ten istý dokument hovorí aj druhú polovicu vety. Pri hrubej nedbanlivosti zodpovedáte za stratu bez akéhokoľvek stropu. Či pôjde o päťdesiat eur alebo o celú sumu, tak môže rozhodnúť aj to, že ste heslo použili opakovane a ono medzitým skončilo v zbierke uniknutých prihlasovacích údajov.
Sú aj situácie, keď neznášate nič. Napríklad ak ste o strate alebo krádeži platobného prostriedku nemohli vedieť skôr, než ho podvodník použil, alebo ak stratu spôsobil sám poskytovateľ platobných služieb. Strop 50 eur je navyše podľa článku 74 ods. 1 PSD2 možnosťou pre členský štát, nie automatickou povinnosťou.
Keď platbu potvrdíte sami, pravidlá sa otáčajú
Prevody, ktoré obeť podvodu autorizovala sama, zatiaľ nemajú v Európskej únii rovnako širokú ochranu ako neautorizované platby. Je to zlá správa práve pre tie podvody, ktoré sú dnes najbežnejšie: telefonát, nátlak a vlastnoručné potvrdenie prevodu v aplikácii.
Nepomôže ani argument, že ste zadali správny kód. Použitie správneho PIN, hesla alebo bezpečnostného kódu preukazuje autentifikáciu, nie autorizáciu. Sú to dve rôzne veci a práve preto sa podvodníci tak sústredia na to, aby z vás dostali kód z overovacej správy.
Slovenský zákon o platobných službách pod silnou autentifikáciou rozumie overenie aspoň dvoma prvkami z trojice vedomosť, vlastníctvo a charakteristické znaky používateľa. Narušenie jedného prvku pritom nesmie narušiť spoľahlivosť ostatných. Personalizovaným bezpečnostným prvkom je podľa neho najmä osobné identifikačné číslo alebo heslo.
Pred tým, než platbu v aplikácii potvrdíte, sa oplatí zastaviť pri ktoromkoľvek z týchto signálov. Stačí jediný, netreba ich celú sadu, a nie je hanba položiť telefón uprostred vety:
- nevyžiadaná a naliehavá výzva presunúť peniaze
- reč o „bezpečnom účte“, kam máte zostatok previesť
- žiadosť, aby ste o veci nikomu nehovorili
- pokyn nainštalovať softvér na vzdialený prístup
- žiadosť o overovacie kódy
- nátlak, aby ste ignorovali varovanie v aplikácii
Cieľom pritom nemusí byť samotná platba. Rovnako dobre poslúžia prihlasovacie údaje, overovacie kódy a prístup k účtu, ktoré podvodníkovi umožnia spúšťať platby bez vás. Podobne pracujú aj inzeráty, ktoré sú v skutočnosti podvod, aj podvodné SMS správy.
Najúčinnejšia obrana je nudná. Ukončite rozhovor a organizáciu kontaktujte samostatne cez oficiálny kanál. Podvodník tým stratí to, na čom celá vec stojí: kontrolu nad príbehom aj nad vaším ďalším krokom.
Vo Veľkej Británii vracajú aj to, čo ste potvrdili sami
Britské pravidlá sú v tomto ďalej, a je dobré vedieť, že u nás neplatia. Od 7. októbra 2024 tam funguje povinné odškodnenie pri oprávnených APP podvodoch cez Faster Payments alebo CHAPS. Nároky sa preplácajú do 85 000 libier, spravidla do piatich pracovných dní, so spoluúčasťou do 100 libier.
Americká Regulation E zase chráni spotrebiteľov pred určitými neautorizovanými elektronickými prevodmi, no prevod, ktorý spotrebiteľ po oklamaní spustil sám, do jej definície spravidla nespadá. Jednotné celosvetové pravidlo na vrátenie peňazí jednoducho neexistuje a rozhoduje krajina aj spôsob platby.
Kam sa obrátiť, keď banka nárok odmietne
Ak banka nárok odmietne, podanie sa dá poslať Národnej banke Slovenska. Tá preverí, či inštitúcia postupovala podľa zákona a či neukrátila vaše spotrebiteľské práva. Výsledkom je písomná odpoveď klientovi.
Očakávania si ale nastavte správne. NBS nerozhoduje spory medzi klientmi a finančnými inštitúciami a nemôže inštitúcii nariadiť, aby vášmu nároku vyhovela. Nie je ani orgánom alternatívneho riešenia spotrebiteľských sporov a neposkytuje právne ani finančné poradenstvo.
Podanie sa podáva elektronicky cez podanie.nbs.sk, prípadne poštou na odbor, ktorý má u NBS ochranu finančných spotrebiteľov na starosti; presnú adresu nájdete na tej istej stránke. Všeobecný podnet na výkon dohľadu NBS síce preverí, ale o výsledku spätne neinformuje, lebo dohľad je neverejný.
Zmena sa pritom chystá. Navrhované pravidlá PSR a PSD3 majú posilniť ochranu pri niektorých podvodoch s vydávaním sa za iného. Podstatné je slovo navrhované: podľa stavu overeného pre zdrojový text si vyžadujú ešte formálne prijatie, než budú môcť nadobudnúť účinnosť. Kým sa tak nestane, platí to, čo je vyššie, a najlepšie, čo pre seba urobíte, je konať rýchlo, uchovať dôkazy a poskytovateľovi presne povedať, kto platbu inicioval.
