Zdalny pulpit na prośbę osoby podającej się za pracownika banku. Sąd oddalił pozew

Sąd Rejonowy w Rudzie Śląskiej wyrokiem z 1 października 2025 roku zasądził od pozwanej (...) Bank Spółki Akcyjnej w P. na rzecz powoda Ł. N. 30.081,45 zł z ustawowymi odsetkami za opóźnienie od 6 lutego 2023 r. oraz 4.617 zł tytułem zwrotu kosztów procesu z ustawowymi odsetkami za opóźnienie od daty uprawomocnienia wyroku.

Sąd Rejonowy ustalił, że ozwana (...) Bank S.A. w P. prowadzi rachunek bankowy powoda Ł. N., który korzysta z bankowości internetowej. Powoda obowiązuje wprowadzony przez pozwaną regulamin korzystania z Kanałów Elektronicznych dla C. Indywidualnych.

2 lutego 2023 roku około godziny 16.00 do powoda zadzwoniła osoba podająca

się za pracownika pozwanej. Dzwoniąc z numeru infolinii (...) Banku (12 370 7000), po weryfikacji tożsamości powoda w sposób przyjęty przy wcześniejszych kontaktach powoda z bankiem, poinformowała o próbie wykonania przelewu na kwotę 500 zł. Powód zanegował zlecenie transakcji, która została wstrzymana, on zaś został przekierowany do działu bezpieczeństwa w celu blokady konta bankowego. Nowy rozmówca, podający się za pracownika banku, polecił zainstalowanie aplikacji TeamViewer – O. (...), co wywołało zaniepokojenie powoda, który zakończył połączenie przychodzące. Następnie powód podjął próbę połączenia z infolinią banku na inny numer telefonu infolinii (799 608 502).

Powód, po potwierdzeniu jego tożsamości, zapytał czy miała miejsce próba przelewu z jego rachunku na kwotę 500 zł. Po potwierdzeniu, został przekierowany do rzekomego działu bezpieczeństwa i połączony z osobą z którą rozmawiał wcześniej, co utwierdziło powoda w przekonaniu, że ma do czynienie z pracownikiem banku. Na jego polecenie powód pobrał aplikację pulpitu zdalnego oraz wykonał szereg polecanych czynności, m.in. zalogował się do bankowości internetowej. Należy nadmienić jak wskazał powód, że aplikacje pulpitu zdalnego są powodowi znane, ponieważ wielokrotnie miał z nimi do czynienia w pracy, kiedy to pracownicy działu IT wykonują określone działania na komputerach pracowników.

Przychodzące podczas dalszej rozmowy powiadomienia w formie sms o ruchach na rachunkach, w postaci zmiany limitu transakcji i przelewów wewnętrznych, zaniepokoiły ponownie powoda, który zakończył połączenie. Chwilę potem na jego telefon ponownie przyszło połączenie z infolinii banku, a w słuchawce usłyszał głos osoby z którą uprzednio rozmawiał. Zdezorientowany powód wykonał połączenie na infolinię banku

z telefonu służbowego. W trakcie rozmowy został uświadomiony, że padł ofiarą oszustwa. Telefon na infolinię pozwanej został wykonany około godziny 17.13, po wykonaniu nieautoryzowanych transakcji wewnętrznych. Powód dwukrotnie łączył się z infolinią, gdzie w czasie drugiej rozmowy (pierwsza została przerwana) dokonano blokady jego rachunku.

W tym samym czasie osoba trzecia dwukrotnie, podając się za powoda, zadzwoniła na infolinię, w związku z faktem, że system informatyczny z przyczyn bezpieczeństwa zakwalifikował przelew do weryfikacji telefonicznej.

Z treści wiadomości sms przesłanej na numer telefonu powoda wynikało, w celu potwierdzenia przelewu ma on oczekiwać na połącznie z banku.

Pomimo przesłanej wiadomości, osoba podszywająca się pod powoda, ponownie kontaktując się telefonicznie z bankiem, po przejściu weryfikacji, potwierdziła wykonanie przelewu.

Dalsza rozmowa powoda zakończyła się zgłoszeniem reklamacji. Tego samego dnia powód zgłosił sprawę na policję, która prowadziła dochodzenie w sprawie, ostatecznie umorzone na skutek niewykrycia sprawców przestępstwa, w wyniku którego udało się odzyskać kwotę 6 918,55 zł.

Wykonując połączenia z rzekomą infolinią banku powód udzielił odpowiedzi

na zadawane mu pytania dotyczące danych osobowych oraz produktów z których korzysta w banku. Aplikacja QuickSupport służy wsparciu informatycznemu i posiada możliwość udostępnienia zdalnie osobom trzecim ekranu, jego treści i wiadomości. Instalując tę aplikację na swoim telefonie powód umożliwił osobom trzecim podgląd ekranu jego telefonu podczas logowania do bankowości internetowej i udostępnił w ten sposób wszystkie dane niezbędne do dostępu do jego konta bankowego.

(...) bankowe pozwanej w dniu zdarzenia nie zostały przełamane. Strona pozwana ostrzegała klientów przed oszustwami, o czym powód jako klient banku także był informowany.

Sąd Rejonowy ustalił także, że reklamacja powoda została rozpatrzona negatywnie. Od decyzji pozwanej strona powodowa złożyła odwołanie do Rzecznika (...) S.A. w P., który nie stwierdził nieprawidłowości po stronie banku. W następstwie negatywnej decyzji skierował nadto wniosek o podjęcie interwencji z podmiotem rynku finansowego, w związku z nieuwzględnieniem roszczeń w trybie reklamacyjnym do Rzecznika Finansowego. W toku podjętych czynności Rzecznik skierował do pozwanej pismo z prośbą o wyjaśnienia, w odpowiedzi na które pozwana podtrzymała dotychczasowe stanowisko. Kończąc czynności organ poinformował o ich bezskuteczności powoda.

Sąd Rejonowy wskazał, że strony łączyła umowa rachunku bankowego, z której istoty wynika, że środki wpłacone przez klienta banku stanowią własność banku, a klient ma wierzytelność o ich wypłatę i podkreślił, że to nie powód dokonał autoryzacji transakcji wychodzącej na kwotę 37 000 zł, a osoba podszywająca się pod niego. Sąd Rejonowy w oparciu o regulacje prawne zawarte w art. 40, art. 46 ust. 1 płatniczych z zastrzeżeniem art. 44 ust. 2, Ustawy o usługach płatniczych wskazał, że zgodnie z tą regulacją transakcję płatniczą uważa się za autoryzowaną, jeżeli płatnik wyraził zgodę na wykonanie transakcji płatniczej w sposób przewidziany w umowie między płatnikiem a jego dostawcą. W przypadku wystąpienia nieautoryzowanej transakcji płatniczej dostawca płatnika niezwłocznie, nie później jednak niż do końca dnia roboczego następującego po dniu stwierdzenia wystąpienia nieautoryzowanej transakcji, którą został obciążony rachunek płatnika, lub po dniu otrzymania stosownego zgłoszenia, zwraca płatnikowi kwotę nieautoryzowanej transakcji płatniczej, z wyjątkiem przypadku gdy dostawca płatnika ma uzasadnione i należycie udokumentowane podstawy, aby podejrzewać oszustwo, i poinformuje o tym w formie pisemnej organy powołane do ścigania przestępstw. W przypadku gdy płatnik korzysta z rachunku płatniczego, dostawca płatnika przywraca obciążony rachunek płatniczy do stanu, jaki istniałby, gdyby nie miała miejsca nieautoryzowana transakcja płatnicza. Data waluty w odniesieniu do uznania rachunku płatniczego płatnika nie może być późniejsza od daty obciążenia tą kwotą.

Sąd Rejonowy podkreślił, że w sprawie pozwana nie postąpiła w myśl art. 46 ust. 1 ustawy o usługach płatniczych – nie zwróciła środków na rachunek powoda, nie zawiadomiła też organów właściwych do ścigania przestępstw i nie miała uzasadnionych i należycie udokumentowanych podstaw, by podejrzewać oszustwo ze strony powoda. Sąd uznał, że roszczenie powoda, które opiera się na art. 44 ust. ustawy o usługach płatniczych jest oczywiście uzasadnione zwłaszcza, że pozwana nie przedstawiła do ewentualnego potrącenia swojego roszczenia opierającego się na art. 46 ust. 3 ustawy o usłucha płatniczych.

Pozwana podnosiła, że zaszły przesłanki z art. 46 ust. 3 ustawy o usługach płatniczych, a więc powód doprowadził do nieautoryzowanej transakcji umyślnie albo w wyniku umyślnego lub będącego skutkiem rażącego niedbalstwa naruszenia co najmniej jednego z obowiązków, o których mowa w art. 42.

W ocenie Sądu nie ma to znaczenia dla rozstrzygnięcia sprawy, ponieważ przesłanki odmowy zwrotu środków na rachunek wynikają z art. 46 ust. 1 ustawy o usługach płatniczych, a te nie zaistniały. Ponadto obowiązek należytego zabezpieczenia środków powoda był obowiązkiem pozwanego Banku, który powinien opracować takie procedury weryfikacji transakcji, aby niemożliwe było dokonywanie transakcji przez osoby nieuprawnione. Bank jest zobowiązany do dołożenia szczególnej staranności w zakresie zapewnienia bezpieczeństwa przechowywanych środków pieniężnych.

Dalej Sąd Rejonowy podniósł, że powodowi nie można przypisać rażącego niedbalstwa, mając na względzie podejmowane przez powoda działania w celu nieautoryzowanej transakcji. (...) informatyczny wytypował transakcję do jej telefonicznej weryfikacji i przesłana została wiadomość o konieczności oczekiwania na telefon z banku, weryfikacja ta została dokonana na skutek kolejnego telefonu osoby podszywającej się pod powoda, wbrew treści przesłanej do strony umowy rachunku bankowego wiadomości.

Pozwana w apelacji w apelacji zaskarżyła wyrok w całości i zarzuciła naruszenie prawa procesowego, to jest

-art. 233 § 1 k.p.c. w związku z art. 227 k.p.c. przez brak wszechstronnej oceny materiału dowodowego, pominięcie istotnych faktów w ustalaniu stanu faktycznego sprawy oraz pominięcie sprzeczności pojawiających się w toku przesłuchania powoda i dowodach z dokumentów to jest powód zeznał, że pobrał aplikację z oficjalnego sklepu androida, zainstalował ją, następnie zalogował się do bankowości internetowej zgodnie z prośbą osoby trzeciej, zaś w dalszych zeznaniach twierdzi, że dochował należytej staranności w przypadku kontaktu osoby trzeciej, powód samodzielnie zalogował się do bankowości internetowej, a następnie otrzymał na swój zaufany numer telefonu wiadomości SMS zawierające kody autoryzacyjne oraz informacje o zleconych dyspozycjach,

pominięcie tych okoliczności doprowadziło do błędnego przyjęcia przez Sąd I instancji, że powód nie doprowadził do nieautoryzowanych transakcji umyślnie albo w wyniku umyślnego lub rażącego niedbalstwa co najmniej 1 z obowiązków, o których mowa w art. 42 ustawy o usługach płatniczych,

-ustalenie niezgodne z rzeczywistym stanem rzeczy, że nie doszło do prawidłowego powierzyć uwierzytelnienia, powód nie autoryzował spornych transakcji,

-naruszenie prawa materialnego to jest art. 40 ust. 1 ustawy o usługach płatniczych przez niewłaściwe zastosowanie polegające na uznaniu odpowiedzialności banku, podczas gdy realizacja spornych transakcji nastąpiła w sposób przewidziany w umowie z bankiem,

- art. 46 ust. w związku z art. 44 ustawy o usługach płatniczych przez niewłaściwe zastosowanie polegające na bezgranicznym przyjęciu, że powód w pełni uzasadnił kwestię braku swojej odpowiedzialności, podczas gdy pozwany wykazał zachowanie rażącego niedbalstwa powoda objawiające się udostępnianiem danych do logowania oraz autoryzowania transakcji osobie trzeciej,

- art. 45 ust. 1 ustawy o usługach płatniczych w związku z art. 6 k.c. przez niewłaściwe zastosowanie i błędne ustalenie, że pozwany nie udowodnił, iż sporne transakcje zostały autoryzowane prawidłowo,

- art. 42 ust. 1 pkt 1 i 2 ustawy o usługach płatniczych przez błędną wykładnię i przyjęcie, że zachowanie powoda polegające na instalacji aplikacji wskazanej przez nieznaną powodowi osobę i braku weryfikacji rozmówcy, udostępniania danych do autoryzacji przelewów na nieznane rachunki bankowe, których posiadaczem miały być nieznane powodowi osoby i niezastosowanie się do regulaminu korzystania z kanałów elektronicznych stanowiącego integralną część umowy nie stanowi rażącego niedbalstwa

oraz naruszenie art. 46 ust. 3 w związku z 42 ust. 1 pkt 1 ustawy o usługach płatniczych przez niewłaściwe zastosowanie i pominięcie rażącego niedbalstwa powoda, czego przejawem był brak stosowania się do postanowień regulaminu korzystania z kanałów elektronicznych

- naruszenia art. 60 k.c. przez jego niezastosowanie, podczas gdy transakcje zostały zlecone w sposób przewidziany w zawartej pomiędzy stronami umowie

- naruszenie art. 471 k.c. przez niewłaściwe zastosowanie i uznanie odpowiedzialności banku za szkodę wynikającą z nienależytego wykonania zobowiązania.

Wniosła o zmianę przez oddalenie powództwa i zasądzenie kosztów postępowania za obie instancje.

Powód wniósł o oddalenie apelacji i zasądzenie kosztów postępowania odwoławczego.

Sąd Okręgowy zważył, co następuje:

Apelacja zasługiwała na uwzględnienie.

Sąd Okręgowy podziela ustalenia faktyczne poczynione przez Sąd Rejonowy oraz przytoczoną przez Sąd podstawę prawną rozstrzygnięcia i unikając zbędnych powtórzeń przyjmuje je za własne. Jednak zarzuty apelacji okazały się uzasadnione, w szczególności przez błędne przyjęcie przez Sąd I instancji, iż po stronie powoda nie doszło do rażącego niedbalstwa.

Ustawa z dnia 19 sierpnia 2011 r. o

usługach płatniczych

stanowi w art. 42 ust. 1, że 1. Użytkownik uprawniony do korzystania z instrumentu płatniczego jest obowiązany:

1) korzystać z instrumentu płatniczego zgodnie z umową ramową oraz

2) zgłaszać niezwłocznie dostawcy lub podmiotowi wskazanemu przez dostawcę stwierdzenie utraty, kradzieży, przywłaszczenia albo nieuprawnionego użycia instrumentu płatniczego lub nieuprawnionego dostępu do tego instrumentu.

Zgodnie z art. 42 ust. 2 ustawy w celu spełnienia obowiązku, o którym mowa w ust. 1 pkt 1, użytkownik, z chwilą otrzymania instrumentu płatniczego, podejmuje niezbędne środki służące zapobieżeniu naruszeniu indywidualnych danych uwierzytelniających, w szczególności jest obowiązany do przechowywania instrumentu płatniczego z zachowaniem należytej staranności oraz nieudostępniania go osobom nieuprawnionym.

Art. 46. Ust. 3 ustawy o usługach płatniczych stanowi natomiast, że płatnik odpowiada za nieautoryzowane transakcje płatnicze w pełnej wysokości, jeżeli doprowadził do nich umyślnie albo w wyniku umyślnego lub będącego skutkiem rażącego niedbalstwa naruszenia co najmniej jednego z obowiązków, o których mowa w art. 42.

Zasadniczą kwestią zatem w niniejszej sprawie było ustalenie czy zachowanie powoda stanowiło rażące niedbalstwo.

Powód zeznał, że 2 lutego 2023 roku około godziny 16.00 zadzwoniła do niego osoba podająca się za pracownika pozwanej i po weryfikacji tożsamości według procedury, którą dobrze znał, zapytała czy wykonywał przelew na kwotę 500 zł. Powód zanegował dokonanie przelewu, tego w ogóle nie logował się do bankowości internetowej. Pani p przedstawiająca się jako konsultant banku powiedziała, że zablokuje przelew, a potem zasugerowała, żeby połączyć się z działem bezpieczeństwa i tam pracownik poprowadzi go przez procedurę zablokowania konta i połączyła powoda z pracownikiem bezpieczeństwa. Przedstawił się pan, który powiedział, że jest to standardowa procedura w przypadku narażenia bezpieczeństwa i trzeba sprawdzić czy na jego telefonie nie podziały się jakieś dziwne rzeczy i będzie musiał zainstalować zdalny pulpit. Powód rozłączył się, nie wierząc temu panu. Jednak jak zaznał dalej sprawa nie dawała mu spokoju i zadzwonił na infolinię, żeby sprawdzić czy wszystko jest w porządku, tym razem pod inny numer. Znowu przestawiła się osoba podająca się za pracownika banku, przeprowadziła kolejną weryfikację danych. Powód spytał o przelew i ponownie został przełączony do działu bezpieczeństwa. Zgłosił się pan o podobnym głosie jak w z poprzedniej rozmowy, co utwierdziło powoda w przekonaniu, że jest to pracownik banku. Ten pan poprosił go o zainstalowanie zdalnego pulpitu. Powód zeznał, że pracuje w międzynarodowej korporacji i zdalny pulpit jest mu znany, często spotyka się sytuacją, gdzie pracownicy IT wykonują działania na komputerach pracowników. Pobrał aplikację i zainstalował na Androida zdalny pulpit i zgodnie z wskazówkami rozmówcy zalogował się do bankowości internetowej.

Wówczas oszuści mieli już pełny dostęp do aplikacji bankowej powoda i jego konta. W ocenie Sądu odwoławczego. Powód potwierdził, że zapoznał się z regulaminem korzystania z kanałów elektronicznych dla klientów indywidualnych i wie, że jest tam wskazane, żeby nie instalować obcych aplikacji na telefonie. Zdawał sobie doskonale sprawę z tego, jak działa aplikacja zdalny pulpit, a mimo to zainstalował ja i umożliwił oszustom pełny dostęp do swojego konta. Powód sam stwierdził, że zastanowiło go to, zadzwonił ponownie, a mimo to wykonywał polecenia, które były sprzeczne z regulaminem korzystania z bankowości internetowej. Dalej, widząc pojawiają się SMS-y dotyczące transakcji, których nie zlecał nie wyłączył internetu i podjął natychmiastowych działań, żeby zablokować konto, co stanowi znamiona rażącego niedbalstwa. Pierwszy telefon od oszusta miał miejsce o godz. 16-tej, a powód zadzwonił na infolinię, aby zablokować konto dopiero po wykonaniu nieautoryzowanych transakcji o 17.13.

Pełnomocnik powoda podnosił, że powód stal się jedną z pierwszych ofiar tego typu wyrafinowanego przestępstwa, a stopień wyrafinowania oszustwa był odporny na metody obronne sformułowane w komunikatach bezpieczeństwa.

Sąd Okręgowy zwraca uwagę, że tego typu oszustwa zaczęły mieć miejsce na długo przez zdarzeniem będącym przedmiotem niniejszej sprawy. Pozwana na swojej stronie internetowej kilkakrotnie opisywała dokładnie ten sam proceder, któremu uległ powód, przekazywała wytyczne zakazujące instalacji z niezaufanych źródeł i oprogramowania zdalnego pulpitu, uprzedzała o podszywaniu się oszustów pod pracowników banku udających infolinię i nakłanianiu do instalowania oprogramowania zdalnego pulpitu O. (...) czy AnyDesk - strona internetowa (...) Bank ostrzeżenia z 17 stycznia 2023, 21 marca 2023, 31 stycznia 2023 i przez cały 2022rok kampania (...) i (...) ostrzegająca przed oszustwami na zdalny pulpit na żądanie konsultantów.

Stanowisko Sądu I instancji nie znajduje w tych okolicznościach uzasadnienia. Powód swoim zachowaniem doprowadził do nieautoryzowanych transakcji w wyniku będącego skutkiem rażącego niedbalstwa naruszenia obowiązków wskazanych w art. 42 u.u.p., tj. obowiązku korzystania z instrumentu płatniczego zgodnie z umową oraz obowiązku podejmowania środków służących zapobieżeniu naruszeniu indywidualnych danych uwierzytelniających i nieudostępniania instrumentu płatniczego osobom nieuprawnionym, a co za tym idzie odpowiada za nieautoryzowane transakcje płatnicze w pełnej wysokości zgodnie z art. 46 ust. 3 u.u.p.

Sąd Okręgowy, mając powyższe na uwadze, na mocy art. 386 § 1 k.p.c. zmienił zaskarżony wyrok i orzekł jak w sentencji. O kosztach postępowania za obie instancje orzeczono na podstawie art. 98 k.p.c., zgodnie z zasadą odpowiedzialności za wynik procesu. Powód jako przegrywający postępowanie winien zwrócić przeciwnikowi poniesione przez niego koszty. Na koszty postępowania odwoławczego złożyły się zatem opłata od apelacji - 1505 zł i wynagrodzenie pełnomocnika pozwanego 1800 zł.

SSO Magdalena Balion – Hajduk