Phishing και τραπεζική απάτη: πότε ευθύνεται η τράπεζα

Οι σύγχρονες τραπεζικές απάτες είναι πειστικές και καλά οργανωμένες. Ένα SMS μπορεί να εμφανιστεί δίπλα στα γνήσια μηνύματα της τράπεζας, ένας καλών να γνωρίζει το ονοματεπώνυμό σας και μια ψεύτικη σελίδα να μοιάζει σχεδόν απόλυτα με το e-banking. Ακόμη και ένας προσεκτικός χρήστης μπορεί να παραπλανηθεί και να πληκτρολογήσει κωδικό μίας χρήσης ή στοιχεία σύνδεσης.

Το κρίσιμο νομικό ερώτημα δεν είναι μόνο ποιος πληκτρολόγησε τον κωδικό, αλλά αν ο πελάτης ενέκρινε τη συγκεκριμένη συναλλαγή και αν ενήργησε με δόλο ή βαριά αμέλεια. Από αυτή τη διάκριση εξαρτάται σε μεγάλο βαθμό ποιος φέρει την οικονομική ευθύνη.

Η μεγάλη παρανόηση: «έδωσα τον κωδικό, άρα φταίω»

Η χρήση κωδικών ή OTP από τον ίδιο τον πελάτη δεν λύνει αυτομάτως το ζήτημα της έγκρισης. Άλλο είναι μια μη εγκεκριμένη πράξη που εκτελέστηκε χωρίς τη συναίνεσή του και άλλο μια μεταφορά που ο ίδιος ξεκίνησε ή επιβεβαίωσε επειδή εξαπατήθηκε, γνωστή διεθνώς ως απάτη εξουσιοδοτημένης μεταφοράς (authorised push payment — APP). Η δεύτερη δεν χαρακτηρίζεται αυτομάτως μη εγκεκριμένη. Η νομική κατάταξη εξαρτάται από την πραγματική ροή της πληρωμής, το περιεχόμενο της συναίνεσης, τα στοιχεία αυθεντικοποίησης και τις συνθήκες της εξαπάτησης· ούτε η χρήση OTP αποδεικνύει από μόνη της έγκριση ή βαριά αμέλεια.

Ο ν. 4537/2018, που ενσωμάτωσε την PSD2, κατανέμει διαφορετικά την απόδειξη, την επιστροφή και τη ζημία:

• Άρθρο 72: ο πάροχος πρέπει να αποδείξει ότι η πράξη αυθεντικοποιήθηκε, καταγράφηκε ορθά και δεν επηρεάστηκε από τεχνική βλάβη. Η χρήση του μέσου πληρωμών δεν αρκεί από μόνη της για να αποδείξει έγκριση, δόλο ή βαριά αμέλεια.
• Άρθρο 73: αν η πράξη είναι μη εγκεκριμένη, ο πάροχος οφείλει να προβεί στην προβλεπόμενη άμεση επιστροφή, με τις νόμιμες προϋποθέσεις και εξαιρέσεις.
• Άρθρο 74: ρυθμίζει πότε και έως ποιο ύψος επιβαρύνεται ο πληρωτής με τη ζημία.

Αν η πράξη χαρακτηριστεί νομικά μη εγκεκριμένη, αφετηρία είναι η επιστροφή κατά το άρθρο 73, με τις νόμιμες εξαιρέσεις. Αν πρόκειται για μεταφορά που ο πελάτης ενέκρινε υπό εξαπάτηση, η αξιολόγηση ακολουθεί διαφορετική διαδρομή και δεν ενεργοποιείται μηχανικά το ίδιο καθεστώς επιστροφής. Σε κάθε περίπτωση κρίνονται η πραγματική ροή της πληρωμής και τα αποδεικτικά στοιχεία.

Πρώτα χαρακτηρίζεται η πράξη: μη εγκεκριμένη ή μεταφορά που εγκρίθηκε υπό εξαπάτηση. Μόνο μετά εξετάζονται η επιστροφή, η βαριά αμέλεια και η κατανομή της ζημίας.

Πότε, όμως, «φταίτε» πραγματικά εσείς;

Η εξαίρεση έχει όνομα: βαριά αμέλεια. Εδώ, όμως, τα δικαστήρια έγιναν πιο προσεκτικά απ' όσο θα ήθελαν οι τράπεζες. Δεν αρκεί να πουν «μα έδωσε το OTP» για να σας φορτώσουν όλη τη ζημία. Η βαριά αμέλεια δεν τεκμαίρεται από μόνη την πληκτρολόγηση ενός κωδικού· κρίνεται συνολικά, με βάση τα πραγματικά περιστατικά.

Η απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης της 1ης Αυγούστου 2025 στην υπόθεση C-665/23 (Veracash) έχει στενότερο αντικείμενο: αφορούσε καθυστερημένη γνωστοποίηση διαδοχικών μη εγκεκριμένων πράξεων υπό την προγενέστερη οδηγία 2007/64/ΕΚ. Το Δικαστήριο έκρινε ότι μπορεί να χαθεί το δικαίωμα επιστροφής για τις πράξεις στις οποίες η καθυστέρηση γνωστοποίησης ήταν δόλια ή οφειλόταν σε βαριά αμέλεια, ακόμη και αν δεν είχε παρέλθει η προθεσμία των 13 μηνών· στις διαδοχικές πράξεις η κρίση πρέπει να περιορίζεται στις πράξεις που επηρεάζονται από την καθυστέρηση. Η απόφαση δεν διατυπώνει γενικό κανόνα ότι η πληκτρολόγηση OTP ή άλλου κωδικού αποκλείει ή αποδεικνύει αυτομάτως τη βαριά αμέλεια.

Πού μπαίνει, λοιπόν, η γραμμή; Ενδεικτικά, από την ελληνική νομολογία:

• Υπέρ του καταναλωτή: όταν η απάτη ήταν εξελιγμένη, το περιβάλλον πειστικό και η τράπεζα δεν είχε επαρκή συστήματα εντοπισμού ύποπτων μεταφορών. Σε τέτοιες περιπτώσεις, τα δικαστήρια απέδωσαν τη ζημία στην τράπεζα.
• Σε βάρος του καταναλωτή: όταν τα «καμπανάκια» ήταν χονδροειδή — για παράδειγμα, όταν κάποιος καταχώρισε OTP ενώ δεν είχε ζητήσει καμία συναλλαγή και είχε λάβει μήνυμα με εμφανώς ύποπτα χαρακτηριστικά (βλ. ΕιρΧαλκ 394/2022). Εκεί, το δικαστήριο είδε βαριά αμέλεια.

Πότε εξετάζεται αυξημένη ευθύνη της τράπεζας

Η ευθύνη κρίνεται κάθε φορά από τα πραγματικά περιστατικά, τα τεχνικά ίχνη και την αιτιώδη σύνδεση με τη ζημία. Δεν υπάρχει γενικός κανόνας ότι η τράπεζα ευθύνεται για κάθε πλαστή ιστοσελίδα ούτε ότι η χρήση OTP αρκεί για να απαλλάξει ή να επιβαρύνει αυτόματα οποιοδήποτε μέρος. Οι ακόλουθες αναφορές αφορούν συγκεκριμένες πρωτόδικες κρίσεις όπως παρουσιάστηκαν δημόσια και δεν αποτελούν δεσμευτικό κανόνα για κάθε υπόθεση:

• Σύμφωνα με δημοσιευμένη νομική παρουσίαση, η ΜΠρΑθ 11632/2025 απέδωσε στη συγκεκριμένη υπόθεση τη μη ανακτηθείσα ζημία 10.150 ευρώ σε αποκλειστική υπαιτιότητα της τράπεζας, εξετάζοντας και την πρόληψη απατηλών ιστοσελίδων που μιμούνταν το web banking. Η κρίση αυτή δεν μετατρέπεται σε καθολική υποχρέωση μπλοκαρίσματος κάθε πλαστής ιστοσελίδας.
• Σύμφωνα με δημόσιο ρεπορτάζ, το Μονομελές Πρωτοδικείο Λασιθίου έκρινε στις 15 Μαΐου 2026 ότι έπρεπε να επιστραφούν 5.674 ευρώ σε 71χρονο, χωρίς να δεχθεί βαριά αμέλειά του. Πρόκειται για πρωτόδικη κρίση και αναφερόταν ότι η τράπεζα διατηρούσε δικαίωμα έφεσης.

Για ασφαλές συμπέρασμα χρειάζονται το πλήρες σκεπτικό της απόφασης, τα αρχεία καταγραφής, τυχόν αλλαγή συσκευής ή δικαιούχου, οι ειδοποιήσεις της τράπεζας, η χρονική ακολουθία και η συμπεριφορά όλων των εμπλεκομένων.

Η ειδική ρύθμιση βρίσκεται στο άρθρο 22 του ν. 5019/2023, το οποίο τροποποίησε το άρθρο 74 παρ. 1 του ν. 4537/2018. Στις περιπτώσεις απώλειας, κλοπής ή υπεξαίρεσης μέσου πληρωμών, η βασική συμμετοχή του πληρωτή μπορεί να φτάσει έως 50 ευρώ, με τις εξαιρέσεις που ορίζει ο νόμος. Αν ο πληρωτής ενήργησε με δόλο ή δεν τήρησε από δόλο τις υποχρεώσεις ασφαλείας, ευθύνεται για όλες τις ζημίες. Όταν όμως είναι καταναλωτής και η ζημία οφείλεται σε βαριά αμέλεια, ο νόμος θέτει ανώτατο όριο 1.000 ευρώ, λαμβάνοντας υπόψη τη φύση των εξατομικευμένων διαπιστευτηρίων και τις περιστάσεις. Το όριο αυτό δεν εφαρμόζεται εάν ο πάροχος αποδείξει ότι διέθετε και εφάρμοσε τους πρόσθετους αποτελεσματικούς μηχανισμούς ελέγχου που περιγράφει η ίδια διάταξη για συναλλαγές άνω των 1.000 ευρώ. Πρόκειται για κανόνα υπέρ του καταναλωτή, όχι για γενικό πλαφόν σε κάθε επαγγελματική ή εταιρική συναλλαγή.

Αν η τράπεζα αρνηθεί

Πολύ συχνά, η πρώτη απάντηση της τράπεζας είναι το «αρνούμαστε, καθώς η συναλλαγή έγινε με τους προσωπικούς σας κωδικούς». Μην το εκλάβετε ως τελική ετυμηγορία — είναι μια θέση, όχι απόφαση δικαστηρίου. Σε αυτό το σημείο:

• Ζητήστε την άρνηση εγγράφως και αιτιολογημένα. Χρειάζεστε τι ακριβώς σας προσάπτει.
• Ζητήστε τα αρχεία της συναλλαγής (logs, χρόνος, IP, στοιχεία ταυτοποίησης). Έχετε δικαίωμα πρόσβασης στα δεδομένα που σας αφορούν.
• Απευθυνθείτε στον Συνήγορο του Καταναλωτή και στον Ελληνικό Χρηματοοικονομικό Μεσολαβητή — εξωδικαστικά, χωρίς κόστος.
• Αν χρειαστεί, ασκήστε αγωγή: η νομολογία, όπως είδαμε, δεν είναι πια αυτόματα με το μέρος της τράπεζας.

Πρακτικά μέτρα πρόληψης

Καμία νομική προστασία δεν είναι τόσο ανώδυνη όσο το να μην πέσετε θύμα εξαρχής. Κρατήστε τρεις κανόνες, σαν μάντρα:

• Η τράπεζα ποτέ δεν σας ζητά κωδικούς, PIN ή OTP — ούτε με SMS, ούτε με τηλέφωνο, ούτε με e-mail. Όποιος τα ζητά, είναι απατεώνας.
• Μην πατάτε συνδέσμους από μηνύματα. Μπείτε στο e-banking μόνο πληκτρολογώντας μόνοι σας τη διεύθυνση ή από την επίσημη εφαρμογή.
• Αν κάτι σας βιάζει ή σας τρομάζει («ο λογαριασμός σας θα κλείσει σε 10 λεπτά»), είναι σχεδόν σίγουρα απάτη. Κλείστε και καλέστε εσείς το επίσημο νούμερο.

Συχνές ερωτήσεις

Το άρθρο έχει ενημερωτικό χαρακτήρα και αναφέρεται σε νομοθεσία και νομολογία όπως ίσχυαν κατά τη σύνταξή του. Κάθε περιστατικό απάτης κρίνεται στα δικά του πραγματικά στοιχεία. Αν πέσατε θύμα, ενεργήστε άμεσα και απευθυνθείτε σε δικηγόρο.