Фишинг и банковское мошенничество: когда отвечает банк

Чтобы стать жертвой, вовсе не обязательно быть наивным. Современное мошенничество уже не похоже на безграмотные письма от «нигерийского принца». Это SMS, которые появляются в той же переписке, что и настоящие сообщения вашего банка. Это звонки от «сотрудника службы безопасности», который знает ваше имя и фамилию. Это страницы, неотличимые от интернет-банка. И когда вы вводите одноразовый код, потому что «банк его запросил», вам кажется, что все уже кончено.

Но это не так. Здесь начинается юридическая история, о которой большинство не знает и которая в последние годы шаг за шагом развивается в пользу потребителя.

Главное заблуждение: «я сообщил код, значит, виноват»

Ввод учетных данных или OTP сам по себе не решает, была ли операция санкционирована. Несанкционированная платежная операция, выполненная без согласия плательщика, юридически отличается от перевода, который плательщик сам инициировал или подтвердил под воздействием обмана, — так называемого мошенничества с авторизованным переводом (authorised push payment, APP). Второй случай не становится автоматически несанкционированной операцией. Квалификация зависит от реальной схемы платежа, объема согласия, данных аутентификации и обстоятельств обмана; один лишь OTP не доказывает ни санкционирование, ни грубую неосторожность.

Закон 4537/2018, имплементировавший PSD2, по-разному регулирует доказывание, возмещение и распределение убытков:

• Статья 72: поставщик платежных услуг должен доказать, что операция была аутентифицирована, правильно зарегистрирована и не затронута техническим сбоем. Само использование платежного инструмента не доказывает санкционирование, умысел или грубую неосторожность.
• Статья 73: если операция несанкционирована, поставщик обязан произвести предусмотренное законом незамедлительное возмещение с учетом установленных условий и исключений.
• Статья 74: определяет, когда и в каком пределе плательщик несет убыток.

Если операция юридически признана несанкционированной, исходной точкой является возмещение по статье 73 с учетом законных исключений. Перевод, подтвержденный клиентом под воздействием обмана, оценивается иначе и не включает автоматически тот же режим возврата. Поэтому решающее значение имеют реальная схема платежа и доказательства.

Сначала нужно квалифицировать операцию: несанкционированная либо подтвержденная под воздействием обмана. Лишь затем оцениваются возмещение, грубая неосторожность и распределение убытка.

Когда вина действительно лежит на вас?

У исключения есть название: грубая неосторожность. Однако суды подходят к ней внимательнее, чем хотелось бы банкам. Фразы «но ведь он сообщил OTP» недостаточно, чтобы возложить на вас весь ущерб. Грубая неосторожность не предполагается только из-за ввода кода: она оценивается в совокупности с учетом всех фактических обстоятельств.

Решение Суда Европейского союза от 1 августа 2025 года по делу C-665/23 (Veracash) имеет более узкий предмет. Оно касалось несвоевременного уведомления о последовательных несанкционированных операциях по прежней Директиве 2007/64/EC. Суд указал, что право на возмещение может быть утрачено в отношении операций, о которых сообщили с задержкой вследствие умысла или грубой неосторожности, даже до истечения 13-месячного предельного срока; при нескольких операциях оценка должна относиться только к тем из них, на которые повлияла задержка. Решение не устанавливает общего правила, по которому ввод OTP или иного кода сам по себе исключает либо автоматически доказывает грубую неосторожность.

Где же проходит граница? Вот показательные примеры из греческой судебной практики:

• В пользу потребителя: когда мошенническая схема была сложной, поддельная среда выглядела убедительно, а у банка не было достаточных механизмов выявления подозрительных переводов. В таких делах суды возлагали ущерб на банк.
• Не в пользу потребителя: когда тревожные признаки были очевидными, например человек ввел OTP, хотя не инициировал никакой операции, и получил сообщение с явно подозрительными признаками (см. решение Мирового суда Халкиды (EirChalk) 394/2022). В этом случае суд установил грубую неосторожность.

Когда может рассматриваться повышенная ответственность банка

Ответственность зависит от конкретных фактов, технических доказательств и причинной связи с убытком. Нет общего правила, по которому банк отвечает за каждый поддельный сайт, а использование OTP автоматически оправдывает или обвиняет одну из сторон. Ниже приведены конкретные решения первой инстанции в изложении публичных источников; они не являются обязательным правилом для каждого дела:

• Согласно опубликованному юридическому обзору, решение 11632/2025 Афинского суда первой инстанции в составе одного судьи отнесло невозмещенный убыток в 10 150 евро в том конкретном деле исключительно на вину банка, рассматривая также предотвращение работы сайтов, имитирующих интернет-банк. Этот вывод не создает всеобщей обязанности блокировать каждый мошеннический сайт.
• По сообщениям открытых источников, Суд первой инстанции Ласити в составе одного судьи 15 мая 2026 года постановил вернуть 5 674 евро 71-летнему клиенту и не установил грубой неосторожности. Это было решение первой инстанции; сообщалось, что банк сохранял право на апелляцию.

Для надежной оценки нужны полный текст мотивировки, журналы операций, сведения о смене устройства или получателя, уведомления банка, хронология и поведение всех участников.

Специальное правило содержится в статье 22 Закона 5019/2023, изменившей статью 74(1) Закона 4537/2018. При утрате, краже или неправомерном присвоении платежного инструмента базовая ответственность плательщика может составлять до 50 евро с учетом предусмотренных законом исключений. Если плательщик действовал мошеннически либо умышленно нарушил обязанности по безопасности, он несет все потери. Когда плательщик является потребителем, а ущерб возник из-за грубой неосторожности, закон устанавливает предел 1 000 евро с учетом характера персонализированных средств защиты и обстоятельств. Этот предел не применяется, если поставщик докажет наличие и применение дополнительных эффективных механизмов контроля, описанных в той же норме для операций свыше 1 000 евро. Это правило для потребителей, а не универсальный предел для любых деловых или корпоративных операций.

Если банк отказал

Очень часто первый ответ банка звучит так: «мы отказываем, поскольку операция совершена с использованием ваших личных кодов». Не воспринимайте его как окончательный вердикт: это позиция банка, а не судебное решение. На этом этапе:

• Потребуйте письменный мотивированный отказ. Необходимо точно понимать, в чем банк вас обвиняет.
• Запросите данные об операции: журналы событий, время, IP-адрес и сведения об аутентификации. Вы вправе получить доступ к относящимся к вам данным.
• Обратитесь к Омбудсмену по защите прав потребителей (Synigoros toy Katanaloti) и Греческому финансовому омбудсмену (Ellinikos Chrimatooikonomikos Mesolavitis): это бесплатные внесудебные механизмы.
• При необходимости предъявите иск: как показывает практика, суды больше не становятся автоматически на сторону банка.

И, конечно, лучшая защита — не попасться на крючок

Никакая правовая защита не будет такой же безболезненной, как возможность вовсе не стать жертвой. Запомните три правила:

• Банк никогда не просит сообщить пароль, PIN или OTP-код — ни по SMS, ни по телефону, ни по электронной почте. Тот, кто их запрашивает, является мошенником.
• Не переходите по ссылкам из сообщений. Открывайте интернет-банк, только самостоятельно набрав адрес или запустив официальное приложение.
• Если вас торопят или пугают фразами вроде «ваш счет закроют через 10 минут», это почти наверняка мошенничество. Завершите разговор и сами позвоните по официальному номеру.

Частые вопросы

Статья носит информационный характер и отражает законодательство и судебную практику по состоянию на момент ее подготовки. Каждый случай мошенничества оценивается с учетом собственных фактических обстоятельств. Если вы стали жертвой, действуйте незамедлительно и обратитесь к адвокату.