Фишинг и банковское мошенничество: когда отвечает банк

Чтобы стать жертвой, вовсе не обязательно быть наивным. Современное мошенничество уже не похоже на безграмотные письма от «нигерийского принца». Это SMS, которые появляются в той же переписке, что и настоящие сообщения вашего банка. Это звонки от «сотрудника службы безопасности», который знает ваше имя и фамилию. Это страницы, неотличимые от интернет-банка. И когда вы вводите одноразовый код, потому что «банк его запросил», вам кажется, что все уже кончено.

Но это не так. Здесь начинается юридическая история, о которой большинство не знает и которая в последние годы шаг за шагом развивается в пользу потребителя.

Главное заблуждение: «я сообщил код, значит, виноват»

Разберем самое распространенное и самое удобное для банков заблуждение. То, что именно вы ввели учетные данные или OTP-код, само по себе не означает, что вы санкционировали операцию. На языке закона платеж, совершенный после того, как вас ввели в заблуждение, как правило, является несанкционированной платежной операцией.

Правила устанавливает Закон 4537/2018, которым в греческое право была имплементирована европейская директива PSD2. В нем есть два положения, которые стоит знать дословно:

• Статья 73: при несанкционированной операции банк обязан незамедлительно вернуть сумму, если только нет обоснованных подозрений в мошенничестве со стороны самого клиента.
• Статья 72: клиент несет убытки лишь при наличии умысла или грубой неосторожности.

Проще говоря, возврат денег является правилом, а отказ в возврате — исключением. И бремя доказать наличие исключения, как правило, лежит на банке. Именно это перераспределение бремени доказывания меняет все.

Правило звучит не так: «кто сообщил код, тот теряет деньги». Правило иное: «банк возвращает деньги», а исключение должно быть доказано.

Когда вина действительно лежит на вас?

У исключения есть название: грубая неосторожность. Однако суды подходят к ней внимательнее, чем хотелось бы банкам. Фразы «но ведь он сообщил OTP» недостаточно, чтобы возложить на вас весь ущерб. Грубая неосторожность не предполагается только из-за ввода кода: она оценивается в совокупности с учетом всех фактических обстоятельств.

Именно это подтвердил Суд Европейского союза в решении C-665/23 (Veracash) 2025 года: наличие «грубой неосторожности» определяется по итогам общей оценки национальным судом и не следует автоматически из самого факта использования клиентом средств аутентификации.

Где же проходит граница? Вот показательные примеры из греческой судебной практики:

• В пользу потребителя: когда мошенническая схема была сложной, поддельная среда выглядела убедительно, а у банка не было достаточных механизмов выявления подозрительных переводов. В таких делах суды возлагали ущерб на банк.
• Не в пользу потребителя: когда тревожные признаки были очевидными, например человек ввел OTP, хотя не инициировал никакой операции, и получил сообщение с явно подозрительными признаками (см. решение Мирового суда Халкиды (EirChalk) 394/2022). В этом случае суд установил грубую неосторожность.

Ответственность банка расширяется

Самое примечательное за последние два года состоит в том, что суды перестали считать банк пассивной жертвой и начали требовать от него активной защиты. Это ясно показывают два примера:

• Афинский суд первой инстанции в составе одного судьи (MPrAth) в решении 11632/2025 установил, что банк обязан выявлять и блокировать мошеннические сайты, имитирующие среду интернет-банка. Суд признал исключительную вину банка и обязал его выплатить 10 150 евро.
• Суд первой инстанции Ласити в составе одного судьи удовлетворил требования 71-летнего пенсионера, потерявшего 5 674 евро из единовременной пенсионной выплаты: суд пришел к выводу, что утрата денег была вызвана недостатками систем безопасности банка, а не грубой неосторожностью клиента.

Одновременно законодатель вмешался, приняв Закон 5019/2023, который содержит специальное положение об ответственности плательщика по несанкционированным платежным операциям при фишинге. Поэтому правовая картина не статична: она меняется, причем в сторону более широкой защиты участника платежных отношений.

Если банк отказал

Очень часто первый ответ банка звучит так: «мы отказываем, поскольку операция совершена с использованием ваших личных кодов». Не воспринимайте его как окончательный вердикт: это позиция банка, а не судебное решение. На этом этапе:

• Потребуйте письменный мотивированный отказ. Необходимо точно понимать, в чем банк вас обвиняет.
• Запросите данные об операции: журналы событий, время, IP-адрес и сведения об аутентификации. Вы вправе получить доступ к относящимся к вам данным.
• Обратитесь к Омбудсмену по защите прав потребителей (Synigoros toy Katanaloti) и Греческому финансовому омбудсмену (Ellinikos Chrimatooikonomikos Mesolavitis): это бесплатные внесудебные механизмы.
• При необходимости предъявите иск: как показывает практика, суды больше не становятся автоматически на сторону банка.

И, конечно, лучшая защита — не попасться на крючок

Никакая правовая защита не будет такой же безболезненной, как возможность вовсе не стать жертвой. Запомните три правила:

• Банк никогда не просит сообщить пароль, PIN или OTP-код — ни по SMS, ни по телефону, ни по электронной почте. Тот, кто их запрашивает, является мошенником.
• Не переходите по ссылкам из сообщений. Открывайте интернет-банк, только самостоятельно набрав адрес или запустив официальное приложение.
• Если вас торопят или пугают фразами вроде «ваш счет закроют через 10 минут», это почти наверняка мошенничество. Завершите разговор и сами позвоните по официальному номеру.

Частые вопросы

Статья носит информационный характер и отражает законодательство и судебную практику по состоянию на момент ее подготовки. Каждый случай мошенничества оценивается с учетом собственных фактических обстоятельств. Если вы стали жертвой, действуйте незамедлительно и обратитесь к адвокату.