БАНКІВСЬКІ КАРТКИ ТА ШАХРАЙСТВО, ПРАВОВІ АСПЕКТИ ТА СУДОВИЙ ЗАХИСТ

Згідно із статистичними даними Національного банку України в 2018 році кількість незаконних операцій з платіжними картками становила 105,5 тис. випадків з яких 55,1 тис. випадків (52,2%) в мережі інтернет.

З наведеного слідує, що банківська карта інструмент зручний, але з ним пов’язані значні ризики.

Відповідно до Закону України «Про платіжні системи та переказ коштів в Україні» банківська карта є електронним платіжним засобом за допомогою якого власник картки має можливість ініціювати переказ коштів, отримати готівку в касах банку чи банкоматах, здійснювати інші операції.

Здійснити переказ грошей за допомогою картки можливо шляхом:

• фізичного використання, наприклад, в терміналі, банкоматі або
• шляхом використання її реквізитів в інтернеті на сайтах для переказу грошей, інтернет-магазинів.

Якщо з фізичним використанням картки все зрозуміло, то реквізити картки розглянемо детальніше.

ІДЕНТИФІКАЦІЙНІ ДАНІ БАНКІВСЬКОЇ КАРТКИ

Кожна банківська картка містить наступну інформацію:

1. Номер картки (PAN). Вказується на лицьовій стороні картки і складається з дванадцяти цифр;
2. Термін дії карти (Expiration date). Знаходиться під номером картки, складається з чотирьох цифр, які означають останній місяць та рік дії карти; 

CVV2 або CVC2-код. CVV2 (Card Verification Value) код для міжнародної платіжної системи VISA, CVC2 (Card Validation Code) – код для міжнародної платіжної системи MasterCard. Даний код знаходиться на зворотній стороні картки з метою забезпечення базових заходів безпеки, запитується при всіх оплатах в інтернеті коли платіжна карта фізично не використовується в банкоматі або терміналі і не можна запросити ПІН-код картки. Ось чому важливо його нікому не повідомляти.

Відповідно, зловмисники зацікавлені в тому щоб дістати усі дані картки, які є на магнітній смузі (на ній знаходяться PAN – номер карти, Expiration date – термін її дії, ПІН-код (може не вказуватися, в мережі є різна інформація з цього приводу), можливо CVV1/CVC1) або чипі, а також на самому пластиці: номер картки, термін її дії, CVV2/CVC2-код для доступу до грошей на рахунку  клієнта банку через інтернет.

УЗАГАЛЬНЕНИЙ ТЕХНІЧНИЙ АЛГОРИТМ ПРОВЕДЕННЯ ОПЕРАЦІЇ ЗА ДОПОМОГОЮ БАНКІВСЬКОЇ КАРТКИ 

Проведення операції з карткою – це процедура, яка складається з таких етапів як:

• ідентифікація
• автентифікація
• авторизація

Так от, коли вводиться номер картки та термін її дії на сайті або коли карта використовується в банкоматі або терміналі, то автоматизована система банку визначає чи є такий користувач в базі – це ідентифікація. Якщо бути більш точним, то ідентифікується сама карта, оскільки однозначно стверджувати, що використовує її особа, якій вона належить, нелогічно.

Розпізнавши користувача система пропонує ввести ПІН-код. Перевірка системою правильності введеного ПІН-коду вже ідентифікованого клієнта і є та сама автентифікація клієнта.  

Якщо здійснюється оплата карткою в інтернеті, то на сайті емітента картки (банк, який видав картку) вводяться номер карти (PAN), термін дії карти (Expiration date), CVV2/CVC2-код. Якщо у користувача картки підключена послуга 3-D Secure, то на сайті емітента картки вводиться код з SMS-повідомлення банку, в якому обслуговується клієнт.

Авторизація – це процедура отримання дозволу на проведення операцій з карткою за допомогою електронних систем банку. Наприклад, після ідентифікації та автентифікації клієнта шляхом правильно введеного ПІН-коду на екрані банкомата з’являється меню за допомогою якого можна дізнатися залишок грошей на рахунку або зняти гроші. Коли ви розраховуєтесь в магазині карткою банк-емітент авторизує оплату – надає можливість зняття грошей з рахунку для оплати покупки. В мережі – це вхід на сайт, в програму, мобільний додаток інтернет-банкінгу.

СПОСОБИ ЗАВОЛОДІННЯ ІНФОРМАЦІЄЮ ПРО БАНКІВСЬКУ КАРТКУ

Заволодівають зловмисники інформацією наступними способами:

Скіммінг – встановлюється зчитуючий пристрій на кардрідер банкомату для отримання даних з магнітної смуги картки та ПІН-коду до неї (за допомогою відеокамери або накладної клавіатури).  

Шиммінг – той же скімінг, але вдосконалений. Зловмисники розміщують зчитувальні пристрої в самому кардрідері і помітити заволодіння інформацією по картці неможливо.   

Фішинг – заволодіння ідентифікаційними даними картки шляхом внесення реквізитів картки (інформація, яка знаходиться на самій картці) у відповідні поля на сайті, створеному зловмисниками. Показовим прикладом є вхід на сайт інтернет-магазину, на якому пропонується здійснити передплату шляхом заповнення форми, в яку вноситься інформація по картці. Також для цього використовуються фейкові сайти банку для переказу грошей з картки на картку.  

Тому будьте пильні, коли виникають сумніви переконайтеся, що з’єднання з веб-сайтом безпечне: в рядку адреси сторінки сайту повинен зображуватися замок. Даний замок свідчить про те, що на сайті є SSL-сертифікат за допомогою якого інформація (в тому числі ідентифікаційні дані картки) перед відправкою її на сервер банку шифрується в набір символів, які в подальшому розшифровуються за допомогою спеціальної програми на сервері у вихідні дані.

Отримати дані карти можна також шляхом зараження комп’ютера, телефону, планшета, з якого клієнт  здійснюєте оплату, вірусом. Вірус копіює усі дані в момент введення реквізитів і ці дані пересилаються шахраям. Відповідно, наявність антивіруса на комп’ютері та увімкненого брандмауера буде доречним.

Реквізити картки можуть банально переписати для подальшого проведення шахрайських операцій в мережі, тому картку нікому та ні за яких обставин не даємо.

Соціальна інженерія. Усе дуже просто, шахраї здійснюють прямий дзвінок клієнту для отримання реквізитів картки, представившись службою безпеки банку, Національного банку або навіть Службою безпеки України, психологічно впливають повідомляючи, що конкретно в даний момент шахраї намагаються здійснити переказ грошей з вашого рахунку і, відповідно, просять повідомити дані карти. 

Національний банк України повідомляє про збільшення кількості випадків нового виду шахрайства, яке називають IVR-шахрайством, це коли держателям платіжних карток телефонують не власне шахраї, а запрограмовані ними роботи, які від імені банку просять надати інформацію про платіжну картку або логін/пароль входу в інтернет-банкінг.  

Як це не дивно, але заволодіння інформацією за допомогою засобів соціальної інженерії дуже поширене.   

3-D Secure

По суті, номера картки, терміну її дії, а також CVV2/CVC2-коду достатньо для переказу коштів, здійснення оплати за покупку в мережі або поповнити мобільний телефон.

Варто звернути увагу, що в деяких системах інтернет-банкінгу, знаючи номер картки та CVV2/CVC2-код, можна створити новий пароль входу в дану систему, а для входу в інтернет-банкінг, як правило, достатньо знати логін, яким є номер мобільного телефону та пароль.

Щоб хоч якось убезпечити власників банківських карток платіжні системи MasterCard та Visa розробили технологію 3-D Secure суть якої полягає в додатковій автентифікації. За даною технологією на номер мобільного телефону клієнта приходить SMS-повідомлення з кодом для підтвердження переказу грошей і вказаний код необхідно ввести в спеціально відведене поле на сайті банку, який видав картку. За своєю суттю технологія 3-D Secure – це запит банку на підтвердження володінням картою.

Технологія 3-D Secure не застосовується, якщо вона не підключена до рахунку клієнта або сайт, на якому здійснюється переказ, покупка, не підтримує дану технологію: на сайті інтернет-магазину не розміщені логотипи Verified by Visa та MasterCard SecureCode.        

ПРОБЛЕМНІ АСПЕКТИ ТЕХНОЛОГІЇ 3-D Secure В УКРАЇНІ

SMS-повідомлення з кодами гарне рішення, але проблеми повністю не вирішує. Зловмисники пішли далі та почали використовувати послуги мобільних операторів по самостійній заміні SIM-карт. Наприклад, у одного з операторів мобільного зв’язку SIM-картка замінюється дуже просто: після покупки нового стартового пакета та активації SIM-картки оператору надсилається SMS-запит із зазначенням старого номера телефону і серійного номера SIM-картки (ICC-код, вказується на SIM-картці та складається з 19 цифр) або PUK-кода (складається з 8 цифр), також для заміни може знадобитися зателефонувати оператору, який здійснить запит на інформацію про номери телефонів, на які користувач найчастіше телефонує.  

Як це не дивно, з огляду на певну складність отримання ICC-коду, PUK-коду зловмисниками, але випадки дистанційної заміни SIM-картки зловмисниками відбуваються часто.

СПОСОБИ ВИРІШЕННЯ ПРОБЛЕМИ ПО ЗАМІНІ SIM-КАРТ

СПІВПРАЦЯ ОПЕРАТОРІВ МОБІЛЬНОГО ЗВ’ЯЗКУ З БАНКАМИ 

Одним з варіантів підвищення безпеки та запобігання проведенню операцій по заміненим SIM-карткам може бути використання додаткового етапу по звірці серійного номера SIM-картки, якщо банки та оператори мобільного зв’язку укладуть відповідні угоди, оскільки зазначені коди не підлягають розголошенню. У такому випадку, якщо відбулася заміна SIM-картки, банк зможе відстежити зміну серійного номера і не направляти повідомлення з кодами для підтвердження проведення переказу грошей на номер телефону клієнта до моменту його особистого звернення до відділення банку та особистого підтвердження заміни SIM-картки. Відповідно, нікому та ні за яких обставин не повідомляємо жодної інформації по SIM-картці.   

ВІДМОВА ВІД ПЕРЕДПЛАЧЕНОГО ЗВ’ЯЗКУ ТА УКЛАДЕННЯ КОНТРАКТУ З МОБІЛЬНИМ ОПЕРАТОРОМ

Щоб захистити свій номер телефону найкращим превентивним способом захисту буде перехід на контрактну форму обслуговування, оскільки від заміни SIM-картки страждають саме клієнти передплаченого зв’язку. У разі втрати SIM-картки або необхідності її заміни необхідно буде особисто звернутися до відділення мобільного оператора і розумні зловмисники навряд ризикнуть піти замість клієнта до відділення мобільного оператора, правда буває і таке.  

ЩО РОБИТИ, ЯКЩО ГРОШІ З РАХУНКУ ВИКРАЛИ АБО ЗДІЙСНЕНО ВХІД В СИСТЕМУ ІНТЕРНЕТ-БАНКІНГУ ЗЛОВМИСНИКАМИ

Як тільки стало відомо, що хтось намагається отримати доступ до рахунку або здійснив переказ грошей, необхідно відразу зателефонувати на гарячу лінію банку і повідомити про шахрайські операції, а також блокувати картку і доступ до інтернет-банкінгу.

Такі дії зі сторони клієнта логічні, але також продиктовані п. 6 розділу VI Положення про порядок емісії платіжних засобів та здійснення операцій з їх використанням, затвердженого постановою Правління Національного банку України №705 (далі – Положення).

Далі клієнту необхідно особисто звернутися до відділення банку та оскаржити несанкціоновані транзакції (операції з переказу грошей, здійснення покупок та ін.). Банк надає типову форму заяви для заповнення, проводить розслідування та надає відповідь.

Далі потрібно звернутися до відділення поліції та подати заяву про кримінальне правопорушення, в якій повідомити про шахрайські операції із описом відповідних обставин 

В ході кримінального процесу можуть бути отримані докази про те, що клієнт не сприяв розголошенню ідентифікаційних даних карти, що може позитивно позначитися на захисті в суді щодо повернення коштів.  

ЗАХИСТ У СУДІ

При зверненні до суду важливо знати, що стаття 12 Цивільного процесуального кодексу України передбачає змагальність сторін. По суті, кожна сторона зобов’язана довести ті обставини, на які вона посилається. Вказане означає, що на кожний свій довод необхідно надати відповідне підтвердження (документ), а якщо його немає, то це всього лише формальне міркування, яке для суду взагалі не має ніякого значення. 

ЩО ДОКАЗУЄТЬСЯ КЛІЄНТОМ У СУДІ

Перше. Що клієнт одразу повідомив банк про платіжні операції, які не здійснював, наприклад, після отримання SMS-повідомлень про переказ коштів або з моменту отримання виписки по рахунку, якщо повідомлення не направлялися банком. Зазвичай такі умови вказані в договорі та прописуються в ньому по-різному. Суди охоче приймають це до уваги незалежно від індивідуальних особливостей кожної операції по виведенню грошей з рахунку клієнта.  

Який сенс доводити негайне повідомлення банку, якщо транзакція вже пройшла, незрозуміло. В даному випадку доречно вчасно оскаржити незаконну транзакцію (не пропустити строк оскарження, зазначений в договорі).

Своєчасне повідомлення банку про несанкціоновану транзакцію має місце у разі, якщо клієнт виявив спробу здійснити переказ грошей з рахунку зловмисниками (наприклад, йому прийшов код підтвердження операції в SMS-повідомленні) і він одразу зателефонував на гарячу лінію банку, повідомив про шахрайські операції та про необхідність заблокувати картку разом з можливістю доступу в інтернет-банкінгу. Якщо переказ грошей був здійснений після зазначеного дзвінка клієнта, то в цьому є пряма вина банку і він зобов’язаний відшкодувати завдані клієнту збитки. 

Якщо зловмисники заволоділи номером телефону, то рекомендується отримати письмові документи від оператора мобільного зв’язку про факт заміни, часу заміни SIM-картки, моменту блокування заміненої SIM-картки. Чим більше клієнт отримає доказів, тим краще, оскільки будувати захист знаючи всю складність ситуації набагато легше.

Друге. Що своїми діями або бездіяльністю клієнт банку не сприяв втраті або незаконному використанню ПІН-коду, ідентифікаційних даних картки, іншої інформації, за допомогою якої можна ініціювати переказ. Ось цей момент є найважливішим, але якщо в укладеному договорі з банком вся відповідальність за проведення операцій третіми особами покладається на клієнта, то в такому випадку ймовірність перемоги в при розгляді справи в суді зводиться до нуля. 

Варто акцентувати увагу на тому, що досить багато важливих обставин встановлюється в ході кримінального провадження, якщо його відкрили. Бувають випадки, що правоохоронні органи безпідставно та незаконно відмовляють у реєстрації заяви потерпілого, внесення інформації до Єдиного державного реєстру досудових розслідувань і проведенні слідчих заходів, надаючи формальні відписки. Матеріали кримінального провадження можуть вигідно вплинути на позицію клієнта при розгляді цивільного спору в суді доводячи, що він не сприяв виведенню грошей з рахунку зловмисниками, проте потрібно розуміти, що такі докази не можуть мати наперед встановленої сили до моменту ухвалення вироку судом у кримінальній справі (правда на практиці все буває по-різному). 

В ЯКИХ ВИПАДКАХ СУД ОБИРАЄ СТОРОНУ КЛІЄНТА, ЯКИЙ Є СЛАБКОЮ СТОРОНОЮ У ПРАВОВІДНОСИНАХ З БАНКОМ 

Якщо банк посилається на те, що персональний комп’ютер клієнта заражений вірусом і зловмисники паралельно на своєму комп’ютері запустили сесію інтернет-банкінгу, а виною тому є відсутність ліцензійного антивірусного програмного забезпечення, то це називається формальне припущення банку: він не знає напевно і не може це довести. Якщо клієнт надає суду докази (наприклад, довідку) того, що на момент проведення транзакції на комп’ютері було встановлено ліцензійне антивірусне програмне забезпечення, то такі доводи банку будуть безпідставними. Підтверджується вказане прецедентами судової практики, в яких суд посилається на те, що банк не довів наявність вини клієнта (постанова Хмельницького апеляційного суду від 18.07.2019 по справі № 686/5363/18; постанова Харківського апеляційного суду від 21.05.2019 по справі № 628/3322/16-ц).    

По суті, довести розголошення інформації клієнтом повинен банк і в контексті змагальності сторін у судовому процесі це досить складно (кожна сторона повинна підтвердити свої доводи і міркування в суді доказами), але все не так просто (читаємо далі).  

ІНША СТОРОНА МЕДАЛІ

Уявімо собі ситуацію, що клієнт навмисно розголосив всю інформацію, за допомогою якої можливо здійснити переказ грошей і відповідний переказ був здійснений. Потім клієнт оскаржив зазначену транзакцію. Яким чином банку довести розголошення інформації?

Усе дуже просто, в договорі з банком, як правило, вказується, що вся відповідальність за проведення операцій з переказу грошей третіми особами покладається на клієнта.

Згідно з висновками Верховного Суду покладення на клієнта відповідальності за переказ грошей третіми особами (в тому числі зловмисниками, які заволоділи ідентифікаційними даними карти), відповідно до умов договору, виключає відповідальність банку (див. постанову Верховного Суду у справі №522/22780/15-ц від 10.07.2019). 

Якщо в матеріалах судової справи будуть докази, що підтверджують розголошення інформації про реквізити банківської картки, за допомогою яких можна здійснити переказ, то суд однозначно буде на стороні банку. Проведення операції з використанням технології 3-D Secure також трактується на користь банку.

СПОСІБ ЗАХИСТУ ПРАВ ТА ЯКИМ ЧИНОМ МОЖНА ЗАХИСТИТИ СВОЄ ПРАВО

Мабуть, спосіб повернення грошей для людини без юридичної освіти принципового значення не має. Якщо гроші вкрали, то клієнта влаштує їх повернення як готівкою, так і шляхом відновлення балансу, який був до моменту проведення транзакцій зловмисниками. До прийняття нових процесуальних кодексів, які вступили в дію 15.12.2017, неправильний спосіб захисту права був стовідсотковою підставою для програшу справи, якщо друга сторона і суд звертали увагу на цей аспект.

Прямі дії банку післяд здійснення неналежного переказу встановлені ст. 37 Закону України “Про платіжні системи та переказ коштів”, в якій чітко вказано, що у разі ініціації неналежного переказу з рахунка неналежного платника, з вини ініціатора переказу, що не є платником, емітент зобов’язаний переказати на рахунок неналежного платника відповідну суму грошей за рахунок власних коштів, а також сплатити неналежному платнику пеню в розмірі 0,1 відсотка суми неналежного переказу за кожний день, починаючи від дня неналежного переказу до дня повернення відповідної суми на рахунок. 

Згідно з п. 8 розділу VI Положення емітент (банк, який видав карту) в разі здійснення помилкового або неналежного переказу, якщо користувач невідкладно повідомив про платіжні операції, що ним не виконувалися, після виявлення помилки негайно відновлює залишок коштів на рахунку до того стану, у якому він був перед виконанням цієї операції. 

У цілому, прийнятним способом захисту прав клієнта буде не стягнення грошей з банку, а вимога зобов’язати банк перевести на рахунок клієнта суму неналежного переказу за рахунок особистих грошей, а також стягнути пеню.  

В реєстрі судових рішень зустрічаються рішення про відновлення залишку коштів на рахунку клієнта, як це прописує п. 8 розділу VI Положення, що також є прийнятним (Київський апеляційний суд змінив спосіб захисту права клієнта своєю постановою від 32.01.2019, справа № 757/59168/17-ц). 

Відзначимо, що в реєстрі судових рішень багато рішень судів, якими з банків стягнуто гроші, а не зобов’язано здійснити переказ коштів. Вважаємо, що стягнення коштів має місце у разі шахрайського переказу грошей з рахунку клієнта, після чого він закрив рахунок. Як наслідок, у банку залишається обов’язок повернути гроші, однак рахунок, з якого здійснено переказ, вже закритий.   

Способи захисту – це велика тема, яка вимагає окремого розгляду, тому в рамках даної теми особливо детально в неї поглиблюватися не варто. 

ВІДШКОДУВАННЯ МОРАЛЬНОЇ ШКОДИ

Відшкодування моральної шкоди в даному випадку можливо, якщо це передбачено в договорі з банком, оскільки ст. 611 Цивільного кодексу встановлює, що відшкодування моральної шкоди встановлюється договором або законом. 

Стаття 4 Закону України «Про захист прав споживачів» передбачає можливість відшкодувати моральну шкоду, завдану виключно недоліком або дефектом саме продукції, а банківський рахунок не є продукцією.  

ЗВІЛЬНЕННЯ ВІД СПЛАТИ СУДОВОГО ЗБОРУ

Згідно із ст. 22 Закону України «Про захист прав споживачів» споживачі звільняються від сплати судового збору за позовами, пов’язаними з порушенням їх прав.

Важливо розуміти, що отримання інформації засобами соціальної інженерії має місце у зв’язку з чим: номер картки разом з CVV2/CVC2-кодом, терміном дії, а також ПІН-код, коди з SMS-повідомлень, логін і пароль доступу в інтернет-банкінгу ніяким службам безпеки та технічної підтримки банку або іншим особам не передаються, сайти в інтернеті повинні бути захищеними (із зображенням замку в рядку адреси сайту).   

Захиститься в судовому порядку можна, але все залежить від індивідуальних обставин здійснення шахрайської операції і превентивні заходи в даному випадку доречні як ніколи.