Източена банкова карта, непознат превод, плащане към криптоплатформа или поредица от трансакции, които титулярят никога не е извършвал – това са типични случаи на неразрешени платежни операции.

При подобна банкова измама първият въпрос обикновено е:

Може ли банката да бъде осъдена да възстанови откраднатите пари?

В много случаи отговорът е положителен. Законът за платежните услуги и платежните системи – ЗПУПС, възлага значителна част от риска от неразрешени операции върху доставчика на платежни услуги.

Банката не може автоматично да освободи себе си от отговорност само с твърдението, че операцията е потвърдена чрез PIN, SMS код, мобилен токън, 3D Secure или банково приложение.

При спор именно банката трябва да установи автентичността и правилното регистриране на операцията.

Регистрираното използване на платежния инструмент само по себе си не доказва, че клиентът е разрешил плащането или че е действал измамно или при груба небрежност.

Краткия отговор е „ДА“

При дело за източена карта клиентът следва да твърди и докаже, че не е нареждал и не е давал съгласие за спорните трансакции, че е уведомил банката своевременно и че е поискал възстановяване на сумите.

Банката носи доказателствената тежест за:

автентичността на платежната операция;
точното ѝ регистриране и осчетоводяване;
липсата на техническа повреда;
наличието на измама или груба небрежност на клиента, когато се позовава на такива обстоятелства.

При неразрешена операция банката по принцип трябва да възстанови сумата незабавно и не по-късно от края на следващия работен ден след уведомяването, освен ако има основателни съмнения за измама и е уведомила компетентните органи.

Какво представлява „източена банкова карта“?

Изразът „източена карта“ не е самостоятелен правен термин. В практиката той обхваща различни форми на неправомерно разпореждане със средства:

плащания с откраднати данни на дебитна или кредитна карта;
операции след фишинг имейл, SMS или фалшив банков сайт;
теглене от банкомат с копирана карта;
добавяне на картата в чужд дигитален портфейл;
активиране на мобилен токън на непознато устройство;
неразрешени преводи чрез интернет или мобилно банкиране;
плащания към Revolut, Wise, EasyPay, криптоборси или други платежни посредници;
операции след неправомерна смяна на телефонен номер или SIM карта;
множество плащания в рамките на минути без обичайното поведение на клиента.

ГДБОП определя фишинга като опит за кражба на чувствителна информация – пароли, данни за банкови карти и банкови сметки – чрез фалшиви имейли, съобщения и интернет страници.

За гражданското дело срещу банката решаващият въпрос не е само как технически е извършена измамата, а дали клиентът е дал валидно съгласие за конкретната платежна операция.

Кога плащането е неразрешена платежна операция?

Съгласно чл. 70 ЗПУПС платежната операция е разрешена, когато платецът я е наредил или е дал съгласие за изпълнението ѝ. При липса на съгласие операцията е неразрешена.

Съгласието трябва да бъде дадено по реда и начина, договорени между клиента и доставчика на платежната услуга.

Следователно при дело за източена карта трябва да се разграничат две основни хипотези.

1. Клиентът не е извършвал операцията

Тук попадат случаите, когато трето лице:

използва данните на картата;
създава или активира нов мобилен токън;
влиза в интернет банкирането;
извършва плащания или преводи;
потвърждава операцията от друго устройство;
използва прихванат OTP код или компрометирана електронна поща.

В тези случаи операцията може да бъде неразрешена, дори системата на банката технически да я е отчела като „успешно удостоверена“.

2. Клиентът лично нарежда превода, но е измамен

По-сложна е хипотезата, при която пострадалият лично нарежда превод към измамника – например след фалшива инвестиционна консултация, романтична измама или заблуждаваща оферта.

Ако клиентът съзнателно е въвел получателя, сумата и е потвърдил точно тази операция, банката може да твърди, че плащането формално е разрешено, макар причината за него да е измама.

Това не означава автоматично, че банката няма отговорност.

Трябва да се проверят:

системите за откриване на необичайни операции;
поведението на банката при рязко отклонение от профила на клиента;
предупрежденията, предоставени преди потвърждаването;
точната визуализация на получателя и сумата;
прилагането на задълбочено установяване на идентичността;
възможността за спиране или връщане на превода;
действията на банката след уведомяването.

Правната квалификация обаче е различна и изисква индивидуален анализ на електронните доказателства.

Банката носи доказателствената тежест

Една от най-съществените защити на пострадалия се съдържа в чл. 78 ЗПУПС.

Когато клиентът твърди, че не е разрешавал операцията, банката трябва да докаже:

автентичността на операцията;
нейното точно регистриране;
правилното осчетоводяване;
липсата на техническа повреда или друг недостатък;
конкретните обстоятелства, от които произтича твърдяна измама или груба небрежност на клиента.

Особено важно е правилото на чл. 78, ал. 4 ЗПУПС:

Регистрираното използване на платежния инструмент не е достатъчно доказателство, че операцията е била разрешена.

Следователно изрази като „операцията е потвърдена с SMS“, „използвана е правилната парола“ или „плащането е извършено през мобилното приложение“ не решават сами по себе си спора.

Банката трябва да представи пълна и проверима техническа следа.

SMS кодът доказва ли, че клиентът е извършил плащането?

Не непременно.

SMS кодът или мобилният токън може да доказва, че определен код е бил въведен или че дадено устройство е потвърдило операцията.

Това не установява автоматично:

кой физически е държал устройството;
кой е въвел кода;
дали кодът е прихванат;
дали мобилното устройство е компрометирано;
дали електронната поща е била превзета;
дали е активиран нов токън;
дали клиентът е виждал реалната сума и получателя;
дали банката е приложила законосъобразна динамична връзка;
дали системата е отчела необичайно устройство, държава или IP адрес.

Използването на правилни идентификатори може да бъде резултат именно от фишинг, зловреден софтуер или социално инженерство.

Поради това законът не допуска банката да приравни техническото удостоверяване с доказано съгласие на клиента.

Какво представлява задълбоченото установяване на идентичността?

При онлайн достъп, електронна платежна операция или друго дистанционно действие с риск от измама банката трябва да прилага задълбочено установяване на идентичността на клиента.

То включва най-малко два независими елемента от различни категории:

знание – нещо, което само клиентът знае;
притежание – нещо, което само клиентът притежава;
характерна особеност – биометрична или друга присъща характеристика.

При дистанционни електронни плащания удостоверяването трябва да съдържа променливи елементи, свързващи операцията с конкретна сума и получател.

Делегиран регламент (ЕС) 2018/389 допълва тези изисквания, като предвижда динамична връзка между кода за удостоверяване, размера на операцията и конкретния получател.

Промяна на сумата или получателя следва да обезсилва съответния код.

Какво трябва да се провери?

При подготовка на иск срещу банката следва да се изискат данни:

какви два независими елемента са използвани;
на кое устройство е активиран мобилният токън;
кога е активиран;
дали старият токън е деактивиран;
на кой телефон и имейл са изпратени кодовете;
каква информация е визуализирана на клиента;
имало ли е динамично свързване със сумата и получателя;
използвано ли е изключение от задълбоченото удостоверяване;
какъв е бил резултатът от анализа на риска;
имало ли е промяна на устройство, IP адрес, държава или поведение.

Длъжна ли е банката незабавно да върне парите?

По принцип – да, тъй като чл.79, ал. 1 ЗПУПС предвижда, че при неразрешена платежна операция банката възстановява стойността и незабавно и не по-късно от края на следващия работен ден, след като е забелязала или е била уведомена за операцията.

Когато е необходимо, сметката трябва да бъде възстановена в състоянието, в което би се намирала, ако неразрешената операция не беше изпълнена.

Вальорът на заверяването не може да бъде по-късен от датата, на която сметката е била задължена.

Кога банката може да не възстанови сумата веднага?

Законът допуска изключение, когато банката:

има основателни съмнения за измама от страна на клиента; и
е уведомила съответните компетентни органи.

Обикновено писмо до клиента, съдържащо общо подозрение или предположение, не е равнозначно на доказана измама.

В съдебното производство банката трябва да докаже конкретните факти, на които основава отказа си.

Носи ли клиентът отговорност за източената карта ?

От 1 януари 2026г. клиентът може да понесе загуба до договорения размер, но не повече от 50 евро, когато неразрешените операции произтичат от използването на изгубен, откраднат или незаконно присвоен платежен инструмент.

Това ограничение обаче не се прилага автоматично във всеки случай, тъй като клиентът не носи тази отговорност, когато:

загубата или кражбата не е могла да бъде установена преди плащането, освен при измама;
вредата е причинена от служител, представител, клон или подизпълнител на доставчика;
банката не е осигурила подходящ начин за уведомяване;
операцията е извършена след уведомяването за изгубения или компрометиран инструмент;
банката не е приложила изискуемото задълбочено установяване на идентичността, освен ако клиентът е действал измамно.

След уведомяването клиентът по принцип не понася последващи загуби от използването на изгубения, откраднатия или незаконно присвоения платежен инструмент, освен при собствена измама.

Какво означава „груба небрежност“ при източена карта?

Банките често отказват възстановяване с аргумента, че клиентът е действал при груба небрежност, защото:

е натиснал линк;
е въвел потребителско име и парола;
е предоставил SMS код;
не е разпознал фалшивия сайт;
не е използвал антивирусна програма;
не е прочел подробно съобщението;
е потвърдил искане в приложението.

Но не всяка грешка е груба небрежност.

Грубата небрежност представлява значително отклонение от най-елементарната грижа, която би положил дори силно небрежен човек при сходни условия. Тя трябва да бъде доказана чрез конкретни действия, а не чрез общи предположения.

В окончателно решение от 18 март 2026 г. въззивен съд приема, че при фишинг измама използването на легитимни идентификатори не доказва груба небрежност.

Съдът посочва, че обикновеният потребител може лесно да бъде подведен от съобщение, визуално наподобяващо официална банкова комуникация, и че жертвата не разполага непременно със специални технически знания за разпознаване на престъпната атака.

Банката е осъдена да възстанови сумите по неразрешените операции.

Това решение не означава, че всеки фишинг случай задължително ще бъде спечелен.

То показва обаче, че самото подвеждане на клиента не е достатъчно, за да бъде освободена банката от отговорност.

Какво трябва да направите веднага след установяване на измамата?

1. Блокирайте картата и електронното банкиране

Уведомете банката по официалния ѝ телефон и поискайте:

блокиране на картата;
спиране на интернет и мобилното банкиране;
деактивиране на мобилни токъни;
блокиране на дигитални портфейли;
опит за отмяна или изтегляне на превода.

Запишете часа на разговора, името на служителя и номера на сигнала.

2. Подайте писмено възражение

Не разчитайте само на телефонен разговор.

Подайте писмена жалба или формуляр за оспорване на операции, като посочите:

дата и час на всяка операция;
сума и валута;
получател или търговец;
че не сте нареждали и не сте разрешавали операцията;
че искате възстановяване по чл. 79 ЗПУПС;
че оспорвате наличие на измама или груба небрежност;
че искате съхраняване на всички електронни логове.

3. Уведомете банката без забавяне

ЗПУПС изисква уведомяване без неоснователно забавяне след узнаване за операцията. Крайният срок е 13 месеца от задължаването на сметката, но изчакването до края на този период може значително да затрудни доказването.

4. Запазете електронните доказателства

Не изтривайте:

SMS и Viber съобщения;
фишинг имейли;
интернет адреси;
екранни снимки;
push известия;
история на обажданията;
съобщения от банката;
банкови извлечения;
кореспонденция с търговеца;
данни за блокиране на картата.

5. Подайте сигнал за киберпрестъпление

Сигналът до полицията, ГДБОП или прокуратурата може да подпомогне установяването на механизма на измамата. Той обаче не замества възражението до банката и не следва да забавя искането за възстановяване.

6. Не предавайте устройството си без копие на данните

При необходимост от техническо изследване трябва предварително да бъдат запазени данни за приложенията, съобщенията, часовете на достъп и конфигурацията на устройството.

В какъв срок банката трябва да отговори?

Банката трябва да се произнесе писмено по жалбата в срок до 15 работни дни.

Само по изключение, при причини извън нейния контрол, срокът може да бъде удължен, но окончателният отговор не може да бъде предоставен по-късно от 35 работни дни. Банката трябва да обясни причината за забавата.

При отказ или липса на отговор спорът може да бъде отнесен до Помирителната комисия за платежни спорове. Производството започва с писмено заявление и може да бъде инициирано по електронен път.

Помирителната процедура не изключва възможността за съдебен иск, но трябва внимателно да се следят приложимите срокове.

Адвокат при дело за източена карта

Делата срещу банки по ЗПУПС са едновременно правни, технически и финансови. Успешната защита изисква не само позоваване на чл. 78 и чл. 79 ЗПУПС, а пълно проследяване на електронната операция.

При подготовката на делото трябва да се анализират:

банковият договор и общите условия;
формулярът за оспорване;
отговорът на банката;
електронните съобщения;
начинът на удостоверяване;
устройството и мобилният токън;
поведението на системите за сигурност;
действията на банката след уведомяването;
необходимите съдебни експертизи.

Международна адвокатска кантора „Д. Владимиров и Партньори“ предоставя правна помощ при източени дебитни и кредитни карти, неразрешени преводи, фишинг измами и съдебни дела срещу банки по ЗПУПС.

Нашият съвет

При източена банкова карта отказът на банката не е окончателен отговор.

ЗПУПС не позволява цялата тежест от електронната измама автоматично да бъде прехвърлена върху клиента. Банката трябва да докаже много повече от това, че системата е отчела правилна парола, SMS код или мобилен токън.

Когато клиентът не е давал съгласие за операцията, уведомил е банката своевременно и няма доказана измама или груба небрежност от негова страна, може да бъде предявено дело за източена карта с искане за възстановяване на откраднатата сума, лихвите и съдебните разноски.