Източване на банкова сметка

В последните няколко години зачестиха случаите на неправомерно източване на банкова сметка.

Неправомерното източване на банкова сметка може да бъде извършено чрез фишинг, кражба на данни от банкова карта, компрометиране на мобилно банкиране, активиране на електронен токен върху чуждо устройство, подвеждащо телефонно обаждане или неоторизиран банков превод.

Когато клиентът не е наредил и не е дал съгласие за конкретна платежна операция, тя по правило е неразрешена платежна операция.

В този случай Законът за платежните услуги и платежните системи – ЗПУПС, предвижда специална защита на платеца, включително задължение на банката да възстанови сумата и специално разпределение на доказателствената тежест.

Банката не може да отхвърли претенцията единствено с обяснението, че операцията е отчетена като извършена с правилна парола, мобилен токен, SMS код, банково приложение или данни от платежната карта.

Законът изрично постановява, че регистрираното използване на платежния инструмент не е достатъчно доказателство, че операцията е била разрешена от клиента или че той е проявил груба небрежност.

Какво представлява неразрешената платежна операция?

Съгласно чл. 70 ЗПУПС платежната операция е разрешена, когато платецът:

• лично я е наредил; или
• е дал съгласие за нейното изпълнение по уговорения с банката начин.

При липса на съгласие операцията е неразрешена.

Това може да бъде плащане с дебитна или кредитна карта, теглене от банкомат, банков превод, онлайн покупка, превод през мобилно банкиране или друга операция, извършена чрез платежната сметка.

В Решение № 159 от 14.10.2024 г. по т. д. № 904/2023 г. ВКС приема, че платежна операция, която не е наредена или разрешена от титуляря на платежната сметка, е неразрешена.

Върховният съд подчертава значението на действителното волеизявление на платеца, а не само на формалното наличие на документи или технически записи.

Важно разграничение: неразрешена операция и превод, извършен под заблуда

Не всяка измама автоматично представлява неразрешена платежна операция.

Когато извършителят сам е проникнал в онлайн банкирането и е наредил плащането без знанието на титуляря, обичайно се поставя въпросът за неразрешена операция.

Когато обаче клиентът лично е въвел данните и е потвърдил превода, защото е бил подведен от измамник, банката може да твърди, че операцията формално е разрешена по смисъла на чл. 70 ЗПУПС. Тогава трябва да се изследват допълнително:

• каква информация е била показана при потвърждението;
• дали са били ясно посочени сумата и получателят;
• дали банката е приложила задълбочено установяване на идентичността;
• дали са били отчетени необичайното устройство, местоположение или поведение;
• дали системата е сигнализирала за несъответствие или повишен риск;
• дали банката е изпълнила договорните и законовите си задължения за сигурност.

Следователно правната квалификация зависи от конкретния механизъм на измамата.

Не може да се потвърди отговорността на банката без анализ на документите, техническите записи и начина на потвърждаване на операцията.

Mетоди за източване на банкова сметка

1. Фишинг по електронна поща

Измамниците изпращат съобщения, които визуално наподобяват кореспонденция от банка, куриерска фирма, държавна институция или платежна платформа.

Линкът води до фалшива страница, в която жертвата въвежда потребителско име, парола, картови данни или код за потвърждение.

2. Smishing – измама чрез SMS

Клиентът получава съобщение за блокирана карта, неплатена пратка, подозрителна операция или необходимост от „потвърждение на самоличността“.

Посоченият линк обаче води до контролирана от измамниците страница.

3. Vishing – телефонна измама

Извършителят се представя за банков служител, полицай, служител по сигурността или техническа поддръжка.

Под претекст, че предотвратява измама, той изисква кодове, пароли или инсталиране на приложение за отдалечен достъп.

4. Spoofing

При spoofing се манипулират телефонният номер, имейл адресът или името на подателя.

На екрана може да изглежда, че обаждането или съобщението идва от действителния номер на банката.

5. Зловреден софтуер и приложения за отдалечен достъп

Измамникът убеждава клиента да инсталира приложение, чрез което получава достъп до телефона или компютъра.

Така може да наблюдава банковото приложение, да прихваща съобщения и да извършва операции.

6. Неправомерно активиране на мобилен токен

При определени измами върху чуждо устройство се регистрира мобилното банкиране или се активира нов токен.

При съдебен спор следва да се установи как банката е удостоверила самоличността на лицето, поискало активацията.

7. Скимиране на банкови карти

Чрез техническо устройство могат да бъдат копирани данни от картата, а чрез скрита камера или манипулирана клавиатура – и въведеният ПИН код.

8. Измама с подменена банкова сметка

При бизнес кореспонденция може да бъде изпратена фалшива фактура или съобщение за промяна на банковата сметка на контрагент.

ГДБОП посочва компрометирането на легитимни бизнес имейли и подмяната на банкови данни като форма на финансова киберизмама.

Националният център за действие при инциденти в информационната сигурност определя фишинга като широко използван метод за кражба на банкови данни, пароли и картова информация и разграничава фишинг по имейл, smishing и vishing.

Какво да направите веднага след установяване на измамата?

Времето е критично. След установяване на непозната операция трябва незабавно да бъдат предприети действия за ограничаване на загубите и запазване на доказателствата.

Блокирайте картата и електронното банкиране

Свържете се с банката чрез официалния телефон, посочен върху банковата карта или интернет страницата на банката. Не използвайте телефонен номер или линк, получен в съмнително съобщение.

Поискайте:

• блокиране на картата;
• блокиране на онлайн и мобилното банкиране;
• прекратяване на активните сесии;
• деактивиране на токени и регистрирани устройства;
• временно ограничаване на изходящите операции;
• проверка за новодобавени получатели и променени лимити.

Оспорете писмено всяка операция

Подайте отделно или общо писмено заявление, в което посочете:

• датата и часа на операцията;
• размера и валутата;
• получателя или търговеца;
• че не сте нареждали и не сте разрешавали плащането;
• кога сте установили операцията;
• кога сте уведомили банката;
• искане за незабавно възстановяване на сумата;
• искане за запазване на всички електронни записи.

Не разчитайте единствено на телефонно обаждане.

Изисквайте входящ номер, копие от заявлението или електронно потвърждение.

Поискайте проследяване и спиране на средствата

При банков превод поискайте банката незабавно да изпрати искане за:

• оттегляне или отмяна на превода, когато това все още е възможно;
• блокиране на средствата при банката на получателя;
• проследяване на операцията;
• запазване на данните за сметката на получателя.

При картово плащане поискайте да бъде проверена възможността за оспорване по правилата на съответната картова схема.

Подайте сигнал до компетентните органи

Подайте сигнал до МВР, отдел „Киберпрестъпност“ при ГДБОП или прокуратурата.

Към сигнала приложете банковите извлечения, съобщенията, електронните писма, телефонните номера и всички други налични данни.

Киберпрестъпленията и онлайн финансовите измами са в компетентността на специализираните структури на МВР.

Запазете доказателствата

Не изтривайте:

• SMS съобщения;
• имейли;
• чат кореспонденция;
• история на обажданията;
• push известия;
• снимки на екрана;
• банкови извлечения;
• потвърждения за операции;
• данни за инсталирани приложения;
• документи от банката.

Не възстановявайте фабричните настройки на телефона, преди да бъдат запазени относимите данни.

В какъв срок трябва да бъде уведомена банката?

Съгласно чл. 77 ЗПУПС клиентът трябва да уведоми банката без неоснователно забавяне, след като е узнал за неразрешената или неточно изпълнена операция.

Крайният срок по закона е 13 месеца от датата, на която сметката е била задължена.

Този срок обаче не означава, че клиентът може да изчака 13 месеца.

Уведомяването трябва да бъде извършено незабавно след узнаването.

Когато доставчикът не е изпълнил задълженията си да предостави информация за операцията, 13-месечният срок не се прилага.

Кой трябва да докаже как е извършена операцията?

Една от най-съществените защити на клиента е специалното разпределение на доказателствената тежест.

Когато клиентът твърди, че не е разрешавал операцията, банката трябва да докаже:

1. автентичността на платежната операция;
2. точното ѝ регистриране;
3. правилното ѝ осчетоводяване;
4. че не е засегната от техническа повреда;
5. че не е засегната от друг недостатък на платежната услуга;
6. при направено възражение – че клиентът е действал чрез измама, умишлено или при груба небрежност.

Само наличието на електронен запис, че са използвани карта, ПИН, парола, SMS код или мобилен токен, не доказва автоматично, че именно клиентът е извършил или разрешил операцията.

Съдебната практика също приема, че банката не може да прехвърли върху клиента задължението да доказва отрицателния факт, че не е извършил операцията.

В съдебния процес доставчикът трябва да установи конкретните факти, на които основава твърдението си за разрешаване, измама или груба небрежност.

Кога банката трябва да възстанови парите?

При неразрешена платежна операция банката трябва да възстанови стойността ѝ незабавно и не по-късно от края на следващия работен ден, след като е установила операцията или е била уведомена за нея.

Когато е необходимо, сметката трябва да бъде възстановена в положението, в което би се намирала, ако неразрешената операция не беше извършена.

Вальорът на заверяването трябва да бъде не по-късен от датата, на която сметката е била задължена.

Изключение от незабавното възстановяване е предвидено, когато банката има основателни съмнения за измама и уведоми компетентните органи.

Общото твърдение, че „операцията е технически коректна“, не е равнозначно на доказване на измама или груба небрежност на клиента.

Може ли клиентът да понесе част от загубата?

От 1 януари 2026 г. при определени операции, произтичащи от използването на изгубен, откраднат или незаконно присвоен платежен инструмент, клиентът може да понесе загуба до договорения размер, но не повече от 50 евро.

Това ограничение не се прилага, когато:

• загубата или кражбата не са могли да бъдат установени от клиента преди плащането, освен при измама от негова страна;
• вредата е причинена от служител, представител, клон или подизпълнител на доставчика;
• са налице други законови изключения.

След уведомяване на банката клиентът по правило не носи загубите от последващо използване на платежния инструмент, освен ако самият той е действал чрез измама.

Какво означава „груба небрежност“?

Банките често се позовават на твърдение за груба небрежност, но това понятие не може да бъде прилагано автоматично.

Не е достатъчно да се установи единствено, че:

• са използвани данните на картата;
• е въведена правилна парола;
• е получен SMS код;
• е регистрирана успешна идентификация;
• операцията е преминала през мобилното приложение.

Банката трябва да докаже конкретно поведение на клиента, което представлява умишлено неизпълнение или груба небрежност при опазване на платежния инструмент и персонализираните средства за сигурност.

Законът изрично възлага на доставчика задължението да представи доказателства за измама или груба небрежност.

Оценката се извършва според всички обстоятелства: съдържанието на съобщенията, действията на измамника, начина на активиране на услугите, предупрежденията на банката, устройството, от което е извършена операцията, и поведението на клиента след узнаването.

Задълбочено установяване на идентичността

При онлайн достъп до сметка, иницииране на електронно плащане или друго дистанционно действие с риск от измама банката трябва да прилага задълбочено установяване на идентичността.

То включва два или повече независими елемента от категориите:

• знание – нещо, което само клиентът знае;
• притежание – нещо, което само клиентът притежава;
• характерна особеност – биометричен или друг индивидуален белег.

При дистанционни операции удостоверяването трябва да свързва потвърждението с конкретната сума и конкретния получател.

Когато доставчикът не е изискал задълбочено установяване на идентичността, платецът по правило не понася загубите, освен ако е действал с цел измама.

Защо банката отказва възстановяване?

В отказите обичайно се посочва, че:

• операцията е потвърдена с правилни идентификационни данни;
• използван е регистриран мобилен телефон;
• въведен е еднократен код;
• приложено е двуфакторно удостоверяване;
• клиентът е предоставил информация на трето лице;
• банката не е установила техническа повреда;
• операцията е отчетена като успешна и автентична;
• клиентът е проявил груба небрежност.

Тези обстоятелства трябва да бъдат проверени, но нито едно от тях само по себе си не освобождава автоматично банката от отговорност.

Автентичността не е равнозначна на разрешаване.

Една операция може да е правилно регистрирана от банковата система и въпреки това да не е наредена или разрешена от титуляря.

Как се обжалва отказът на банката?

1. Възражение пред банката

Жалбата трябва да съдържа конкретно искане за възстановяване и подробно оспорване на мотивите за отказ.

Полезно е да бъдат поискани:

• пълният електронен журнал на операциите;
• IP адресите;
• идентификаторите на устройствата;
• датите на регистрация на устройства;
• данните за активиране на мобилен токен;
• използваните методи за идентификация;
• съдържанието на изпратените SMS или push известия;
• логовете за промяна на лимити;
• данните за добавяне на нов получател;
• резултатите от системите за мониторинг на измами;
• данните за географското местоположение, когато са налични;
• записите от проведените разговори с банката;
• действията за проследяване или блокиране на средствата.

Банката трябва да се произнесе по жалбата в срок до 15 работни дни. Само по изключение, когато по независещи от нея причини това не е възможно, окончателният срок може да бъде удължен до 35 работни дни, като клиентът трябва да бъде уведомен за причините.

2. Помирителна комисия за платежни спорове

Когато банката не отговори в законовия срок или отказът не удовлетворява клиента, спорът може да бъде отнесен до Помирителната комисия за платежни спорове към Комисията за защита на потребителите.

Производството:

• е извънсъдебно;
• не изисква задължително лично присъствие;
• се разглежда въз основа на документи и становища;
• не се облага с такса;
• приключва с помирително предложение;
• не е задължителна предпоставка за предявяване на съдебен иск.

Приетото от двете страни предложение има силата на споразумение.

3. Съдебен иск срещу банката

Когато доброволно възстановяване не бъде извършено, клиентът може да предяви иск за:

• сумата на неразрешените операции;
• възстановяване на банковата сметка;
• законна лихва;
• такси, начислени във връзка с операциите;
• други доказани вреди, когато са налице законовите предпоставки;
• съдебни разноски.

Производството пред Помирителната комисия не е задължително преди завеждането на делото.

Адвокатска защита при източване на банкова сметка

При неправомерно източване на банкова сметка е необходимо да бъдат анализирани:

• банковият договор и общите условия;
• заявлението за оспорване;
• отговорът на банката;
• банковите извлечения;
• начинът на идентификация;
• използваните устройства и IP адреси;
• активацията на мобилното банкиране;
• съдържанието на SMS и push известията;
• доказателствата за фишинг или социално инженерство;
• действията на банката след уведомяването;
• необходимостта от техническа експертиза и съдебен иск.

За правна помощ при източена банкова сметка, измама с банкова карта, неразрешен банков превод или отказ на банка да възстанови сумите, свържете се с Международна адвокатска кантора „Д. Владимиров и партньори“:

Телефон: 0897 90 43 91
Имейл: office@lawyer-bulgaria.bg

Всеки случай изисква индивидуална правна и техническа оценка. Резултатът не може да бъде предварително гарантиран без преглед на документите и доказателствата.

Длъжна ли е банката да върне парите при източена сметка?

Когато операцията е неразрешена и не е доказано законово основание за освобождаване на банката, доставчикът по правило трябва да възстанови сумата незабавно и не по-късно от края на следващия работен ден.

Достатъчно ли е банката да докаже, че е използван SMS код?

Не. Регистрираното използване на платежен инструмент или средство за сигурност не е достатъчно доказателство, че операцията е разрешена или че клиентът е проявил груба небрежност.

Какъв е срокът за оспорване на банковата операция?

Банката трябва да бъде уведомена без неоснователно забавяне след узнаването, но не по-късно от 13 месеца от задължаването на сметката, освен ако банката не е изпълнила задълженията си за предоставяне на информация.

Носи ли клиентът отговорност до 50 евро?

Само при определени законови предпоставки, свързани с изгубен, откраднат или незаконно присвоен платежен инструмент. Правилото не означава автоматично, че всеки пострадал дължи първите 50 евро.

Може ли банката да обвини клиента в груба небрежност?

Може да направи такова възражение, но трябва да го докаже чрез конкретни факти. Самото успешно техническо изпълнение на операцията не е достатъчно.

Задължително ли е да се премине през Помирителната комисия?

Не. Помирителното производство не е задължителна предпоставка за предявяване на иск срещу банката.

Трябва ли да се назначи съдебна експертиза?

Не във всяко дело, но при спор относно IP адреси, мобилен токен, устройство, електронни записи и метод на идентификация техническата експертиза често е съществена за изясняване на фактите.

Може ли да се търси законна лихва?

Да. При основателен иск може да се претендира законна лихва върху невъзстановената сума, като началният момент се определя според конкретните факти, отправеното искане и правното основание на претенцията.