Nem nyugodtak bele, és sikerrel jártak

Átverték? Fusson a pénze után!

2019. november 26. Két, elsőre úgy tűnik, hogy adathalász támadásnak beugrott ügyfél is visszakaphatja pénzét a Pénzügyi Békéltető Testület (PBT) döntése alapján. Az egyik esetben adótúlfizetésről, a másikban pedig PayPal biztonsági ellenőrzésről szóló becsali emailt kapott az érintett. Tanulságosak lehetnek a részletek.

Az akciók iránti lelkesedés a Black Friday és a karácsonyi őrület közben gyakran háttérbe szorítja a szükséges óvatosságot. Mint arról korábban írtunk, ha olyan helyen találunk kedvező ajánlatot, ahonnan még nem vásároltunk, a rendelés feladása előtt, főként pedig mielőtt adatainkat, esetleg bankkártyánk adatait megadnánk, sőt, pénzt utalnánk, mindenképp érdemes ellenőrizni az oldalt. Ez persze igaz a különböző felszólításokat tartalmazó emailokra is.

Mint egy évvel ezelőtt elhangzott: a rendőrség tudomására jutott, adathalászatból származó kár a több százmillió forintos nagyságrendet is eléri. A támadások száma pedig egyre nő. Legutóbb például a Tesco nevében ígért 85 ezer forintos kamu kuponnal, nyugdíjasokat kecsegtető ajándékcsomaggal és még ezer mással igyekeztek értékes (pénzre váltható) adatokhoz jutni a csalók.

Már legalább egy évtizede ismétlődnek unos-untalan a felhívások, amelyek a netes vásárlókat, banki ügyfeleket, különféle szolgáltatások felhasználóit figyelmeztetik a körültekintésre, a biztonsági szabályok betartására a világhálón. Mégis mindig akadnak, akik újra meg újra elcsábulnak a hihetetlenül jó (és épp ezért nem is valós) ajánlatoknak, és beleesnek a csalók, adathalászok, zsarolók csapdájába. Persze az internet kalandorai is igyekeznek megújítani módszereiket, egyben arra is számítanak, hogy a nagy számok törvénye alapján még a legátlátszóbb trükköknek is mindig beugrik néhány balek, ha elég nagy tömegben küldik szét a csaló ajánlataikat.

Sokan (köztük mi is) gondolják azt, hogy aki ilyesminek beugrott, az nem tehet mást, mint magára vet. A helyzet azonban esetenként bonyolultabb annál, mint aminek elsőre látszik. Legalábbis ezt bizonyítja két, a Pénzügyi Békéltető Testület által kiadott ajánlás. Mindkét ügyben felmerült adathalászat, a panaszosnak mégis igazat adtak a jóvátételt megtagadó bankkal szemben.

A bizonyítás a bankot terheli

Az egyik PBT-hez fordult panaszost összesen mintegy 160 ezer forinttal rövidített meg egy olyan kártyás vásárlás, amit nem ő hajtott végre. A plasztikot egy kereskedőnél használták, amit a bank gyanúsnak talált, és erről értesítette ügyfelét is. A beszélgetés után a kártyát blokkolták. A beszélgetés szó szerinti leirata szerint az ügyfél azt mondta, hogy "hát akkor én már tudom, hogy, mert PayPalom is van, és most kaptam egy olyan e-mailt, hogy a visszaélésekről .... meg akar bizonyosodni a PayPal, hogy ez az én kártyám, és most kérte a CVC kódomat és beütöttem”. Ez a bizonyos email – derült ki a vizsgálat során – becsali volt, ami a címből (Paypal@email20001i5j0299jjgo50185417h6t4v99serviec.com) is látszott.

A békéltetői eljárásban a panaszos arról beszélt, hogy a bankkal való telefonbeszélgetésben elhangzottakra már nem emlékszik, de annak leirata alapján is kizárólag a CVC kódját adta ki (a banki ügyintéző csak erre kérdezett rá, a kártya egyéb adatainak megadására nem), és azt is a saját maga által végzett tranzakcióhoz. Úgy tűnik, ennyi elég volt, a PBT a pénz visszafizetésére kötelezte a bankot, amely ezt korábban határozottan kizárta.

A PBT kimondta: a banknak kell személyre szabottan és kétséget kizáróan bizonyítania, hogy ügyfele súlyosan gondatlanul járt el. Az előírások megszegése, az óvatlan és figyelmetlen magatartás viszont önmagában nem jelent súlyos gondatlanságot.

A másik ügyben három kártyás fizetés (ez nem szokványos kereskedői, hanem egy speciális informatikai felületen történt) során összesen 384,2 euró volt a tét. Itt a panaszos a bankkal beszélgetve (ebben az esetben is a pénzintézet hívta fel ügyfelét) azt mondta, hogy „hát ez a szokványos trükk volt, hogy adjam meg a bankkártyaszámomat, mert Apeh-visszatérítés van, és hát így teljesen látom, hogy szélhámosság az egész”.

A kérelmező a PBT előtt előadta, hogy az adó visszatérítését ígérő emailben lévő linkre kattintott, arra már nem emlékszik, hogy egy új internetes felület nyílt meg ekkor, vagy egy válasz email. Ekkor elővette a bankkártyáját, és így adta meg a kártyaszámot, de a kártya többi adatát nem. A mailre azonnal válaszolt, ezt követően szintén rögtön észlelte a zárolást a bankszámláján.

A panaszos azt is mondta később, hogy egy tankolásnál és fizetésnél két idegen nyelvet beszélő fiatal volt mögötte, akik lefényképezhették a kezében tartozott bankkártyáját és visszaélhettek vele. A PBT itt is a bankot marasztalta el. Például arra hivatkozva, hogy a pénzintézet maga nyilatkozott úgy, hogy nem „életszerű” a fényképezés leírt módja, a kártyaszám pedig önmagában nem elegendő a fizetéshez. (Ez az érvelés az előző esetben is felmerült, de akkor a CVC kóddal kapcsolatban.)