Απόφαση-σταθμός: Οι τράπεζες υποχρεώνονται να αποζημιώνουν θύματα ηλεκτρονικής απάτης από χάκερ

Μια ιδιαίτερα σημαντική δικαστική απόφαση αλλάζει τα δεδομένα στις υποθέσεις ηλεκτρονικής τραπεζικής απάτης και δημιουργεί δεδικασμένο. Το Πολυμελές Πρωτοδικείο Αθηνών έκρινε ότι οι τράπεζες οφείλουν να αποζημιώνουν τους πελάτες τους όταν πέφτουν θύματα χάκερ, εκτός εάν αποδείξουν με σαφή και συγκεκριμένα στοιχεία ότι οι ίδιοι οι χρήστες ενήργησαν με δόλο ή βαριά αμέλεια. Παράλληλα, η απόφαση ακυρώνει στην πράξη συμβατικούς όρους που μετέφεραν σχεδόν αποκλειστικά την ευθύνη στον καταναλωτή.

Η υπόθεση αφορά ζευγάρι, σύμφωνα με το dikastiko.gr και το newsbomb.gr, που έχασε μέσα σε λίγα λεπτά 9.800 ευρώ από τον κοινό τραπεζικό του λογαριασμό έπειτα από οργανωμένη επίθεση ηλεκτρονικού ψαρέματος (phishing).
Το δικαστήριο υποχρέωσε την τράπεζα να επιστρέψει ολόκληρο το ποσό που αφαιρέθηκε παράνομα, ενώ επιδίκασε επιπλέον 2.000 ευρώ ως αποζημίωση για την ηθική βλάβη και την ψυχική ταλαιπωρία που υπέστησαν οι δύο καταθέτες.

Πως έγινε η διαδικτυακή κλοπή

Σύμφωνα με τα πραγματικά περιστατικά, ο σύζυγος επιχείρησε να συνδεθεί στην υπηρεσία e-banking μέσω του κινητού του τηλεφώνου, όμως το σύστημα εμφάνισε μήνυμα σφάλματος. Στη συνέχεια προσπάθησε να εισέλθει από τον ηλεκτρονικό του υπολογιστή και έλαβε μέσω Viber έναν εξαψήφιο κωδικό για σύνδεση από νέο πρόγραμμα περιήγησης, τον οποίο πληκτρολόγησε.
Την ίδια στιγμή, οι δράστες κατάφεραν να υποκλέψουν δεύτερο κωδικό μίας χρήσης (OTP), ο οποίος εκδόθηκε για την έγκριση μεταφοράς χρημάτων. Ο πελάτης δεν έλαβε ποτέ το σχετικό μήνυμα, ωστόσο οι χάκερ ολοκλήρωσαν τη μεταφορά των 9.800 ευρώ σε λογαριασμό τράπεζας στη Γαλλία, από όπου τα χρήματα αναλήφθηκαν άμεσα.]
Αν και σε πρώτο βαθμό η αγωγή του ζευγαριού είχε απορριφθεί με το σκεπτικό ότι υπήρχε ευθύνη των ίδιων των πελατών, το Πολυμελές Πρωτοδικείο ανέτρεψε την κρίση αυτή.
Οι δικαστές έκριναν ότι στις περιπτώσεις μη εγκεκριμένων ηλεκτρονικών συναλλαγών το βάρος της απόδειξης δεν φέρει ο καταναλωτής αλλά η τράπεζα, η οποία οφείλει να αποδείξει με τεχνικά στοιχεία, όπως δεδομένα σύνδεσης, διευθύνσεις IP και αναγνώριση συσκευών, ότι ο ίδιος ο πελάτης ενέκρινε πράγματι τη συναλλαγή.

Στο σκεπτικό της απόφασης επισημαίνεται ότι η απλή καταγραφή της χρήσης των προσωπικών κωδικών ή ενός μέσου πληρωμής δεν αρκεί από μόνη της για να αποδειχθεί ότι ο χρήστης ενήργησε συνειδητά ή ότι επέδειξε δόλο ή βαριά αμέλεια. Αντίθετα, όταν η συναλλαγή πραγματοποιείται από τρίτο πρόσωπο χωρίς τη γνώση και την πραγματική συναίνεση του πελάτη, δεν μπορεί να θεωρηθεί ότι πρόκειται για νόμιμα εγκεκριμένη πράξη.

Το δικαστήριο έκρινε άκυρους τους γενικούς όρους

Σημαντικό είναι, επίσης, το γεγονός ότι το δικαστήριο έκρινε άκυρους τους γενικούς όρους συναλλαγών που επιχειρούν να μεταφέρουν συνολικά την ευθύνη στον καταναλωτή. Όπως επισημαίνεται στη συγκεκριμένη απόφαση, ακόμη και αν ένας πελάτης εξαπατηθεί και αποκαλύψει στοιχεία του πρώτου σταδίου ταυτοποίησης, αυτό δεν αρκεί για να στερηθεί το δικαίωμα αποζημίωσης, καθώς δεν είναι σε θέση να προβλέψει ή να αποτρέψει την παραβίαση του δεύτερου επιπέδου ασφαλείας από επιτήδειους.

Με την απόφασή του το δικαστήριο αναγνώρισε ότι η απώλεια των αποταμιεύσεων του ζευγαριού προκάλεσε σοβαρή οικονομική και ψυχολογική επιβάρυνση, δικαιώνοντας πλήρως τους ενάγοντες. Η εξέλιξη αυτή δημιουργεί σημαντικό δικαστικό προηγούμενο για αντίστοιχες υποθέσεις ηλεκτρονικής τραπεζικής απάτης και ενισχύει την προστασία των καταναλωτών απέναντι στις ολοένα αυξανόμενες επιθέσεις ηλεκτρονικού εγκλήματος.