Phishing bankowy w Hiszpanii: zgłoszenie i zwrot

Fałszywy SMS od banku może prowadzić do przejęcia danych i pieniędzy. Jeśli widzisz obciążenie, którego nie rozpoznajesz, zgłoś je bankowi bez zwłoki. Równolegle zabezpiecz dowody i przygotuj formalne zawiadomienie o przestępstwie. Telefon z prośbą o blokadę, policyjna denuncia i pisemna reklamacja bankowa służą różnym celom.

Ten poradnik dotyczy klienta banku w Hiszpanii po oszustwie związanym z SMS-em, wiadomością lub podszywaniem się pod pracownika banku. Nie obejmuje oszustw kryptowalutowych. Prowadzi od pierwszego zgłoszenia do sprawdzenia rzeczywistego rozliczenia albo ustalenia, jaka część sprawy pozostaje nierozwiązana.

1. Przerwij oszustwo i ustal, co stało się na rachunku

Przestań odpowiadać osobie, która wysłała podejrzaną wiadomość. Skontaktuj się z bankiem niezależną drogą: przez znany ci oficjalny numer lub oddział. Nie korzystaj ponownie z linku i numeru podanego w podejrzanym SMS-ie. Opisz, jakie dane ujawniono i czy na koncie są już sporne operacje. Poproś o odpowiednią blokadę zagrożonej karty, instrumentu płatniczego lub dostępu. Nie musi to oznaczać zamknięcia całego rachunku.

Rozdziel trzy sytuacje: samo ujawnienie danych bez obciążenia, operację wykonaną bez twojej zgody oraz płatność, którą wykonano pod wpływem oszustwa. Opisz bankowi fakty zgodnie z ich przebiegiem. Nie zmieniaj opisu tylko po to, aby pasował do określenia „transakcja nieautoryzowana”.

Użycie kodu SMS lub zapis uwierzytelnienia nie rozstrzyga samo w sobie, że zgodzono się na konkretną operację albo dopuszczono się rażącego niedbalstwa. Zgodnie z art. 44 hiszpańskich przepisów o usługach płatniczych zapis użycia instrumentu nie musi wystarczać do takiego dowodu. Z drugiej strony sam fakt oszustwa nie sprawia automatycznie, że każda samodzielnie zlecona płatność jest nieautoryzowana.

Zapisz czas zgłoszenia i otrzymane oznaczenie sprawy. Poproś bank o potwierdzenie powiadomienia oraz wykonanej blokady. Przepisy nakazują zapewnić bezpłatnie, na żądanie, możliwość wykazania takiego powiadomienia przez 18 miesięcy od jego dokonania. To okres dostępności dowodu, a nie czas, przez który można zwlekać ze zgłoszeniem. Gdy ustanie powód blokady, bank powinien odblokować instrument lub zastąpić go nowym zgodnie z właściwymi zasadami.

2. Zachowaj dowody i spisz każdą sporną operację

Nie usuwaj SMS-ów, rozmów ani wiadomości e-mail. Zachowaj zrzuty, adres fałszywej strony i potwierdzenia płatności. Nie wykonuj kolejnej płatności osobie obiecującej „odzyskanie pieniędzy” za opłatą. Po utracie środków może pojawić się następne oszustwo wykorzystujące tę samą sytuację.

Przygotuj własne zestawienie:

• data i godzina podejrzanej wiadomości oraz krótki przebieg zdarzeń;
• data, kwota, odbiorca i identyfikator każdej kwestionowanej operacji;
• wyciąg lub dokument bankowy pokazujący obciążenia;
• wiadomości, zrzuty i potwierdzenia, które wyjaśniają sposób oszustwa;
• daty zgłoszeń bankowych i otrzymane odpowiedzi.

Takie zestawienie porządkuje dokumenty. Nie zastępuje formularza ani wymagań banku lub organu. Nie publikuj danych domniemanego sprawcy w internecie: mogą należeć do innej osoby, pod którą również się podszyto.

3. Złóż formalną denuncia i zachowaj jej oznaczenie

Zawiadomienie o przestępstwie złóż na komisariacie Policía Nacional, czyli hiszpańskiej policji państwowej. Jej publiczna instrukcja wskazuje możliwość przyjścia do dowolnego komisariatu przez całą dobę, siedem dni w tygodniu. Zabierz dokument tożsamości; instrukcja wymienia m.in. paszport i NIE. NIE to hiszpański numer identyfikacyjny cudzoziemca — nie należy mylić go z hiszpańskim dowodem osobistym DNI.

Część zawiadomień można rozpocząć w internecie, w Oficina Virtual de Denuncias (OVD) — wirtualnym biurze zgłoszeń policji. Zgłoszenie rozpoczęte online trzeba jednak podpisać osobiście na komisariacie w ciągu 72 godzin. Lista spraw, które można zacząć w OVD, jest ograniczona (np. utrata lub kradzież dokumentów i przedmiotów, kradzież pojazdu) i nie wymienia wprost oszustw bankowych — przy phishingu przygotuj się na złożenie denuncia osobiście.

W sprawie oszustwa internetowego policja wymaga zaświadczenia bankowego albo innego dokumentu wykazującego nieuczciwe obciążenia. Dołącz dowody i chronologię. Jeśli zgłosisz sprawę, zanim uzyskasz ten dokument, policja może ponownie wezwać do jego dostarczenia. Brak dokumentu w pierwszej chwili nie oznacza, że powiadomienie banku ma czekać.

Przeczytaj opis zdarzenia przed podpisaniem. Poproś o kopię lub oznaczenie przyjętego zawiadomienia i zachowaj je razem z dowodami. Sprawdź, czy zgłoszenie obejmuje wszystkie znane ci operacje. Kopię przekaż do właściwej sprawy bankowej. Sam numer zgłoszenia nie oznacza, że bank uznał odpowiedzialność lub odzyskano pieniądze.

Denuncia uruchamia drogę dotyczącą przestępstwa. Nie jest decyzją nakazującą zwrot przez bank. Policyjne akta z nieustalonym sprawcą mogą pozostać do dyspozycji prokuratury lub sądu w jednostce policji, z wyjątkami wskazanymi w jej instrukcji; nie zakładaj automatycznie, że każde zawiadomienie oznacza już sprawę sądową przeciwko sprawcy.

4. Złóż pisemną reklamację do właściwego SAC

Oprócz pilnego powiadomienia banku potrzebna może być formalna reklamacja. Skieruj ją do Servicio de Atención al Cliente (SAC), czyli bankowego działu rozpatrującego reklamacje, albo do właściwego defensor del cliente, czyli rzecznika klienta, jeśli bank przewiduje ten kanał. Dane i sposób wniesienia sprawdź w oficjalnych informacjach swojego banku. Nie istnieje jeden wspólny formularz dla wszystkich banków.

W piśmie wskaż rachunek i konkretne operacje, opisz przebieg zdarzeń, datę pierwszego powiadomienia oraz żądanie. Jeśli zaprzeczasz udzieleniu zgody, napisz to jasno i zgodnie z faktami. Zażądaj rozpatrzenia każdej wymienionej operacji, odpowiedniego zwrotu lub korekty oraz wyjaśnienia podstaw ewentualnej odmowy. Dołącz kopie dokumentów, w tym denuncia, którą już otrzymano, i zachowaj dowód wniesienia reklamacji.

Zgłoszenie, zwrot i odpowiedź SAC mają różne terminy

Zasady poniżej wynikają z Real Decreto-ley 19/2018, czyli hiszpańskich przepisów o usługach płatniczych:

• Zgłoszenie nieautoryzowanej lub błędnie wykonanej operacji: bez nieuzasadnionej zwłoki po jej stwierdzeniu, nie później niż 13 miesięcy od obciążenia. Art. 43 przewiduje wyjątek, gdy dostawca nie przekazał ani nie udostępnił wymaganych informacji o operacji. Nie traktuj 13 miesięcy jako zalecanego czasu oczekiwania.
• Zwrot nieautoryzowanej operacji: zgodnie z art. 45 niezwłocznie, najpóźniej do końca następnego dnia roboczego po jej stwierdzeniu lub powiadomieniu o niej. Wyjątek dotyczy uzasadnionych podejrzeń oszustwa, o których dostawca informuje pisemnie Banco de España. Przepis przewiduje przywrócenie stanu rachunku oraz datę waluty zwrotu nie późniejszą niż data obciążenia.
• Odpowiedź na reklamację płatniczą: zasadniczo do 15 dni roboczych od jej otrzymania, z odniesieniem się do wszystkich kwestii. W wyjątkowej sytuacji, z przyczyn niezależnych od dostawcy, powinien on przesłać odpowiedź tymczasową z wyjaśnieniem opóźnienia i terminem odpowiedzi ostatecznej. Ta ostatnia nie może przekroczyć miesiąca.

Terminu zwrotu nie należy utożsamiać z terminem rozpatrywania reklamacji. Portal Banco de España wskazuje osobno miesiąc dla innych reklamacji konsumenckich i dwa miesiące dla innych reklamacji osób niebędących konsumentami. Ogólne „bank ma miesiąc” pomija zasadniczy termin dla usług płatniczych.

Czy zawsze tracisz najwyżej 50 euro?

Nie. Art. 46 wiąże możliwość obciążenia klienta kwotą do 50 euro z określonymi nieautoryzowanymi operacjami wykonanymi przy użyciu utraconego, skradzionego lub przywłaszczonego instrumentu płatniczego. Przewiduje przy tym wyjątki, m.in. gdy utraty nie można było wykryć przed płatnością — poza oszustwem klienta — albo odpowiada za nią pracownik lub podmiot działający dla dostawcy. Nie jest to stały „udział własny” w każdym phishingu.

Oszustwo klienta lub umyślne albo rażąco niedbałe naruszenie obowiązków może oznaczać poniesienie wszystkich strat; ciężar dowodu oszustwa lub rażącego niedbalstwa spoczywa na dostawcy. Odrębna reguła dotyczy zdalnego użycia jedynie danych wydrukowanych na instrumencie: przy terminowym zgłoszeniu oraz braku oszustwa i rażącego niedbalstwa klient może być zwolniony z odpowiedzialności na warunkach art. 46.

Jeżeli dostawca nie wymaga silnego uwierzytelnienia klienta, art. 46 przewiduje odpowiedzialność klienta za możliwe skutki ekonomiczne tylko przy jego oszustwie. Przy użyciu utraconego lub skradzionego instrumentu już po powiadomieniu oraz przy braku odpowiednich środków zgłoszenia również obowiązują odrębne reguły ochrony, z wyjątkiem oszustwa klienta. Nie sprowadzaj oceny wszystkich tych okoliczności do samego podania kodu.

5. Odbierz odpowiedź banku i sprawdź rzeczywisty zwrot

Po otrzymaniu pisma sprawdź, czy bank odpowiedział na wszystkie operacje oraz jakie kwoty rzeczywiście zaksięgowano. Potwierdzenie przyjęcia reklamacji, zapowiedź zwrotu i zwrot widoczny na rachunku to trzy różne rzeczy. Porównaj datę waluty, kwotę i oznaczenie każdej pozycji z wyciągiem i swoim żądaniem.

Jeśli odmowa ogranicza się do stwierdzenia „użyto prawidłowego kodu”, poproś o konkretne uzasadnienie i dokumentację. Art. 44 nakłada na dostawcę obowiązek wykazania uwierzytelnienia, prawidłowego zarejestrowania i zaksięgowania oraz braku usterki technicznej lub innej wady usługi. Przewiduje również udostępnienie klientowi na żądanie dokumentacji i zapisów służących wykazaniu obowiązków z tego tytułu; zasadniczy okres ich przechowywania wynosi co najmniej sześć lat.

Gdy bank nie przyjmuje reklamacji, odmawia w całości lub częściowo albo nie odpowiada w terminie, sprawdź możliwość przejścia do Banco de España. Zawiadomienie policji nie zastępuje dowodu wcześniejszej reklamacji do SAC.

6. Przygotuj i skutecznie złóż sprawę do Banco de España

Banco de España (BDE), hiszpański bank centralny, rozpatruje reklamacje dotyczące nadzorowanych przez niego instytucji w zakresie przejrzystości, ochrony klienta i dobrych praktyk bankowych. Najpierw trzeba przejść właściwy etap reklamacji w banku. BDE nie rozpatruje w tej procedurze wszystkich sporów: poza jego właściwością są m.in. sprawy dotyczące papierów wartościowych, ubezpieczeń lub ochrony danych oraz kwestie rozstrzygane wyłącznie przez sąd.

Dla reklamacji konsumenckiej BDE wskazuje rok od wniesienia reklamacji w banku. Nie przyjmuje również spraw, gdy minęło ponad pięć lat od zdarzeń bez wcześniejszej reklamacji do instytucji. To zasady dopuszczalności tej drogi, a nie zamiennik terminu zgłoszenia operacji ani terminów dochodzenia roszczeń przed sądem.

W publicznej instrukcji procedury P104 sprawdź komplet dokumentów. Przygotuj dane identyfikacyjne, adres do powiadomień, DNI/NIF lub NIE stosownie do sytuacji, nazwę banku i wskazanie oddziału, opis konkretnych faktów, dowód wcześniejszego SAC i odpowiedź banku, jeśli ją otrzymano. Dołącz dokumenty potwierdzające zarzuty, np. wyciągi i dokumentację umowną. W piśmie papierowym dopilnuj miejsca, daty i podpisu. Przedstawiciel musi wykazać umocowanie. Sprawy przeciw różnym bankom należy wnosić na osobnych formularzach.

Elektronicznie albo na papierze

Elektroniczną reklamację składa się przez przycisk Iniciar tramitación w procedurze P104. Wymagany jest akceptowany certyfikat cyfrowy lub identyfikacja przez Cl@ve, hiszpański system elektronicznej identyfikacji. Poprawnie przetworzone zgłoszenie w Oficina Virtual de Reclamaciones (OVR), czyli wirtualnym biurze reklamacji, trafia automatycznie do rejestru elektronicznego. Zachowaj otrzymany dowód rejestracji. Samo przygotowanie pliku nie jest skutecznym złożeniem, a zwykły e-mail nie jest prawidłowym kanałem wniesienia reklamacji.

Wariant papierowy można złożyć w rejestrze BDE w Madrycie, w jego oddziale albo wysłać pocztą: Banco de España, Departamento de Conducta de Entidades, c/ Alcalá 48, 28014 Madrid. P104 wskazuje formularze reklamacji PSR-005 do wypełnienia na komputerze i wydruku oraz PSR-008 do wydrukowania i ręcznego wypełnienia. Zachowaj kopię pisma i dowód jego przekazania.

To procedura dla całej Hiszpanii; adres w Madrycie jest adresem operatora, a nie ograniczeniem do mieszkańców miasta lub wspólnoty Madrytu. Nie wybieraj formularza do samej konsultacji, jeśli chcesz wnieść reklamację dotyczącą konkretnej szkody.

7. Odbieraj pisma i przeczytaj końcowy raport

BDE wskazuje zawiadomienie zainteresowanego i banku o rozpoczęciu akt w ciągu 10 dni roboczych od wniesienia reklamacji. Bank otrzymuje 15 dni roboczych na przedstawienie stanowiska; skarżący ma następnie 15 dni roboczych na odniesienie się do wyjaśnień banku. Odbieraj korespondencję, sprawdzaj terminy w swojej sprawie i odpowiadaj na konkretne braki lub pytania.

Przez P104 można sprawdzić dokumentację i powiadomienia po elektronicznym zalogowaniu, a także przekazać dodatkowe dokumenty. Procedura przewiduje również dostarczenie informacji dodatkowej osobiście lub pocztą; dla tego celu wskazuje formularz PSR-006. Dodając materiał, powiąż go z oznaczeniem istniejących akt.

Dla konsumenta termin raportu wynosi zasadniczo 90 dni od skompletowania akt. Dla skarżącego niebędącego konsumentem P104 wskazuje cztery miesiące od skompletowania przez niego akt. Nie licz tych okresów automatycznie od dnia przygotowania formularza.

Raport BDE nie jest wiążący ani dla banku, ani dla klienta. Po jego wydaniu ta procedura się kończy i nie przysługuje odwołanie od raportu. Raport może poprzeć klienta lub bank. Nawet korzystny wynik nie jest nakazem wypłaty i nie zastępuje sprawdzenia, czy bank rzeczywiście zwrócił środki.

Jeżeli spór trwa, możliwa jest ocena dalszej drogi cywilnej. Zachowaj reklamację, dokumenty operacji, odpowiedź banku i raport. Przed decyzją o pozwie omów z prawnikiem właściwy dla konkretnej sprawy tryb, terminy i koszty. Nie zakładaj, że opisana w prasie wygrana innego klienta rozstrzyga twoją sprawę.

8. Wskaż konkretny błąd lub pominiętą operację

Przykład: zakwestionowano dwie operacje po fałszywym SMS-ie, lecz bank odniósł się tylko do jednej albo zwrócił niepełną kwotę. To sytuacja przykładowa, a nie odrębna nazwana procedura.

Porównaj pierwotną reklamację, odpowiedź i wyciąg. W piśmie do banku wymień identyfikatory obu operacji, wskaż dokładną różnicę i zażądaj odpowiedzi na pominiętą część oraz odpowiedniej korekty rozliczenia. Dołącz dokument, który pokazuje błąd, i zachowaj ślad przekazania. Nie nazywaj sporu o odpowiedzialność banku zwykłą literówką w danych.

Jeżeli sprawa BDE nadal trwa, przekaż właściwe wyjaśnienie lub dokumentację dodatkową do tych samych akt, zgodnie z etapem i terminem wskazanym w otrzymanym piśmie. Jeśli raport już wydano, nie składaj fikcyjnego „odwołania od BDE”. Odróżnij żądanie wyjaśnienia lub korekty do banku od ewentualnej dalszej drogi sądowej.

9. Sprawdź te same dane po otrzymanej poprawie

Po nowej odpowiedzi albo księgowaniu wróć do tego samego zestawienia operacji. Dla każdej sprawdź: kwotę pierwotnego obciążenia, kwotę faktycznego zwrotu, datę waluty i odpowiedź na żądanie. Dopiero na tej podstawie oceń, co rozwiązano.

Jeżeli jedna operacja pozostaje bez zwrotu, zapisz jej konkretną kwotę i aktualny powód odmowy. Gdy brak odpowiedzi, wskaż, na którym etapie oczekujesz pisma i jaki termin dotyczy tej czynności. Otrzymany numer denuncia, rejestracja w OVR i korzystny raport to dowody kolejnych działań; żaden z nich sam nie dowodzi odzyskania salda.

Poradnik opiera się na stronach BOE, Banco de España, Policía Nacional, Genbeta i Ara.