Απόφαση «σταθμός» για αποζημιώσεις θυμάτων ηλεκτρονικής απάτης με κλώνους ιστοσελίδων τραπεζών

• Τι έκρινε το δικα­στή­ριο για θύμα «spoofed bank website» από την Ρόδο

Με απόφαση του Μονο­με­λούς Πρω­το­δι­κείου Ρόδου (τακτική δια­δι­κα­σία) έγινε δεκτή η αγωγή που άσκησε ένας κάτοι­κος της Ρόδου, θύμα ηλε­κτρο­νι­κής απάτης κατά συστη­μι­κής τρά­πε­ζας.

Ο ενάγων, ο οποίος τυγ­χά­νει συντα­ξιού­χος, είναι δικαιού­χος τρα­πε­ζι­κού λογα­ρια­σμού που τηρεί­ται στην ενα­γό­μενη.

Την 28η Οκτω­βρίου 2022 και σε ώρα μη ακριβώς προσ­διο­ρί­σιμη, επι­χεί­ρησε να εισέλ­θει στην δια­δι­κτυακή ιστο­σε­λίδα της ενα­γό­με­νης προ­κει­μέ­νου να ελέγξει το υπό­λοιπο του συντα­ξιο­δο­τι­κού του λογα­ρια­σμού και να προβεί σε συναλ­λα­γές.

Προ­κει­μέ­νου να εισέλ­θει σε αυτήν, πλη­κτρο­λό­γησε τα στοι­χεία της ενα­γό­με­νης σε μηχανή ανα­ζή­τη­σης και εμφα­νί­στηκε ως πρώτη επιλογή το «Attikabanklogin».

Τα παρα­πάνω επι­βε­βαιώ­νει στην κατά­θεσή της η σύζυγος του ενά­γο­ντος και δεν αμφι­σβη­τού­νται από την ενα­γό­μενη.

Εν συνε­χεία, εισήλθε στην ιστο­σε­λίδα, η οποία δεν φαι­νό­ταν να παρου­σιά­ζει καμία διαφορά με το σύνηθες δικτυακό περι­βάλ­λον της ιστο­σε­λί­δας της ενα­γό­με­νης στο οποίο είχε εισέλ­θει τελευ­ταία φορά τον Σεπτέμ­βριο του ιδίου έτους ώστε να μην δημιουρ­γη­θεί οποια­δή­ποτε αμφι­βο­λία στον ενά­γο­ντα ότι πράγ­ματι πρό­κει­ται για την επίσημη ιστο­σε­λίδα της ενα­γό­με­νης.

Εισερ­χό­με­νος σε αυτή, πλη­κτρο­λό­γησε τα στοι­χεία εισόδου, ήτοι τον Κωδικό Πελάτη και τον Μυστικό Κωδικό Πελάτη και του ζητή­θηκε περαι­τέρω να κατα­χω­ρή­σει τον Μονα­δικό Μυστικό Κωδικό (One Time Password), προ­κει­μέ­νου να εισέλ­θει.

Τον κωδικό αυτό έλαβε την 28η Οκτω­βρίου 2022 και ώρα 10:49:04 με μήνυμα στο κινητό του.

Αφού πλη­κτρο­λό­γησε αυτόν τον κωδικό, ο οποίος πίστευε ότι απαι­τεί­ται για την ταυ­το­ποί­ηση του, εισήλθε στην ιστο­σε­λίδα, η οποία ωστόσο ακι­νη­το­ποι­ή­θηκε.

Ο ενάγων, πίστευε ότι κατα­χω­ρώ­ντας τα στοι­χεία στην παρα­πάνω ιστο­σε­λίδα εισερ­χό­ταν στο δια­δι­κτυακό περι­βάλ­λον της ενα­γό­με­νης, στην πραγ­μα­τι­κό­τητα όμως επρό­κειτο για απατηλή ιστο­σε­λίδα τρά­πε­ζας (spoofed bank website) που σκοπό είχε να υφαρ­πά­ξει προς όφελος τρίτων προ­σώ­πων τους κωδι­κούς i-bank που χρη­σι­μο­ποιούσε ο ενάγων.

Με την είσοδό του, περι­ήλ­θαν σε γνώση αυτών των προ­σώ­πων οι κωδικοί εισόδου, ενώ με την κατα­χώ­ρηση του οκτα­ψή­φιου Μονα­δι­κού Μυστι­κού Κωδικού, οι δράστες πέτυχαν την έγκριση κατα­χώ­ρη­σης έτερης συσκευής κινητού τηλε­φώ­νου, που απαι­τεί­ται για την ταυ­το­ποί­ησή του, ώστε να προβούν ευχε­ρέ­στερα στην μετα­φορά των χρη­μα­τι­κών ποσών.

Προ­έ­κυψε μεταξύ άλλων πως μάρ­τυ­ρας ενη­μέ­ρωσε το τηλε­φω­νικό κέντρο της τρά­πε­ζας, υπάλ­λη­λος της οποίας του ανέφερε ότι ο ίδιος δεν μπο­ρούσε να προβεί σε κάποια ενέρ­γεια και ότι έπρεπε να ενη­με­ρώ­σει την δίωξη ηλε­κτρο­νι­κού εγκλή­μα­τος, όπως και έπραξε.

Σημειώ­νε­ται ότι η ομοιό­τητα ανάμεσα στις δύο σελίδες ήταν μεγάλη και ο ίδιος αντι­λή­φθηκε τη διαφορά, λόγω της εργα­σίας του ως ηλε­κτρο­νι­κού μηχα­νι­κού και της ενα­σχό­λη­σής του με το δια­δί­κτυο (χρη­σι­μο­ποιούσε 7-8 φορές την εβδο­μάδα το e-banking της ενα­γό­με­νης).

Μετά την κατα­χώ­ρηση των στοι­χείων εισόδου στην ιστο­σε­λίδα, τρίτα πρόσωπα απέ­κτη­σαν πρό­σβαση στους κωδι­κούς του ενά­γο­ντος και κατόπιν της κατα­χώ­ρη­σης του οκτα­ψή­φιου κωδικού από τον τελευ­ταίο και την έγκριση νέας συσκευής πιστο­ποί­η­σης, οι άγνω­στοι δράστες προ­χώ­ρη­σαν στην μετα­φορά από τον λογα­ρια­σμό του ενά­γο­ντος του χρη­μα­τι­κού του ποσού των 37.340, εντός δέκα λεπτών από την κατα­χώ­ρηση της νέας συσκευής, ώστε στα­διακά ο λογα­ρια­σμός του ενά­γο­ντος να απο­μειω­θεί από το αρχικό υπό­λοιπο των 37.426,40 στο ποσό των 69,40 ευρώ,

Κρίθηκε ότι τα σφάλ­ματα της πλευράς του ενά­γο­ντος εξα­ντλού­νται στην δυνα­τό­τητα που παρείχε στους δράστες της απάτης να μετα­βά­λουν τα στοι­χεία εισόδου και να εισέλ­θουν στο σύστημα της ενα­γό­με­νης ως κατ’ επίφαση δικαιού­χοι του λογα­ρια­σμού για την οποία και βαρύ­νε­ται με ελαφρά αμέλεια.

Ο ενάγων, όπως κρίθηκε, απο­δει­κνύει ότι φέρει εν μέρει ελαφρά αμέλεια για τις περιου­σια­κές μετα­κι­νή­σεις που έλαβαν χώρα, ενώ η ενα­γό­μενη δεν απο­δει­κνύει το αντί­θετο, καθότι δεν επι­τυγ­χά­νει να απο­δεί­ξει ότι ο ενάγων υπέχει ευθύνη για τις τρα­πε­ζι­κές μετα­φο­ρές και έτσι έγινε δεκτή η ύπαρξη ευθύνης της κατά τις δια­τά­ξεις του ν. 4624/2018.

Τονί­ζε­ται ακόμη ότι η ενα­γό­μενη, παρότι γνω­ρί­ζει το πλήθος των απατών που δια­πράτ­το­νται με παρό­μοιο τρόπο (ήτοι αλλαγή κωδικών πρό­σβα­σης, μαζική μετα­φορά κεφα­λαίων εντός ολίγων λεπτών και σχεδόν μηδε­νι­σμό του υπο­λοί­που του λογα­ρια­σμού), αλλά και της υπο­χρέ­ω­σης επι­μέ­λειας που έχει, δεν έχει λάβει ουδεμία προ­φύ­λαξη για την απο­τροπή τέτοιων πρα­κτι­κών και καθιστά δυνατή και την μελ­λο­ντική παρό­μοια διάπραξη- τέτοιες δε προ­φυ­λά­ξεις εμφα­νί­ζο­νται ευχε­ρείς (π.χ. τηλε­φω­νική επι­κοι­νω­νία με τον δικαιούχο του λογα­ρια­σμού, χρονική καθυ­στέ­ρηση της μετα­κί­νη­σης των κεφα­λαίων) και δύνα­νται ακόμη και να απο­τε­λέ­σουν αντι­κεί­μενο προ­γραμ­μα­τι­σμού του συστή­μα­τος της τρά­πε­ζας.

Κρίθηκε πως η τράπεζα παρα­βί­ασε την υπο­χρέ­ωση προει­δο­ποί­η­σης του εντολέα της ενόψει συγκε­κρι­μέ­νου επι­κεί­με­νου κιν­δύ­νου, δεδο­μέ­νου ότι η κακό­βουλη απειλή δεν είχε εξου­δε­τε­ρω­θεί, ενώ ίδια φέρει ευθύνη δε και για τον μη έγκαιρο εντο­πι­σμό του, ενώ παρόλο που εντό­πισε την εντελώς ασυ­νή­θι­στη κίνηση που εμφά­νισε εντός δέκα λεπτών ο λογα­ρια­σμός του ενά­γο­ντος με μετα­βολή του τηλε­φω­νι­κού αριθμού με τον οποίο γίνεται η επα­λή­θευση και με πραγ­μα­το­ποί­ηση μέσω του νέου αριθμού τεσ­σά­ρων συναλ­λα­γών, μετα­φο­ρών μεγάλων χρη­μα­τι­κών ποσών σε λογα­ρια­σμούς εξω­τε­ρι­κού, θα έπρεπε του­λά­χι­στον να κινη­το­ποι­ή­σει τους μηχα­νι­σμούς ασφα­λείας της, εκείνη όχι μόνο δεν κάλεσε τον ενά­γο­νται είτε στον δηλω­θέ­ντα από αυτόν τηλε­φω­νικό αριθμό ή μέσω email όπως πράτ­τουν σε παρό­μοιες περι­πτώ­σεις άλλες τρά­πε­ζες, αλλά αντι­θέ­τως επέ­τρεψε και την πραγ­μα­το­ποί­ηση συναλ­λα­γών.

Τούτο διότι, η Τράπεζα, ανάλογα και με το μέγεθος και την φύση της επι­κεί­με­νης απειλής, υπο­χρε­ού­ται είτε να αντι­με­τω­πί­σει και εξου­δε­τε­ρώ­σει αμέσως κακό­βου­λες ενέρ­γειες τρίτων, είτε να τις εντο­πί­σει, να τις απο­μο­νώ­σει και να ειδο­ποι­ή­σει τους νόμι­μους χρήστες, προ­βαί­νο­ντας σε απε­νερ­γο­ποί­ηση των λογα­ρια­σμών, προς αποφυγή αθέ­μι­των και μη εγκε­κρι­μέ­νων συναλ­λα­γών – απάτης.

Το δικα­στή­ριο υπο­χρε­ώ­νει την ενα­γό­μενη να κατα­βά­λει στον ενά­γο­ντα το ποσό των 37.290 ευρώ, ως θετική του ζημία, νομι­μό­τοκα από την επίδοση της αγωγής, το ποσό των 1.000 ευρώ, ως απο­ζη­μί­ωση λόγω ηθικής βλάβης, νομι­μό­τοκα από την επίδοση της αγωγής και κήρυξε την απόφαση εν μέρει προ­σω­ρινά εκτε­λε­στή και δη για το ποσό των 5.000 ευρώ.

Ο ενάγων εκπρο­σω­πή­θηκε από την κ. Ευστα­θία Τσατ­τα­λιού και η τράπεζα από τον κ. Σπύρο Σαλα­μα­στράκη.