Procedury bezpieczeństwa PKO BP nie powstrzymały oszustwa na 96 tys. zł

W jednej z placówek PKO BP doszło do sytuacji, w której klientka, nigdy wcześniej niekorzystająca z pożyczek gotówkowych, zaciągnęła kredyt na 80 tys. zł, otworzyła nowe konto i wypłaciła gotówkę, a następnie opróżniła drugie konto z 16 tys. zł oszczędności. Łącznie tego samego dnia z banku wypłacono 96 tys. zł. Bank nie zauważył w tych działaniach niczego podejrzanego, a mąż klientki przez około 20 minut oczekiwał na połączenie z konsultantem, by zgłosić alarm.

Przebieg zdarzenia i działania klientki

Sprawa rozpoczęła się od wielogodzinnego vishingu, czyli manipulacji telefonicznej, podczas której oszuści podszywali się pod pracowników banku oraz przedstawicieli instytucji publicznych. Przesyłali spreparowane wiadomości, dokumenty i instrukcje, które miały uwiarygodnić ich działania. Klientka była przekonana, że wykonuje polecenia osób działających w jej interesie.

Tego dnia klientka pojawiła się w oddziale PKO BP i zgłosiła zainteresowanie pożyczką gotówkową. Pracownikowi powiedziała, że pieniądze chce przeznaczyć na zakup samochodu dla męża jako prezent z okazji rocznicy ślubu. Poprosiła także o otwarcie nowego konta, na które miały wpłynąć środki z pożyczki, tłumacząc, że nie chce, aby pieniądze trafiły na rachunek wspólny, ponieważ zakup miał pozostać niespodzianką.

Kredyt został przyznany, a klientka wypłaciła całą kwotę w gotówce. Następnie wypłaciła 16 tys. zł z drugiego rachunku oszczędnościowego. Z formalnego punktu widzenia bank opisuje sytuację jako prawidłową: klientka przyszła do placówki, podpisała dokumenty i złożyła dyspozycje, które zostały wykonane zgodnie z jej wolą.

Stanowisko banku wobec procedur bezpieczeństwa

PKO BP wskazuje, że klientka zachowywała się spokojnie i naturalnie podczas obsługi. Według banku była swobodna, uśmiechnięta i prowadziła rozmowę z pracownikiem w sposób typowy dla standardowej obsługi. Nie korzystała z telefonu podczas obsługi, a urządzenie nie było widoczne dla pracownika. Bank podkreśla, że doradcy są szkoleni w rozpoznawaniu sygnałów mogących świadczyć o próbie oszustwa, w tym zachowań niewerbalnych, co w wielu przypadkach pozwala zatrzymać podejrzane transakcje.

Bank zaznacza, że samo złożenie wniosku o pożyczkę, otwarcie rachunku czy wypłata gotówki nie przesądzają o ryzyku oszustwa, ponieważ każda z tych czynności może być legalna i normalna. PKO BP podkreśla, że wszystkie czynności zostały wykonane zgodnie z obowiązującymi procedurami i warunkami umowy.

Reakcja rodziny i kwestie nietypowości operacji

Mąż klientki podkreśla, że żona nigdy wcześniej nie korzystała z pożyczek gotówkowych ani nie zakładała innych kont. Wcześniej zaciągali jedynie kredyt na lodówkę na raty oraz kredyt hipoteczny w PKO BP. Rodzina wskazywała w reklamacjach, że sekwencja operacji była nietypowa dla klientki.

Bank jednak uznał, że nie wystąpiły okoliczności wskazujące na ryzyko oszustwa. Rodzina zwraca uwagę na fakt, że klientka zaciągnęła wysoką pożyczkę, otworzyła nowe konto, wypłaciła 80 tys. zł w gotówce, a następnie kolejne 16 tys. zł z innego rachunku, wszystko tego samego dnia, co według nich było nietypowe.

Problemy z infolinią w sytuacji alarmowej

PKO BP informuje, że zgłoszenie męża klientki zostało zarejestrowane na infolinii 10 kwietnia o godz. 18:28, natomiast ostatnia wypłata środków miała miejsce o godz. 17:58. Bank wskazuje, że informacja o możliwym oszustwie dotarła po zrealizowaniu dyspozycji wypłaty.

Mąż klientki relacjonuje, że próbę kontaktu z bankiem podjął niezwłocznie po otrzymaniu powiadomienia o wypłacie środków i około 20 minut czekał na połączenie z konsultantem. Zrzut historii połączeń potwierdza, że telefon na infolinię wykonano o godz. 18:05, czyli po wypłacie gotówki.

Stanowisko banku i kwestie proceduralne

PKO BP nie kwestionuje, że klientka padła ofiarą przestępstwa i wyraża ubolewanie z tego powodu. Jednocześnie bank podkreśla, że miał obowiązek przyjąć i zrealizować dyspozycje klientki zgodnie z umową rachunku oraz ogólnymi warunkami prowadzenia rachunków. Wszystkie czynności zostały wykonane zgodnie z obowiązującymi procedurami.

Bank wskazuje, że jego systemy każdego dnia wykrywają ponad 98 proc. prób cyberataków i zatrzymują podejrzane transakcje o wartości kilku miliardów złotych rocznie. Ponadto bank prowadzi szkolenia pracowników, działania edukacyjne oraz współpracę z policją i Centralnym Biurem Zwalczania Cyberprzestępczości.

Charakterystyka oszustwa i wyzwania dla systemów bezpieczeństwa

W opisywanym przypadku nie doszło do typowego cyberataku polegającego na przejęciu loginu, hasła czy autoryzacji mobilnej. Oszuści zaatakowali klientkę telefonicznie, a następnie przeprowadzili ją przez legalną ścieżkę bankową, podczas której klientka działała zgodnie z procedurami, podpisując dokumenty i składając dyspozycje osobiście.

Bank podkreśla, że klientka wyglądała naturalnie i nie wykazywała zachowań wskazujących na manipulację. Rodzina klientki zwraca uwagę na nietypowość sekwencji operacji, które zostały wykonane tego samego dnia.

Opisany przypadek stawia pytania o skuteczność procedur bankowych w sytuacjach, gdy klient działa pod wpływem manipulacji, ale formalnie spełnia wszystkie wymogi i podpisuje dokumenty osobiście.

Warto zauważyć, że sytuacja ta dotyczy największego banku w kraju, który dysponuje zaawansowanymi systemami i zapleczem cyberbezpieczeństwa. Rodzina klientki zwraca uwagę na trudności, jakie mogą mieć mniejsze instytucje finansowe, które nie dysponują podobnymi zasobami.

Opisany przypadek pokazuje wyzwania związane z wykrywaniem oszustw, w których przestępcy nie muszą pokonywać systemów informatycznych, lecz wykorzystują manipulację klientem, by system wykonał za nich całą pracę.