Wygrał z bankiem: sąd orzekł, że kredyty nie istnieją. Bank wrócił po te same 93 tysiące

Telefon zadzwonił 23 marca 2021 roku. Mężczyzna po drugiej stronie przedstawił się jako pracownik firmy inwestycyjnej i miał dobrą wiadomość.

Dwa lata wcześniej Wiktor Borys wpłacił na platformę handlującą kryptowalutami 250 dolarów. Przelew poszedł na konto zarejestrowane w Estonii i tam sprawa umarła, przez kolejne dwa lata nikt się nie odezwał, żadnych wpływów nie było.

Teraz okazało się, że te 250 dolarów urosło do 4 000 dolarów. Wystarczy je odebrać.

Żeby wypłacić pieniądze, rozmówca poprosił Wiktora o zalogowanie się na konto bankowe. Część miała pójść bezpośrednio na rachunek, część na kartę debetową przypisaną do konta. A żeby przyspieszyć transakcję, trzeba zainstalować małą aplikację. AnyDesk, program do zdalnego dostępu do pulpitu.

Wiktor zainstalował ją na komputerze i na smartfonie.

Okno przeglądarki z otwartą stroną banku samo się zminimalizowało. Telefon zaczął, jak to później zapisano w aktach, “nietypowo się zachowywać”.

Osiem minut, w których wszystko przepadło

Rozmówca poprosił jeszcze o numer karty płatniczej. Wiktor go podał.

W tym samym czasie na jego telefon zaczęły przychodzić SMS-y. O zaciągnięciu kredytu. O wykonaniu przelewów na rzecz osoby, której nie znał.

Zapytał. Rozmówca zapewnił, że to błąd systemu, i poprosił, żeby wstrzymał się z dzwonieniem na infolinię banku do jedenastej następnego dnia, bo infolinie są teraz zamknięte.

Wiktor zadzwonił nazajutrz o jedenastej. Usłyszał, że na koncie nie ma nic.

W jego imieniu zawarto trzy umowy kredytu konsumenckiego na łączną kwotę 93 000 zł. Pieniądze trafiły na jego rachunek i niemal natychmiast zostały przelane na konta innej osoby, zarejestrowane w Polsce i w Estonii. Razem z nimi zniknęły jego własne oszczędności, 26 300 zł.

Zawiadomił policję. Prokuratura wszczęła dochodzenie o czyn z art. 287 § 1 k.k. w związku z art. 286 § 1 k.k., oszustwo komputerowe w zbiegu z oszustwem klasycznym. 9 kwietnia 2021 roku prokurator zablokował na rachunkach odbiorcy przelewów 86 000 zł i 18 000 zł.

Złożył też reklamację w banku. Bank odmówił, odpowiadając, że umowy kredytu zostały prawidłowo zawarte i zautoryzowane zgodnie z regulaminem, podobnie jak transakcje, a pełną odpowiedzialność ponosi właściciel rachunku.

Pierwsza sprawa: wygrana

Wiktor poszedł do sądu i wygrał.

Wyrokiem z 5 kwietnia 2022 roku Sąd Okręgowy w Olsztynie w sprawie I C 607/21 ustalił, że umowy kredytu konsumenckiego nie istnieją. 31 maja 2023 roku Sąd Apelacyjny w Białymstoku utrzymał to orzeczenie w mocy.

Prawnie kredytów nie było. Nie ma zobowiązania, nie ma harmonogramu spłat, nie ma odsetek.

Wydawałoby się, że sprawa zamknięta.

Druga sprawa: te same pieniądze, inna podstawa

Bank złożył nowy pozew, tym razem nie z umowy, tylko z bezpodstawnego wzbogacenia.

Logika była prosta i, jak się okazało, skuteczna. Skoro umów nie ma, to bank przelał 93 000 zł bez podstawy prawnej. A świadczenie spełnione bez podstawy prawnej trzeba zwrócić.

Art. 410 § 2 k.c. definiuje świadczenie nienależne między innymi jako takie, gdzie czynność prawna zobowiązująca do świadczenia była nieważna i nie stała się ważna po spełnieniu świadczenia. Nienależne świadczenie to szczególna postać bezpodstawnego wzbogacenia z art. 405 k.c., kto bez podstawy prawnej uzyskał korzyść majątkową kosztem innej osoby, musi ją zwrócić.

Wiktor bronił się tym, co wydaje się oczywiste każdemu, kto zna tę historię: nigdy tych pieniędzy nie miał. Nie zawierał umów, nie dysponował kwotą, została wyprowadzona w tym samym momencie, w którym wpłynęła. A poza tym stracił jeszcze własne oszczędności.

To jest zarzut z art. 409 k.c., obowiązek wydania korzyści wygasa, jeżeli ten, kto ją uzyskał, zużył ją lub utracił w taki sposób, że nie jest już wzbogacony, chyba że wyzbywając się jej powinien był liczyć się z obowiązkiem zwrotu.

Sąd Rejonowy w Giżycku odrzucił ten zarzut w całości.

Dlaczego “nie miałem tych pieniędzy” nie zadziałało

Uzasadnienie opiera się na jednym punkcie w czasie.

Sąd stwierdził, że dla powstania roszczenia o zwrot nienależnego świadczenia decydujące znaczenie ma moment przekazania środków do majątku pozwanego. Z chwilą zaksięgowania 93 000 zł na osobistym rachunku Wiktora nastąpiło zwiększenie jego stanu majątkowego, i to właśnie wtedy stał się jedynym prawnym dysponentem tych pieniędzy.

To, co stało się później, jest już inną historią. Sąd napisał wprost: dyspozycje przelewów podjęli faktycznie cyberprzestępcy, a nie sam pozwany, ale to pozwany udostępnił im wszelkie dane umożliwiające dokonanie tych czynności.

I dalej, z perspektywy banku: określenie, czy pieniądze przelał sam posiadacz rachunku, czy osoba trzecia, której udostępnił dostęp, pełnomocnik, ktoś bliski czy cyberprzestępca, nie ma większego znaczenia. Istotne jest to, że przelew nastąpił i że nie był skutkiem awarii systemu ani przyczyn leżących po stronie banku.

Sąd nazwał zachowanie pozwanego po imieniu: udostępnił kody dostępowe i możliwość swobodnego operowania rachunkiem, “czy to w sposób świadomy, czy to wykazując się dość rozbudowaną dozą lekkomyślności, żeby nie rzec całkowitym brakiem rozwagi”. Przy takim stanie rzeczy trudno uznać przekazanie pieniędzy za wyzbycie się ich w sposób uprawniający do zaniechania zwrotu.

Doszedł jeszcze argument o zablokowanych środkach. Skoro prokurator zabezpieczył na rachunkach odbiorcy 86 000 zł i 18 000 zł, kwoty te mogą w przyszłości wrócić do pozwanego, a to oznacza, że nie jest lub nie będzie pozbawiony wzbogacenia w rozumieniu art. 409 k.c.

Czego banki nie widzą

Druga linia obrony dotyczyła systemów bezpieczeństwa. Wiktor argumentował, że bank powinien był wychwycić i zablokować to, co się działo: nagłe zaciągnięcie trzech kredytów i natychmiastowy transfer całej kwoty na obce konto.

Tu rozstrzygnęła opinia biegłego informatyka, ostatecznie zaaprobowana przez obie strony, a sąd nie dopatrzył się w niej uchybień.

Ustalenia były jednoznaczne. Systemy bezpieczeństwa, którymi posługują się banki, dopuszczają zawieranie umów nawet wtedy, gdy na urządzeniu użytkownika działa aplikacja do zdalnej obsługi pulpitu. Banki nie wysyłają powiadomień o działaniu takiej aplikacji, nie mogą generować wiadomości push na ten temat ani zablokować takiego dostępu. System bankowy nie ma technicznych możliwości wykrycia działań podejmowanych przez AnyDesk czy podobne narzędzia.

Z perspektywy banku, jeśli nie doszło do przełamania zabezpieczeń, nie da się sprawdzić, kto wykonuje operacje na rachunku. Prawidłowe logowanie loginem i hasłem plus poprawna autoryzacja kodem SMS wysłanym na telefon klienta to dla systemu bezpieczeństwa operacje niepodejrzane.

W dniu zdarzenia bank miał odpowiednie narzędzia monitorowania. Awarii nie było.

Sąd ustalił też coś, co przesądziło o ocenie zachowania pozwanego: bank wysyłał mu drogą elektroniczną wiadomości ostrzegające przed phishingiem, dokładnie w tym schemacie, którego padł ofiarą. Oferta wypłaty zainwestowanych środków, namówienie na instalację AnyDesk, przejęcie ekranu. Podobne kampanie informacyjne prowadzi wiele innych banków, a także firmy telekomunikacyjne i pocztowe. Zawierając umowę rachunku, Wiktor zaakceptował regulamin, w tym pełną odpowiedzialność klienta za udostępnienie danych osobom nieuprawnionym.

Rachunek końcowy

Sąd zasądził 92 976,01 zł z odsetkami ustawowymi za opóźnienie od 16 stycznia 2024 roku.

Do tego 13 066 zł kosztów procesu: 5 400 zł wynagrodzenia pełnomocnika banku, 17 zł opłaty skarbowej od pełnomocnictwa, 4 649 zł opłaty sądowej od pozwu i 3 000 zł wykorzystanej zaliczki. Plus 1 110,10 zł wydatków wyłożonych tymczasowo ze środków budżetowych, ściągniętych na rzecz Skarbu Państwa.

Bilans dla Wiktora Borysa po pięciu latach i dwóch procesach: 93 tysiące do zwrotu, 26 300 zł własnych oszczędności przepadłych przy okazji, ponad 14 tysięcy kosztów, i nadzieja, że część z zablokowanych 104 tysięcy wróci kiedyś z postępowania karnego.

Co z tej historii wynika

Ustalenie, że umowa nie istnieje, nie zamyka sprawy pieniędzy. To najważniejsza lekcja tej historii. Wygranie procesu o nieistnienie kredytu likwiduje zobowiązanie z umowy, ale otwiera drogę do roszczenia z bezpodstawnego wzbogacenia. Bank przelał pieniądze bez podstawy prawnej i właśnie dlatego może żądać ich zwrotu. Kto planuje taki proces, powinien wiedzieć, że drugi pozew jest bardzo prawdopodobny.

Wzbogacenie powstaje w momencie zaksięgowania, nie w momencie wydania. Sąd nie kwestionował, że przelewów dokonali oszuści i że pozwany nie skorzystał z ani jednej złotówki. Liczył się ułamek sekundy, w którym pieniądze były na jego rachunku i stał się ich prawnym dysponentem. Wszystko, co działo się potem, sąd uznał za skutek jego decyzji o udostępnieniu konta.

Art. 409 k.c. nie chroni tego, kto sam otworzył drzwi. Przepis zwalnia z obowiązku zwrotu, jeśli korzyść zużyto lub utracono nie licząc się z obowiązkiem zwrotu. Ale utrata musi być czymś, co się przydarzyło, nie skutkiem własnej nieostrożności. Instalacja programu do zdalnego pulpitu na prośbę nieznajomego z telefonu została zakwalifikowana jako brak rozwagi, nie jako niezawiniona strata.

Zablokowanie pieniędzy u sprawcy działa przeciwko ofierze w procesie cywilnym. Skoro 104 tysiące leżą zablokowane na rachunkach odbiorcy przelewów i mogą kiedyś wrócić, sąd uznał, że pozwany nie jest trwale pozbawiony wzbogacenia. Sukces prokuratury osłabił jego pozycję w sporze z bankiem.

Poprawna autoryzacja SMS-em jest dla banku dowodem, że to ty. Biegły potwierdził, że system nie widzi aplikacji do zdalnego pulpitu, nie może jej zablokować ani nawet o niej ostrzec. Logowanie i kod SMS wystarczają, żeby operacja przestała być podejrzana. To znaczy, że jedyną realną barierą jest człowiek przed ekranem, i że nikt, kto dzwoni z ofertą wypłaty zysku, nie ma prawa prosić o instalację czegokolwiek.