Bank nie chce zwrócić pieniędzy po phishingu? Wyrok TSUE

15 października 2026 r. Trybunał Sprawiedliwości UE wydał wyrok dotyczący klientki polskiego banku, która po kliknięciu w link od fałszywego kupującego straciła pieniądze z rachunku. Bank odmówił zwrotu, zarzucając jej rażące zaniedbanie. TSUE uznał, że taki zarzut sam w sobie nie pozwala wstrzymać bezzwłocznego zwrotu nieautoryzowanej transakcji. Jeśli spotkała Cię podobna sytuacja, niezwłocznie zgłoś bankowi konkretny przelew i zabezpiecz konto.

Jak fałszywy kupujący doprowadził do przelewu

Według komunikatu TSUE z 15 października osoba podszywająca się pod kupującego przesłała sprzedającej link do rzekomego potwierdzenia sprzedaży na platformie internetowej. Po jego otwarciu kobieta trafiła na stronę przypominającą witrynę banku i wpisała dane logowania. Osoba trzecia wykorzystała je do przelewu na swój rachunek kwoty odpowiadającej około 700 euro.

Przykład poglądowy — nie cytat z wiadomości w sprawie C-70/25:

„Chcę kupić Twój przedmiot. Otwórz link, żeby potwierdzić sprzedaż i odebrać pieniądze”.

W tym przypadku zagrożenie zdradzało połączenie trzech elementów: linku przysłanego przez rzekomego kupującego, przekierowania do podrobionej strony banku i żądania danych logowania w trakcie potwierdzania sprzedaży.

To phishing, czyli wyłudzanie danych przez podszywanie się pod zaufaną usługę. Takie imitacje ekranów opisuje też PHISHLY w materiale o fałszywych stronach logowania do banków.

Co dokładnie orzekł TSUE o zwrocie pieniędzy

Klientka zgłosiła nieautoryzowany przelew bankowi następnego dnia. Bank odmówił zwrotu, uznając, że nie chroniła danych uwierzytelniających i dopuściła się rażącego zaniedbania. Spór trafił przed Sąd Rejonowy w Koszalinie, który skierował pytanie do TSUE w sprawie C-70/25.

Trybunał wyjaśnił, że dostawca usług płatniczych ma co do zasady zwrócić kwotę nieautoryzowanej transakcji bezzwłocznie, najpóźniej do końca następnego dnia roboczego po uzyskaniu informacji o niej. Sam zarzut rażącego zaniedbania nie wystarcza, by odmówić tego zwrotu. Wyjątek dotyczy uzasadnionego podejrzenia oszustwa popełnionego przez klienta, którego podstawy bank pisemnie przekazuje właściwemu organowi.

Ważne rozróżnienie: zwrot na tym etapie nie przesądza o ostatecznej odpowiedzialności. Bank może później dochodzić pokrycia straty, ale musi wykazać umyślne naruszenie obowiązków lub rażące zaniedbanie klienta. Podobny problem oceny działań osoby zmanipulowanej pojawia się w analizie Rzecznika Finansowego dotyczącej kodów SMS i zgody na operację.

Co zrobić po linku od fałszywego kupującego

Dostałeś podejrzany link: zgłoś podejrzaną stronę do CERT Polska przez incydent.cert.pl.

Wpisałeś dane bankowe: skontaktuj się niezwłocznie z bankiem przez numer podany na karcie lub oficjalnej stronie banku. Zmień hasło do bankowości i włącz weryfikację dwuetapową.

Z rachunku zniknęły pieniądze: zgłoś bankowi nieautoryzowaną transakcję. Stratę zgłoś również Policji.

Czego nie robić po odmowie banku

Nie zakładaj, że samo stwierdzenie banku o rażącym niedbalstwie ostatecznie zamyka sprawę. Wyrok C-70/25 rozdziela obowiązek wstępnego zwrotu od późniejszego ustalenia odpowiedzialności, a określenie „nieautoryzowana transakcja” wymaga, by rzeczywiście nie wyrażono zgody na daną operację.