Clienții care au divulgat date bancare după un SMS suspect trebuie să contacteze imediat banca; simpla deschidere a unei pagini, fără completarea datelor, cere alți pași. Recuperarea banilor depinde inclusiv de acordul dat pentru plată, iar confirmarea unei operațiuni în urma înșelării nu aduce automat rambursarea.
Verificarea începe în aplicația deschisă separat
Alerta sau tranzacția descrisă în mesaj se verifică în aplicația bancară, pornită direct de pe telefon. Linkul primit nu se accesează, numărul indicat în mesaj nu se apelează, iar răspunsul nu trebuie să conțină informații personale ori bancare.
Pentru contactarea băncii se folosește telefonul înscris pe card sau cel de pe pagina oficială, accesată prin introducerea manuală a adresei cunoscute. O pagină falsă poate ocupa o poziție printre primele rezultate ale unei căutări, astfel că ordinea afișării nu îi confirmă autenticitatea.
Solicitarea unei verificări urgente a contului, amenințarea cu necesitatea reactivării lui, o adresă web diferită de cea oficială sau cererea unor coduri sunt semnale de fraudă. Băncile nu solicită în asemenea mesaje parola, codul personal al cardului, codul înscris pe verso ori codurile necesare autorizării.
Nici simbolul lacătului din browser nu confirmă identitatea băncii. Acesta indică protejarea conexiunii către pagina respectivă, care poate aparține și altcuiva.
Acțiunea imediată depinde de ce s-a întâmplat pe telefon
Frauda prin mesaje, numită smishing, urmărește obținerea informațiilor cardului, a parolelor sau a codurilor de confirmare. Victima este îndrumată către un site fals ori către un apel cu un complice. Măsurile diferă după etapa la care s-a ajuns:
Pagina a fost doar deschisă. Dacă nu au fost completate date, pagina se închide, fără instalarea programelor cerute acolo. Se actualizează sistemul de operare, browserul și programele de securitate.
Telefonul a descărcat sau a instalat ceva. Operațiunile bancare de pe acel aparat se suspendă până la verificarea lui. Regula se aplică și unei aplicații instalate care permite unei alte persoane să controleze dispozitivul.
Au fost transmise informații bancare sau coduri. Datele cardului, parola și codurile completate trebuie considerate compromise. Ele pot fi utilizate de atacator în aplicația autentică a băncii; transferul banilor nu trebuie să pornească din pagina falsă.
Au fost divulgate date ori confirmată o plată. Banca se contactează imediat prin numărul oficial, pentru blocarea cardului și a serviciilor bancare online. Se solicită controlul tranzacțiilor, oprirea plății dacă acest lucru mai poate fi făcut sau investigarea operațiunii. Clientul trebuie să descrie exact informațiile furnizate și confirmările date.
Parolele se înlocuiesc folosind un dispozitiv sigur. Alte coduri nu se transmit persoanelor care le solicită.
Contestația scrisă trebuie însoțită de dovezi
Apelul către bancă este urmat de reclamația trimisă prin canalul acesteia pentru contestații. Pentru identificarea operațiunii și descrierea incidentului sunt necesari următorii pași:
Înaintea ștergerii mesajului se fac capturi care includ conținutul complet, identitatea afișată a expeditorului și momentul primirii, cu dată și oră. Adresa linkului se consemnează fără accesarea lui.
Se păstrează corespondența electronică, documentele de confirmare a plăților, extrasul bancar și numărul atribuit sesizării de către bancă.
În contestație se identifică tranzacția, valoarea și data ei. Se descriu acțiunile făcute după mesaj și se precizează dacă este vorba despre o plată nerecunoscută sau despre una confirmată în urma înșelării. Dovezile se atașează, iar pentru reclamație se solicită înregistrarea.
Incidentul se sesizează Poliției și se raportează Directoratului Național de Securitate Cibernetică (DNSC), telefonic la 1911 sau prin pnrisc.dnsc.ro. Notificarea către DNSC poate ajuta la avertizarea altor persoane, iar un specialist poate oferi îndrumări. Ea nu ține locul plângerii către Poliție, necesară pentru deschiderea unei investigații.
Rambursarea depinde de autorizarea operațiunii
Legea nr. 209/2019, privind serviciile de plată și aplicabilă începând cu 13 decembrie 2019, leagă autorizarea unei operațiuni de consimțământul plătitorului. O tranzacție fără acord trebuie semnalată băncii imediat după descoperire. Pentru contestare, limita este de 13 luni calculate de la debitare, fără ca acest termen să justifice amânarea notificării.
În mod obișnuit, suma aferentă operațiunii neautorizate trebuie restituită imediat de furnizorul serviciului de plată, cel târziu până la sfârșitul zilei lucrătoare următoare. Există o excepție pentru suspiciunea justificată de fraudă, notificată autorității competente.
Utilizarea cardului sau a aplicației nu este, singură, dovada acordului pentru plată. Dacă invocă frauda clientului sau neglijența gravă a acestuia, furnizorul are obligația să le probeze.
În anumite situații prevăzute de lege, partea din pierderea neautorizată suportată de client este limitată la 30 de euro. Acest plafon nu se aplică automat oricărei pierderi provocate de un mesaj fals.
Ca exemplu orientativ, pentru un prejudiciu de 100 de euro, aplicarea plafonului maxim înseamnă 30 de euro suportați de client și o diferență de 70 de euro. Clientului îi poate reveni însă întreaga pierdere din exemplu dacă furnizorul demonstrează frauda acestuia sau nerespectarea obligațiilor, intenționat ori prin neglijență gravă.
În cazul respingerii contestației, se solicită motivarea scrisă și dovezile folosite de bancă. Răspunsul se păstrează împreună cu documentele incidentului, iar contestarea lui urmează procedura băncii. Reclamația bancară și sesizarea penală sunt demersuri separate.
Numele expeditorului poate fi imitat
Telefonul poate reuni mesajele după identificatorul expeditorului, astfel încât un mesaj fraudulos ajunge în același fir cu notificările autentice. Numele afișat și poziția în conversație nu certifică proveniența.
Sistemele de telecomunicații nu permit întotdeauna identificarea sigură a originii unui mesaj, explică National Cyber Security Centre. Instituția arată și că asemănarea dintre anumite caractere, precum litera „o” și cifra „0”, poate fi exploatată pentru imitarea expeditorilor.
O altă posibilitate este folosirea unei stații mobile false, care atrage telefoanele aflate în apropiere și transmite mesaje către ele. Metoda nu explică fiecare tentativă de fraudă, iar verificarea alertei la bancă nu depinde de identificarea tehnicii utilizate.
Întreruperea temporară a semnalului, modificarea neobișnuită a rețelei sau primirea unor mesaje identice de către persoane din aceeași zonă pot constitui indicii, fără să demonstreze metoda. Dezactivarea conexiunii 2G, acolo unde telefonul permite această opțiune, poate diminua riscul asociat unor stații false, dar nu blochează toate mesajele frauduloase.
