Sukčiavimas apsimetant ir sukčiavimas internete: kada jūsų bankas privalo grąžinti pinigus?

Sukčiavimas apsimetant ir sukčiavimas internetu yra nusikalstama veika pagal Nyderlandų įstatymus. Sukčius, kuris apgaule išvilioja jus iš prisijungimo duomenų arba perveda pinigus, įvykdo sukčiavimą (oplichting) pagal Nyderlandų baudžiamojo kodekso 326 straipsnį ir dažnai neteisėtą prieigą prie kompiuterinės sistemos (computervredebreuk) pagal 138ab straipsnį. Jei pinigai buvo palikti iš jūsų sąskaitos be jūsų sutikimo, jūsų bankas iš principo privalo juos grąžinti pagal Nyderlandų civilinio kodekso 7:528 straipsnį. Pagrindinė išimtis: bankas neprivalo mokėti, jei gali įrodyti, kad veikėte nesąžiningai arba labai neatsargiai. Svarbu greitis, todėl praneškite apie įvykį savo bankui ir pateikite policijos pranešimą, kai tik jį pastebėsite.

Kas pagal Nyderlandų įstatymus laikoma sukčiavimu?

Sukčiavimas apsimetant apsimeta organizacija, kuria pasitikite, kad gautų jūsų prisijungimo duomenis ar pinigus. Nyderlandų įstatymai nevartoja žodžio „sukčiavimas“, tačiau baudžia už tai slypintį elgesį.

Sukčius gali apsimesti banku, mokėjimo paslaugų teikėju, pristatymo įmone arba Nyderlandų mokesčių administratoriumi („Belastingdienst“). Tikslas – gauti prisijungimo duomenis, mokėjimo kortelės duomenis, patvirtinimo kodą arba parašą banko programėlėje. Priemonė gali būti įvairi: el. laiškas, SMS žinutė („smishing“), telefono skambutis iš asmens, apsimetančio banko sukčiavimo prevencijos skyriaus („vishing“), žinutė „WhatsApp“ ar „LinkedIn“ arba klonuota svetainė, slypinti už rėmėjų paieškos rezultato.

Gali būti taikomos kelios Nyderlandų baudžiamojo kodekso (pranc. Wetboek van Strafrecht) nuostatos vienu metu:

• Apsimetimas banku siekiant įtikinti ką nors perduoti pinigus ar duomenis yra sukčiavimas pagal 326 straipsnį.
• Prisijungimas prie paskyros naudojant tokiu būdu gautus prisijungimo duomenis yra neteisėta prieiga pagal 138ab straipsnį.
• Kito asmens identifikavimo duomenų panaudojimas žalai padaryti ar pranašumui gauti yra baudžiamas pagal 231b straipsnį.
• Dokumentų ar skaitmeninių įrašų klastojimas patenka į 225 straipsnio taikymo sritį.
• Mokėjimo kortelių ar su jomis susijusių duomenų netinkamas naudojimas patenka į 232 straipsnio taikymo sritį.
• Kai atakos metu užšifruojami failai ir reikalaujama išpirkos, taikomi 350a straipsniai (duomenų keitimas ar sunaikinimas) ir 317 straipsniai (turto prievartavimas).

Kas laikoma sukčiavimu internete?

Sukčiavimas internetu yra platesnė kategorija: bet kokia apgaulė, vykdoma internetiniu kanalu. Teisiškai daugumai formų taikoma ta pati nuostata – Baudžiamojo kodekso 326 straipsnis.

Internetinis sukčiavimas apima internetines parduotuves, kurios priima mokėjimus, bet niekada nesiunčia prekių, suklastotus nuomos skelbimus ir investicines aferas, pagrįstas kriptovaliuta. Tai taip pat apima sąskaitų faktūrų sukčiavimą, kai tiekėjo banko duomenys tyliai pakeičiami, ir generalinio direktoriaus sukčiavimą, kai finansų darbuotojas gauna skubų mokėjimo nurodymą, kuris atrodo esąs gautas iš direktoriaus. Esmė visada ta pati: apgaulingas veiksmas, kuriuo kažkas priverčiamas atiduoti pinigus, prekes ar duomenis.

Praktinis skirtumas tarp sukčiavimo apsimetant ir platesnės kategorijos yra tas, kur atsiranda nuostoliai. Sukčiavimo apsimetant atveju pinigai paprastai išeina iš mokėjimo sąskaitos be jūsų sutikimo. Tai įjungia mokėjimo paslaugų taisykles, numatytas Civilinio kodekso 7 knygoje. Internetinės parduotuvės ar investicinės sukčiavimo atveju pinigus pervedate patys. Tuomet išieškojimas tampa civiline byla prieš sukčių, o kartais ir prieš platformą ar banką, kuris gavo lėšas.

Kaip atpažinti sukčiavimo laišką?

Atkreipkite dėmesį į tai, ko jūsų prašoma žinutėje, o ne į jos rašybą. Šiuolaikinės sukčiavimo žinutės yra gerai parašytos ir dažnai suasmenintos, todėl senų patarimų dėl rašybos klaidų nebepakanka.

Trys signalai išlieka patikimi:

• Ši žinutė sukuria laiko spaudimą. Ji praneša, kad paskyra buvo užblokuota arba mokėjimas bus atšauktas, jei nesiimsite veiksmų dabar.
• Tai nukreipia jus nuo kanalų, kuriais įprastai naudojatės. Jūsų prašoma spustelėti nuorodą arba paskambinti numeriu, o ne atidaryti savo banko programėlę.
• Jis prašo to, ko bankas niekada neprašo: patvirtinimo kodo, parašo jūsų banko programėlėje už operaciją, kurios nepradėjote, arba leidimo įdiegti nuotolinės prieigos programinę įrangą jūsų įrenginyje.

Ar galite atgauti pinigus iš banko?

Paprastai taip. Jei nesutikote su mokėjimu, bankas iš principo privalo jį nedelsdamas grąžinti, nebent veikėte nesąžiningai arba dėl didelio neatsargumo.

Mokėjimo operacija, kuriai mokėtojas nedavė sutikimo, yra neautorizuota operacija, kaip apibrėžta Nyderlandų civilinio kodekso 7:522 straipsnio 2 dalyje. 7:528 straipsnio 1 dalis įpareigoja mokėjimo paslaugų teikėją nedelsiant grąžinti sumą ir atkurti sąskaitą į tokią būseną, kokia ji būtų buvusi. Kitaip tariant, pradinė sąlyga yra ta, kad bankas prisiima nuostolius.

Išimtis numatyta 7:529 straipsnio 1 dalyje. Bankas neprivalo grąžinti pinigų, jei sąskaitos turėtojas veikė nesąžiningai arba tyčia ar dėl didelio neatsargumo neįvykdė 7:524 straipsnyje nurodytų pareigų. Šios pareigos reikalauja, kad mokėjimo priemonę naudotumėte laikydamiesi taikomų sąlygų ir saugumo priemonių. Didelis neatsargumas yra griežta atsakomybė. Ji vertinama atsižvelgiant į visas aplinkybes, o ne vien į nuostolių faktą. Įstatymas numato papildomą apsaugą: tais atvejais, kai bankas nereikalavo griežto kliento autentifikavimo, jūs iš principo nepatiriate jokių nuostolių, nebent veikėte nesąžiningai.

Ką daryti, jei bankas atsisako mokėti?

Kaip vartotojas, ginčą galite pateikti Finansinių paslaugų skundų institutui (Klachteninstituut Financiële Dienstverlening, Kifid) arba civiliniam teismui. Kifid jūsų skundą nagrinės tik po to, kai atliksite banko vidaus skundų nagrinėjimo procedūrą.

Verslo sąskaitų turėtojai yra kitokioje padėtyje. Jiems netaikoma dauguma vartotojų apsaugos priemonių ir jie daugiausia priklauso nuo savo sutarties su banku bei bendrųjų atsakomybės taisyklių. Dėl to įmonės vidinė mokėjimų kontrolė dar svarbesnė.

Ar galite reikalauti žalos atlyginimo iš sukčiaus ar aplaidžios organizacijos?

Taip. Jei kaltininkas yra nustatytas, galite atgauti nuostolius kaip neteisėtą veiksmą (pranc. onrechtmatige daad) pagal Civilinio kodekso 6:162 straipsnį. Ieškinys organizacijai, kurios prastas saugumas leido įvykdyti sukčiavimą, nagrinėjamas pagal tą patį straipsnį.

Prieš nusikaltėlį tai dažniausiai nutinka baudžiamosios bylos nagrinėjimo metu. Pagal Nyderlandų baudžiamojo proceso kodekso 51f straipsnį galite prisijungti prie baudžiamojo proceso kaip nukentėjusioji šalis (pranc. benadeelde partij) ir prašyti baudžiamojo teismo priteisti kompensaciją. Paprastai tai pigiau ir greičiau nei atskiras civilinis ieškinys. Teismas nagrinės tik tą ieškinį, kuris nesukelia neproporcingos naštos baudžiamajam procesui. Todėl jūsų nuostoliai turi būti dokumentuoti ir lengvai apskaičiuojami.

Antras kelias – ieškinys organizacijai, kurios saugumas buvo nepakankamas. Pagalvokite apie darbdavį, kurio pašto dėžutė buvo pažeista, platformą, kuri leido pardavėjui veikti be jokio patvirtinimo, arba tvarkytoją, kuris nutekino klientų duomenų bazę. Taikomas standartas yra tai, ką turėjo daryti rūpestinga organizacija, atsižvelgiant į pažangiausias technologijas ir duomenų jautrumą. Kibernetinių atakų aukų teisės nustato, kaip tokiais atvejais sąveikauja pranešimo pareigos, kompensacija ir draudimas. Įrodymas paprastai yra sunkiausia dalis; mūsų straipsnyje apie tai, kaip įrodyti skaitmeninę apgaulę, nagrinėjami įrodymai, kurie turi svorio.

Ko BDAR reikalauja iš organizacijų, nukentėjusių nuo sukčiavimo apsimetant?

Sėkminga sukčiavimo ataka prieš įmonę beveik visada sukelia asmens duomenų saugumo pažeidimą. Organizacija privalo nedelsdama ir, jei įmanoma, per 72 valandas apie tai pranešti Nyderlandų duomenų apsaugos institucijai (Autoriteit Persoonsgegevens).

BDAR 32 straipsnyje reikalaujama, kad duomenų valdytojai ir tvarkytojai imtųsi tinkamų techninių ir organizacinių saugumo priemonių. 33 straipsnyje nustatyta pareiga pranešti apie pažeidimą per 72 valandas nuo tada, kai apie jį sužinoma, nebent pažeidimas greičiausiai nekels pavojaus atitinkamiems asmenims. Kai rizika tiems asmenims yra didelė, 34 straipsnyje numatyta pareiga juos informuoti tiesiogiai. „Autoriteit Persoonsgegevens“ toliau klausia, kas vyko prieš išpuolį, pavyzdžiui, daugiafaktorinis autentifikavimas ir ribotos prieigos teisės. Kas yra atsakingas po duomenų pažeidimo, priklauso nuo to, kaip paskirstoma atsakomybė.

Kokios ataskaitų teikimo pareigos taikomos pagal „Cyberbeveiligingswet“?

Nuo 2026 m. rugpjūčio 15 d. kartu su BDAR taikomas Nyderlandų kibernetinio saugumo įstatymas (Cyberbeveiligingswet), kuriuo įgyvendinama NIS2 direktyva. Organizacijos, kurioms taikomas šis įstatymas, privalo pranešti apie reikšmingus incidentus etapais: ankstyvasis įspėjimas – per 24 valandas, pranešimas – per 72 valandas ir galutinė ataskaita – per vieną mėnesį.

Organizacijos, kurioms taikomas šis įstatymas, taip pat privalo registruotis Nacionaliniame kibernetinio saugumo centre (NCSC). Jos privalo imtis priemonių pagal rūpestingumo pareigą, apimančią rizikos valdymą, tiekimo grandinės saugumą ir incidentų valdymą. Valdyba turi patvirtinti šias priemones, prižiūrėti jų įgyvendinimą ir dalyvauti mokymuose, todėl kibernetinis saugumas yra vadovybės atsakomybė, o ne tik IT reikalas.

Šie du režimai sutampa, bet nėra tas pats. Sukčiavimo apsimetant duomenimis incidentas, per kurį pažeidžiama pašto dėžutė, gali būti inicijuotas BDAR pranešimas „Autoriteit Persoonsgegevens“ ir atskiras incidento pranešimas pagal „Cyberbeveiligingswet“, tačiau terminai skiriasi ir jie pateikiami skirtingoms institucijoms. Iš anksto išsiaiškinkite, kuris režimas taikomas jūsų organizacijai ir kas skambina trečią valandą nakties. Mūsų kibernetinio saugumo incidentų pranešimo pareigų vadove terminai pateikiami greta.

O jeigu sukčius arba pinigai yra užsienyje?

Bet kokiu atveju pateikite policijos pranešimą (aangifte) Nyderlanduose. Nusikaltimas, nukreiptas prieš auką Nyderlanduose, čia paprastai laikomas įvykdytu, todėl Nyderlandų policija ir prokuroras yra tinkamas atspirties taškas, net jei nusikaltėlis yra užsienyje.

Įrodymai iš kitos valstybės gaunami nustatytais kanalais. ES viduje Europos tyrimo orderis leidžia Nyderlandų prokurorui prašyti sąskaitos duomenų arba lėšų įšaldymo kitoje valstybėje narėje; už ES ribų 2001 m. Budapešto konvencija dėl elektroninių nusikaltimų numato savitarpio pagalbą.

Jums, kaip aukai, tai turi praktinių pasekmių. Lėšų susigrąžinimas paprastai priklauso nuo to, kaip greitai pavyks įspėti gavėją banką, nes per „mule“ sąskaitą pervesti pinigai išskirstomi per kelias valandas. Nedelsiant pranešus savo bankui, kad jis galėtų bandyti atšaukti lėšas, yra didesnė tikimybė, kad bus gauti rezultatai, nei imantis bet kokių vėlesnių teisinių veiksmų.

Į ką turėtumėte atkreipti dėmesį, jei esate privatus sąskaitos savininkas?

Pirmiausia patikrinkite, ar pats davėte sutikimą mokėjimui, nes tai lemia, ar taikomi Nyderlandų civilinio kodekso 7:528 ir 7:529 straipsniai. Tada peržvelkite šiuos punktus:

• Ar tą pačią dieną paskambinote oficialiu savo banko sukčiavimo prevencijos numeriu ir paprašėte atšaukti?
• Ar pasirašėte arba patvirtinote operaciją savo banko programėlėje, ar pinigai buvo išsiųsti be jokių jūsų veiksmų?
• Ar bankas pateikė raštišką atsisakymą su priežastimis, kad galėtumėte pradėti vidinę skundų teikimo procedūrą?
• Ar išsaugojote originalų pranešimą, skambučių žurnalą ir operacijų nuorodas?
• Ar pateikėte policijos pranešimą (aangifte), kurio reikalauja dauguma draudikų ir vėliau pateikiamos nukentėjusios šalies pretenzijos?

Ką turėtumėte patikrinti kaip organizacija?

Patikrinkite, ar jūsų mokėjimų kontrolės ir saugumo priemonės atlaikytų „Autoriteit Persoonsgegevens“ patikrinimą, kuris nagrinėja įvykius prieš išpuolį. Verslo sąskaita iš esmės nepatenka į vartotojų apsaugos taikymo sritį, todėl prevencija yra svarbesnė:

• Ar daugiafaktorinis autentifikavimas aktyvus kiekvienoje paskyroje, kuri gali pasiekti įmonės duomenis?
• Ar kiekvienas tiekėjo banko duomenų pakeitimas patvirtinamas telefonu, numeriu, kurį jau turėjote savo sistemoje?
• Ar vienas asmuo gali ir sukurti, ir patvirtinti mokėjimą, ar taikomas keturių akių patikrinimas?
• Ar yra rašytinis pirmos valandos planas: kas izoliuoja sąskaitą, saugo žurnalus ir susisiekia su banku?
• Ar žinote, ar jums taikomas kibernetinio draudimo įstatymas ir ar privalote pranešti per 24 valandas?
• Ar per pastaruosius metus buvo pakartoti darbuotojų mokymai su realistiškai imituojamomis sukčiavimo žinutėmis?

Ką daryti, jei buvote taikiniu?

Pirmiausia susisiekite su savo banku, tada apsaugokite savo sąskaitas, išsaugokite įrodymus ir praneškite policijai. Elkitės tokia tvarka:

1. Susisiekite su savo banku, nurodydami oficialų sukčiavimo prevencijos numerį, ir paprašykite užblokuoti arba atšaukti operaciją.
2. Pakeiskite pažeistos paskyros ir bet kurios kitos paskyros, kurioje naudojamas tas pats slaptažodis, prisijungimo duomenis.
3. Išsaugokite viską: originalų pranešimą su jo antraštėmis, ekrano kopijas, operacijų nuorodas ir laiką, kada pastebėjote kiekvieną žingsnį.
4. Pateikite policijos ataskaitą. Dauguma draudikų jos reikalauja, ir tai yra pagrindas bet kokiam vėlesniam nukentėjusiosios šalies ieškiniui.
5. Jei buvo paviešinti kitų asmenų asmens duomenys, įvertinkite pranešimo pareigas pagal BDAR ir, jei taikoma, kibernetinio saugumo įstatymą (Cyberbeveiligingswet), kol nesibaigė terminai.

Ką galime padaryti dėl sukčiavimo internete ir phishing'o?

Mūsų baudžiamosios teisės advokatai ir IT teisės komanda (žr. mūsų Nyderlandų IT teisės vadovus ) atstovauja nukentėjusiesiems ir organizacijoms po incidento:

• Mes peržiūrime banko atsisakymą pagal Civilinio kodekso 7:528 ir 7:529 straipsnius ir parengiame Jūsų skundą bankui.
• Kai tik bus baigta banko vidaus procedūra, parengsime ir pateiksime jūsų skundą „Kifid“.
• Pagal Baudžiamojo proceso kodekso 51f straipsnį baudžiamojoje byloje parengiame dokumentuotą nukentėjusiosios šalies ieškinį (vordering benadeelde partij).
• Per 72 valandas įvertiname, ar apie duomenų saugumo pažeidimą reikia pranešti pagal BDAR ir, jei taikoma, pagal „Cyberbeveiligingswet“.
• Rengiame ieškinius dėl atsakomybės prieš platformą ar organizaciją, kurios saugumas buvo nepakankamas.

Santrauka

• Sukčiavimas apsimetant ir sukčiavimas internete Nyderlanduose yra baudžiamas, daugiausia kaip sukčiavimas (Baudžiamojo kodekso 326 straipsnis) ir neteisėta prieiga (138ab straipsnis).
• Už mokėjimą, kurio neautorizavote, bankas iš principo privalo nedelsdamas jums grąžinti pinigus (Civilinio kodekso 7:528 straipsnis), nebent veikėte nesąžiningai arba dėl didelio neatsargumo (7:529 straipsnis).
• Jei bankas atsisako, vartotojai, pasibaigus banko vidaus skundų nagrinėjimo procedūrai, gali kreiptis į „Kifid“ arba į civilinį teismą.
• Organizacijos, nukentėjusios nuo sukčiavimo atakų, privalo įvertinti BDAR pranešimą per 72 valandas ir, jei tai patenka į BDAR taikymo sritį, pranešti pagal „Cyberbeveiligingswet“ (24 valandas, 72 valandas, vieną mėnesį).
• Nedelsdami paskambinkite savo bankui ir pateikite policijos pareiškimą: greitis dažnai yra lemiamas veiksnys atgaunant pinigus.

Dažnai užduodami klausimai