О телефонном мошенничестве через методы социальной инженерии

Сегодня обсудим как кредитные организации (Банки) обязаны, информировать клиента – потребителя о совершении операций и информируют ли Банки, как того требует Закон.

Начало статьи здесь: https://rreporter.ru/rassledovaniya/ob-otvetstvennosti-bezotvetstvennosti-banka-i-kibermoshennikah.html.

Продолжение статьи часть 2 здесь: https://rreporter.ru/rassledovaniya/ob-otvetstvennosti-bezotvetstvennosti-banka-i-kibermoshennikah-ch-2.html

Продолжение статьи часть 3 здесь: https://rreporter.ru/ekonomika/kak-segodnya-banki-zashhishhayut-nashi-dengi.html

Немного юриспруденции.

Банк Авангард нарушил требования об информировании клиента о рисках, связанных с услугой при совершении каждой операции, о распространенных случаях нарушений прав потребителей и способах их защиты.

Статьёй 3 Закона о защите прав потребителей закреплено право потребителей на просвещение в области защиты прав потребителей, которое обеспечивается посредством включения соответствующих требований в федеральные государственные образовательные стандарты и образовательные программы, а также посредством организации системы информации потребителей об их правах и о необходимых действиях по защите этих прав.

Реализация права на просвещение включает в себя предоставление изготовителем (исполнителем), продавцом потребителю необходимой информации о правах потребителей в наглядной и доступной форме.

Система информации потребителей об их правах обеспечивается обязательной информацией, предусмотренной Законом о защите прав потребителей и предоставляемой любому желающему сведений о наиболее распространенных нарушениях прав потребителей и способах их защиты, публикации материалов судебных дел и т.п.

К стандартам деятельности кредитных организаций относятся стандарты защиты прав и законных интересов получателей банковских услуг, включающие в себя правила предоставления (раскрытия) информации потребителям банковских услуг об услуге и о лице, ее предоставляющем, и уведомления о рисках, связанных с указанной услугой, стандарты совершения операций на финансовом рынке и стандарт корпоративного управления (ст. 24.1 ФЗ от 2 декабря 1990 г. N 395-I «О банках и банковской деятельности»).

Согласно п. 1 ст. 10 «Закона о защите прав потребителей» изготовитель (исполнитель, продавец) обязан своевременно предоставлять потребителю необходимую и достоверную информацию о товарах (работах, услугах), обеспечивающую возможность их правильного выбора.

Банк России рекомендует кредитным организациям уделять повышенное внимание исполнению подпункта 2.12.3 Положения Банка России от 9 июня 2012 г. N 382-П «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств», обязывающего кредитные организации проводить мероприятия по повышению осведомлённости работников и клиентов в области обеспечения защиты информации и рисков получения несанкционированного доступа к электронным денежным средствам.

Банк Авангард требования Положений Банка России №382-П от 09.06.2012 и №683-П от 17.04.2019 не выполнил, информацию о том, что операцию могут совершить мошенники, в сообщениях не указывал. От слова совсем.

До заключения с клиентом договора об использовании электронного средства платежа оператор по переводу денежных средств обязан информировать клиента об условиях использования электронного средства платежа, в частности о любых ограничениях способов и мест использования, случаях повышенного риска использования электронного средства платежа (ч. 3 ст. 9 Федерального закона от 27 июня 2011 года № 161-ФЗ «О национальной платежной системе» (далее – Закон №161-ФЗ).

Оператор по переводу денежных средств обязан информировать клиента о совершении каждой операции с использованием электронного средства платежа путем направления клиенту соответствующего уведомления в порядке, установленном договором с клиентом (ч. 4 ст. 9 Закона №161-ФЗ).

Банк обязан в соответствии с договором информировать клиента о совершении каждой операции с использованием электронного средства платежа путем направления клиенту соответствующих уведомлений. То есть либо SMS либо Push, обращаю внимание бесплатно.

Исполнение кредитной организацией законодательно установленной обязанности не может быть обусловлено уплатой клиентом вознаграждения за предоставление информации, в связи с чем в договоре должен быть предусмотрен способ бесплатного информирования клиента в соответствии со ст. 9 Закона о НПС. Дополнительно, кредитной организацией могут оказываться клиенту (при его согласии) платные услуги по его информированию о совершении операций с использованием ЭСП.

Находим важную информацию на сайта Банка АВАНГАРД, https://login.avangard.ru/. Далее, нажимаем вкладка «вход в интернет банк», далее на главной странице «вход в интернет банк» в самом низу страницы написано «Подробные рекомендации по мерам безопасности при работе в интернет-банке». И в этих подробных рекомендациях указано, что:

Каждый вход в интернет-банк, каждое списание средств, прием подписанных вами платежных документов на исполнение будет отражаться в сообщениях на вашем телефоне. Таким образом, вы сможете контролировать использование вашего интернет-банка и движения средств на счете.
Перед подтверждением платежа внимательно прочитайте SMS сообщение и проверьте соответствие адресата и суммы с ожидаемыми значениями.

Кроме вышеназванных сообщений есть базовый пакет. У банка Авангард бесплатного информирования *В БАЗОВЫЙ ПАКЕТ входят:

Вход в интернет-банк с указанием IP-адреса (направляется в случаях, соответствующих политике банка по мониторингу рисков)
Изменение настроек уведомлений
Смена логина в интернет-банке
Смена пароля в интернет-банке
Блокировка/разблокировка возможности входа в интернет-банк по номеру карты

Сервис отправки бесплатных SMS-уведомлений с кодами подтверждения по операциям в интернет-банке и для оплаты в интернет-магазинах, поддерживающих технологию MasterCard Secure Code / Verified by Visa ВКЛЮЧЕН. Используется номер телефона *******2234

В БАЗОВЫЙ ПАКЕТ входят:

Пополнение счета в офисе (зачисление)
Безналичное зачисление денежных средств
Внешний перевод (авторизация)
Отказ во внешнем переводе
Внутренний перевод другому лицу (авторизация)
Отказ во внутреннем переводе другому лицу
Пополнение картсчета с использованием карты (без авторизации)
Первая просрочка по картсчету
Вторая просрочка по картсчету
Типовой платеж в интернет-банке, банкомате банка Авангард (авторизация)
Получение наличных в банкомате банка Авангард (списание)
Получение наличных в кассе банка Авангард (списание)
Получение наличных в банкомате иного банка (авторизация)
Получение наличных в кассе иного банка (авторизация)
Покупка (авторизация)
Пополнение карты в cash-in — банкомате банка Авангард с функцией приема наличных (зачисление)
Смена ПИНа
Отказ в смене ПИНа
Отмена авторизации в момент совершения операции в банкомате банка Авангард
Отмена авторизации в момент совершения операции в кассе банка Авангард
Отмена авторизации в момент совершения операции в ином банке
Отмена авторизации в момент совершения операции в торговой точке
Отказ в авторизации в банкомате банка Авангард
Отказ в авторизации в кассе банка Авангард
Отказ в авторизации в ином банке
Отказ в авторизации в торговой точке
Покупка (без авторизации, списание)
Возвратная операция (без авторизации, зачисление)
Оплата Метро (списание)
Перевод с карты на другую карту (авторизация)
Перевод на карту с другой карты (авторизация)

Как видно из перечня, базового пакета бесплатного информирования банк Авангард мог, и обязан был проинформировать клиента – потребителя, как того требует закон.

Что же такое информирование — можно определить, как процесс доведения соответствующей информации до сведения адресата. СМС-информирование или ПУШ-информирование предполагает получение сведений обо всех операциях по карте, даже о тех, в результате которых не был изменен баланс.

Напомним – выдержка из части 3 статьи: «Далее карточный счет обнулился, и сотрудник службы безопасности банка говорит, что нужно перевести деньги строго через свой компьютер со вклада на обнулённый карточный счет, «сотрудник банка» и это выяснил. Жертва, очень продолжает хотеть сохранить свои средства и переводит деньги со вклада в сумме 962 740 руб. на карточный счет под руководством сотрудника банка — мошенника через свой личный кабинет Авангард банка (Интернет-банк Авангард). Код №14 с карты кодов доступа для подтверждения операции перевода пришел из банка Авангард на личный компьютер жертвы в системе Интернет–банк.» Где информирование о расторжении договора вклада? Где информирование о пополнении баланса обнулённой карты? Вопросов много.

Банк Авангард не информировал Клиента — потребителя, о совершении каждой из 12-ти операций, плюс одну операцию по вкладу. От слова совсем.

Теперь разберём какие сообщения прислал банк Авангард. Смотрите ниже.

Банк Авангард уведомил Клиента – потребителя после того как, о уже совершённых операциях, а после совершения операций информация есть в личном кабинете Авангард интернет банка. И лишает смысла в моментальном информировании, операции то уже произошли, денег то уже нет.

Для понимания читателей, необходимо разобраться, а что же такое вообще перевод (покупка) «Card2Card». Никогда не было и нет мгновенного перевода между банковскими картами по системе «Card2Card». В случае с «Card2Card» существуют две операции: авторизация и пополнение. И если первая операция проходит почти мгновенно, то вторая – через несколько дней.

Поэтому банк получивший входящий перевод «Card2Card», а именно – мгновенную авторизацию не поднимет баланс карты, а будет ждать подтверждение перевода (входящий положительный клиринг) и только после этого средства действительно попадут на карту, и ими можно будет воспользоваться. Что же такое авторизация:

Авторизация (англ. authorization «разрешение; уполномочивание») — предоставление определённому лицу или группе лиц прав на выполнение определённых действий; а также процесс проверки (подтверждения) данных прав при попытке выполнения этих действий. То есть разрешение, полномочие, даваемое на какие-нибудь действия, прошедшей проверку подлинности, результатом которой становится разрешение или отказ в осуществлении запрашиваемых операций, а также предоставление в соответствии с правами пользователю возможностей, которые гарантированы ему. Авторизация необходима для обеспечения безопасности при совершении действий, для разграничения прав пользователей, для защиты от злоумышленников. В данном случае разрешение Банка Авангард на перевод денежных средств через систему «Card2Card».

Пополнение — это зачисление денежных средств или поднятие баланса на карте получателя.

Банк России направил письмо кредитным организациям от 7 декабря 2018 г. N 56-3-2/226
«О рассмотрении вопросов кредитных организаций»,

вопрос 10: Правильно ли понимать, что сообщать клиенту об исполнении распоряжения/возобновлении использования клиентом электронного средства платежа после получения от него соответствующего подтверждения возобновления (авторизации) оператор по переводу денежных средств не обязан?

Ответ Центрального Банка России по вопросу N 10.

В соответствии с частью 4 ст. 9 ФЗ N 161-ФЗ оператор по переводу денежных средств обязан информировать клиента о совершении каждой операции с использованием электронного средства платежа путем направления клиенту соответствующего уведомления в порядке, установленном договором с клиентом.

Дополнительное уведомление клиента не требуется. ФЗ N 161-ФЗ не устанавливает обязанность оператора по переводу денежных средств сообщать клиенту об исполнении распоряжения/возобновлении использования клиентом электронного средства платежа после получения от него соответствующего подтверждения (авторизации).

Из вышеназванного следует, что банк Авангард то, что обязан выполнить не выполнил, не информировал клиента – потребителя до совершения операций. А то, что от банка не требовалось по Закону, по своему желанию, совершил. Если бы банк Авангард вообще не прислал клиенту сообщение, то данный факт был бы очевиден, что нет никакого информирования, но банк Авангард «пустил пыль в глаза», и прислал сообщение о уже совершённых операциях. Но сообщения от банка Авангард пришли, и мало кто догадается, что уведомление должно быть до совершения операций, и что в уведомлении должно быть написано. Но это ещё не всё.

Эти так называемые ПУШ сообщения, о уже совершённых операциях, клиенту – потребителю пришли на латинице. — это первое.

В сообщении было написано PEREVOD CARD-CARD AVANGARD 40600 RUB, CARD*2814 ФИО BAL 125343,28 RUB 04.03.20 13:09 END. Что в этих сообщениях может понять клиент – потребитель, который понятия не имеет, что такое CARD-CARD –это второе. За 9 лет ни разу не переводил по системе CARD-CARD.

Третье. Как можно понять, что операции совершались через сторонние интернет сайты, ПАО Банк «Открытие» и АО «Альфа Банк», а получателем является КИВИ Банк. В направляемых уведомлениях значился только AVANGARD, что не могло не ввести клиента в заблуждение, так как он видел, что что-то происходит в системе «Авангард Интернет-банк».

Четвёртое: клиент – потребитель был под воздействием внушения службы безопасности банка — мошенников. Мошенники держали жертву постоянно «на телефоне», пока не украли все деньги. И сотрудники банка Авангард это знали и видели, в противном случае для чего нужны служба информационной безопасности и система АНТИФРОД. За 30 минут с 13.09 до 13.39 списали все деньги веерными переводами. Напомню, что об этом виде мошенничества писали здесь: 14 ноября 2019: https://iz.ru/940354/vadim-arapov/skryvaite-karty-moshenniki-nashli-novyi-sposob-vyvoda-deneg

Пятое: чьё распоряжение о переводах денежных средств потребителя-жертвы выполнял банк Авангард. Если, как положено до совершения операций банк Авангард не информировал потребителя, не присылал сообщения с кодами подтверждения для совершения операций (авторизации).

В соответствии с ч. 2 ст. 8 Закона о защите прав потребителей, информация в наглядной и доступной форме доводится до сведения потребителей на русском языке.

Согласно п. 12 ст. 5 ФЗ N 161-ФЗ «О национальной платежной системе» Оператор по переводу денежных средств до осуществления перевода денежных средств обязан предоставлять клиентам возможность ознакомления в доступной для них форме с условиями осуществления перевода денежных средств в рамках применяемой формы безналичных расчетов, в том числе:

1) с размером вознаграждения и порядком его взимания в случае, если оно предусмотрено договором (с комиссией);

2) со способом определения обменного курса, применяемого при осуществлении перевода денежных средств в иностранной валюте (при различии валюты денежных средств, предоставленных плательщиком, и валюты переводимых денежных средств);

3) с порядком предъявления претензий, включая информацию для связи с оператором по переводу денежных средств;

4) с иной информацией, обусловленной применяемой формой безналичных расчетов.

В соответствии с ч. 1 ст. 10 Закона о защите прав потребителей, изготовитель (исполнитель, продавец) обязан своевременно предоставлять потребителю необходимую и достоверную информацию о товарах (работах, услугах), обеспечивающую возможность их правильного выбора.

В соответствии с ч. 2 ст. 12 Закона о защите прав потребителей, продавец (исполнитель), не предоставивший покупателю полной и достоверной информации о товаре (работе, услуге), несет ответственность, предусмотренную пунктами 1-4 статьи 18 или пунктом 1 статьи 29 настоящего Закона, за недостатки товара (работы, услуги), возникшие после его передачи потребителю вследствие отсутствия у него такой информации.

Как следует из п. 44 Постановления Пленума Верховного Суда РФ от 28.06.2012 N 17 «О рассмотрении судами гражданских дел по спорам о защите прав потребителей», при рассмотрении требований потребителя о возмещении убытков, причиненных ему недостоверной или недостаточно полной информацией о товаре (работе, услуге), суду следует исходить из предположения об отсутствии у потребителя специальных познаний о его свойствах и характеристиках, имея в виду, что в силу Закона о защите прав потребителей изготовитель (исполнитель, продавец) обязан своевременно предоставлять потребителю необходимую и достоверную информацию о товарах (работах, услугах), обеспечивающую возможность компетентного выбора (статья 12). При этом необходимо учитывать, что по отдельным видам товаров (работ, услуг) перечень и способы доведения информации до потребителя устанавливаются Правительством Российской Федерации (пункт 1 статьи 10).

В соответствии с ч. 13 ст. 9 Закона №161-ФЗ НПС в случае, если оператор по переводу денежных средств не исполняет обязанность по информированию клиента о совершенной операции в соответствии с частью 4 настоящей статьи, оператор по переводу денежных средств обязан возместить клиенту сумму операции, о которой клиент не был проинформирован и которая была совершена без согласия клиента.

В данном вопросе помог разобраться и подготовил исковое заявление юрист Плеханов Ю.В. Сейчас дело рассматривает районный суд г. Уфы, захочет ли суд разбираться, и исследовать все моменты данного спора. Или вынесет Решение как под копирку: клиент сообщил коды третьим лицам, в иске отказать. И действия (бездействия) суда мы тоже постараемся прокомментировать. Банк — это тяжеловес, на который работают огромные юридические отделы, у банка есть деньги, связи и т.д. а потребитель экономически слабая сторона.

Продолжение следует.