Мошенник украл деньги через фишинг: должен ли банк их вернуть

Согласно разъяснению суда Европейского союза от 15 октября 2026 года, банк обязан немедленно вернуть клиенту деньги, похищенные мошенником при несанкционированном платеже, даже если банк подозревает клиента в неосторожности — отказать в возврате он может только при обоснованном подозрении, что мошенничество совершил сам клиент.

Коротко

• Суд ЕС 15 октября 2026 года запретил банкам отказывать в возврате похищенных денег только из-за обвинения клиента в неосторожности.
• Банк обязан вернуть несанкционированный платёж не позднее конца следующего рабочего дня после уведомления.
• Отказать сразу банк может лишь при обоснованном подозрении в мошенничестве клиента и письменном уведомлении госоргана.
• Доказывать вину клиента в неосторожности должен сам банк — и только после того, как деньги уже возвращены.
• Правило действует в обоих сценариях кражи: и когда мошенник перевёл деньги сам, и когда клиент был обманут и подтвердил перевод.

Что такое фишинг и почему он работает

На фишинг приходится 77,8% всех атак социальной инженерии в Евросоюзе — это данные отчёта Threat Landscape агентства Европейского союза по кибербезопасности. Мошенники всё чаще используют искусственный интеллект: он составляет письма на языках всех стран ЕС без грамматических ошибок, из-за чего распознать подделку по тексту становится сложнее.

Ещё одна техника — пользователя через письмо или браузер убеждают выполнить системную команду якобы для исправления ошибки. На деле именно это действие и открывает мошенникам доступ к счёту. Типичная схема проста: жертва переходит по ссылке из письма и вводит банковские реквизиты на поддельной странице. Деньги списываются сразу, а человек, по сути, сам совершает действия, которые позволяют их украсть.

Решение суда ЕС от 15 октября 2026 года

15 октября 2026 года суд Европейского союза разъяснил: одного обвинения клиента в грубой неосторожности недостаточно, чтобы банк отказал ему в немедленном возврате похищенных денег.

Решение основано на деле клиентки польского банка. Женщина продавала вещь через интернет, и мнимый покупатель прислал ей ссылку якобы для подтверждения продажи. Она открыла сайт, похожий на страницу её банка, и ввела там данные для входа, включая номер карты. Мошенник воспользовался этими данными и перевёл себе со счёта женщины около 700 евро.

На следующий день она сообщила банку о случившемся, но банк отказал в возврате: по его позиции, клиентка недостаточно защитила свои банковские данные и сама виновата в утечке.

по его позиции, клиентка недостаточно защитила свои банковские данные и сама виновата в утечке

Банк обязан вернуть деньги немедленно

Если платёж был несанкционированным — клиент его не совершал и не одобрял, — суд подчеркнул: такой платёж банк обязан вернуть немедленно, без промедления. Этот срок закреплён в законодательстве ЕС о платёжных услугах (Директива PSD2) и означает возврат не позднее конца следующего рабочего дня после того, как банк получил уведомление об операции. Это общее правило, а не исключение для добросовестных случаев.

Условие одно: клиент обязан сообщить о случившемся без промедления, сразу после того, как понял, что его обманули, — не на следующий день и не после раздумий.

Обвинение в грубой неосторожности само по себе не освобождает банк от этой обязанности. Банк не вправе отказать в возврате только на том основании, что клиент сам ввёл данные карты или перешёл по ссылке мошенника: такая оценка действий клиента — это отдельный вопрос, который решается уже после возврата денег, а не вместо него.

Когда банк вправе отказать: подозрение в мошенничестве самого клиента

Банк вправе не возвращать деньги сразу, если у него есть обоснованные подозрения в мошенничестве со стороны клиента — и при этом банк письменно сообщает об этих основаниях компетентному государственному органу. Без такого уведомления ссылаться на подозрение в мошенничестве клиента банк не может.

Суд подчеркнул: подозрение в мошенничестве самого клиента и обвинение его в неосторожности — совершенно разные правовые основания. Если клиента обвиняют именно в неосторожности, а не в мошенничестве, банк обязан вернуть деньги независимо от этого обвинения. Неосторожность клиента — повод для банка требовать компенсацию уже после возврата, но не основание отказать в самом возврате.

Может ли банк потребовать деньги обратно после возврата

После того как банк вернул деньги, он вправе позже потребовать их обратно — если докажет, что клиент умышленно или по грубой неосторожности нарушил свои обязанности и именно это привело к потере денег. Для этого банк проводит отдельное расследование: немедленный возврат и разбирательство о виновности клиента — два разных этапа, которые суд прямо развёл по времени.

Ключевой момент решения: бремя доказывания лежит на банке, а не на клиенте. Доказать, что человек передал пароли или данные карты по неосторожности, должен сам банк — клиенту не нужно доказывать свою невиновность, чтобы получить деньги на первом этапе.

бремя доказывания лежит на банке, а не на клиенте

Два сценария кражи и что делать, если деньги украли

Суд ЕС различает два сценария кражи. В первом мошенник сам переводит деньги с расчётного счёта или банковской карты клиента — без его участия. Во втором клиент сам подтверждает перевод, но делает это под влиянием обмана, не подозревая, что его обманывают. Это разные ситуации, но итог для клиента одинаковый: банк обязан вернуть деньги в обоих случаях, а разбирательство о вине проводится уже после возврата.

банк обязан вернуть деньги в обоих случаях, а разбирательство о вине проводится уже после возврата

Что делать сразу после кражи:

1. Немедленно связаться с банком — позвонить, обратиться через официальный канал или заблокировать доступ к счёту.
2. Сохранить переписку с мошенниками, все ссылки и сведения о платеже.
3. Прийти в отделение банка и письменно сообщить, что согласие на операцию не давалось.
4. Потребовать зарегистрировать обращение и предоставить мотивированный ответ банка.

Не переходите по ссылкам из подозрительных сообщений — это касается не только писем, но и поддельных сайтов, которые копируют вход через соцсети и другие сервисы с одной целью: получить логин и пароль клиента.

Что делать сразу после кражи денег

• Немедленно связаться с банкомобязательноПозвонить, обратиться через официальный канал или заблокировать доступ к счёту
• Сохранить переписку с мошенникамиобязательноВсе сообщения, ссылки и сведения о платеже
• Прийти в отделение банка личнообязательноПисьменно сообщить, что согласие на операцию не давалось
• Потребовать регистрации обращенияобязательноИ получить мотивированный ответ банка
• Не переходить по подозрительным ссылкамВключая поддельные страницы входа в соцсети и другие сервисы

Частые вопросы

Что будет, если клиент сообщил банку о краже не сразу, а через несколько дней?

Условие немедленного возврата денег — клиент должен сообщить банку без промедления, сразу после того как понял обман. Если уведомление задержано, банк может оспаривать сам факт своевременного сообщения, хотя это не то же самое, что обвинение в неосторожности при вводе данных.

Может ли банк вообще отказаться возвращать деньги, если решит, что клиент виноват?

Нет, банк не вправе удерживать деньги на этапе первичного возврата, ссылаясь на вину клиента в неосторожности. Единственное исключение — обоснованное подозрение, что сам клиент совершил мошенничество, и при этом банк обязан письменно уведомить об этом компетентный государственный орган.

Нужно ли клиенту самому доказывать, что он не виноват в утечке данных?

Нет, бремя доказывания лежит на банке, а не на клиенте: именно банк должен доказать, что клиент умышленно или по грубой неосторожности нарушил свои обязанности. Клиенту не нужно доказывать свою невиновность, чтобы получить деньги на этапе немедленного возврата.

Как называется техника, когда мошенники заставляют выполнить системную команду через письмо или браузер?

Эта техника называется кликджекинг. Пользователя через письмо или браузер убеждают выполнить системную команду якобы для исправления ошибки, а на деле именно это действие открывает мошенникам доступ к счёту.