UZASADNIENIE

Powódka ostatecznie wniosła o:

1) ustalenie, że umowa pożyczki gotówkowej nr (...) zawarta pomiędzy M. P. i Bankiem (...) S.A. z siedzibą w W., której całkowita kwota do spłaty wynosi 174.265,16 zł jest sprzeczna z ustawą i jest nieważna

ewentualnie,

2) że ta sama umowa jest sprzeczna z zasadami współżycia społecznego i przez to nieważna

oraz

3) o zapłatę kwoty 29.245.24 zł wraz z ustawowymi odsetkami za opóźnienie od dnia 24.01.2024 do dnia zapłaty tytułem zwrotu należności wynikającej z nieautoryzowanych transakcji płatniczych.

W uzasadnieniu pozwu podniosła, że padła ofiarą oszustwa. Na skutek wprowadzenia jej w błąd, na prośbę osoby, która przedstawiła się jako pracownik banku, zainstalowała na swoim telefonie aplikację „quick suport”. To umożliwiło sprawcom oszustwa zawarcie w jej imieniu umowy pożyczki a następnie pobranie z jej konta środków pieniężnych. W związku z tym, że umowa została zawarta w wyniku czynu zabronionego, jest nieważna jako sprzeczna z ustawą (art. 58§1 k.c.), ewentualnie nieważna, bo sprzeczna z zasadami współżycia społecznego (art. 58§2 k.c.). Ta ostatnia okoliczność wynika z tego, że pracownicy banku nie udzielili powódce wyjaśnień co do postanowień zawartych w umowie, jak również nie zabezpieczyli jej konta. Tym samym bank przyczynił się do dokonania przestępstwa oszustwa poprzez brak wdrożenia odpowiednich procedur organizacyjnych, które zapobiegłyby dokonaniu przestępstwa na szkodę powódki. Powódka jako materialnoprawną podstawę zgłoszonego roszczenia o zapłatę wskazała art. 46 ust. 1 ustawy o usługach płatniczych.

Pozwany wniósł o oddalenie powództwa w całości. Podniósł, że nie doszło do jakiegokolwiek złamania zabezpieczeń systemów bankowych, tym samym brak jest podstaw do przypisania bankowi naruszenia obowiązków staranności w zakresie bezpieczeństwa depozytów klientów, w szczególności nienależytej ochrony serwisów transakcyjnych. Powódka udostępniła osobom trzecim zdalny dostęp do urządzenia poprzez zainstalowanie aplikacji, tym samym udostępniła im dane osobowe i dostępowe do rachunku bankowego, co świadczy o jej rażącym niedbalstwie. Wszystkie transakcje zostały potwierdzone kodem sms wysłanym na numer telefonu komórkowego wskazanego przez powódkę. Bank przyznał, że powódka mogła paść ofiarą wyłudzenia, które nazywane jest vishingiem i polega na wyłudzeniu ważnych danych podczas rozmowy telefonicznej, choć nie wykluczył, że sporne transakcje zostały wykonane przez samą powódkę lub co najmniej za jej zgodą. Pozwany podkreślił, że bank regularnie informuje swoich klientów o kwestiach bezpieczeństwa oraz m. in. o atakach phishingowych lub vishingowych. Wskazane okoliczności wyłączają jakąkolwiek odpowiedzialność banku.

Sąd ustalił, co następuje:

W dniu 26 stycznia 2021r. powódka M. P. otrzymała telefon z numeru (...), oficjalnego numeru Banku (...) S.A. z/s w W. (wykaz połączeń, k. 154-163). Kobieta, która przedstawiła się jako pracownik banku znając dane osobowe powódki, dopytywała się jej, czy ostatnio robiła zakupy internetowe korzystając z karty, czy wykonała przelew na zagraniczne konto oraz czy wzięła pożyczkę. Na pierwsze z pytań, powódka odpowiedziała twierdząco, zaprzeczając w zakresie pozostałych okoliczności. Kobieta poinformowała ją wówczas, że padła ofiara oszustwa. Wykorzystując element zaskoczenia i podenerwowania powódki, kobieta podsunęła M. P. środki zaradcze. Poinformowała ją, że zostanie przełączona do działu bezpieczeństwa banku i, że powinna postępować zgodnie z instrukcjami. Inna kobieta, która przejęła rozmowę, poprosiła powódkę o pobranie ze sklepu (...) i zainstalowanie na telefonie aplikacji „quick suport”, a następnie jej otworzenie i zalogowanie się na koncie internetowym. Wzbudziła zaufanie powódki, bo znała cztery ostatnie cyfry jej karty kredytowej. M. P. postępowała zgodnie z instrukcjami. Zaczęły do niej przychodzić wiadomości sms z informacjami o stanie konta, o przelewach. Kobieta uspokoiła powódkę, że jest to standardowa procedura służąca zabezpieczeniu konta i, żeby ignorowała treść wiadomości, gdyż są fałszywe a skupiła się na wpisywaniu w aplikacji treści sms-ów lecz bez podawania kodów autoryzacyjnych. Kiedy powódka otrzymała kilka pod rząd wiadomości o przelewach z konta, nabrała podejrzeń i z telefonu syna zadzwoniła pod ten sam numer banku, z którego do niej dzwoniono. Po przedstawieniu sytuacji, została poinformowała, że padła ofiarą oszustwa, że ma się natychmiast rozłączyć, odinstalować aplikację. Powódka została przekierowana do działu bezpieczeństwa, gdzie pracownicy banku zablokowali jej konto i kartę. Jak się okazało, sprawcy oszustwa zdążyli zawrzeć w jej imieniu umowę pożyczki gotówkowej nr (...) na kwotę 99.750,00 zł, której całkowita kwota do zapłaty wynosiła 174.265,16 zł (umowa pożyczki, k. 9-15). Konto powódki zostało zasilone kwotą 99.750,00 zł, po czym przestępcy dokonali jednego przelewu zagranicznego na kwotę 4.600 zł oraz 8 transakcji przy użyciu karty na łączną kwotę 34.000 zł. Dzięki szybkiej reakcji powódki kwota przelewu zagranicznego została zwrócona na konto powódki, jedynie pomniejszona o kwotę 112,34 zł tytułem opłaty bankowej. Udało się też powódce anulować ostatnią transakcję dokonaną przy użyciu karty na kwotę 5.000 zł. Bank z tytułu wykonania przelewu bankowego obciążył konto powódki łączną kwotą 133 zł (wyciąg bankowy, k. 164-170).

Powódka jeszcze tego samego dnia złożyła zawiadomienie o popełnieniu przestępstwa w KPP w M. (k. 16) i reklamację, która nie została jednak przez bank uwzględniona (k. 17-20). Dokonała zwrotu kwoty pożyczki w zakresie, w jakim sprawcy oszustwa nie zdążyli jej rozdysponować (zeznania powódki, k. 235v-236). Sąd oparł swoje ustalenia faktyczne na zeznaniach powódki, gdyż są w pełni wiarygodne, znajdują potwierdzenie w dokumentach w postaci bilingów telefonicznych, historii konta. Okoliczność, że powódka w dniu zawarcia umowy złożyła zawiadomienie o popełnieniu przestępstwa, zwróciła pieniądze przelane na jej konto w wykonaniu umowy, świadczy o tym, że nie była stroną umowy a przedstawione przez nią okoliczności poprzedzające zawarcie umowy, polegają na prawdzie. Okoliczność, że bank wysyłał swoim klientom ostrzeżenia o zjawiskach phishingu i vishingu (wydruki wiadomości, k. 90-92), umieszczał stosowne informacje na stronie internetowej banku (wydruk, k. 103-107), i że do takich informacji powódka również miała dostęp, lecz nie zapoznała się z nimi lub nie przywiązała do nich dostatecznej wagi, choć miała taką możliwość, była bezsporna i z tego powodu Sąd pominął dowód z zeznań świadka W. Z., którego dyspozycje miały dotyczyć tych kwestii. O tym, że oba wspomniane zjawiska stały się popularną formą wyłudzania pieniędzy od klientów banków świadczy właśnie akcja informacyjna pozwanego, natomiast uzyskanie szczegółowej informacji o ilości dokonanych ataków hakerskich w stosunku do pozwanego, jest nieistotne dla rozstrzygnięcia sprawy. Opisana forma działań przestępców polega na wykorzystaniu niewiedzy bądź łatwowierności użytkowników systemów informatycznych, aby pokonać zabezpieczenia odporne na formy ataku i nie wymaga szukania luk w zabezpieczeniach, ani posiadania zaawansowanej wiedzy technicznej. Phishing i vishing bazują na najsłabszym ogniwie ochrony sieci komputerowej, czyli błędach użytkownika. Przestępcy stosujący metodę vishingu w rozmowie telefonicznej starają się wzbudzić zaufanie klienta banku, a później, pod wpływem emocji, wyciągnąć jak najwięcej poufnych danych lub uzyskać dostęp do konta. Oszuści wykorzystują przy tym tzw. „spoofing”, czyli podszywanie się pod kogoś lub pod coś w celu uzyskania jakiś informacji. Dlatego połączenia telefoniczne mogą pozornie wydawać się prawdziwe, bo na telefonie wyświetla się inny numer niż ten, z którego dzwoni przestępca. Aby taką rozmowę zestawić wystarczy skorzystać z jednego z wielu internetowych serwisów ( w tym zakresie nie ma racji powódka twierdząc, że doszło do złamania wewnętrznych zabezpieczeń po stronie banku). I taki mechanizm działania zastosowali sprawcy oszustwa w stosunku do powódki.

W związku z tym, że postępowanie przygotowawcze nie doprowadziło do ustalenia sprawców oszustwa, zostało ono postanowieniem z dnia 29.09.2021r. umorzone (postanowienie, k. 234).

Sąd zważył, co następuje:

Powództwo należy uznać jako usprawiedliwione w zakresie żądania ustalenia nieważności umowy pożyczki gotówkowej z uwagi na jej sprzeczność z ustawą.

W świetle ustalonego stanu faktycznego nie budzi wątpliwości kwestia, że powódka padła ofiarą przestępstwa. Na skutek wprowadzenia jej w błąd, sprawcy oszustwa uzyskali dostęp do jej konta internetowego i zawarli w jej imieniu umowę pożyczki. Zawarta w takich okolicznościach umowa pożyczki z pozwanym nie może być uznana za czynność ważną. Znajduje do takiej czynności prawnej zastosowanie art. 58§1 k.c. Takiemu stanowisku dał wyraz Sąd Najwyższy w wyroku z dnia 28 października 2005 r., II CK 174/05, OSNC z 2006 r., Nr 9, poz. 149 – stwierdzając, że: „czynność prawna podjęta w celu przestępczym jest nieważna (art. 58 § 1 k.c.)”. Czynności cywilnoprawnych nie można zatem wykorzystywać jako środka do osiągania przestępczych celów, takimi zaś są czynności ukierunkowane na popełnienie przestępstwa z art. 286 § 1 k.k. W tego względu orzeczono, jak w pkt I wyroku.

W konsekwencji powyższej konstatacji należy przyjąć, że środki, jakie wpłynęły na konto powódki w wykonaniu nieważnej umowy pożyczki nie podlegały ochronie w trybie art. 46 ust. 1 ustawy o usługach płatniczych.

Zgodnie z treścią art. 725 k.c. przez umowę rachunku bankowego bank zobowiązuje się względem posiadacza rachunku, na czas oznaczony lub nieoznaczony, do przechowywania jego środków pieniężnych oraz jeżeli umowa tak stanowi do przeprowadzania na jego zlecenie rozliczeń pieniężnych. Zawarcie umowy rachunku bankowego powoduje, że środki pieniężne posiadacza przechodzą na własność banku. Mimo braku jednoznacznego sformułowania w odkreślonych przepisach ustawy, w doktrynie i w orzecznictwie powszechny i w zasadzie niekontrowersyjny jest pogląd, że bank uzyskuje własność deponowanych pieniędzy. Jak wskazał m.in. Sąd Apelacyjny w Krakowie w wyroku z dnia 5 lutego 2014 r., sygn. I ACa 917/12 (LEX nr 1540886), umowa rachunku bankowego jest oparta na konstrukcji depozytu nieprawidłowego (art. 845 k.c.), co oznacza, że bank nabywa własność wniesionych środków pieniężnych, a posiadacz rachunku bankowego nabywa roszczenie o zwrot sumy pieniężnej wynikającej z postanowień umowy łączącej klienta z bankiem.

Skoro więc środki pieniężne, które wpłynęły na konto powódki pochodziły z nieważnej umowy pożyczki, nie zostały przez nią zdeponowane, powódka nie nabyła roszczenia o zwrot sumy pieniężnej, która była przedmiotem transferu zagranicznego oraz przelewów dokonanych przy użyciu karty. Sprawcy oszustwa działali bowiem z góry powziętym zamiarem, by zawrzeć pożyczkę a następnie wyprowadzić pochodzące z niej środki na konto zagraniczne lub, by dokonać transakcji przy użyciu karty. Tym samym nie tyle uszczuplili środki pieniężne wniesione przez powódkę na konto bankowe, ile wykorzystali jej konto jako konto „techniczne”, by przeprowadzić przestępne działanie wyłudzenia środków pieniężnych od banku. Wszelkie rozliczenia pomiędzy powódką i pozwanym powinny odbyć się zatem na zasadzie art. 405 i nast. k.c., które przewidują obowiązek zwrotu korzyści uzyskanych kosztem innej osoby. Skoro bowiem podstawa tych świadczeń została uznana za nieważną i sprzeczną z prawem, świadczenia te są świadczeniami nienależnymi w rozumieniu art. 410 k.c.

Mając na uwadze powyższe stanowisko Sądu, bezprzedmiotowe stały się rozważania na temat winy powódki w zakresie doprowadzenia do nieautoryzowanych transakcji płatniczych. Kwestia ta byłaby istotna, gdyby doszło do takich transakcji, które doprowadziłyby do wypłaty z rachunku bankowego powódki do rąk osoby nieuprawnionej oraz dokonania rozliczenia pieniężnego na podstawie dyspozycji wydanej przez osobę nieuprawnioną środków pieniężnych zdeponowanych przez powódkę. Wtedy zastosowanie znalazłyby przepisy ustawy o usługach płatniczych, w szczególności art. 46 ust. 1 powołanej ustawy. Przepis ten z zastrzeżeniem art. 44 ust. 2 (informacja o nieautoryzowanych transakcjach) stanowi, że w przypadku wystąpienia nieautoryzowanej transakcji płatniczej dostawca płatnika jest obowiązany niezwłocznie, nie później jednak niż do końca dnia roboczego następującego po dniu stwierdzenia wystąpienia nieautoryzowanej transakcji, którą został obciążony rachunek płatnika, lub po dniu otrzymania stosownego zgłoszenia, zwrócić płatnikowi kwotę nieautoryzowanej transakcji płatniczej, z wyjątkiem przypadku, gdy dostawca płatnika ma uzasadnione i należycie udokumentowane podstawy, aby podejrzewać oszustwo, i poinformuje o tym w formie pisemnej organy powołane do ścigania przestępstw. W przypadku, gdy płatnik korzysta z rachunku płatniczego, dostawca płatnika przywraca obciążony rachunek płatniczy do stanu, jaki istniałby, gdyby nie miała miejsca nieautoryzowana transakcja płatnicza. Bank wtedy może uwolnić się od obowiązku niezwłocznego zwrotu kwoty transakcji w przypadku wykazania, iż to osoba uprawniona do wykonywania operacji na tym rachunku była osobą, która dokonała autoryzacji lub w razie doprowadzenia do nieautoryzowanej transakcji przez klienta w sposób umyślny lub wskutek umyślnego albo stanowiącego rażące niedbalstwo naruszenia obowiązków, o których mowa w art. 42 ustawy.

Mając powyższe na uwadze, Sąd oddalił powództwo o zapłatę, jako nie znajdujące oparcia w przywołanej podstawie prawnej (pkt II wyroku).

O kosztach procesu orzeczono na zasadzie art. 100 k.p.c. wobec tylko częściowego uwzględniania żądań powódki (pkt III wyroku).

WYROK

W IMIENIU RZECZYPOSPOLITEJ POLSKIEJ

UZASADNIENIE