Bankovne prijevare: kako izgledaju i što učiniti odmah

Gotovo svaka moderna bankovna prijevara završava u istoj točki: vi sami potvrdite plaćanje ili prijavu u aplikaciji. Napadač ne provaljuje u banku, nego vas uvjeri da kliknete "potvrdi". Zbog toga je razlika između neovlaštene i odobrene transakcije ključna za to hoće li novac biti vraćen.

Ako transakciju niste odobrili, banka je u pravilu dužna vratiti iznos, najkasnije do kraja sljedećeg radnog dana od prijave. Ako ste je odobrili, makar i prevareni, povrat nije automatski i teret dokaza pada na vas. Zato se sve odlučuje u sekundi prije potvrde.

Tipologija prijevara: sedam obrazaca koji se ponavljaju#

Tri obrasca zaslužuju dodatno objašnjenje jer se najčešće završe velikim iznosima.

Lažni poziv iz banke koristi lažiranje broja pozivatelja. Na ekranu piše broj banke, sugovornik zna vaše ime i zadnje transakcije jer su procurile ili su prikupljene ranijim phishingom. Scenarij je uvijek isti: "uočili smo sumnjivu transakciju, moramo je poništiti, potvrdite u aplikaciji". Ta potvrda nije poništenje, nego autorizacija plaćanja ili uparivanje novog uređaja.

Posrednik u plaćanju je najopasniji za onoga tko misli da nije žrtva. Ako pristanete primiti tuđi novac i proslijediti ga, sudjelujete u pranju novca. Račun se blokira, a protiv vas se može voditi kazneni postupak, iako ste zadržali samo proviziju od primjerice 200 EUR na 2.500 EUR prometa.

Zamjena IBAN-a pogađa tvrtke (firme, preduzeća). Napadač uđe u e-poštu jedne strane, prati komunikaciju tjednima i u pravom trenutku pošalje isti račun s promijenjenim IBAN-om, uz objašnjenje o "promjeni poslovne banke". Nalog je uredan i ide na točan IBAN, samo krivog vlasnika, pa vrijede pravila opisana u tekstu o pogrešnom IBAN-u i opozivu naloga.

Po čemu se prepoznaju#

• Vremenski pritisak. Rok od pet minuta, "račun se blokira večeras", "ponuda vrijedi danas".
• Promjena kanala. Poruka počne na oglasniku ili društvenoj mreži, a nastavlja se na aplikaciji za dopisivanje.
• Traženje koda ili potvrde. Svaki zahtjev za kodom iz SMS-a, PIN-om, lozinkom ili potvrdom u aplikaciji je prijevara, bez iznimke.
• Daljinski pristup. Instalacija aplikacije koja "pomaže tehničkoj podršci" znači da napadač vidi vaš ekran i upravlja uređajem.
• Uplata fizičkoj osobi. Trgovina koja traži uplatu na osobni račun ili u kriptovaluti nije trgovina.
• Prinos bez rizika. Zajamčen visok prinos je matematički nemoguć, o čemu više piše u tekstu o kriptovalutama bez hajpa.
• Nepodudarnost imena i IBAN-a. Upozorenje banke prije potvrde naloga treba shvatiti kao stop znak.

Zašto je odobrenje u aplikaciji ključni trenutak#

Jaka autentifikacija korisnika znači da se plaćanje potvrđuje s dva neovisna elementa, primjerice uređajem i biometrijom. Ta zaštita radi odlično protiv krađe podataka, ali ne radi ništa protiv uvjeravanja. Ako vas napadač navede da sami potvrdite, transakcija je tehnički savršeno ispravna.

Prije svakog odobrenja pročitajte što točno potvrđujete. U poruci gotovo uvijek piše radnja i iznos:

• "Prijava na internetsko bankarstvo" tijekom razgovora s "bankarom" znači da napadač ulazi u vaš račun.
• "Uparivanje novog uređaja" znači da napadač preuzima vašu aplikaciju.
• "Plaćanje 2.480 EUR" nije poništenje ničega, nego plaćanje.

Pravilo je jednostavno: nijedno poništenje, provjera ili zaštita ne izvodi se potvrdom plaćanja.

Prvih pet poteza nakon prijevare#

1. Blokirajte. Nazovite banku na broj s poleđine kartice ili iz aplikacije, blokirajte karticu, aplikaciju i pristup internetskom bankarstvu. Instant nalog je izvršen u sekundama, pa svaka minuta smanjuje šansu za povrat.
2. Zatražite povrat i zaustavljanje sredstava. Tražite pokretanje postupka povrata prema banci primatelja i evidentiranje prijave. Zapišite ime osobe s kojom ste razgovarali, datum i vrijeme.
3. Prijavite policiji. Kazneno djelo prijavljuje se policiji, a u više zemalja regije postoje posebne jedinice za kibernetički kriminalitet. Potvrda prijave je dokaz koji banka traži u daljnjem postupku.
4. Očistite pristup. S uređaja koji nije bio kompromitiran promijenite lozinke za e-poštu i bankarstvo, uključite dvostruku provjeru, uklonite aplikacije za daljinski pristup i provjerite popis uparenih uređaja.
5. Uložite pisani prigovor banci. Usmena prijava ne pokreće rokove. Prigovor napišite u aplikaciji, e-poštom ili u poslovnici, uz opis događaja, iznose, IBAN primatelja i vrijeme transakcija.

Rokovi i tko snosi štetu#

Na prigovor banka mora odgovoriti u pisanom obliku, u roku koji je propisan nacionalnim pravilima, najčešće do 15 dana uz mogućnost produljenja u složenim slučajevima. Ako odgovor ne prihvaćate, slijede nadzorno tijelo, izvansudsko rješavanje sporova i sud. U Hrvatskoj nadzor nad kreditnim institucijama vodi Hrvatska narodna banka, u Srbiji Narodna banka Srbije ima centar za zaštitu korisnika financijskih usluga.

Kontrolna lista za sigurno bankarenje#

• Prekinite svaki poziv u kojem se traži potvrda u aplikaciji i nazovite banku sami, na službeni broj.
• Uključite obavijesti o svim transakcijama, ne samo o velikima.
• Postavite dnevne limite plaćanja i podignite ih samo kad vam trebaju.
• Držite e-poštu odvojenom lozinkom i dvostrukom provjerom, jer je ona ulaz u sve ostalo.
• Račune dobavljača s promijenjenim IBAN-om potvrdite telefonom, na broj iz ranije komunikacije.
• Ne instalirajte aplikacije za daljinski pristup na traženje nepoznate osobe.
• Novac koji ne koristite držite na odvojenom računu ili oročen, izvan dosega dnevnih plaćanja.
• Ako mijenjate banku, provjerite koje sigurnosne postavke prenosite, o čemu piše u vodiču kako promijeniti banku bez kaosa.
• Prije klika na poveznicu iz poruke otvorite aplikaciju banke ručno i provjerite ima li ondje ista obavijest, kao što se provjeravaju i uvjeti kod digitalnih banaka i novčanika.

Česta pitanja#

Mora li banka vratiti novac ako sam prevaren?#

Ovisi o tome jeste li transakciju odobrili. Kod neovlaštene transakcije banka vraća iznos, u pravilu do kraja sljedećeg radnog dana od prijave, osim ako ima opravdanu sumnju na prijevaru korisnika. Ako ste sami potvrdili plaćanje, povrat nije automatski, ali prigovor svejedno uložite, osobito ako banka nije upozorila na nepodudarnost imena i IBAN-a.

Koliko brzo moram prijaviti prijevaru?#

Odmah, jer se instant nalozi izvršavaju u sekundama. Formalno, neovlaštenu transakciju treba prijaviti bez nepotrebne odgode, a krajnji rok je 13 mjeseci od datuma terećenja. Nakon tog roka pravo na ispravak se gubi, bez obzira na okolnosti.

Kako prepoznati lažni SMS banke?#

Po pozivu na radnju i po poveznici. Prava banka ne traži prijavu preko poveznice iz poruke, ne traži kod iz SMS-a i ne prijeti blokadom u roku od nekoliko minuta. Lažne poruke često se ubace u isti razgovor kao i prave, jer je naziv pošiljatelja lako lažirati.

Kome se prijavljuje bankovna prijevara?#

Banci, radi blokade i pokušaja povrata, i policiji, radi kaznene prijave. U više zemalja regije postoje jedinice za kibernetički kriminalitet, a incidente je moguće prijaviti i nacionalnom timu za računalnu sigurnost. Ako niste zadovoljni odgovorom banke, obratite se nadzornom tijelu.

Je li sigurno slikati ili slati IBAN?#

IBAN sam po sebi nije tajna, on je adresa računa i nalazi se na svakoj uplatnici. Opasno je slati podatke za prijavu, kodove, PIN i preslike dokumenata nepoznatim osobama. Struktura IBAN-a i njegova uloga objašnjene su u tekstu o IBAN-u i SEPA-i.

Što ako sam primio tuđi novac na račun?#

Ne prosljeđujte ga i ne trošite. Odmah javite banci i tražite upute za povrat pošiljatelju. Prosljeđivanje tuđeg novca uz proviziju je uloga posrednika u plaćanju i može značiti kazneni progon zbog pranja novca, čak i ako niste znali odakle novac dolazi.