Τόσες ημέρες διαβάζω και ακούω διάφορα.Αντιλαμβάνομαι την ανάγκη να μη διασαλευθεί ή ¨δυσαρεστηθεί¨ το τραπεζικό λόμπι με το οποίο έχουν αναπτυχθεί...πολυεπίπεδες σχέσεις αλλά δεν θα μας ισοπεδώσουν...

Original Post

Πλήρες Κείμενο:

Πάμε να τα δούμε αναλυτικά όλα ( να έχετε υπομονή και να μην ¨τρέχετε¨ με το scroll ,πιστέψτε με σας ενδιαφέρει οχι μόνο ως πελάτες τραπεζών αλλά και ως φορολογούμενοι δημότες και κάτοικοι της περιφέρειας Κρήτης). Στην Περιφέρεια Κρήτης έχει επιβεβαιωθεί ότι αφαιρέθηκαν περίπου 152.000 ευρώ μέσω 55 διαδοχικών συναλλαγών, σε πολύ σύντομο χρονικό διάστημα και μάλιστα μεταμεσονύκτιες ώρες.

Οι δράστες απέκτησαν στοιχεία πρόσβασης αφού υπάλληλοι τα καταχώρισαν σε πλαστή ιστοσελίδα που προσομοίαζε εκείνη της συνεργαζόμενης τράπεζας.

Περισσότερο από το μισό ποσό έχει ήδη εντοπιστεί και δεσμευθεί.

Για τον Δήμο Αγίου Νικολάου υπάρχει μια αντίφαση που πρέπει δημοσιογραφικά να κρατήσουμε. Ο Δήμος ανακοίνωσε επισήμως ότι δεν υπέστη οικονομική ζημία, ενώ νεότερα ρεπορτάζ επιμένουν αναφέρουν ότι αφαιρέθηκαν 495.000 ευρώ και ότι οι αναλήψεις/μεταφορές συνεχίζονταν επί τρεις ημέρες, ακόμη και μη εργάσιμες ημέρες.

Το πιο ενδιαφέρον; Oι δύο υποθέσεις φέρεται να αφορούν την ίδια τράπεζα και ίδιους λογαριασμούς/δικαιούχους προορισμού.

Kαι εδώ πρέπει να προχωρήσει η συζήτηση η οποία δεν βλέπω , δεν διαβάζω και δεν ακούω να προχωράει απο κανέναν.

Γιατί άραγε ; O νόμος 4537/2018, με τον οποίο ενσωματώθηκε στην Ελλάδα η ευρωπαϊκή PSD2,είναι σαφής.

Δεν αρκεί η τράπεζα να παρέχει απλώς username, password και κωδικό μιας χρήσης.

Το άρθρο 96 επιβάλλει ισχυρή ταυτοποίηση του πελάτη όταν αυτός συνδέεται ηλεκτρονικά ή εκκινεί ηλεκτρονική πληρωμή.

Και στις εξ αποστάσεως πληρωμές η ταυτοποίηση πρέπει να συνδέεται δυναμικά με συγκεκριμένο ποσό και συγκεκριμένο δικαιούχο.

Υπάρχει όμως μια ακόμη, πολύ σημαντικότερη υποχρέωση. Ο Κανονισμός (ΕΕ) 2018/389 επιβάλλει στις τράπεζες να διαθέτουν μηχανισμούς παρακολούθησης συναλλαγών για τον εντοπισμό μη εξουσιοδοτημένων ή δόλιων πληρωμών.

Και οι μηχανισμοί αυτοί δεν λειτουργούν γενικά και αόριστα: πρέπει να εξετάζουν το ποσό της συναλλαγής, γνωστά σενάρια απάτης, ενδείξεις παραβίασης στοιχείων αυθεντικοποίησης και την απόκλιση από τη συνήθη συμπεριφορά του συγκεκριμένου πελάτη.Αυτό είναι ίσως το κρισιμότερο στοιχείο για την περίπτωση της Περιφέρειας.

Η επίσημα περιγραφόμενη εικόνα είναι 55 διαδοχικές συναλλαγές, μέσα σε εξαιρετικά σύντομο χρονικό διάστημα, μεταμεσονύκτιες ώρες, συνολικού ύψους 152.000 ευρώ.

Το ερώτημα επομένως δεν μπορεί να περιοριστεί στο:«Έδωσε ένας υπάλληλος τους κωδικούς του σε πλαστό site;» αλλά στο : «Γιατί το σύστημα καταπολέμησης απάτης της τράπεζας δεν εντόπισε ως ασυνήθιστη την εκτέλεση 55 συναλλαγών από λογαριασμό δημόσιου φορέα, μέσα στη νύχτα, προς νέους ή ασυνήθιστους δικαιούχους;» Ο ευρωπαϊκός κανονισμός επιβάλλει ακριβώς τέτοια παρακολούθηση.

Η τράπεζα πρέπει να έχει μηχανισμούς που συγκρίνουν τη συναλλαγή με τα χαρακτηριστικά της κανονικής συμπεριφοράς του συγκεκριμένου χρήστη.

Άρα, ακόμη και εάν υπήρξε αρχικό ανθρώπινο λάθος υπαλλήλου της Περιφέρειας, αυτό δεν απαντά αυτομάτως στο ζήτημα της τραπεζικής ευθύνης.

Πρόκειται για δύο διαφορετικά επίπεδα ασφάλειας.

Το πρώτο είναι η προστασία των κωδικών από τον πελάτη.

Το δεύτερο είναι η υποχρέωση της τράπεζας να εντοπίζει και να αντιμετωπίζει ύποπτη συναλλακτική συμπεριφορά ακόμη και όταν έχουν παραβιαστεί τα διαπιστευτήρια του πελάτη.

Αυτό έχει ιδιαίτερη νομική σημασία καθώς στο άρθρο 72 του ν. 4537/2018 προβλέπει, για τις περιπτώσεις στις οποίες εφαρμόζεται πλήρως, ότι όταν ο πελάτης αρνείται ότι ενέκρινε τη συναλλαγή, η τράπεζα πρέπει να αποδείξει ότι η συναλλαγή ταυτοποιήθηκε και καταγράφηκε σωστά.

Ακόμη σημαντικότερο: η απλή καταγραφή της χρήσης του μέσου πληρωμής δεν αποτελεί από μόνη της επαρκή απόδειξη ότι ο πελάτης πραγματικά ενέκρινε τη συναλλαγή ή ότι ενήργησε με δόλο ή βαριά αμέλεια.

Σε περίπτωση μη εγκεκριμένης συναλλαγής, ο γενικός κανόνας του άρθρου 73 είναι ότι η τράπεζα επιστρέφει το ποσό άμεσα και το αργότερο μέχρι το τέλος της επόμενης εργάσιμης ημέρας, εκτός εάν έχει βάσιμες υπόνοιες απάτης και ακολουθήσει τη νόμιμη διαδικασία.

Και ο καταναλωτής χάνει αυτή την ισχυρή προστασία κυρίως όταν αποδειχθεί δόλος ή βαριά αμέλεια από την πλευρά του.

Εδώ όμως υπάρχει μια μεγάλη νομική ιδιαιτερότητα για Δήμο και Περιφέρεια.Δεν είναι καταναλωτές.

Το άρθρο 61 του ν. 4537/2018 επιτρέπει, όταν ο πελάτης δεν είναι καταναλωτής, στην τράπεζα και στον πελάτη να συμφωνήσουν ότι ορισμένες διατάξεις ,μεταξύ αυτών τα άρθρα 72 και 74, δεν εφαρμόζονται εν όλω ή εν μέρει.

Μπορούν επίσης να έχουν συμφωνήσει διαφορετικές προθεσμίες γνωστοποίησης.

Αυτό σημαίνει ότι για να απαντήσουμε οριστικά ποιος χρεώνεται τα 152.000 ή τα 495.000 ευρώ, πρέπει να αποκτηθεί ένα καθοριστικό έγγραφο:η σύμβαση e-banking της Περιφέρειας Κρήτης και η αντίστοιχη σύμβαση του Δήμου Αγίου Νικολάου με τη συγκεκριμένη τράπεζα.

Εκεί θα φαίνεται ποιες από τις επιτρεπόμενες παρεκκλίσεις του άρθρου 61 έχουν συμφωνηθεί.Οι συμβατικοί όροι όμως δεν σημαίνουν ότι η τράπεζα μπορεί να αδιαφορεί για την ασφάλεια.

Ακόμη και στους εταιρικούς/θεσμικούς πελάτες οι τράπεζες δεν έχουν λευκή επιταγή.Οι υποχρεώσεις ασφαλείας και η ευρωπαϊκή υποχρέωση ύπαρξης μηχανισμών ανίχνευσης απάτης εξακολουθούν να έχουν τεράστια σημασία.

Μάλιστα, ο ίδιος Κανονισμός 2018/389 προβλέπει ειδικά για νομικά πρόσωπα ότι μπορεί να χρησιμοποιηθεί ειδικό εταιρικό σύστημα πληρωμών αντί της συνηθισμένης ισχυρής ταυτοποίησης μόνο εφόσον το σύστημα αυτό παρέχει τουλάχιστον ισοδύναμο επίπεδο ασφάλειας.

Άρα δεν υπάρχει λογική «είναι Δήμος, άρα η τράπεζα δεν ευθύνεται».Ήδη για αντίστοιχες υποθέσεις υπάρχει σημαντική ελληνική νομολογία.

Με την ΠΠρΘεσ 43542/2025, ελληνικό δικαστήριο καταδίκασε τράπεζα σε υπόθεση ηλεκτρονικής απάτης με συναλλαγή εκατοντάδων χιλιάδων ευρώ.

Τι είχε συμβεί; Μέσα σε μόλις 35 λεπτά είχε γίνει αλλαγή κωδικών, εγγραφή νέας συσκευής, ενεργοποίηση push notifications, προσθήκη νέου «φιλικού» λογαριασμού και τελικά μεταφορά 400.000 ευρώ.

Το δικαστήριο έκρινε ότι η τράπεζα όφειλε να αντιληφθεί την ασυνήθιστη συναλλαγή, να την αναστείλει ή να ζητήσει αυστηρότερη ταυτοποίηση ,ακόμη και τηλεφωνική επικοινωνία με τους πελάτες.

Η τράπεζα υποχρεώθηκε να καλύψει την οικονομική ζημία που δεν είχε ανακτηθεί, 356.672,63 ευρώ, ενώ επιδικάστηκε και χρηματική ικανοποίηση λόγω ηθικής βλάβης.

Η ομοιότητα με την Κρήτη ως προς το νομικό ερώτημα είναι εντυπωσιακή! Όχι ως προς το ποιος τελικά ευθύνεται -αυτό θα το κρίνει η έρευνα και ενδεχομένως το δικαστήριο-, αλλά ως προς το ερώτημα: Πότε η συναλλακτική συμπεριφορά γίνεται τόσο αφύσικη ώστε η τράπεζα να οφείλει να παρέμβει; Υπάρχει και νεότερη απόφαση του 2026 στην οποία κρίθηκε ότι, όταν μια συναλλαγή μεγάλου ποσού προς λογαριασμό αλλοδαπής τράπεζας είχε ήδη χαρακτηριστικά που την έκαναν ελεγκτέα, η τράπεζα όφειλε να μην προχωρήσει στην εκτέλεση πριν επικοινωνήσει με τον πελάτη.

Η ευθύνη θεμελιώθηκε όχι μόνο στον ν. 4537/2018 αλλά και στα άρθρα 288 και 914 ΑΚ. Άρα ποια μπορεί να είναι η ευθύνη της τράπεζας; Με βάση όσα γνωρίζουμε σήμερα, δεν μπορεί ακόμη να ειπωθεί ότι η τράπεζα οπωσδήποτε θα πληρώσει τα χρήματα, ιδίως επειδή πρόκειται για δημόσιους φορείς και πρέπει να δούμε τις συμβάσεις τους.

Μπορεί όμως να επισημανθεί κάτι πιο σημαντικό: Υπάρχουν σοβαρά πραγματικά και νομικά δεδομένα που επιβάλλουν να ελεγχθεί η τράπεζα και όχι μόνο οι υπάλληλοι που εξαπατήθηκαν.

Και ειδικά στην Περιφέρεια πρέπει να απαντηθούν συγκεκριμένα ερωτήματα: πώς πέρασαν 55 συναλλαγές μέσα στη νύχτα χωρίς αυτόματη αναστολή, αν οι δικαιούχοι ήταν καινούργιοι, αν άλλαξε προηγουμένως συσκευή ή στοιχεία πρόσβασης, από ποιες IP και γεωγραφικές τοποθεσίες έγιναν οι συνδέσεις, αν ενεργοποιήθηκε κάποιο fraud alert, ποιο risk score έδωσε το σύστημα σε καθεμία από τις 55 πράξεις και γιατί δεν έγινε τηλεφωνική επιβεβαίωση με εξουσιοδοτημένο υπάλληλο της Περιφέρειας ; Και εφόσον επιβεβαιωθεί ότι η ίδια τράπεζα είχε λίγες ημέρες αργότερα δεύτερο περιστατικό με το ίδιο μοτίβο και τους ίδιους λογαριασμούς/δικαιούχους, προκύπτουν επιπλέον σοβαρά ερωτήματα: Μετά το πρώτο περιστατικό των 152.000 ευρώ, είχε πλέον η τράπεζα γνώση ενός συγκεκριμένου fraud pattern; Είχαν σημειωθεί οι λογαριασμοί των δικαιούχων ως ύποπτοι; Και αν ναι, πώς ήταν δυνατό να περάσει δεύτερη σειρά συναλλαγών εκατοντάδων χιλιάδων ευρώ προς το ίδιο δίκτυο; Με άλλα λόγια, η ουσία δεν είναι μόνο αν «οι υπάλληλοι πάτησαν έναν λάθος σύνδεσμο». Είναι κι΄αν: «Μπορεί ένας απατεώνας, επειδή υπέκλεψε έναν κωδικό, να κάνει 55 μεταφορές μέσα στη νύχτα από δημόσιο λογαριασμό χωρίς το τραπεζικό σύστημα να σηκώσει κόκκινη σημαία; Και αν το ίδιο δίκτυο ξαναχτύπησε λίγες ημέρες μετά μέσω της ίδιας τράπεζας, τι έκανε η τράπεζα μετά το πρώτο χτύπημα;» Αυτά είναι ερωτήματα που πλέον έχουν πολύ συγκεκριμένο νομικό έρεισμα και όχι απλώς πολιτική ή δημοσιογραφική βάση.

Περιμένω με ενδιαφέρον τις νομικές ενέργειες που έχουν ακολουθήσει Περιφέρεια Κρήτης και Δήμος Αγίου Νικολάου.

Πως εξηγείται δηλαδή να έχουν κατατεθεί μηνύσεις ΜΟΝΟ κατα παντός υπεύθυνου και όχι και κατά της τράπεζας που όπως παρουσιάστηκε με στοιχεία έχει αντικειμενική ευθύνη ;

Η επιλογή των posts/links γίνεται με ένα στατιστικό μοντέλο και μπορεί να μην απεικονίζει επακριβώς τη σειρά δημοτικότητάς τους