Μια δικαστική εξέλιξη που αλλάζει τους κανόνες του παιχνιδιού στις ηλεκτρονικές συναλλαγές ήρθε από το Πολυμελές Πρωτοδικείο Θεσσαλονίκης. Με την απόφαση 43542/2025, το Δικαστήριο αναγνώρισε με απόλυτη σαφήνεια ότι, στις επιθέσεις τύπου phishing, οι τράπεζες δεν μπορούν πλέον να κρύβονται πίσω από τη δικαιολογία ότι «ο πελάτης εξαπατήθηκε». Αντίθετα, τους επιβάλλεται αντικειμενική ευθύνη και υποχρέωση αποζημίωσης.
Η υπόθεση αφορά μια τεράστια απώλεια 400.000 ευρώ από κοινό τραπεζικό λογαριασμό. Η τράπεζα όχι μόνο υποχρεώθηκε να επιστρέψει 356.672,63 ευρώ, αλλά και να καταβάλει 10.000 ευρώ σε κάθε έναν από τους ενάγοντες για την ηθική βλάβη που υπέστησαν. Νομικοί κύκλοι χαρακτηρίζουν την απόφαση «ορόσημο» που μπορεί να επηρεάσει δεκάδες παρόμοιες υποθέσεις.
Phishing: η μάστιγα των ψηφιακών συναλλαγών
Η υπόθεση δεν είναι μεμονωμένη. Τα τελευταία χρόνια, οι απάτες phishing έχουν εκτοξευθεί. Σύμφωνα με πρόσφατη έρευνα της ΕΣΕΕ σε συνεργασία με τη Visa, σχεδόν έξι στους δέκα καταναλωτές έχουν δεχθεί απόπειρα ηλεκτρονικής εξαπάτησης μέσω δήθεν e-mail ή SMS από «τράπεζες», «πάροχους υπηρεσιών» ή «λογιστές». Σε παγκόσμιο επίπεδο, υπολογίζεται ότι καθημερινά κυκλοφορούν πάνω από 3,4 δισεκατομμύρια παραπλανητικά μηνύματα.
Παρά την έκρηξη αυτού του φαινομένου, οι τράπεζες συνήθως αποποιούνται κάθε ευθύνη, υποστηρίζοντας ότι ο πελάτης φταίει επειδή αποκάλυψε προσωπικούς κωδικούς. Το δικαστήριο όμως έβαλε οριστικό τέλος σε αυτή τη λογική.
Το χρονικό μιας καλοστημένης απάτης
Το περιστατικό συνέβη στις 28 Απριλίου 2022. Ένας άγνωστος προσποιήθηκε τηλεφωνικά ότι καλεί από το λογιστικό γραφείο των θυμάτων. Με τρόπο απόλυτα πειστικό κατάφερε να αποσπάσει:
τον αριθμό της χρεωστικής κάρτας,
και μια σειρά από κωδικούς OTP που είχαν σταλεί στο κινητό της ενάγουσας μέσω SMS.
Με τα δεδομένα αυτά, μέσα σε μόλις 35 λεπτά, ο δράστης κατάφερε να:
αλλάξει όλους τους κωδικούς πρόσβασης στο e-banking,
καταχωρίσει νέο κινητό τηλέφωνο με διαφορετική IP,
ενεργοποιήσει push notifications, ώστε οι νέοι κωδικοί να φτάνουν σε αυτόν,
δημιουργήσει «φιλικό» λογαριασμό,
και τελικά να μεταφέρει 400.000 ευρώ σε μία και μόνη συναλλαγή.
Η τράπεζα δεν μπήκε καν στη διαδικασία να ελέγξει ότι:
η συναλλαγή ήταν πρωτοφανής σε ύψος,
πραγματοποιήθηκε από άγνωστη συσκευή,
συνοδευόταν από μια ξαφνική αλλαγή ασφαλείας.
⚖️ Πού στηρίχθηκε το Δικαστήριο – Τα νομικά θεμέλια της απόφασης
Η απόφαση βασίστηκε στις ισχυρές διατάξεις του Ν. 4537/2018 (ο νόμος που εναρμόνισε το PSD2), στο Ν. 2251/1994 για την προστασία του καταναλωτή και σε άρθρα του Αστικού Κώδικα περί αδικοπραξιών και καλής πίστης.
Το Δικαστήριο τόνισε ότι:
Η τράπεζα πρέπει να αποδείξει πως η συναλλαγή έγινε από τον ίδιο τον χρήστη.
Η απλή καταχώριση κωδικών δεν αποδεικνύει συναίνεση, ιδίως όταν υπάρχει απάτη.
Η νομοθεσία επιβάλλει στις τράπεζες να έχουν σύγχρονα συστήματα ανίχνευσης κινδύνου και όχι να λειτουργούν παθητικά.
Η τράπεζα κρίθηκε υπαίτια για:
1️⃣ Ελλιπή πρόνοια και ασφάλεια
Το σύστημα φάνηκε ανίκανο να εντοπίσει μια σειρά ύποπτων κινήσεων που συνέβησαν σε ελάχιστο χρόνο.
2️⃣ Μη εφαρμογή ισχυρής ταυτοποίησης (SCA)
Η αλληλουχία αλλαγών – κωδικοί, νέα συσκευή, push notifications, τεράστια μεταφορά – θα έπρεπε να έχει μπλοκαριστεί άμεσα ή τουλάχιστον να απαιτεί πρόσθετο έλεγχο.
3️⃣ Βαριά αμέλεια σε επίπεδο ενημέρωσης και προστασίας πελατών
Το δικαστήριο έκρινε ότι η τράπεζα δεν είχε λάβει επαρκή μέτρα ούτε για την τεχνική προστασία ούτε για την πρόληψη αυτών των περιστατικών.
♂️ Ο πελάτης: θύμα πλάνης, όχι υπαίτιος
Η τράπεζα προσπάθησε να αποδώσει το 99,9% της ευθύνης στην πελάτισσα επειδή αποκάλυψε τους κωδικούς της. Το δικαστήριο απέρριψε αυτόν τον ισχυρισμό: η συμπεριφορά της δεν προήλθε από αδιαφορία ή απερισκεψία, αλλά από εξαπάτηση μέσω πειστικού τηλεφωνήματος – κάτι που μπορεί να συμβεί στον οποιονδήποτε.
Ο νόμος προβλέπει ότι ο πελάτης ευθύνεται πλήρως μόνο όταν υπάρχει δόλος ή βαριά αμέλεια. Εδώ κρίθηκε ότι υπήρξε μόνο ελαφρά αμέλεια, άρα η επιβάρυνσή της περιορίστηκε στο ανώτατο ποσό των 50 ευρώ.
Τι επιδίκασε το Δικαστήριο
Η απόφαση υποχρεώνει την τράπεζα:
να καταβάλει 356.672,63 ευρώ για την οικονομική ζημιά,
να δώσει 10.000 ευρώ σε κάθε έναν από τους τρεις ενάγοντες για ηθική βλάβη,
και να καλύψει σημαντικό μέρος των δικαστικών δαπανών.
Γιατί αυτή η απόφαση αλλάζει το μέλλον των ηλεκτρονικών συναλλαγών
Η συγκεκριμένη κρίση αποτελεί σαφή δήλωση ότι η ευθύνη για ηλεκτρονικές απάτες μετατοπίζεται πλέον προς τα πιστωτικά ιδρύματα, όπως ακριβώς ορίζει η φιλοσοφία της PSD2.
Οι τράπεζες δεν μπορούν να περιοριστούν στην παροχή απλών μέσων ταυτοποίησης. Οφείλουν να έχουν ενεργά, εξελιγμένα συστήματα ασφαλείας που εντοπίζουν ύποπτη συμπεριφορά, ακόμη κι αν ο πελάτης έχει παραχωρήσει – εν αγνοία του – στοιχεία ασφαλείας.
Η απόφαση αυτή δημιουργεί νομολογία που μπορεί να διεκδικηθεί και από άλλους πολίτες που έπεσαν θύματα phishing, ανοίγοντας τον δρόμο για μια πολύ πιο αυστηρή στάση απέναντι στα τραπεζικά ιδρύματα.
