Έπεσες θύμα ηλεκτρονικής απάτης μέσω e-banking και η τράπεζα αρνείται να σε αποζημιώσει επικαλούμενη το 2FA; Μια ιστορική δικαστική απόφαση αλλάζει πλήρως τα δεδομένα στις τραπεζικές υποκλοπές στην Ελλάδα. Το δικαστήριο δικαίωσε καταθέτες, αναγνωρίζοντας ότι η τυπική επιβεβαίωση κωδικών δεν ισοδυναμεί με πραγματική έγκριση συναλλαγής.
- Το Πολυμελές Πρωτοδικείο Αθηνών επιδίκασε επιστροφή 9.800€ και αποζημίωση για ηθική βλάβη σε θύματα phishing.
- Καταρρίφθηκε ο τραπεζικός ισχυρισμός ότι η ολοκλήρωση της διαδικασίας Strong Customer Authentication (SCA) απαλλάσσει το ίδρυμα από ευθύνη.
- Η απόφαση δημιουργεί ισχυρό δεδικασμένο για χιλιάδες υποθέσεις υποκλοπής χρημάτων μέσω e-banking και SMS OTP.
Το χρονικό της υποκλοπής των 9.800€
Η υπόθεση αφορά δύο συνδικαιούχους λογαριασμού, οι οποίοι είδαν 9.800€ να εξαφανίζονται προς τραπεζικό λογαριασμό του εξωτερικού. Οι επιτιθέμενοι απέκτησαν πρόσβαση στα ψηφιακά διαπιστευτήρια e-banking μέσω κακόβουλης ανακατεύθυνσης.
Οι δικαιούχοι αντιλήφθηκαν άμεσα τη συναλλαγή και ειδοποίησαν την τράπεζα χωρίς καθυστέρηση. Παρά την άμεση ειδοποίηση, το τραπεζικό ίδρυμα αρνήθηκε την επιστροφή των κεφαλαίων.
Η πρωτόδικη απόφαση του Ειρηνοδικείου είχε αρχικά απορρίψει την αγωγή των παθόντων. Ωστόσο, η απόφαση 1489/2026 του Πολυμελούς Πρωτοδικείου Αθηνών ανέτρεψε πλήρως το αποτέλεσμα στην έφεση, δικαιώνοντας τους ενάγοντες.
Γιατί κατέρρευσε το άλλοθι του 2FA
Μέχρι σήμερα, οι τράπεζες προέβαλαν συστηματικά το επιχείρημα της «βαριάς αμέλειας» του χρήστη. Ισχυρίζονταν ότι εφόσον το σύστημα έλαβε έγκυρο κωδικό OTP ή push notification, η συναλλαγή θεωρείται αυτομάτως εγκεκριμένη.
Το δικαστήριο αποδόμησε αυτή τη γραμμή άμυνας. Έκρινε ότι η τεχνική επιβεβαίωση των βημάτων ταυτοποίησης δεν αποδεικνύει τη βούληση του πραγματικού δικαιούχου για την εκτέλεση της πληρωμής.
Στην πράξη, οι κυβερνοεγκληματίες χρησιμοποιούν σύγχρονα reverse-proxy εργαλεία phishing. Με αυτά παρακάμπτουν τη βασική ψηφιακή ασφάλεια υποκλέπτοντας session tokens σε πραγματικό χρόνο.
Ευρωπαϊκή οδηγία PSD2 και τραπεζική ευθύνη
Η ευρωπαϊκή οδηγία PSD2 ορίζει ρητά ότι το βάρος της απόδειξης για δόλο ή βαριά αμέλεια ανήκει αποκλειστικά στον πάροχο υπηρεσιών πληρωμών. Η απλή καταγραφή μιας επιτυχημένης σύνδεσης δεν αρκεί ως απόδειξη.
Τα τραπεζικά συστήματα οφείλουν να διαθέτουν μηχανισμούς ανίχνευσης ασυνήθιστης δραστηριότητας (fraud detection algorithms). Μια ξαφνική μεταφορά σχεδόν 10.000€ προς άγνωστο IBAN εξωτερικού αποτελεί κλασικό δείκτη κινδύνου που έπρεπε να μπλοκαριστεί αυτόματα.
| Παράμετρος | Θέση Τραπεζών (Παλαιότερα) | Δικαστική Απόφαση 1489/2026 |
|---|---|---|
| Χρήση κωδικού 2FA/OTP | Απόλυτη απόδειξη έγκρισης από τον χρήστη | Μη εξουσιοδοτημένη συναλλαγή παρά το τεχνικό verification |
| Κατανομή Ευθύνης | Βαριά αμέλεια του καταναλωτή | Ευθύνη τραπεζικού ιδρύματος για ελλιπή προστασία |
| Αποζημίωση | Καμία επιστροφή χρημάτων | Πλήρης επιστροφή ποσού + ηθική βλάβη |
Τεχνικά μέτρα προστασίας πέρα από SMS
Η εμπειρία μας με παρόμοια περιστατικά δείχνει ότι τα SMS OTP αποτελούν τον πιο ευάλωτο κρίκο στην αλυσίδα πιστοποίησης. Οι μέθοδοι phishing έχουν εξελιχθεί ώστε να παρακάμπτουν τα μηνύματα κειμένου μέσα σε δευτερόλεπτα.
Για μέγιστη ασφάλεια, ενεργοποίησε τα push notifications μέσα από την επίσημη εφαρμογή της τράπεζας. Έλεγχε πάντοτε το ακριβές ποσό και τον τελικό παραλήπτη που αναγράφονται στην οθόνη επιβεβαίωσης.
Επιπλέον, η μετάβαση σε τεχνολογίες passkeys και hardware tokens εκμηδενίζει τον κίνδυνο υποκλοπής διαπιστευτηρίων. Όρισε χαμηλά ημερήσια όρια μεταφορών προς τρίτους ώστε να περιορίσεις τη δυνητική ζημιά.
Η άποψή μας στο TechNoid
Η απόφαση αυτή γκρεμίζει την πολυετή ασυλία των τραπεζών απέναντι στα θύματα ηλεκτρονικής απάτης. Για πάρα πολύ καιρό, τα χρηματοπιστωτικά ιδρύματα μετέφεραν ολόκληρο το ρίσκο της κυβερνοασφάλειας στις πλάτες του απλού χρήστη.
Δεν νοείται εν έτει 2026 τα fraud detection συστήματα να επιτρέπουν άμεσες μεταφορές χιλιάδων ευρώ σε ύποπτα IBAN χωρίς επιπρόσθετη καθυστέρηση ή ανθρώπινο έλεγχο. Η επιδίκαση ηθικής βλάβης στέλνει ένα ξεκάθαρο μήνυμα: η τεχνολογική ανεπάρκεια των τραπεζικών φίλτρων κοστίζει.
Αν και αποτελεί τεράστια νίκη για τους καταναλωτές, ο δρόμος παραμένει δύσκολος. Οι παθόντες δεν πρέπει να εφησυχάζουν, καθώς η δικαστική οδός παραμένει χρονοβόρα και κοστοβόρα για τον μέσο πολίτη.
Συχνές Ερωτήσεις για Τραπεζικές Απάτες
Τι θεωρείται μη εγκεκριμένη συναλλαγή;
Είναι η συναλλαγή που εκτελέστηκε χωρίς την πραγματική βούληση ή εξουσιοδότηση του νόμιμου κατόχου, ακόμη κι αν χρησιμοποιήθηκαν τα διαπιστευτήρια πρόσβασης.
Τι πρέπει να κάνω αμέσως μόλις αντιληφθώ κλοπή χρημάτων;
Κάλεσε άμεσα την τράπεζα για μπλοκάρισμα λογαριασμών και καρτών, υπέβαλε έγγραφη αμφισβήτηση συναλλαγής και κάνε καταγγελία στη Δίωξη Ηλεκτρονικού Εγκλήματος.
Αρκεί η αποστολή SMS OTP για να χάσω το δικαίωμα αποζημίωσης;
Όχι. Η πρόσφατη νομολογία αποδεικνύει ότι η απλή υποκλοπή του κωδικού δεν συνιστά αυτόματα βαριά αμέλεια του καταναλωτή.
Πόσο χρόνο έχω για να αμφισβητήσω μια τραπεζική συναλλαγή;
Σύμφωνα με το νόμο, οφείλεις να ενημερώσεις την τράπεζα χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός 13 μηνών από την ημερομηνία χρέωσης.
Τι είναι η «βαριά αμέλεια» που επικαλούνται οι τράπεζες;
Είναι η παντελής έλλειψη της στοιχειώδους προσοχής, την οποία όμως υποχρεούται να αποδείξει με αδιάσειστα τεχνικά στοιχεία η ίδια η τράπεζα και όχι ο πελάτης.
