Ofiara phishingu w Belgii – jak odzyskać pieniądze po wyroku TSUE. Adwokat radzi: bank, Card Stop, policja i pismo z numerem sprawy C-70/25

Kto padł ofiarą oszustwa internetowego i stracił pieniądze z konta, ma od 15 października 2026 r. mocniejszą pozycję wobec banku. Brukselski adwokat Christophe Boeraeve wyjaśnia w tekście opublikowanym w poniedziałek 19 października przez dziennik La Libre, co krok po kroku zrobić po wyłudzeniu i jak reagować, gdy bank odmawia zwrotu, zarzucając klientowi rażące niedbalstwo.

Co zmienił wyrok z 15 października

Trybunał Sprawiedliwości Unii Europejskiej orzekł w sprawie C-70/25, że bank musi najpierw oddać pieniądze z nieautoryzowanej operacji, a dopiero potem może dochodzić straty od klienta. Sprawa dotyczyła klientki polskiego banku, której odmówiono zwrotu około 700 euro po tym, jak dała się nabrać na fałszywą stronę. Jak informowaliśmy, według Trybunału to bank musi udowodnić klientowi rażące niedbalstwo, a jeśli klient się nie zgadza – rozstrzyga sąd.

Według adwokata zwrot nie zależy już od tego, kto zawinił. Jeśli klient szybko zgłosi oszustwo, bank powinien oddać pieniądze najpóźniej do końca następnego dnia roboczego. Odmówić może tylko wtedy, gdy podejrzewa o oszustwo samego klienta – i musi wtedy na piśmie przekazać swoje powody właściwemu organowi. Przepisy unijnej dyrektywy, na których oparł się Trybunał, obowiązują w Belgii od lat i dotyczą wszystkich banków działających w tym kraju.

Co zrobić od razu po oszustwie

Christophe Boeraeve radzi ofiarom kilka kroków:

• natychmiast zadzwonić do działu zwalczania oszustw swojego banku, a potem do Card Stop pod numer 078 170 170, żeby zablokować karty, i zmienić kody,
• napisać do banku e-mailem lub przez komunikator w aplikacji i zachować kopię – wystarczy jedno zdanie, że kwestionuje się nieautoryzowaną operację z danego dnia na daną kwotę i na podstawie wyroku TSUE z 15 października 2026 r. w sprawie C-70/25 prosi o zwrot najpóźniej do końca następnego dnia roboczego; warto dołączyć zrzuty ekranu fałszywej wiadomości,
• zgłosić sprawę policji na komisariacie albo przez internetowy serwis policji Police on web, który przewiduje zgłoszenie phishingu, gdy sprawca jest nieznany, a poszkodowany ma belgijski dowód osobisty,
• przesłać fałszywą wiadomość do rządowego serwisu Safeonweb, na jego adres do zgłaszania podejrzanych wiadomości, co pomaga chronić innych.

Według federacji sektora finansowego Febelfin banki wykrywają, blokują lub odzyskują około trzech czwartych przelewów wyłudzonych przez phishing. Im szybciej klient zareaguje, tym większa szansa na odzyskanie pieniędzy.

Gdy bank i tak odmawia

Jeśli bank odmawia zwrotu, powołując się na niedbalstwo, adwokat radzi odpowiedzieć na piśmie, że taki powód nie pozwala odmówić natychmiastowego zwrotu, i zapytać, czy bank podejrzewa klienta o oszustwo i czy zgłosił to na piśmie odpowiedniemu organowi.

Kolejnym krokiem może być bezpłatna skarga do Ombudsfin, rzecznika usług finansowych. Problem nie może być starszy niż rok, a rzecznik odpowiada zwykle w ciągu 90 dni. Jego opinie nie są dla banków wiążące. Ostatecznie pozostaje sędzia pokoju (juge de paix/vrederechter), który rozpatruje sprawy do 5 000 euro i przed którym można bronić się bez adwokata.

Niedbalstwo nadal się liczy

Adwokat podkreśla, że wyrok nie zwalnia klientów z odpowiedzialności. Kto podyktował kody nieznajomemu przez telefon, nadal może ostatecznie ponieść stratę. Różnica polega na tym, że to bank musi udowodnić rażące niedbalstwo i wystąpić do sądu, a pieniądze w tym czasie wracają na konto klienta.

Według belgijskiego Centrum Cyberbezpieczeństwa w pierwszym kwartale 2026 r. zgłaszano w Belgii ponad 40 000 wiadomości phishingowych dziennie. Febelfin szacuje, że w 2024 r. oszuści wyłudzili w ten sposób około 49 milionów euro.

Organizacja konsumencka Test-Achats/Test Aankoop ostrzega jednak, że przygotowywana unijna reforma usług płatniczych PSD3, która ma zostać przyjęta w najbliższych miesiącach, mogłaby znów pozwolić bankom wstrzymać zwrot już przy podejrzeniu rażącego niedbalstwa. Belgijski rząd przyjął z kolei w piątek 16 października własny wstępny projekt ustawy przeciw phishingowi.