Presuda Visokog suda u Dresdenu (OLG Dresden) uzburkala je financijsku javnost: uprkos gruboj nepažnji klijenta, banka Šparkase mora vratiti dio ukradenog iznosa nakon phishing prevare.
Naime, sud smatra da bezbjednosne mjere banke nisu bile dovoljne da spriječe napad.
Phishing napad s ozbiljnim posljedicama
U februaru 2025. klijent Šparkase banke, korisnik S-pushTAN aplikacije, nasjeo je na phishing poruku i otkrio svoje pristupne podatke. Prevaranti su ga telefonski nagovorili da odobri povećanje limita i dvije transakcije u ukupnom iznosu od 49.421,44 evra - i to u stvarnom vremenu.
Sud: Šparkase djelimično kriva zbog loše zaštite
Iako je sud utvrdio grubu nepažnju klijenta, koji je olako dijelio pristupne podatke i odobravao plaćanja, Šparkase ipak snosi dio odgovornosti. Naime, pri prijavi u online bankarstvo nije korištena snažna autentifikacija, kao što je obavezno prema zakonu.
Sud je naveo da su hakeri zahvaljujući slabim zaštitama mogli doći do osjetljivih podataka - uključujući datum rođenja, brojeve računa, dnevne limite i PIN-ove, što im je olakšalo prevaru.
Kritike na pushTAN sistem
Sud je posebno naglasio sigurnosne propuste pushTAN sistema, kada je aplikacija za autorizaciju transakcija instalirana na istom uređaju kao i mobilno bankarstvo - što predstavlja visok rizik. Dodatna autentifikacija, poput biometrije ili vezanja za uređaj, nije bila implementirana.
Šparkase mora platiti gotovo 10.000 evra
Na temelju djelimične odgovornosti, OLG Dresden naložio je Šparkase banci da isplati 9.884,29 evra žrtvi phishinga - što je 20 odsto ukupnog gubitka. Osim toga, banka mora pokriti i advokatske troškove od 1.119,79 evra. Presuda je pravosnažna, bez mogućnosti žalbe.
