תביעות בנק
במרכז הפרשה ניצבת חברת בע"מ, לקוחת משרדנו, אשר גילתה לתדהמתה כי סך של 300,000 שקלים הועבר מחשבונה העסקי לחשבון של אחד מספקיה, ללא כל הרשאה מצידה. מבדיקת הבנק עלה כי ההעברה בוצעה באופן מקוון תוך הזנת שם המשתמש והסיסמה, ואף תוך מענה נכון על שאלת בטחון לצורך ביצוע העברה.
הבנק התנער מכל אחריות וסירב להשיב את הכספים. טענתו המרכזית הייתה כי לא אירע אירוע פריצה או סייבר למחשבי הבנק, אלא שהמנהל והבעלים של החברה התרשל כאשר איפשר למנהלות המשרד להשתמש בפרטי הגישה האישיים שלו לאורך שנים לכניסה לבנק (שם המשתמש והסיסמה), ולכן הוא פטור מאחריות.
רשלנות הבנק
במסגרת התביעה שהגשנו, הוכחנו כי ביום ביצוע ההעברה התרחשו אירועים חריגים בחשבון: היו מספר ניסיונות להעברות כספים בסכומים של מאות אלפי שקלים כל פעם – חלקן לפני וחלקן אחרי שהעברה נשוא התביעה הצליחה – אך הניסיונות כשלו פעם אחר פעם מכיוון שהיו שגיאות בתשובות לשאלות בטחון טריוויאליות שנדרשו לביצוע כל העברה (כמו "מה שם בנך הבכור?") או שלא ניתנה תשובה כלל לשאלת הבטחון והחלו את התהליך מחדש.
בית המשפט השלום (מפי כבוד השופט אודי הקר) קיבל את עיקר טענות משרדנו, מתח ביקורת על התנהלות הבנק, ופסק לטובת הלקוח:
- התעלמות מנורות אזהרה בוהקות: בית המשפט קבע נחרצות כי צירוף הנסיבות החריגות – רצף הכישלונות במענה על שאלות הבטחון / העדר מתן מענה עליהם כלל, סכום ההעברה הגבוה, הכניסה מכתובת IP שונה לאתר הבנק והעובדה שמדובר ביום שישי – היה חייב "להדליק נורות אזהרה" אצל הבנק.
- הבנק אינו יכול לשבת בחיבוק ידיים: נקבע כי מכוח חובת האמון המוגברת שחלה על בנקים כלפי לקוחותיהם, חובה היה על הבנק להתערב אקטיבית. היה עליו לעכב את אישור הפעולה, או לכל הפחות לעכב את משיכת הכספים מחשבון המוטב (שהתנהל אף הוא באותו בנק), וליצור קשר עם התובעת מיד על מנת לברר את החשד. מחדל זה מהווה רשלנות.
- ההתחייבות ל"גלישה בטוחה באחריות": התובעת הציגה פרסומים של הבנק בהם הוא מתחייב להעניק אחריות על כספים שהוצאו באופן בלתי מורשה מחשבון הבנק. הבנק ניסה להתנער מהמסמך בטענה שמדובר ב"מסמך פרסומי בלבד". בית המשפט קבע כי אמנם המסמך מחריג רשלנות של הלקוח ולכן לא קיבל טענה זו בתיק זה, אך לא חסך ביקורתו על הבנק ותהה כיצד הוא יכול לטעון שאינו מחויב להתחייבות שהוא עצמו פרסם והפיץ ללקוחותיו.
- קריסת גרסת הסייבר של הבנק בחקירה הנגדית: הבנק ניסה להמעיט מחומרת האירועים המקדימים, וטען בבית המשפט כי בשני הניסיונות הראשונים שקדמו להעברה (אשר הופסקו באמצע) ובחלק מהניסיונות המאוחרים להעברה, הגורם שניסה לבצע את העברות כלל לא נחשף לשאלות הבטחון בביצוע העברה. אולם, טענה זו קרסה לחלוטין במהלך חקירה נגדית נוקבת שניהלנו לנציג מדור הונאות סייבר של הבנק. תחת חקירתו של עו"ד ורשבסקי, נאלץ נציג הסייבר להודות כי אפיון המערכת מוכיח אחרת ואישר כי המבצע אכן ראה את שאלות הזיהוי אך בחר להימנע מלהשיב עליהן, לעצור ולהתחיל מחדש בחלק מההזדמנויות (ככל הנראה כי לא ידע את התשובה לשאלת הבטחון). התפתחות זו במהלך המשפט שמטה את הקרקע תחת ניסיון הבנק לטשטש את חומרת ה"נורות האדומות", וחיזקה את המסקנה כי גורם זר נתקל במחסום השאלות, נבהל – ונסוג.
- אשם תורם מצד החברה: לצד קבלת התביעה והטלת האחריות המרכזית על הבנק בקביעת רשלנותו, בית המשפט קיבל את טענת הבנק לגבי אשם תורם של התובעת וקבע כי התובעת לא הקפידה לשמור בסודיות על פרטי הגישה לחשבו, לכן, הוטל עליה "אשם תורם" בשיעור של 25%.
בסיכומו של דבר, חייב בית המשפט את בנק לאומי להשיב לחברה סך של 225,000 ש"ח (המהווים 75% מסכום ההעברה הכולל), בתוספת הפרשי הצמדה וריבית.
חובות ניטור של הבנק
פסק הדין מהווה בשורה של ממש ללקוחות המערכת הבנקאית ותמרור אזהרה לבנקים עצמם, שאינם יכולים לחסות באוטומטיות תחת טענת "רשלנות הלקוח בשמירת סיסמאות". אנו ממליצים לכם לפנות לייעוץ עם עורך דין בנקאות וחברות בכל סוגיה בנושא. בית המשפט המליץ לנו, במספר הזדמנויות, לנסות להידבר לפשרה או לפנות לגישור, אולם הבנק עמד סירב לכך בתוקף, והנה, הוכחנו שהבנק התרשל בקיום חובותיו כלפיו הלקוח והפר את חובות הזהירות כלפיו. את הרציונל החשוב שמאחורי ההישג, היטיב לסכם עו"ד רועי ורשבסקי בראיון שהעניק לעיתון "דה מרקר" בעקבות הזכייה:
"פסק הדין מדגיש שחובת הזהירות של הבנקים כלפי לקוחותיהם אינה מסתכמת בווידוא טכני ו'יבש' של שם משתמש וסיסמה. בית המשפט קבע בבירור כי על הבנק לנטר באופן אקטיבי פעולות חריגות בחשבון ולזהות 'נורות אזהרה'. בעידן שבו ניסיונות הונאה משתכללים בקצב מסחרר, מערכות הבנק חייבות לנתח את התנהגות המשתמש במכלול ולהזהיר את הלקוח בזמן אמת כשעולה התנהלות שאינה סבירה, בבחינת שומר סף".
לקריאת פסק הדין, ת"א 37158-08-23 אלי פרידמן בע"מ נ' בנק לאומי לישראל בע"מ – לחצו כאן.