Skok na Santandera. Prosta nakładka na bankomacie obnażyła słabość systemu

• Raport branżowy ujawnia, jak rosnąca zuchwałość oszustw zmusza do rewizji dotychczasowej strategii biznesowej w zakresie bezpieczeństwa
• Efektywne zarządzanie ryzykiem wymaga połączenia inwestycji w transformację cyfrową z ochroną fizycznej infrastruktury firmy
• Analiza danych z sektora bankowego potwierdza, że niejasny podział odpowiedzialności w łańcuchu dostaw jest źródłem systemowego zagrożenia
• Szybka reakcja na kryzys i transparentna komunikacja bezpośrednio wpływają na pozytywne doświadczenie klienta (CX) oraz utrzymanie przewagi konkurencyjnej
• Zapewnienie ciągłości operacyjnej i ochrona płynności finansowej klientów po incydencie to kluczowy element utrzymania zaufania na rynku

Fizyczny atak w cyfrowej erze. Tak działał skok na bankomaty Santandera

Miniony weekend przyniósł falę niepokojących zdarzeń dla klientów Santander Bank Polska. Począwszy od soboty, 25 października, z ich kont zaczęły znikać pieniądze w wyniku nieautoryzowanych wypłat. Skala problemu szybko stała się widoczna, gdy na policję spłynęły dziesiątki zgłoszeń, z czego blisko 70 w Wielkopolsce i ponad 50 w województwie kujawsko-pomorskim, głównie w Bydgoszczy. Jednorazowo z kont znikały kwoty od kilkuset do nawet kilku tysięcy złotych. Sposób działania przestępców nie pozostawia złudzeń. Pieniądze były podejmowane niemal jednocześnie w bankomatach w różnych częściach kraju, między innymi w Krakowie, Łodzi, Warszawie i Wrocławiu. Taka koordynacja i rozproszenie geograficzne świadczą o tym, że za atakiem stoi profesjonalna, zorganizowana grupa, a nie przypadkowi sprawcy.

Źródłem problemu okazała się metoda znana jako skimming, będąca fizycznym atakiem na bankomaty. Przestępcy instalowali na urządzeniach, należących do sieci partnerskiej banku, specjalne nakładki. Działały one jak cichy kopiujący, który przechwytywał dane z paska magnetycznego karty płatniczej. Zdobyte w ten sposób informacje pozwalały na stworzenie duplikatu karty, czyli jej klona, i swobodne wypłacanie gotówki bez wiedzy właściciela. To zdarzenie jest dobitnym przypomnieniem, że nawet w erze cyfrowego bezpieczeństwa, słabym ogniwem wciąż może być fizyczna infrastruktura. Reagując na zagrożenie, bank natychmiast zablokował wszystkie potencjalnie zagrożone karty, a we współpracy z firmą obsługującą bankomaty, rozpoczął pilne kontrole maszyn w poszukiwaniu nielegalnych urządzeń.

Pieniądze wrócą na konta, ale problem zostaje. Atak obnażył słabość całego sektora

W tej kryzysowej sytuacji Santander Bank Polska zadziałał błyskawicznie, zgodnie z procedurami i prawem. Klienci zostali poinformowani o zabezpieczeniu kart, a bank publicznie zobowiązał się do zwrotu wszystkich skradzionych pieniędzy. Zgodnie z zapowiedzią, środki mają wrócić na konta poszkodowanych już dzisiaj, czyli w poniedziałek 27 października. Takie działanie to nie tylko gest dobrej woli, ale przede wszystkim obowiązek wynikający z prawa. Artykuł 46 ustawy o usługach płatniczych wprowadza tak zwaną zasadę D+1, która nakazuje bankowi zwrócić pieniądze z nieautoryzowanej transakcji najpóźniej następnego dnia roboczego. W praktyce oznacza to, że cała odpowiedzialność finansowa spoczywa na instytucji finansowej, która musi udowodnić winę klienta, a nie odwrotnie. Dla poszkodowanych jest to gwarancja odzyskania środków, chyba że udowodniono by im wyjątkowo lekkomyślne zachowanie.

Zdarzenie to jest ważnym sygnałem ostrzegawczym dla całego polskiego sektora bankowego. Z jednej strony, dane Narodowego Banku Polskiego za ostatni kwartał 2024 roku mogą uspokajać. Pokazują one, że oszustwa kartowe to zaledwie 0,007% wartości wszystkich operacji, czyli statystycznie niewielki problem. Z drugiej jednak strony, raporty ekspertów, jak ten przygotowany w marcu tego roku przez Związek Przedsiębiorstw Finansowych i firmę EY, biją na alarm, wskazując na rosnącą skalę i zuchwałość nadużyć. Atak na klientów Santandera obnażył konkretną słabość systemu, a mianowicie niejasny podział odpowiedzialności za fizyczne bezpieczeństwo bankomatów między bankami a firmami, które nimi zarządzają. To lekcja dla całej branży, że inwestycje w cyberbezpieczeństwo i edukację klientów w zakresie phishingu nie wystarczą, jeśli jednocześnie zaniedbane zostaną podstawowe zabezpieczenia fizycznej infrastruktury, z której wszyscy korzystamy.