Cyberprzestępczość w polskich bankach

Elena Oana B., 27-latka, była prostytutka z Rumunii, spędziła w Polsce niespełna trzy dni. Przyleciała do Modlina z Londynu wieczorem 7 kwietnia 2015 r., by dwa dni później wrócić do Wielkiej Brytanii. Wraz z towarzyszącym jej Nigeryjczykiem założyli konta w co najmniej kilku bankach, m.in. BNP Paribas, ING, Millennium oraz Pekao SA. Choć Elena B. nie mówiła zbyt dobrze po angielsku, a tym bardziej po polsku, nigdzie nie natrafiła na większe przeszkody. W Pekao pracownik, otwierając rachunek, zadowolił się jednym dokumentem tożsamości, choć klientka była cudzoziemką, pomylił jej kraj pochodzenia (napisał, że mieszka w Rosji, a nie w Rumunii), nie zapytał o miejsce zatrudnienia i przyjął do korespondencji warszawski adres, który – jak się okazało później – nie istniał. Zastrzeżeń banku nie wzbudziło to, że jeszcze tego samego dnia Rumunka podwyższyła limit wypłat miesięcznych z pustego konta najpierw do 250 tys. zł, a potem jeszcze kilkukrotnie, by osiągnąć pułap pięciu milionów złotych. Dwa miesiące później okaże się to kluczowe dla powodzenia całej intrygi. iPhony z RPA W czasie gdy rumuńsko-nigeryjska para zakładała konta w Warszawie, do zakupu dwóch działek na karaibskich wyspach Antigua i Barbuda przygotowywał się A.V., emerytowany finansista i zapalony żeglarz z Londynu. Pilotowana przez prawników transakcja została dopięta na początku czerwca 2015 r. Cena nieruchomości – 1,4 mln dol. Zasadnicza suma, czyli niespełna 1,3 mln dol. (ok. 4,5 mln zł), miała zostać przelana na konto kancelarii reprezentującej sprzedających. Jednak dwa dni przed terminem A.V. dostał maila od swojego prawnika, który zmieniał dotychczasowe ustalenia – pieniądze miały trafić nie na konto w karaibskim banku, ale w Pekao SA. Odbiorca pozostawał ten sam: kancelaria zarejestrowana na Antigui. Tak nagła zmiana i to jeszcze na oddalony o kilka stref czasowych bank wywołała zaniepokojenie. A.V., który całe swoje zawodowe życie zajmował się doradztwem biznesowym, napisał do swego prawnika maila z żądaniem wyjaśnień. Jeszcze tego samego dnia otrzymał jednak uspokajającą odpowiedź – konto trzeba zmienić na prośbę audytorów z kancelarii. Gdy wydawało się, że wszystko poszło zgodnie z planem i działki przeszły na własność Brytyjczyka, okazało się, że padł ofiarą oszustów, którzy włamali się do skrzynki mailowej jego karaibskiego prawnika. Pieniądze trafiły najpierw na założone przez Elenę B. konto, a stamtąd w ciągu 24 godzin zostały przetransferowane w formie pięciu przelewów do banków w Chinach. Te rozłożyły ręce – poza poradą, by zawiadomić policję, poinformowały, że adresaci przelewów odmawiają zwrotu pieniędzy. A.V. padł ofiarą przestępstwa, które rozprzestrzeniło się w Polsce i na świecie jak zjadliwy wirus. To tzw. BEC, czyli Business E-mail Compromise – polegający na podstawieniu ofierze przez oszustów numeru konta (założonego wcześniej na tzw. słupa), najczęściej na przesłanych drogą elektroniczną prawdziwych lub sfałszowanych fakturach czy poleceniach przelewu. Jak wynika z danych FBI, oszustwa typu BEC to absolutny numer jeden wśród przestępstw internetowych na świecie. Spowodowane przez nie w 2016 r. straty przekroczyły 5 mld dol., a szacunki dotyczące roku ubiegłego mówią już o 9 mld dol., z tendencją rosnącą. To więcej niż oszustwa z użyciem skradzionych kart płatniczych czy ataków hakerskich. Tym bardziej niebezpieczne, że nasze instytucje – zarówno bankowe, jak i śledcze – słabo sobie radzą z ich zwalczaniem. W przypadku Brytyjczyka, ale pewnie także za innymi tego typu oszustwami popełnianymi w ostatnich latach na terenie Polski stała międzynarodowa, dobrze zorganizowana grupa. Prywatne śledztwo, prowadzone przez A.V., który jego wynikami dzielił się z policją polską i brytyjską, wykazało, że intryga była misternie i profesjonalnie utkana. Wiadomo, że fałszywe maile wysyłał mu pewien Afrykanin z terytorium RPA, za pomocą swojego iPhone’a 5s. Kim był ten człowiek? Nie do końca wiadomo i być może nigdy się tego nie dowiemy, bo polska prokuratura prowadząca sprawę oszustwa na szkodę A.V. nie jest zbytnio zainteresowana wydobyciem danych od Apple, które pomogłyby go namierzyć. Wiele wskazuje na to, że był to niejaki „Mike”, 40-letni Nigeryjczyk zatrzymany w sierpniu 2016 r. we wspólnej operacji Interpolu i nigeryjskiej komisji do spraw przestępstw gospodarczych i finansowych. To właśnie on prawdopodobnie stał na czele grupy wyspecjalizowanej w przestępstwa typu BEC, której ofiarami padały firmy i osoby prywatne na całym świecie – od Stanów Zjednoczonych przez Europę po Australię. Na pewno ważną postacią w grupie, która oszukała A.V., był inny Nigeryjczyk – pan O., który wysyłał Rumunkę do Warszawy, by założyła konta. Krążący między Manchesterem i Londynem wpadł w ręce brytyjskiej policji dwa miesiące po aresztowaniu Mike’a, podczas międzynarodowej operacji pod kryptonimem „Naija/Maynard”. W jej ramach zatrzymano 44 inne osoby zamieszane w działalność szajki. Według hiszpańskiej policji, wyspecjalizowanej w spersonalizowanych atakach na duże firmy, które przelewając pieniądze na oszukańcze konta, straciły w sumie 65 mln euro. Dzięki danym z logowań do konta założonego w Pekao SA przez Elenę B. Brytyjczykom udało się ustalić, że pieniądze A.V. przelewane były z mieszkania konkubiny pana O. w Manchesterze. Z kolei z wiarygodnego źródła w Scotland Yardzie wiemy, że w jego londyńskim mieszkaniu znaleziono dokumenty z danymi innych rachunków założonych przez obywateli Rumunii w polskich bankach, także w Pekao SA. Słabe ogniwo Z opinii jednego z oficerów Scotland Yardu wynika, że polskie banki nie zostały wybrane przypadkowo. Zdobyły sobie wśród przestępców, czyli głównie Nigeryjczyków z Wielkiej Brytanii, opinię takich, gdzie „idzie łatwiej niż gdziekolwiek indziej”. Na tyle łatwo, że według tamtejszej policji w ciągu ostatnich 3–4 lat w największych polskich bankach założyli dziesiątki kont. O skali zjawiska świadczą konkretne przypadki podobnych wyłudzeń z użyciem kilkudziesięciu polskich kont założonych na osoby fizyczne – głównie z Bałkanów – oraz firmy. Ofiarami były zarówno osoby fizyczne, jak i korporacje z całego świata – od Stanów Zjednoczonych, przez Francję, Mozambik i Chiny, po Koreę Południową. Straty to od kilkudziesięciu do kilkunastu milionów dolarów przetransferowanych głównie do banków w Chinach i Hongkongu. Przykładem jest firma ze Zjednoczonych Emiratów Arabskich, która została oszukana podczas domykania transakcji z jedną z koreańskich korporacji. Przestępcy, przechwytując korespondencję mailową, doprowadzili do tego, że kontrahent z Korei przelał 21 mln dol. na rachunek oszustów w Pekao SA. Oszuści – prawdopodobnie ze względu na rekordową kwotę – powoli opróżniali rachunek i nie zdążyli zrobić tego do końca, udało się zablokować 12 mln dol. Sprawców nie złapano. Teoretycznie ściganiem tego typu przestępstw i zapobieganiem im powinny zajmować się prokuratura oraz policja, Komisja Nadzoru Finansowego oraz działający przy Ministerstwie Finansów Generalny Inspektor Informacji Finansowej. Napisaliśmy do tych instytucji oraz do Ministerstwa Sprawiedliwości z prośbą o informację, ale dowiedzieć się, jaka jest skala problemu i jak sobie z nim radzą, nie sposób. Okazuje się, że żadna z nich nie prowadzi statystyk dotyczących wykorzystania oszukańczych rachunków oraz niewywiązywania się przez banki z obowiązku przeciwdziałania tego typu oszustwom i praniu pieniędzy. Nie robi tego także ani KNF, ani GIIF. Ten ostatni próbował oszacować skalę zjawiska w ostatnich trzech latach, ale poległ z braku odpowiednich danych od banków i z prokuratury. Z danych stołecznej Prokuratury Okręgowej, na której terenie działają największe polskie banki, można się jedynie dowiedzieć, ile prowadziła spraw dotyczących prania pieniędzy. Przez pięć lat (2013–17) prowadzono ich 289, a więc średnio 58 rocznie. W całym kraju zaś – to już dane policji – w ostatnich latach nie więcej niż 442 rocznie. I choć – jak wynika z danych resortu sprawiedliwości – za pranie pieniędzy skazano w Polsce od 2013 r. prawie 900 osób, to tylko osiem za „osiągnięcie znacznej korzyści majątkowej”, co znaczy powyżej 200 tys. zł. W tym samym czasie za naruszenie ustawy o przeciwdziałaniu praniu brudnych pieniędzy tylko jeden bank (Deutsche Bank Polska) dostał karę – w wysokości 150 tys. zł. Urząd Komisji Nadzoru Finansowego, który nas o tym poinformował, odmówił podania szczegółów sprawy. Roboty dużo, a efekty niepewne Eksperci finansowi oraz prawnicy twierdzą zgodnie, że przypadków oszustw typu BEC dokonanych z użyciem rachunków w polskich bankach było dużo więcej, niż pokazują statystyki dotyczące prania pieniędzy. Po prostu niektórzy prokuratorzy kwalifikują postępowania jako dotyczące oszustwa, skupiając się co najwyżej na ostatnim, najmniej ważnym, ogniwie całego procederu, czyli „słupach”. Ale i tak z mizernym efektem: oprócz Eleny B. i kilku podobnych do niej osób w ostatnich latach udało się zatrzymać na terenie Polski jedynie jedną, która kierowała oszustwami z użyciem podrobionych maili. W przypadku sprawy Brytyjczyka A.V., choć było to przestępstwo na wielką skalę, prowadzenie śledztwa tylko na początku zlecono wyspecjalizowanemu w tropieniu tego typu przestępstw wydziałowi do walki z przestępczością gospodarczą Komendy Stołecznej Policji. Potem przeniesiono je do Komendy Rejonowej na Mokotowie. Śledztwo szybko utknęło, a nawet zostało zawieszone na początku 2016 r., bo główna – i jedyna – podejrzana, czyli Elena B., którą sąd nakazał aresztować, była nieuchwytna dla polskich organów ścigania (bank ujawnił jej dane jako właścicielki oszukańczego rachunku dopiero po trzech miesiącach od wszczęcia śledztwa, na polecenie prokuratury). Dopiero na początku zeszłego roku prokuratura zdecydowała się wystąpić o areszt dla Rumunki i wystawić za nią list gończy, a w październiku 2017 r., a więc grubo ponad dwa lata od dokonania przestępstwa śledczy złożyli wniosek do sądu o Europejski Nakaz Aresztowania (ENA). Wtedy udało się ją zatrzymać na lotnisku w Bukareszcie. Na razie nic nie wskazuje na to, by polscy śledczy złapali kogokolwiek innego z tej i innych spraw. – Gotowość polskich służb policyjnych i śledczych do stawienia czoła tego typu przestępcom jest dramatycznie niezadowalająca – podkreśla mecenas Wojciech Brochwicz, pełnomocnik A.V. W sprawach BEC postępowania prokuratorskie z reguły albo są umarzane, albo zawieszane. Najczęściej pod pretekstem oczekiwania na pomoc prawną z zagranicy, co rzeczywiście czasem trwa długie miesiące, jeśli nie lata. W efekcie prokuratura jest aktywna i pomocna d