فیشینگ و کلاهبرداری بانکی؛ حقوق، شکایت و مطالبهٔ خسارت

فیشینگِ بانکی یعنی چه؟ فیشینگ نوعی کلاهبرداریِ رایانه‌ای است که در آن مجرم با ایجادِ یک محیطِ فریبکارانه — مثلِ درگاهِ پرداختِ جعلی، لینکِ تقلبی، ایمیلِ جعل‌هویتِ بانک یا تماسِ تلفنیِ فریبکارانه — کاربر را وادار می‌کند اطلاعاتِ کارتِ بانکیِ خود (شماره، CVV2، رمز و رمزِ یک‌بارمصرف) را وارد کند؛ سپس با آن اطلاعات از حسابش برداشتِ غیرمجاز می‌کند.

مبنای کیفریِ اصلیِ این رفتار در ایران قانونِ جرایمِ رایانه‌ایِ مصوبِ ۱۳۸۸ است. این قانون در بخشِ کلاهبرداریِ رایانه‌ای، هر نوع دستکاریِ داده، فریبِ کاربر از طریقِ سامانه‌های رایانه‌ای و برداشتِ غیرمجاز از این طریق را جرم شناخته است. در کنارِ آن، قانونِ تشدیدِ مجازاتِ مرتکبینِ ارتشاء، اختلاس و کلاهبرداریِ ۱۳۶۷ نیز از حیثِ «توسلِ به وسایلِ متقلبانه» قابلِ اعمال است. همچنین اگر مجرم با جعلِ هویتِ کارمندِ بانک یا پلیس با قربانی تماس بگیرد، ممکن است عنوانِ «جعل» نیز مطرح شود.

تفاوتِ مهمِ فیشینگ با سرقتِ ساده در این است که در فیشینگ، قربانی در واقع ناآگاهانه خودش اطلاعات را می‌دهد — یعنی «رضایتِ ناشی از فریب» وجود دارد. همین ویژگی، فیشینگ را بیشتر به کلاهبرداری نزدیک می‌کند تا سرقت. تشخیصِ دقیقِ عنوانِ مجرمانه اهمیتِ زیادی دارد، زیرا مسیرِ شکایت، مرجعِ رسیدگی و بارِ اثبات را متفاوت می‌کند. در هر صورت، «برداشتِ غیرمجاز از حسابِ بانکی» — صرفِ‌نظر از ابزارِ به‌کاررفته — در نظامِ حقوقیِ ایران جرم است و قربانی حقِ پیگیریِ کیفری و مدنی دارد.

نکتهٔ مهمِ دیگر آن است که دسترسیِ غیرمجاز به سامانه‌های رایانه‌ای — حتی بدونِ برداشتِ مالی — در صورتی که از طریقِ نقضِ تدابیرِ حفاظتیِ سامانه صورت گرفته باشد، طبقِ قانونِ جرایمِ رایانه‌ایِ ۱۳۸۸ جرمِ مستقلی است. به همین دلیل، حتی اگر مجرم موفق به برداشت نشده باشد اما با نقضِ تدابیرِ امنیتی به اطلاعاتِ حسابِ شما دسترسی پیدا کرده باشد، امکانِ شکایتِ کیفری وجود دارد.

فیشینگ چند نوع دارد؟ در عمل، فیشینگِ بانکی به اشکالِ مختلفی رخ می‌دهد: درگاهِ پرداختِ جعلی (سایتی که شبیهِ درگاهِ واقعی طراحی شده)، فیشینگِ تلفنی/صوتی (ویشینگ — تماسِ جعل‌هویتِ کارمندِ بانک یا پلیس)، فیشینگِ پیامکی (اسمیشینگ — ارسالِ لینکِ جعلی با پیامک)، و فیشینگِ ایمیلی (ارسالِ ایمیلِ جعل‌هویتِ بانک). هر یک از این روش‌ها می‌تواند مبنای کیفریِ مستقلی داشته باشد.

شرایطِ تحققِ جرم عبارت است از: اولاً وجودِ «فریب» یا «وسیلهٔ متقلبانه» (درگاهِ جعلی، هویتِ ساختگی، پیامِ گمراه‌کننده)؛ ثانیاً «اقدامِ قربانی بر اثرِ فریب» (وارد کردنِ اطلاعات یا انتقالِ وجه)؛ و ثالثاً «برداشتِ غیرمجاز یا ضررِ مالی» برای قربانی. در فیشینگِ رایانه‌ای، اثباتِ اینکه قربانی فریب خورده — نه اینکه داوطلبانه اطلاعات داده — اهمیتِ اثباتیِ زیادی دارد.

از نظرِ ضوابطِ اثبات، باید توجه کرد که در پرونده‌های فیشینگ، ادلهٔ دیجیتال نقشِ محوری دارد: آدرسِ IP، لاگ‌های سرور، شمارهٔ تراکنش، زمانِ دقیقِ برداشت و اطلاعاتِ درگاهِ جعلی مهم‌ترین مستنداتی هستند که پلیسِ فتا می‌تواند با آن‌ها مجرم را ردیابی کند. قربانی باید هرچه سریع‌تر تمامِ این اطلاعات را حفظ و ارائه کند.

یک نکتهٔ مهمِ حقوقی: اگر برداشتِ غیرمجاز از طریقِ ضعفِ امنیتیِ خودِ سامانهٔ بانک یا درگاهِ پرداخت صورت گرفته باشد (نه صرفاً به دلیلِ فریبِ کاربر)، مسئولیتِ بانک یا شرکتِ ارائه‌دهندهٔ خدماتِ پرداخت پررنگ‌تر می‌شود. بانک‌ مرکزی دستورالعمل‌هایی برای تضمینِ امنیتِ درگاه‌های پرداخت دارد که نقضِ آن‌ها می‌تواند مبنای مسئولیتِ بانک باشد.

حقوقِ قربانیِ فیشینگ چیست؟ قربانیِ فیشینگِ بانکی از چند حقِ اصلی برخوردار است: حقِ شکایتِ کیفری علیهِ مجرم (مبتنی بر قانونِ جرایمِ رایانه‌ایِ ۱۳۸۸)، حقِ مطالبهٔ ردِ وجهِ برداشت‌شده، حقِ مطالبهٔ خسارتِ تأخیرِ تأدیه (بر اساسِ مادهٔ ۵۲۲ قانونِ آیینِ دادرسیِ مدنیِ ۱۳۷۹ و شاخصِ تورمِ بانکِ مرکزی)، و در صورتِ اثباتِ قصورِ بانک، حقِ مطالبهٔ خسارت از بانک.

تکالیفِ قربانی: اول، اقدامِ فوری برای جلوگیری از خسارتِ بیشتر (مسدودیِ فوریِ کارت/حساب)؛ دوم، حفظِ تمامِ مستنداتِ مربوط (تصویرِ صفحه، پیامک، ایمیل، شمارهٔ تراکنش)؛ سوم، گزارشِ سریعِ ماجرا به بانک و پلیسِ فتا؛ و چهارم، خودداری از تغییر یا پاکِ کردنِ داده‌های دیجیتال که ممکن است بعداً به‌عنوانِ دلیل لازم باشد.

مسئولیتِ بانک و درگاهِ پرداخت: بانک‌ها و شرکت‌های PSP (ارائه‌دهندهٔ خدماتِ پرداخت) تحتِ نظارتِ بانکِ مرکزی ملزم‌اند الزاماتِ امنیتیِ معینی را رعایت کنند. اگر برداشتِ غیرمجاز ناشی از نقصِ فنیِ سامانه، عدمِ پیاده‌سازیِ رمزِ پویا (OTP)، یا کوتاهیِ بانک در اطلاع‌رسانی باشد، امکانِ طرحِ دعوا علیهِ بانک وجود دارد؛ اما باید توجه داشت که اثباتِ مسئولیتِ مدنیِ بانک در عمل دشوار و موردی است. در بسیاری از پرونده‌ها، به دلیلِ افشایِ اطلاعات توسطِ خودِ مشتری، بانک مسئول شناخته نشده و نتیجه کاملاً بسته به نظرِ مرجعِ رسیدگی است.

مسئولیتِ مجرم: مجرم علاوه بر مجازاتِ کیفری، ملزم به استردادِ کامل مبلغِ برداشت‌شده است. در صورتِ عجزِ وی از استرداد، امکانِ توقیفِ اموالِ او از طریقِ اجرای احکام وجود دارد. اگر مجرم با شرکای دیگری عمل کرده باشد، مسئولیتِ تضامنی مطرح می‌شود.

رایج‌ترین اختلاف در فیشینگِ بانکی کدام است؟ اصلی‌ترین اختلاف معمولاً اینجاست: «آیا قربانی فریب خورده یا خودش داوطلبانه اطلاعات داده است؟» بانک‌ها اغلب با این استدلال که کاربر «خودش» رمز را وارد کرده، مسئولیت را رد می‌کنند. اما این ادعا همیشه درست نیست؛ و وظیفهٔ مرجعِ قضایی است که با بررسیِ شرایط، فریبکارانه بودنِ عملیات را احراز کند.

اختلافِ اول — انکارِ مسئولیتِ بانک: بانک ممکن است بگوید «شما رمزتان را دادید پس ما مسئول نیستیم.» راهِ حل: ارائهٔ مدرکِ فریبکاری (درگاهِ جعلی، پیامکِ جعلی، لاگِ تراکنش) و در صورتِ لزوم، طرحِ دعوا علیهِ بانک برای بررسیِ قصور در امنیت.

اختلافِ دوم — تأخیر در مسدودیِ حساب: گاهی بانک در مسدود کردنِ حساب کند عمل می‌کند و در این فاصله برداشت‌های بیشتری صورت می‌گیرد. اگر قربانی ثابت کند که به‌موقع اعلام کرده، تأخیرِ بانک می‌تواند به مسئولیتِ بانک بیفزاید.

اختلافِ سوم — ادلهٔ ناکافی: گاهی قربانی تصویر یا مدرکِ کافی ندارد. راهِ حل: پلیسِ فتا می‌تواند با استعلام از شرکت‌های مخابراتی و اپراتورهای اینترنت، اطلاعاتِ IP و هویتِ مجرم را استخراج کند. ادلهٔ دیجیتالی در این پرونده‌ها اغلب بهتر از ادلهٔ سنتی هستند.

اختلافِ چهارم — مجرمِ ناشناس یا خارج از کشور: متأسفانه برخی مجرمانِ فیشینگ هویتِ واقعیِ خود را پنهان می‌کنند. پلیسِ فتا ابزارهایِ ردیابیِ تخصصی دارد، اما همکاریِ بین‌المللی گاه کند است. در این موارد، طرحِ دعوا علیهِ درگاهِ پرداختِ مرتبط (که پول از طریقِ آن خارج شده) می‌تواند مسیرِ جایگزین باشد.

از کجا شروع کنم؟ اقدامِ فوری: (۱) تماسِ فوری با بانک برای مسدودیِ کارت/حساب؛ (۲) ثبتِ گزارش از طریقِ درگاهِ رسمیِ آنلاینِ پلیسِ فتا (با جست‌وجویِ نشانیِ رسمیِ روز) یا مراجعهٔ حضوری به دفاترِ پلیسِ فتا؛ (۳) تهیهٔ اعلامیهٔ کتبیِ بانک دربارهٔ جزئیاتِ تراکنشِ مشکوک؛ (۴) تنظیمِ شکوائیه و مراجعه به دادسرا برای شروعِ روندِ کیفری.

مدارکِ ضروری:

• تصویرِ صفحهٔ درگاهِ جعلی، ایمیل یا پیامکِ فریبکارانه

• جزئیاتِ کاملِ تراکنشِ غیرمجاز (تاریخ، مبلغ، شمارهٔ مرجع) از طریقِ بانک

• صورتحسابِ بانکی که تراکنشِ غیرمجاز را نشان می‌دهد

• شمارهٔ تماسِ مجرم (در فیشینگِ تلفنی) یا آدرسِ سایتِ جعلی

• هرگونه مکاتباتِ دیجیتالی مرتبط (ایمیل، پیامِ تلگرامی، و...)

• گزارشِ اولیهٔ پلیسِ فتا (پس از ثبتِ اولیه، این کد را دریافت می‌کنید)

مرجعِ رسیدگی: پلیسِ فتا واحدِ تخصصیِ رسیدگی به جرایمِ سایبری است و باید اولین مرجعِ گزارش باشد. پس از تحقیقاتِ پلیسِ فتا، پرونده با معرفیِ مظنون به دادسرا ارسال می‌شود. در دادسرا، بازپرس یا دادیار تحقیقاتِ مقدماتی را انجام می‌دهد و در صورتِ کفایتِ ادله، کیفرخواست صادر و پرونده به دادگاهِ کیفری می‌رود.

برای دعوای مدنیِ مطالبهٔ خسارت علیهِ مجرم یا بانک، باید دادخواستِ حقوقی به دادگاهِ صالح تقدیم کنید. اگر در همان پروندهٔ کیفری ادعای خصوصی (مطالبهٔ خسارت) داشته باشید، می‌توانید آن را در قالبِ «شکایتِ کیفری با ادعای خصوصی» در همان مرجع مطرح کنید.

رسیدگی به پروندهٔ فیشینگ چقدر وقت می‌برد؟ طولِ پرونده به عواملِ زیادی بستگی دارد: شناخته شدن یا نشدنِ مجرم، همکاریِ اپراتورها در ارائهٔ لاگ، پیچیدگیِ شبکهٔ مجرمان و حجمِ پرونده. به‌طورِ تقریبی (۱۴۰۵) پرونده‌های ساده‌تر ممکن است در چند ماه به نتیجه برسند، اما پرونده‌های پیچیده می‌توانند یک تا چند سال به طول بینجامند. هزینهٔ شکایتِ کیفری در مرحلهٔ اول معمولاً اندک است، اما هزینه‌های دادخواستِ مدنی به ارزشِ دعوا بستگی دارد.

نکاتِ کلیدیِ پیشگیری (حیاتی):

• هرگز و تحتِ هیچ شرایطی رمزِ پویا (OTP) را به کسی ندهید — حتی اگر ادعا کند کارمندِ بانک، پلیس یا قاضی است.

• فقط از طریقِ آدرسِ رسمیِ بانک (تایپِ مستقیم یا اپِ رسمی) وارد شوید؛ روی لینکِ پیامکی یا ایمیلی کلیک نکنید.

• درگاهِ پرداخت باید آدرسِ HTTPS معتبر داشته باشد و نشانِ اطمینانِ درگاه‌های رسمی (shaparak.ir) را نشان دهد.

• اگر مبلغی اشتباهاً واریز شد و برای بازگرداندنِ آن لینک می‌دهند — کلاهبرداری است؛ مستقیم با بانک تماس بگیرید.

• اعلانِ پیامکیِ تراکنش را روشن نگه دارید تا برداشتِ غیرمجاز را فوری متوجه شوید.

نکاتِ عملی برای پیگیریِ بهترِ پرونده:

• هرچه سریع‌تر اقدام کنید — هم برای مسدودیِ حساب، هم برای ثبتِ شکایت؛ تأخیر ردیابیِ مجرم را سخت‌تر می‌کند.

• گزارشِ پلیسِ فتا را پیگیری کنید و شمارهٔ پرونده را نگه دارید.

• اگر بانک همکاری نکرد یا ادعایتان را نپذیرفت، می‌توانید به بانکِ مرکزی (از طریقِ سامانهٔ رسیدگی به شکایاتِ بانکی) نیز شکایت کنید.

• در دعوای مدنیِ مطالبهٔ وجه، خسارتِ تأخیر بر اساسِ مادهٔ ۵۲۲ قانونِ آیینِ دادرسیِ مدنی و با شاخصِ تورمِ بانکِ مرکزی قابلِ مطالبه است؛ مبدأِ محاسبه معمولاً تاریخِ مطالبه (تقدیمِ دادخواست) است و تحققِ آن منوط به شرایطِ قانونیِ ماده است.