Phishing a internetové podvody v Nizozemsku: vaše právní postavení

Phishing a internetové podvody jsou podle nizozemského práva trestnými činy. Podvodník, který vás lstí přiměje k předání přihlašovacích údajů nebo k převodu peněz, se dopouští oplichtingu (podvodu) podle článku 326 nizozemského trestního zákoníku a často také computervredebreuk (neoprávněný přístup k počítačovému systému) podle článku 138ab. Pokud peníze opustily váš účet bez vašeho skutečného souhlasu, vaše banka je v zásadě musí vrátit podle článku 7:528 nizozemského občanského zákoníku, pokud neprokáže, že jste jednali podvodně nebo s hrubou nedbalostí. Na rychlosti záleží: nahlaste incident své bance a co nejdříve podejte policejní protokol.

Co se podle nizozemského práva považuje za phishing

Phishing je forma podvodu, při které se zločinec vydává za organizaci, které důvěřujete – banku, poskytovatele platebních služeb, doručovací společnost, Belastingdienst – aby získal přihlašovací údaje, údaje o platební kartě, ověřovací kód nebo podpis v bankovní aplikaci. Médium se liší: e-mail, SMS zpráva (smishing), telefonát od někoho, kdo tvrdí, že je z oddělení bankovních podvodů (vishing), zpráva na WhatsAppu nebo LinkedInu nebo naklonovaná webová stránka za sponzorovaným výsledkem vyhledávání.

Nizozemské trestní právo slovo phishing nepoužívá. Trestá však jednání, které se za ním skrývá. Vydávání se za banku za účelem přimět někoho k vydání peněz nebo dat je oplicht podle článku 326 Wetboek van Strafrecht. Přihlášení k účtu s takto získanými přihlašovacími údaji je computervredebreuk podle článku 138ab. Použití identifikačních údajů jiné osoby k způsobení újmy nebo získání výhody je trestné podle článku 231b, padělání dokumentů nebo digitálního záznamu spadá pod článek 225 a zneužití platebních karet nebo dat za nimi spadá pod článek 232. Pokud útok končí zašifrovanými soubory a požadavkem na výkupné, uplatňuje se článek 350a (změna nebo zničení dat) a článek 317 (vydírání).

Co se považuje za internetový podvod

Internetový podvod je širší kategorií: jakýkoli podvod provedený prostřednictvím online kanálu. Zahrnuje internetové obchody, které přijímají platby a nikdy je neodesílají, falešné nabídky pronájmů, investiční podvody založené na kryptoměnách, podvody s fakturami, při kterých jsou bankovní údaje dodavatele tiše pozměněny, a podvody s generálním ředitelem, při kterých finanční zaměstnanec obdrží naléhavý platební pokyn, který zdánlivě pochází od ředitele. Právně všechny tyto pojmy spadají pod stejné ustanovení, článek 326 trestního zákoníku, protože jádro je stejné: klamavý čin, který přiměje někoho, aby se vzdal peněz, zboží nebo dat.

Praktický rozdíl mezi phishingem a širší kategorií spočívá v tom, kde vzniká ztráta. V případě phishingu peníze obvykle opouštějí platební účet, což uplatňuje pravidla platebních služeb uvedená v knize 7 občanského zákoníku. V případě internetového obchodu nebo investičního podvodu si oběť peníze převádí sama, což z vymáhání činí občanskoprávní záležitost vůči podvodníkovi a někdy i vůči platformě nebo bance, která finanční prostředky obdržela.

Jak rozpoznat phishingovou zprávu

Moderní phishingové zprávy jsou dobře napsané a často personalizované, takže stará rada o pravopisných chybách už nestačí. Spolehlivé zůstávají tři signály. Zpráva vytváří časový tlak a informuje vás, že vám byl účet zablokován nebo že platba bude vrácena, pokud nezačnete okamžitě jednat. Odvádí vás od kanálů, které běžně používáte, a žádá vás, abyste klikli na odkaz nebo zavolali na číslo, místo abyste si otevřeli vlastní bankovní aplikaci. A žádá o něco, co banka nikdy nepožaduje: ověřovací kód, podpis ve vaší bankovní aplikaci pro transakci, kterou jste nezačali, nebo povolení k softwaru pro vzdálený přístup na vašem zařízení.

Pro organizace platí stejná logika pro platební pokyny. Dodavatel, který e-mailem změní své bankovní údaje, ředitel, který požádá o urgentní převod mimo obvyklý schvalovací řetězec, nebo faktura, která dorazí o něco dříve, než se očekávalo, to vše si zaslouží zpětné volání na číslo, které již máte v evidenci, nikoli na číslo uvedené ve zprávě.

Získání peněz zpět z banky

Platební transakce, k níž spotřebitel nedal souhlas, je neoprávněnou transakcí ve smyslu článku 7:522 odstavce 2 nizozemského občanského zákoníku. Článek 7:528 odstavec 1 pak ukládá poskytovateli platebních služeb povinnost neprodleně vrátit částku a obnovit účet do stavu, v jakém by byl. Jinými slovy, výchozím bodem je, že banka nese ztrátu.

Výjimka je uvedena v článku 7:529 odstavci 1: banka není povinna vrátit peníze, pokud držitel účtu jednal podvodně, úmyslně nebo s hrubou nedbalostí nesplnil povinnosti uvedené v článku 7:524, které vyžadují, aby platební prostředek byl použit v souladu s platnými podmínkami a bezpečnostními opatřeními. Hrubá nedbalost je přísně trestná a posuzuje se na základě všech okolností, nikoli pouze na základě samotné skutečnosti ztráty. Článek 7:529 odstavec 3 přidává další ochranu: pokud banka nepoužila silné ověření zákazníka, plátce nenese žádnou ztrátu.

Pokud banka odmítne, může spotřebitel po dokončení interního postupu pro vyřizování stížností banky předložit spor Klachteninstituut Financiele Dienstverlening (Kifid) nebo podat žalobu k občanskoprávnímu soudu. Majitelé firemních účtů jsou mimo většinu ochrany spotřebitele a jsou do značné míry závislí na smlouvě s bankou a na obecných pravidlech odpovědnosti, což činí interní kontroly plateb ve společnosti o to důležitějšími.

Nárok na náhradu škody od podvodníka nebo nedbalého subjektu

Pokud je pachatel identifikován, lze škodu vymáhat jako protiprávní čin podle článku 6:162 občanského zákoníku. V praxi se to nejčastěji děje v rámci trestního řízení: oběť se může do trestního řízení zapojit jako poškozená strana (benadeelde partij) podle článku 51f trestního řádu a požádat trestní soud o přiznání odškodnění, což je levnější a rychlejší než samostatná občanskoprávní žaloba. Soud se bude zabývat pouze žalobou, která nepředstavuje pro trestní řízení nepřiměřenou zátěž, takže škoda musí být zdokumentovaná a snadno vyčíslitelná.

Druhou možností je žaloba proti organizaci, jejíž nedostatečné zabezpečení umožnilo podvod – zaměstnavatel, jehož poštovní schránka byla napadena, platforma, která umožnila prodejci fungovat bez jakéhokoli ověření, zpracovatel, který zveřejnil zákaznickou databázi. Tato žaloba se také prolíná článkem 6:162 a použitý standard je to, co by měla udělat opatrná organizace vzhledem k nejmodernějšímu stavu techniky a citlivosti dat. Práva obětí kybernetických útoků stanoví, jak se v těchto případech vzájemně ovlivňují oznamovací povinnosti, odškodnění a pojištění. Důkaz je obvykle tou těžší částí; náš článek o tom, jak prokázat digitální podvod, se zabývá důkazy, které mají váhu.

Co GDPR vyžaduje od organizací zasažených phishingem

Úspěšný phishingový útok na společnost téměř vždy vede k narušení bezpečnosti osobních údajů. Článek 32 GDPR vyžaduje, aby správci a zpracovatelé přijali vhodná technická a organizační bezpečnostní opatření, a článek 33 vyžaduje, aby bylo narušení nahlášeno úřadu pro ochranu osobních údajů bez zbytečného odkladu a pokud možno do sedmdesáti dvou hodin od zjištění, s výjimkou případů, kdy je nepravděpodobné, že by to představovalo riziko pro dotčené osoby. Pokud je riziko pro tyto osoby vysoké, článek 34 doplňuje povinnost informovat je přímo.

Dozorový orgán se méně zaměřuje na to, zda byl útok úspěšný, než na to, co mu předcházelo: zda bylo zavedeno vícefaktorové ověřování, zda byla přístupová práva omezena na to, co zaměstnanci skutečně potřebovali, zda protokolování umožnilo rekonstrukci incidentu a zda byli zaměstnanci proškoleni. Organizace, která může prokázat promyšlené bezpečnostní opatření a zdokumentovanou reakci, je v mnohem silnější pozici než ta, která začne věci zapisovat až po události. Kdo je po narušení dat odpovědný, vyřeší, jak je tato odpovědnost rozdělena.

Povinnosti podávání zpráv podle zákona o kybernetické bezpečnosti

Od 15. srpna 2026 se souběžně s GDPR uplatňuje zákon Cyberbeveiligingswet, který v Nizozemsku implementuje směrnici NIS2. Organizace, které spadají do jeho působnosti, se musí registrovat u Národního centra pro kybernetickou bezpečnost, přijímat opatření náležité péče zahrnující řízení rizik, bezpečnost dodavatelského řetězce a řešení incidentů a dvakrát hlásit závažné incidenty: včasné varování do dvaceti čtyř hodin a podrobnější oznámení do sedmdesáti dvou hodin. Vedení může být osobně odpovědné za dodržování povinnosti náležité péče.

Tyto dva režimy se překrývají, ale nejsou stejné. Phishingový incident, který naruší poštovní schránku, může vést k oznámení GDPR úřadu Autoriteit Persoonsgegevens a samostatnému hlášení incidentu podle zákona Cyberbeveiligingswet, v různých termínech a různým orgánům. Součástí přípravy je předem zjistit, který režim se na vaši organizaci vztahuje a kdo volá ve tři hodiny ráno. Náš průvodce povinnostmi hlášení kybernetických bezpečnostních incidentů stanoví termíny vedle sebe.

Přeshraniční případy a jak se získávají důkazy

Phishingové operace se zřídka omezují na jednu zemi. Odesílací infrastruktura se nachází v jedné jurisdikci, oběť v jiné, peníze ve třetí a hosting klonovaného webu ve čtvrté. Nizozemská trestní jurisdikce se vztahuje i na trestné činy spáchané na nizozemském území a trestný čin namířený proti oběti v Nizozemsku je obecně považován za spáchaný zde, takže kontaktování nizozemské policie je správným výchozím bodem, i když se pachatel nachází v zahraničí.

Získávání důkazů z jiného státu probíhá zavedenými kanály. V rámci Evropské unie umožňuje evropský vyšetřovací příkaz nizozemskému státnímu zástupci nebo vyšetřujícímu soudci požádat jiný členský stát o údaje, informace o účtech nebo zmrazení finančních prostředků. Mimo EU stanoví Úmluva Rady Evropy o kyberkriminalitě, uzavřená v Budapešti v roce 2001, urychlené uchovávání uložených počítačových dat a vzájemnou pomoc mezi státy, které ji podepsaly. Europol a Interpol koordinují operace, ale samy nevedou trestní stíhání; případ zůstává u národního orgánu stíhání.

Pro oběť to má praktické důsledky. Získání finančních prostředků obvykle závisí na tom, jak rychle je možné upozornit přijímající banku, protože peníze převedené přes tzv. „mule“ účet jsou rozptýleny během několika hodin. Okamžité nahlášení vaší vlastní bance, aby se mohla pokusit o zpětný odkup, přinese výsledek s větší pravděpodobností než jakýkoli pozdější právní krok.

Prevence phishingu a internetových podvodů ve vaší organizaci

Prevence spočívá spíše v odstraňování jednotlivých bodů selhání než v nákupu softwaru. Vícefaktorové ověřování na každém účtu, který má přístup k firemním datům, jedinečná hesla uložená ve správci hesel a rychlá aktualizace zařízení a softwaru odstraňují většinu oportunních útoků. Platební podvody vyžadují samostatnou kontrolu: pevné pravidlo, že změny bankovních údajů dodavatele jsou ověřovány telefonicky na předem známém čísle a že žádná osoba nemůže zároveň vytvořit i uvolnit platbu.

Školení zaplní zbývající mezeru, pokud je opakované a realistické. Zaměstnanci, kteří viděli přesvědčivou simulovanou phishingovou zprávu, rozpoznají tu skutečnou; zaměstnanci, kteří si pouze přečetli zásady, ji obvykle nerozpoznají. A konečně, předem se rozhodněte, co se stane v první hodině po incidentu: kdo izoluje účet, kdo uchovává protokoly, kdo kontaktuje banku a kdo posoudí, zda byla spuštěna oznamovací povinnost. Tento seznam rozhodnutí má v daný den větší hodnotu než jakákoli následná analýza.

Co dělat, pokud jste se stali terčem útoku

Jednejte v tomto pořadí. Kontaktujte svou banku prostřednictvím jejího oficiálního čísla pro podvody a požádejte o zablokování nebo stažení transakce. Změňte přihlašovací údaje k napadenému účtu a k jakémukoli jinému účtu používajícímu stejné heslo. Uschovejte si vše: původní zprávu s jejími záhlavími, snímky obrazovky, reference transakcí a časy, kdy jste si každého kroku všimli. Podejte policejní protokol, který je vyžadován pro většinu pojistných událostí a je základem pro jakékoli pozdější nároky poškozené strany. Pokud došlo k úniku osobních údajů jiných osob, posuďte oznamovací povinnosti podle GDPR a případně zákona o kybernetických bezpečnostních opatřeních (Cyberbeveiligingswet) dříve, než začnou běžet lhůty.

Law & More Radí obětem phishingu a internetových podvodů ohledně vymáhání ztrát od bank, platforem a pachatelů a radí firmám v oblasti bezpečnostních povinností, oznámení o narušení bezpečnosti a odpovědnosti po incidentu. Posoudíme vaši situaci, jednáme vaším jménem s bankou nebo dozorčím orgánem a v případě potřeby podnikneme kroky. Kontaktujte naše právníky a proberte s nimi vaši situaci. Další informace naleznete v našem Průvodci nizozemským IT právem.