Adathalászat és internetes csalás Hollandiában: az Ön jogai

A holland törvények szerint az adathalászat és az internetes csalás bűncselekménynek minősül. Az a csaló, aki ráveszi Önt bejelentkezési adatainak megadására vagy pénzátutalásra, csalást (oplichting) követ el a holland büntető törvénykönyv 326. cikke értelmében, és gyakran jogosulatlan hozzáférést egy számítógépes rendszerhez (computervredebreuk) is a 138ab. cikke értelmében. Ha a pénz az Ön beleegyezése nélkül távozott a számlájáról, a bankjának elvileg vissza kell térítenie azt a holland polgári törvénykönyv 7:528. cikke értelmében. A fő kivétel: a banknak nem kell fizetnie, ha bizonyítani tudja, hogy Ön csalárd módon vagy súlyos gondatlanságból járt el. A gyorsaság számít, ezért jelentse az esetet a bankjának, és tegyen rendőrségi feljelentést, amint észreveszi.

Mi számít adathalászatnak a holland törvények szerint?

Az adathalászat olyan megtévesztés, amelynek során egy bűnöző egy Ön által megbízható szervezetnek adja ki magát, hogy megszerezze a hitelesítő adatait vagy a pénzét. A holland törvények nem használják az adathalászat szót, de büntetik a mögötte álló magatartást.

A csaló kiadhatja magát banknak, fizetési szolgáltatónak, kézbesítő cégnek vagy a holland adóhatóságnak (Belastingdienst). A cél bejelentkezési adatok, bankkártyaadatok, ellenőrző kód vagy aláírás megszerzése egy banki alkalmazásban. A csatorna változó: e-mail, SMS-üzenet (smishing), telefonhívás valakitől, aki a bank csalásmegelőzési osztályától adja ki magát (vishing), üzenet WhatsApp-on vagy LinkedIn-en, vagy egy szponzorált keresési találat mögött klónozott weboldal.

A holland büntető törvénykönyv (Wetboek van Strafrecht) több rendelkezése is alkalmazható egyszerre:

• Banknak kiadni magát, hogy valakit pénz vagy adatok átadására bírjon, csalásnak minősül a 326. cikkely értelmében.
• Az így megszerzett hitelesítő adatokkal történő fiókba való bejelentkezés jogosulatlan hozzáférésnek minősül a 138ab. cikk értelmében.
• Más személy azonosító adatainak károkozás vagy előnyszerzés céljából történő felhasználása a 231b. cikk értelmében büntetendő.
• A dokumentumok vagy digitális feljegyzések hamisítása a 225. cikk hatálya alá tartozik.
• A bankkártyákkal vagy az azokhoz tartozó adatokkal való visszaélés a 232. cikk hatálya alá tartozik.
• Amennyiben egy támadás titkosított fájlokhoz és váltságdíjköveteléshez vezet, a 350a. cikkely (adatok megváltoztatása vagy megsemmisítése) és a 317. cikkely (zsarolás) kerül alkalmazásra.

Mi számít internetes csalásnak?

Az internetes csalás a tágabb kategória: minden olyan megtévesztés, amelyet online csatornán keresztül követnek el. Jogilag a legtöbb forma ugyanazon rendelkezés, a Büntető Törvénykönyv 326. cikke alá tartozik.

Az internetes csalások közé tartoznak a fizetést elfogadó, de soha nem szállító webáruházak, a hamis bérleményhirdetések és a kriptovalutákra épülő befektetési csalások. Ide tartozik a számlázási csalás is, amelynek során a beszállító banki adatait csendben megváltoztatják, valamint a vezérigazgatói csalás, amelynek során egy pénzügyi alkalmazott sürgős fizetési utasítást kap, amely látszólag egy igazgatótól származik. A lényeg mindig ugyanaz: egy megtévesztő cselekmény, amely valakit pénz, áruk vagy adatok átadására késztet.

Az adathalászat és a tágabb kategória közötti gyakorlati különbség abban rejlik, hogy hol keletkezik a veszteség. Adathalászat esetén a pénz általában a beleegyezésed nélkül hagyja el a fizetési számlát. Ez hozza a képbe a Polgári Törvénykönyv 7. könyvében foglalt fizetési szolgáltatásokra vonatkozó szabályokat. Egy webáruház vagy befektetési csalás esetén te magad utalod át a pénzt. A behajtás ezután polgári üggyé válik a csalóval, és néha a platformmal vagy a pénzt átvevő bankkal szemben.

Hogyan ismerjük fel az adathalász üzenetet?

Azt nézd, hogy mit kér tőled az üzenet, ne a helyesírását. A modern adathalász üzenetek jól megírtak és gyakran személyre szabottak, így a helyesírási hibákra vonatkozó régi tanácsok már nem elegendőek.

Három jel továbbra is megbízható:

• Az üzenet időnyomást kelt. Közli, hogy a fiókodat zárolták, vagy a fizetésed visszavonásra kerül, hacsak nem cselekszel most.
• Eltereli a szokásos csatornáktól. Arra kér, hogy kattints egy linkre vagy hívj fel egy számot ahelyett, hogy megnyitnád a saját banki alkalmazásodat.
• Olyasmit kér, amit egy bank soha nem: ellenőrző kódot, aláírást a banki alkalmazásban egy olyan tranzakcióhoz, amelyet nem Ön indított el, vagy engedélyt távoli hozzáférést biztosító szoftver telepítésére az eszközére.

Szervezetek esetében ugyanez a logika vonatkozik a fizetési utasításokra is. Egy beszállító, aki e-mailben módosítja bankszámlaadatait, egy igazgató, aki a szokásos jóváhagyási láncon kívül sürgős átutalást kér, vagy egy számla, amely a vártnál valamivel korábban érkezik meg, mind csekket kérnek. Hívjon vissza egy már meglévő számon, ne azon, amelyet az üzenetben megadott.

Visszakaphatod a pénzed a banktól?

Általában igen. Ha nem járultál hozzá egy fizetéshez, a banknak elvileg azonnal vissza kell térítenie azt, kivéve, ha csalárd módon vagy súlyos gondatlanságból jártál el.

Az a fizetési művelet, amelyhez a fizető fél nem járult hozzá, a Holland Polgári Törvénykönyv 7:522. cikkének 2. bekezdése értelmében jogosulatlan tranzakciónak minősül. A 7:528. cikk 1. bekezdése ezután kötelezi a fizetési szolgáltatót, hogy haladéktalanul fizesse vissza az összeget, és állítsa vissza a számlát eredeti állapotába. Más szóval, a kiindulópont az, hogy a bank viseli a veszteséget.

A kivétel a 7:529 cikk (1) bekezdésében található. A banknak nem kell visszatérítést fizetnie, ha a számlatulajdonos csalárd módon járt el, vagy szándékosan vagy súlyos gondatlanságból nem teljesítette a 7:524 cikkben foglalt kötelezettségeket. Ezek a kötelezettségek előírják, hogy a fizetési eszközt az alkalmazandó feltételeknek és biztonsági intézkedéseknek megfelelően használja. A súlyos gondatlanság magas mércét jelent. Az összes körülményt figyelembe veszik, nem csak a veszteség tényét. A 7:529 cikk (3) bekezdése további védelmet nyújt: ha a bank nem alkalmazott erős ügyfél-hitelesítést, Ön semmilyen veszteséget nem visel.

Mit tehetsz, ha a bank megtagadja a fizetést?

Fogyasztóként a vitát a Pénzügyi Szolgáltatásokkal Kapcsolatos Panaszintézethez (Klachteninstituut Financiële Dienstverlening, Kifid) vagy polgári bírósághoz fordulhatja. A Kifid csak azután foglalkozik a panaszával, hogy Ön befejezte a bank belső panaszkezelési eljárását.

A vállalati számlatulajdonosok más helyzetben vannak. Rájuk nem vonatkozik a legtöbb fogyasztóvédelmi rendelkezés, és nagymértékben a bankkal kötött szerződésüktől és az általános felelősségi szabályoktól függenek. Ez még fontosabbá teszi a vállalat belső fizetési ellenőrzését.

Kártérítést követelhet a csalótól vagy egy gondatlan szervezettől?

Igen. Amennyiben az elkövetőt azonosítják, a Polgári Törvénykönyv 6:162. cikkelye alapján jogellenes cselekményként (onrechtmatige daad) megtérítheti a kárt. Ugyanezen cikk alapján indulhat ki az olyan szervezettel szembeni követelés is, amelynek gyenge biztonsági helyzete tette lehetővé a csalást.

Az elkövetővel szemben ez leggyakrabban a büntetőügyben történik. A holland büntetőeljárási törvénykönyv 51f. cikke értelmében Ön sértett félként (benadeelde partij) csatlakozhat a büntetőeljáráshoz, és kérheti a büntetőbíróságtól kártérítés megítélését. Ez általában olcsóbb és gyorsabb, mint egy külön polgári jogi kereset. A bíróság csak olyan követeléssel foglalkozik, amely nem ró aránytalan terhet a büntetőeljárásra. A veszteségét ezért dokumentálni kell, és könnyen kiszámíthatónak kell lennie.

Egy másik lehetőség egy olyan szervezet elleni kereset benyújtása, amelynek biztonsági hiányosságai voltak. Gondoljunk csak a munkáltatóra, akinek a postafiókját feltörték, a platformra, amely lehetővé tette az eladó számára az ellenőrzés nélküli működést, vagy a feldolgozóra, amely kiszivárogtatta az ügyféladatbázist. Az alkalmazott szabvány az, amit egy körültekintő szervezetnek kellett volna tennie, figyelembe véve a technika állását és az adatok érzékenységét. A kibertámadások áldozatainak jogai ismertetik, hogyan hatnak egymásra az értesítési kötelezettségek, a kártérítés és a biztosítás ezekben az esetekben. A bizonyítás általában a nehéz rész; a digitális megtévesztés bizonyításáról szóló cikkünk a súlyt hordozó bizonyítékokkal foglalkozik.

Mit ír elő a GDPR az adathalászat által érintett szervezetektől?

Egy vállalat elleni sikeres adathalász támadás szinte mindig személyes adatok megsértését eredményezi. A szervezetnek ezt követően indokolatlan késedelem nélkül, és ahol lehetséges, 72 órán belül jelentenie kell a holland adatvédelmi hatóságnak (Autoriteit Persoonsgegevens).

Az Általános Adatvédelmi Rendelet (GDPR) 32. cikke előírja az adatkezelők és adatfeldolgozók számára a megfelelő technikai és szervezési biztonsági intézkedések megtételét. A 33. cikk előírja, hogy az adatvédelmi incidenst a tudomásszerzéstől számított 72 órán belül be kell jelenteni, kivéve, ha az incidens valószínűsíthetően nem jelent kockázatot az érintett személyekre nézve. Amennyiben az érintett személyekre nézve magas a kockázat, a 34. cikk előírja a közvetlen tájékoztatás kötelezettségét.

A felügyeleti hatóság kevésbé azt a tényt vizsgálja, hogy egy támadás sikeres volt, mint inkább azt, ami megelőzte azt. Volt-e érvényben a többtényezős hitelesítés? A hozzáférési jogok csak a ténylegesen szükséges személyzetre korlátozódtak-e? A naplózás lehetővé tette-e az incidens rekonstruálását? A személyzet képzésben részesült-e? Egy olyan szervezet, amely átgondolt biztonsági megközelítést és dokumentált választ tud felmutatni, sokkal erősebb helyzetben van, mint amelyik csak az esemény után kezd el dolgokat leírni. Az, hogy ki a felelős egy adatvédelmi incidens után, a felelősség elosztásán múlik.

Milyen jelentéstételi kötelezettségek vonatkoznak a Cyberbeveiligingswetre?

2026. augusztus 15. óta a NIS2 irányelvet végrehajtó holland kiberbiztonsági törvény (Cyberbeveiligingswet) a GDPR mellett hatályos. A hatálya alá tartozó szervezeteknek a jelentős incidenseket szakaszosan kell jelenteniük: korai figyelmeztetés 24 órán belül, értesítés 72 órán belül és zárójelentés egy hónapon belül.

A törvény hatálya alá tartozó szervezeteknek regisztrálniuk kell a Nemzeti Kiberbiztonsági Központnál (NCSC) is. Gondossági kötelezettségük értelmében intézkedéseket kell tenniük a kockázatkezelés, az ellátási lánc biztonsága és az incidensek kezelése terén. Az igazgatótanácsnak jóvá kell hagynia ezeket az intézkedéseket, felügyelnie kell azok végrehajtását és képzéseken kell részt vennie, így a kiberbiztonság a vezetőség felelőssége, és nem csak az informatikai részleg feladata.

A két rendszer átfedésben van, de nem ugyanaz. Egy postafiókot feltörő adathalász incidens GDPR-értesítést válthat ki az Autoriteit Persoonsgegevens felé, valamint egy külön incidensjelentést a Cyberbeveiligingswet alapján, eltérő határidőkkel és különböző hatóságoknak. Előre dolgozza ki, hogy melyik rendszer vonatkozik a szervezetére, és ki kezdeményezi a hívást hajnali háromkor. A kiberbiztonsági incidensek jelentési kötelezettségeiről szóló útmutatónk egymás mellé helyezi a határidőket.

Mi van, ha a csaló vagy a pénz külföldön van?

Mindenképpen tegyen rendőrségi feljelentést (aangifte) Hollandiában. A Hollandiában az áldozat ellen elkövetett bűncselekményt általában elkövetettnek tekintik, így a holland rendőrség és az ügyészség a megfelelő kiindulópont akkor is, ha az elkövető külföldön tartózkodik.

Az adathalász műveletek ritkán korlátozódnak egyetlen országra. A küldő infrastruktúra az egyik joghatóságban található, az áldozat egy másikban, a pénz egy harmadikban, a klónozott webhely tárhelye pedig egy negyedikben. A holland büntetőjogi joghatóság a holland területen elkövetett bűncselekményekre is kiterjed.

Egy másik államból származó bizonyítékokat a bevett csatornákon keresztül szereznek be. Az Európai Unión belül az európai nyomozási határozat lehetővé teszi a holland ügyész vagy nyomozási bíró számára, hogy adatokat, számlainformációkat vagy pénzeszközök befagyasztását kérje egy másik tagállamtól. Az EU-n kívül az Európa Tanács 2001-ben Budapesten megkötött számítástechnikai bűnözésről szóló egyezménye előírja a tárolt számítógépes adatok gyorsított megőrzését és a csatlakozott államok közötti kölcsönös segítségnyújtást. Az Europol és az Interpol összehangolja a műveleteket, de nem indítanak büntetőeljárást; az ügy továbbra is a nemzeti ügyészség hatáskörében marad.

Az áldozat számára ennek gyakorlati következménye van. A pénzeszközök visszaszerzése általában attól függ, hogy milyen gyorsan tudják értesíteni a fogadó bankot, mivel az öszvérszámlán keresztül átutalt pénz órákon belül eloszlik. A saját bankjának történő azonnali jelentés, hogy az megkísérelhesse a visszahívást, nagyobb valószínűséggel eredményez eredményt, mint bármely későbbi jogi lépés.

Hogyan előzi meg az adathalászatot és az internetes csalásokat a szervezetében?

Szüntesd meg az egyetlen meghibásodási pontot; több szoftver vásárlása ritkán jelent megoldást. Néhány alapvető intézkedéssel megállíthatod a legtöbb alkalmi támadást.

• Használjon többtényezős hitelesítést minden olyan fiókon, amely hozzáférhet a céges adatokhoz.
• Tarts egyedi jelszavakat egy jelszókezelőben.
• Az eszközök és szoftverek azonnali javítása.
• Telefonon, egy már meglévő számon ellenőrizd a szállító banki adataid minden változását.
• Győződjön meg arról, hogy egyetlen személy sem tud egyszerre fizetést létrehozni és engedélyezni.

A képzés pótolja a fennmaradó hiányosságot, feltéve, hogy ismétlődik és realisztikus. Azok a munkatársak, akik meggyőzően szimulált adathalász üzenetet láttak, felismerik az igazit; azok a munkatársak, akik csak egy szabályzatot olvastak, általában nem. Végül, előre döntsék el, mi történik az incidens utáni első órában: ki különíti el a fiókot, ki őrzi meg a naplókat, ki veszi fel a kapcsolatot a bankkal, és ki méri fel, hogy fennáll-e az értesítési kötelezettség. Ez a lista többet ér aznap, mint bármilyen elemzés az esemény után.

Mit kell tenned, ha célponttá váltál?

Először vedd fel a kapcsolatot a bankoddal, majd biztosítsd a számláidat, őrizd meg a bizonyítékokat, és jelentsd a rendőrségen. A következő sorrendben járj el:

1. Vedd fel a kapcsolatot a bankoddal a hivatalos csalásszámukon keresztül, és kérd a tranzakció blokkolását vagy visszavonását.
2. Módosítsa a feltört fiók és az ugyanazon jelszót használó bármely más fiók hitelesítő adatait.
3. Őrizzen meg mindent: az eredeti üzenetet a fejléceivel, képernyőképeket, tranzakciós hivatkozásokat és az egyes lépések észlelésének időpontját.
4. Tegyen rendőrségi jegyzőkönyvet. A legtöbb biztosító megköveteli, és ez képezi az alapját minden későbbi kárigénynek sérült félként.
5. Ha mások személyes adatai kerültek nyilvánosságra, a határidők lejárta előtt értékelje a GDPR szerinti értesítési kötelezettségeket, és adott esetben a Cyberbeveiligingswet-et.

Tanácsot adunk az adathalászat és az internetes csalások áldozatainak a bankoktól, platformoktól és elkövetőktől származó veszteségek megtérítésében. Emellett tanácsot adunk a vállalatoknak a biztonsági kötelezettségekkel, az incidensek bejelentésével és az incidens utáni felelősséggel kapcsolatban. További olvasnivalót a holland informatikai jogi útmutatóinkban talál.

Összefoglalva

• Az adathalászat és az internetes csalás Hollandiában büntetendő, főként csalásként (Büntető Törvénykönyv 326. cikke) és jogosulatlan hozzáférésként (138ab. cikkely).
• Az Ön által nem engedélyezett fizetés esetén a banknak elvileg haladéktalanul vissza kell térítenie az összeget (Ptk. 7:528. cikke), kivéve, ha Ön csalárd módon vagy súlyos gondatlanságból járt el (7:529. cikkely).
• Ha a bank elutasítja a kérelmet, a fogyasztók a bank belső panasztételi eljárását követően a Kifidhez, vagy polgári bírósághoz fordulhatnak.
• Az adathalászat áldozatául esett szervezeteknek 72 órán belül ki kell értékelniük a GDPR szerinti értesítést, és ha az eset a hatályán belül van, a Cyberbeveiligingswet (24 óra, 72 óra, egy hónap) szerint kell jelentést tenniük.
• Azonnal hívd fel a bankod, és tegyél feljelentést a rendőrségen: a gyorsaság gyakran döntő fontosságú a pénz visszaszerzésében.

Gyakran Ismételt Kérdések

Köteles-e a bankom visszatéríteni a pénzem, ha adathalász linkre kattintottam?

Nem automatikusan, de gyakran. A kiindulópont minden olyan kifizetés visszatérítése, amelyhez nem járult hozzá. A banknak bizonyítania kell, hogy súlyos gondatlanságból járt el, és ezt az eset összes körülménye alapján ítélik meg.

Egy üzleti fiók is ugyanilyen védelem alatt áll?

Nagyrészt nem. A legtöbb fogyasztóvédelmi rendelkezés nem vonatkozik az üzleti számlákra, így a bankkal kötött szerződés és az általános felelősségi szabályok döntik el, hogy ki viseli a veszteséget.

Igényelhetek kártérítést büntetőügyben?

Igen. Kárt szenvedett félként (benadeelde partij) csatlakozhat a büntetőeljáráshoz, és kérheti a bíróságtól kártérítés megítélését, feltéve, hogy a követelése dokumentált és könnyen értékelhető.

Nem biztos benne, hogy hol áll? Meséljen nekünk a helyzetéről. Egy munkanapon belül tájékoztatjuk a lehetőségeiről.

Hogyan Law & More segíthetünk ebben, ezt elmagyarázzuk a mi oldalunkon bűnügyvéd cimre.