פרטי החשבון של הספק השתנו במייל: ההונאה שמכוונת לעסקים קטנים, ומה החוק מחזיר
חוק שירותי תשלום מגן על העסק הקטן בדיוק כפי שהוא מגן על לקוח פרטי, ומתיר לוותר על ההגנה בחוזה מול לקוח שמחזורו עולה על 30 מיליון שקל. אבל תשלום שהעסק העביר בעצמו אחרי מייל מזויף נשאר מחוץ להסדר ההשבה, ומה שנותר הוא מרוץ אל הבנק המקבל
מייל שהגיע מכתובת מוכרת, עם חשבונית באותו עיצוב ובאותו סכום, ושורה אחת ששונתה בתוכו: מספר חשבון הבנק לתשלום. זו השיטה שמכוונת אל עסקים קטנים, והיא עובדת מפני שהיא נכנסת לתוך התכתבות אמיתית שכבר מתנהלת בין העסק לספק הקבוע שלו, לפעמים חודשים אחרי שהמתחזה קרא בשקט את תיבת הדואר.
חוק שירותי תשלום משנת 2019 הוא המסגרת שקובעת מה מוחזר. סעיף 24 מגביל את אחריות בעל אמצעי התשלום לשימוש לרעה ל-75 שקל ועוד 30 שקל לכל יום שחלף עד מסירת ההודעה, ולכל היותר 450 שקל כשההודעה נמסרה בתוך 30 יום. סעיף 27 מחייב את נותן שירותי התשלום להשיב את הכסף בהקדם האפשרי ולא יאוחר משמונה ימי עסקים. להרחבה: 450 שקל או כל הסכום: מה הבנק חייב להחזיר אחרי הונאה.
עסק קטן יושב בתוך ההסדר הזה, ולא מחוצה לו. סעיף 51 אוסר להתנות על הוראות החוק אלא לטובת הלקוח, ומתיר לצדדים להסכים אחרת כשהלקוח הוא עסק לפי ההגדרה שבחוק, כלומר עסק שמחזור המכירות השנתי שלו עולה על 30 מיליון שקל. הסף הזה מעשי מאוד: מוסך, חנות, משרד עורכי דין או חברת הזנק שמחזורה נמוך ממנו מחזיקים באותה הגנה שיש ללקוח פרטי, וגם כשההתניה מותרת נשארת רשימת סעיפים חסינה מפניה.
ההבחנה שקובעת את התוצאה היא מי נתן את הוראת התשלום. חיוב שנעשה מאחורי גבו של בעל החשבון נכנס להסדר ההשבה. העברה שבוצעה מהמחשב של העסק, בידי מי שקרא מייל מזויף והקליד את הפרטים בעצמו, היא הוראת תשלום מאושרת, ומולה אין חובת השבה בחוק. מה שנותר הוא מסלול הרשלנות, כלומר טענה שהבנק היה אמור לעצור פעולה חריגה בחשבון. למה הבנק פטור מהחזר בהעברה שהלקוח אישר בעצמו מפורט בהרחבה, ופסק דין שחייב בנק לפצות לקוח על העברה שלא אישר מראה כמה ההבדל בין השניים משנה.
צד המכירה חשוף לגרסה אחרת של אותה הונאה. צילום מסך שמראה העברה שבוצעה אינו הוכחה שהכסף יצא מהחשבון, ועריכה של מסמך כזה לוקחת דקות. שלחו לכם צילום מסך שהכסף הועבר? זה כבר לא אומר ששילמו לכם תיאר את השיטה, והכלל המעשי פשוט: הסחורה יוצאת אחרי שהזיכוי נראה בחשבון, לא אחרי שהוא נראה בתמונת מסך.
הוראת ניהול בנקאי תקין 426 מחייבת את הבנקים להפעיל מענה אנושי לחשש להונאה ולמסירת הודעה על שימוש לרעה, ברצף מלא בכל ימות השנה, כולל שבת וחג, עם המתנה שככלל אינה חורגת משש דקות. מהשיחה הזאת מבקשים שלושה דברים: הקפאת הפעולה אם טרם נסלקה, פנייה של הבנק השולח אל הבנק המקבל בבקשת השבה, ואישור בכתב על מועד ההודעה.
אימות טלפוני למספר שמופיע בחוזה, ולא למספר שמופיע במייל, הוא הבדיקה שמפרידה בין ספק אמיתי למתחזה. לצידה עומדות שתי החלטות ארגוניות שאינן עולות כסף: הפרדה בין מי שרשאי לעדכן פרטי בנק של ספק במערכת לבין מי שמאשר את התשלום, ודרישת אישור שני מעל סכום שנקבע מראש. עסק שמחזיק חשבון אחד וכרטיס אחד לכל דבר מגלה בדיעבד שגם הרשאה זמנית לרואה חשבון חיצוני נשארה פתוחה שנים.
כתובת השולח היא הפרט שנבדק אחרון ומסביר הכול. במקרים רבים הדומיין זהה לזה של הספק בכל האותיות חוץ מאחת, או שהסיומת השתנתה, והעין קוראת את השם המוכר ומדלגת על ההבדל. במקרים אחרים התיבה של הספק עצמה נפרצה, וההודעה יוצאת מהכתובת האמיתית, כך שבדיקת הכתובת אינה מספיקה והאימות חייב לעבור לערוץ אחר. תיק ראיות שנפתח באותו יום, ובו כותרות המייל המלאות, מועדי ההתכתבות, אסמכתת ההעברה ואישור הבנק על שעת ההודעה, הוא מה שמחזיק טענה מול הבנק או מול הספק בשלב שבו כבר ברור שהכסף הגיע ליעד אחר.
זהות העסק עצמה היא יעד נפרד. תיק עוסק שנפתח בזהות גנובה מגיע אל בעליו כשומה, ובאחד המקרים שנדונו בבית המשפט הגיע הסכום ליותר מחצי מיליון שקל. עשרת הצעדים לפני שהגניבה הופכת לחוב מתאר את סדר הפעולות, וההבדל בין מי שפעל בשבוע הראשון למי שהמתין נמדד בשנים של התכתבות מול הרשויות.
