Фишингот и интернет измамата се кривични дела според холандскиот закон. Измамник кој ве измамува да ги предадете податоците за најавување или да префрлите пари, врши оплихтинг (измама) согласно член 326 од холандскиот Кривичен законик, а честопати и computervredebreuk (неовластен пристап до компјутерски систем) согласно член 138ab. Доколку парите ја напуштиле вашата сметка без ваша вистинска согласност, вашата банка во принцип мора да ги врати согласно член 7:528 од холандскиот Граѓански законик, освен ако не може да докаже дека сте постапиле измамнички или со груба небрежност. Брзината е важна: пријавете го инцидентот во вашата банка и поднесете полициска пријава штом ќе го забележите.
Што се смета за фишинг според холандскиот закон
Фишингот е форма на измама во која криминалец се претставува како организација на која ѝ верувате – банка, давател на услуги за плаќање, компанија за достава, Belastingdienst – со цел да добие информации за најавување, детали за платежна картичка, код за верификација или потпис во банкарска апликација. Медиумот варира: е-пошта, СМС-порака (smishing), телефонски повик од некој што тврди дека е од одделот за банкарски измами (vishing), порака на WhatsApp или LinkedIn или клонирана веб-страница зад спонзориран резултат од пребарувањето.
Холандскиот кривичен закон не го користи зборот фишинг. Она што го казнува е однесувањето зад него. Претставувањето себеси како банка со цел да се натера некого да предаде пари или податоци е опликт според член 326 од Wetboek van Strafrecht. Најавувањето на сметка со акредитиви добиени на тој начин е computervredebreuk според член 138ab. Користењето на податоци за идентификација на друго лице за да се предизвика штета или да се добие предност е казниво според член 231б, фалсификувањето документи или дигитален запис спаѓа под член 225, а злоупотребата на платежни картички или податоците зад нив спаѓа под член 232. Кога нападот завршува со шифрирани датотеки и барање откуп, стапуваат во игра член 350a (менување или уништување на податоци) и член 317 (изнуда).
Што се смета за интернет измама
Интернет измамата е поширока категорија: секоја измама извршена преку онлајн канал. Опфаќа веб-продавници кои примаат плаќање и никогаш не испорачуваат, лажни огласи за изнајмување, инвестициски измами изградени околу криптовалути, измама со фактури во која банкарските податоци на добавувачот се тивко менуваат и измама со извршен директор во која финансиски вработен добива итна инструкција за плаќање што се чини дека доаѓа од директор. Правно, сите овие се подложени на истата одредба, член 326 од Кривичниот законик, бидејќи суштината е иста: измамен чин што го тера некого да се откаже од пари, стоки или податоци.
Практичната разлика помеѓу фишингот и пошироката категорија е местото каде што настанува загубата. Во случај на фишинг, парите обично излегуваат од сметката за плаќање, што ги активира правилата за услуги за плаќање во Книга 7 од Граѓанскиот законик. Во измама со веб-продавница или инвестициска измама, жртвата самата ги префрла парите, што го прави враќањето на парите граѓанска работа против измамникот, а понекогаш и против платформата или банката што ги примила средствата.
Како да препознаете фишинг порака
Современите фишинг пораки се добро напишани и често персонализирани, па затоа стариот совет за правописни грешки повеќе не е доволен. Три сигнали остануваат сигурни. Пораката создава временски притисок, кажувајќи ви дека сметката е блокирана или дека плаќањето ќе биде поништено освен ако не дејствувате веднаш. Ве насочува подалеку од каналите што вообичаено ги користите, барајќи од вас да кликнете на линк или да се јавите на број, наместо да ја отворите вашата сопствена банкарска апликација. И бара нешто што банката никогаш не го бара: код за верификација, потпис во вашата банкарска апликација за трансакција што не сте ја започнале или дозвола за софтвер за далечински пристап на вашиот уред.
За организациите, истата логика важи и за упатствата за плаќање. Добавувач кој ги менува своите банкарски податоци преку е-пошта, директор кој бара итен трансфер надвор од вообичаениот синџир на одобрување или фактура која пристигнува малку порано од очекуваното, сите тие бараат повратен повик на број што веќе го имате во досието, а не на оној што е наведен во пораката.
Враќање на парите од банката
Платежна трансакција за која потрошувачот не дал согласност е неовластена трансакција во смисла на член 7:522 став 2 од Холандскиот граѓански законик. Член 7:528 став 1 потоа го обврзува давателот на услуги за плаќање веднаш да го врати износот и да ја врати сметката во состојбата во која би била. Со други зборови, почетната точка е дека банката ја сноси загубата.
Исклучокот е во член 7:529 став 1: банката не мора да врати средства ако сопственикот на сметката постапил измамнички, намерно или со груба небрежност не ги исполнил обврските во член 7:524, кои бараат платниот инструмент да се користи во согласност со важечките услови и безбедносни мерки. Грубата небрежност е висока пречка и се оценува врз основа на сите околности, а не само врз основа на фактот на загубата. Член 7:529 став 3 додава дополнителна заштита: кога банката не применила силна автентикација на клиентот, плаќачот воопшто не трпи загуба.
Доколку банката одбие, потрошувачот може да го поднесе спорот до Klachteninstituut Financiele Dienstverlening (Kifid) по завршувањето на интерната постапка за жалби на банката или да ја поднесе тужбата пред граѓанскиот суд. Сопствениците на деловни сметки се надвор од поголемиот дел од заштитата на потрошувачите и во голема мера зависат од договорот со банката и од општите правила за одговорност, што ги прави интерните контроли за плаќање на компанијата уште поважни.
Барање отштета од измамник или небрежна организација
Доколку сторителот е идентификуван, штетата може да се надомести како незаконско дело согласно член 6:162 од Граѓанскиот законик. Во пракса ова најчесто се случува во рамките на кривичниот предмет: жртвата може да се приклучи на кривичната постапка како оштетена страна (benadeelde partij) согласно член 51f од Законот за кривична постапка и да побара од кривичниот суд да досуди надомест на штета, што е поевтино и побрзо од посебна граѓанска тужба. Судот ќе постапува само по барање кое не претставува непропорционален товар врз кривичната постапка, па затоа штетата мора да биде документирана и лесна за пресметување.
Втор пат е тужба против организација чија слаба безбедност ја овозможила измамата - работодавачот чие поштенско сандаче било компромитирано, платформата што му дозволила на продавачот да работи без никаква верификација, обработувачот што ја протекол базата на податоци на клиентите. Ова тврдење, исто така, се провлекува низ член 6:162, а применетиот стандард е она што требало да го направи внимателна организација со оглед на состојбата на технологијата и чувствителноста на податоците. Правата на жртвите на сајбер напади утврдуваат како се поврзуваат должностите за известување, надоместокот и осигурувањето во тие случаи. Доказот е обично тешкиот дел; нашата статија за тоа како да се докаже дигитална измама се занимава со доказите што имаат тежина.
Што бара GDPR од организациите погодени од фишинг
Успешен фишинг напад врз компанија речиси секогаш предизвикува повреда на лични податоци. Член 32 од GDPR бара од контролорите и обработувачите да преземат соодветни технички и организациски безбедносни мерки, а член 33 бара повредата да се пријави до Autoriteit Persoonsgegevens без непотребно одложување и, доколку е можно, во рок од седумдесет и два часа од дознавањето за неа, освен ако не е веројатно дека ќе резултира со ризик за засегнатите лица. Кога ризикот за тие лица е висок, член 34 додава обврска директно да се информираат.
Надзорниот орган помалку се осврнува на фактот дека нападот бил успешен, а повеќе на она што му претходело: дали била воспоставена повеќефакторска автентикација, дали правата за пристап биле ограничени на она што всушност му било потребно на персоналот, дали евидентирањето овозможило реконструкција на инцидентот и дали персоналот бил обучен. Организација која може да покаже промислена безбедносна позиција и документиран одговор е во многу посилна позиција од онаа што почнува да ги запишува работите дури по настанот. Кој е одговорен по повреда на податоци , се разгледува начинот на кој се распределува таа одговорност.
Обврски за известување според Законот за сајбер-внимание
Од 15 август 2026 година, Законот за сајбер безбедност, кој ја спроведува Директивата NIS2 во Холандија, се применува заедно со GDPR. Организациите што спаѓаат во неговиот опсег мора да се регистрираат во Националниот центар за сајбер безбедност, да преземат мерки за грижа што опфаќаат управување со ризици, безбедност на синџирот на снабдување и справување со инциденти и да пријават значајни инциденти двапати: рано предупредување во рок од дваесет и четири часа и целосно известување во рок од седумдесет и два часа. Менаџментот може да биде лично одговорен за усогласеност со обврската за грижа.
Двата режима се преклопуваат, но не се исти. Инцидент со фишинг што компромитира поштенско сандаче може да предизвика известување според GDPR до Авторитетот за персонални информации и посебен извештај за инцидентот според Законот за сајбер безбедност, со различни рокови и до различни органи. Дел од подготовката е однапред да се утврди кој режим се однесува на вашата организација и кој го прави повикот во три часот наутро. Нашиот водич за должностите за пријавување инциденти во сајбер безбедноста ги поставува роковите еден до друг.
Прекугранични случаи и како се добиваат докази
Фишинг операциите ретко се ограничени на една земја. Инфраструктурата за испраќање се наоѓа во една јурисдикција, жртвата во друга, парите во трета, а хостирањето на клонираната страница во четврта. Холандската кривична јурисдикција се протега на кривични дела извршени на холандска територија, а кривичното дело насочено кон жртва во Холандија генерално се третира како извршено овде, па затоа ангифтот со холандската полиција е вистинската почетна точка дури и кога сторителот е во странство.
Добивањето докази од друга држава се одвива преку воспоставени канали. Во рамките на Европската Унија, Европската истражна наредба му дозволува на холандскиот обвинител или истражен судија да побара податоци, информации за сметката или замрзнување на средства од друга земја-членка. Надвор од ЕУ, Конвенцијата на Советот на Европа за киберкриминал, склучена во Будимпешта во 2001 година, предвидува забрзано зачувување на складираните компјутерски податоци и меѓусебна помош меѓу државите што ја потпишале. Европол и Интерпол ги координираат операциите, но самите не гонат; случајот останува кај националниот орган за гонење.
За жртвата ова има практична последица. Враќањето на средствата обично зависи од тоа колку брзо може да се извести банката-примател, бидејќи парите што се префрлаат преку сметка на муле се распрснуваат во рок од неколку часа. Веднаш пријавувањето до вашата банка, за да може да се обиде да ги повлече средствата, е поверојатно да даде резултат отколку кој било подоцнежен правен чекор.
Спречување на фишинг и интернет измами во вашата организација
Превенцијата е главно прашање на отстранување на поединечни точки на дефект, а не на купување софтвер. Мултифакторска автентикација на секоја сметка што може да достигне до податоците на компанијата, уникатни лозинки чувани во менаџер за лозинки и брзо закрпување на уредите и софтверот ги отстрануваат повеќето опортунистички напади. Измамата со плаќање бара посебна контрола: фиксно правило дека промените на банкарските податоци на добавувачот се потврдуваат преку телефон на претходно познат број и дека ниту едно лице не може и да креира и да изврши плаќање.
Обуката го затвора преостанатиот јаз, под услов да е повторена и реалистична. Вработените кои виделе убедлива симулирана фишинг порака ја препознаваат вистинската; вработените кои само прочитале политика генерално не ја препознаваат. Конечно, однапред одлучете што се случува во првиот час по инцидентот: кој ја изолира сметката, кој ги зачувува логовите, кој ја контактира банката и кој проценува дали е активирана должноста за известување. Таа листа на одлуки вреди повеќе на денот на настанот отколку која било анализа по настанот.
Што да направите ако сте биле мета
Дејствувајте по овој редослед. Контактирајте ја вашата банка преку нејзиниот официјален број за измама и побарајте трансакцијата да биде блокирана или отповикана. Променете ги акредитивите на сметката што била компромитирана и на која било друга сметка што ја користи истата лозинка. Зачувајте сè: оригиналната порака со нејзините заглавија, снимки од екранот, референци на трансакциите и времето кога сте го забележале секој чекор. Поднесете полициски извештај, кој е потребен за повеќето осигурителни барања и е основа за секое подоцнежно барање како оштетена страна. Доколку се откриени лични податоци на други, проценете ги должностите за известување според GDPR и, каде што е применливо, Cyberbeveiligingswet пред да почнат да течат роковите.
Law & More ги советува жртвите на фишинг и интернет измами за надоместување на загубите од банки, платформи и сторители, а ги советува и компаниите за безбедносните обврски, известувањата за прекршоци и одговорноста по инцидент. Ние ја проценуваме вашата позиција, соработуваме со банката или надзорниот орган во ваше име и преземаме постапки каде што тоа е разумен пат. Контактирајте ги нашите адвокати за да ја разговараме вашата ситуација. Дополнително читање е собрано во нашата Водичи за холандско ИТ право.
