Фішинг та інтернет-шахрайство є кримінальними злочинами згідно з законодавством Нідерландів. Шахрай, який обманом змушує вас передати дані для входу або переказати гроші, вчиняє oplichting (шахрайство) згідно зі статтею 326 Кримінального кодексу Нідерландів, а також computervredebreuk (несанкціонований доступ до комп’ютерної системи) згідно зі статтею 138ab. Якщо гроші залишили ваш рахунок без вашої справжньої згоди, ваш банк, як правило, повинен повернути їх згідно зі статтею 7:528 Цивільного кодексу Нідерландів, якщо він не зможе довести, що ви діяли шахрайським шляхом або з грубою недбалістю. Швидкість має значення: повідомте про інцидент до свого банку та подайте заяву до поліції, як тільки ви це помітите.
Що вважається фішингом згідно з законодавством Нідерландів
Фішинг – це форма обману, за якої злочинець видає себе за організацію, якій ви довіряєте – банк, постачальника платіжних послуг, компанію доставки, службу підтримки клієнтів – щоб отримати облікові дані для входу, дані платіжної картки, код підтвердження або підпис у банківському додатку. Засоби можуть використовуватись у різних форматах: електронний лист, SMS-повідомлення (смішинг), телефонний дзвінок від когось, хто стверджує, що він працює в відділі боротьби з шахрайством у банку (вішинг), повідомлення в WhatsApp або LinkedIn, або клонований веб-сайт, що стоїть за спонсорованим результатом пошуку.
У нідерландському кримінальному законодавстві не використовується слово «фішинг». Воно карає саме за поведінку, що стоїть за цим. Видання себе за банк з метою змусити когось передати гроші чи дані є «oplicht» згідно зі статтею 326 Закону про закони Нідерландів (Wetboek van Strafrecht). Вхід до облікового запису з використанням отриманих таким чином облікових даних є «computervredebreuk» згідно зі статтею 138ab. Використання ідентифікаційних даних іншої особи для заподіяння шкоди або отримання переваги карається статтею 231b, підробка документів або цифрового запису підпадає під статтю 225, а зловживання платіжними картками або даними, що за ними стоять, підпадає під статтю 232. Якщо атака завершується зашифрованими файлами та вимогою викупу, застосовуються стаття 350a (зміна або знищення даних) та стаття 317 (вимагання).
Що вважається інтернет-шахрайством
Інтернет-шахрайство – це ширша категорія: будь-який обман, здійснений через онлайн-канал. Вона охоплює інтернет-магазини, які приймають платежі та ніколи не відправляють товар, фальшиві оголошення про оренду, інвестиційні афери, побудовані навколо криптовалюти, шахрайство з рахунками-фактурами, коли банківські реквізити постачальника непомітно змінюються, та шахрайство з боку генерального директора, коли фінансовий працівник отримує термінову платіжну інструкцію, яка, здавалося б, надходить від директора. Юридично всі ці поняття підпадають під одну й ту саму статтю, статтю 326 Кримінального кодексу, оскільки суть одна й та сама: обманлива дія, яка спонукає когось розлучитися з грошима, товарами чи даними.
Практична різниця між фішингом та ширшою категорією полягає в тому, де виникають збитки. У випадку фішингу гроші зазвичай залишають платіжний рахунок, що призводить до застосування правил платіжних послуг, викладених у Книзі 7 Цивільного кодексу. В інтернет-магазині або інвестиційній афері жертва сама переказує гроші, що робить стягнення цивільною справою проти шахрая, а іноді й проти платформи або банку, який отримав кошти.
Як розпізнати фішингове повідомлення
Сучасні фішингові повідомлення добре написані та часто персоналізовані, тому старої поради щодо орфографічних помилок більше недостатньо. Три сигнали залишаються надійними. Повідомлення створює тиск у часі, повідомляючи вам, що обліковий запис заблоковано або платіж буде скасовано, якщо ви не вживете заходів негайно. Воно відводить вас від каналів, які ви зазвичай використовуєте, просячи вас натиснути на посилання або зателефонувати за номером, а не відкрити власний банківський додаток. І воно запитує те, чого банк ніколи не запитує: код підтвердження, підпис у вашому банківському додатку для транзакції, яку ви не розпочинали, або дозвіл на програмне забезпечення для віддаленого доступу на вашому пристрої.
Для організацій та сама логіка застосовується до платіжних інструкцій. Постачальник, який змінює свої банківські реквізити електронною поштою, директор, який просить про терміновий переказ поза звичайним ланцюжком затвердження, або рахунок-фактура, який надходить трохи раніше, ніж очікувалося, – все це вимагає зворотного дзвінка за номером, який у вас вже є у файлі, а не за тим, що вказаний у повідомленні.
Повернення ваших грошей з банку
Платіжна транзакція, на яку споживач не надав згоди, є несанкціонованою транзакцією у значенні статті 7:522 пункту 2 Цивільного кодексу Нідерландів. Стаття 7:528 пункт 1 зобов'язує постачальника платіжних послуг негайно повернути суму та відновити рахунок до стану, в якому він був би. Іншими словами, відправною точкою є те, що банк несе збитки.
Виняток міститься у статті 7:529, пункт 1: банк не зобов'язаний повертати кошти, якщо власник рахунку діяв шахрайським шляхом, навмисно або з грубою недбалістю не виконав обов'язків, викладених у статті 7:524, які вимагають використання платіжного інструменту відповідно до застосовних умов та заходів безпеки. Груба недбалість є високою планкою і оцінюється за всіма обставинами, а не лише за фактом збитків. Стаття 7:529, пункт 3, додає додатковий захист: якщо банк не застосував сувору автентифікацію клієнта, платник взагалі не несе жодних збитків.
Якщо банк відмовляє, споживач може передати спір до Klachteninstituut Financiele Dienstverlening (Kifid) після завершення внутрішньої процедури розгляду скарг банку або подати позов до цивільного суду. Власники бізнес-рахунків не підпадають під більшість захистів прав споживачів і значною мірою залежать від договору з банком та загальних правил відповідальності, що робить внутрішній контроль платежів компанії ще важливішим.
Вимагання відшкодування збитків від шахрая або недбайливої організації
Якщо винного встановлено, збитки можуть бути відшкодовані як протиправне діяння відповідно до статті 6:162 Цивільного кодексу. На практиці це найчастіше відбувається в рамках кримінальної справи: потерпілий може приєднатися до кримінального провадження як потерпіла сторона (benadeelde partij) відповідно до статті 51f Кримінально-процесуального кодексу та звернутися до кримінального суду з проханням присудити компенсацію, що дешевше та швидше, ніж окремий цивільний позов. Суд розглядатиме лише позов, який не створює непропорційного навантаження на кримінальне провадження, тому збитки мають бути задокументовані та їх легко розрахувати.
Другий шлях – це позов проти організації, низька безпека якої зробила можливим шахрайство – роботодавця, чию поштову скриньку було скомпрометовано, платформи, яка дозволила продавцю працювати без будь-якої перевірки, обробника, який вилив базу даних клієнтів. Цей позов також проходить через статтю 6:162, і застосований стандарт – це те, що мала б зробити обережна організація, враховуючи сучасний стан справ та чутливість даних. Права жертв кібератак визначають, як у таких випадках взаємодіють обов’язки щодо повідомлення, компенсації та страхування. Доведення зазвичай є найскладнішою частиною; наша стаття про те, як довести цифровий обман, стосується доказів, які мають вагу.
Що GDPR вимагає від організацій, які постраждали від фішингу
Успішна фішингова атака на компанію майже завжди призводить до порушення безпеки персональних даних. Стаття 32 GDPR вимагає від контролерів та обробників даних вживати відповідних технічних та організаційних заходів безпеки, а стаття 33 вимагає, щоб про порушення повідомлялося до Управління з питань захисту персональних даних без невиправданої затримки та, по можливості, протягом сімдесяти двох годин з моменту отримання інформації про нього, окрім випадків, коли це навряд чи призведе до ризику для відповідних осіб. Якщо ризик для цих осіб є високим, стаття 34 додає обов'язок інформувати їх безпосередньо.
Наглядовий орган менше звертає увагу на сам факт успішності атаки, ніж на те, що їй передувало: чи була задіяна багатофакторна автентифікація, чи були права доступу обмежені тим, що дійсно було потрібно персоналу, чи дозволяло ведення журналу реконструювати інцидент і чи пройшов персонал навчання. Організація, яка може продемонструвати продуманий рівень безпеки та задокументовану реакцію, перебуває у набагато сильнішому становищі, ніж та, яка починає записувати події лише після події. Хто несе відповідальність після витоку даних, вирішує, як розподіляється ця відповідальність.
Обов'язки щодо звітності згідно з Кібербезпекою
З 15 серпня 2026 року Закон про кібербезпеку (Cyberbeveiligingswet), який імплементує Директиву NIS2 у Нідерландах, застосовується разом із GDPR. Організації, що підпадають під його дію, повинні зареєструватися в Національному центрі кібербезпеки (Nationaal Cyber Security Centrum), вживати заходів обережності, що охоплюють управління ризиками, безпеку ланцюга поставок та врегулювання інцидентів, а також двічі повідомляти про значні інциденти: раннє попередження протягом двадцяти чотирьох годин та повніше повідомлення протягом сімдесяти двох годин. Керівництво може нести особисту відповідальність за дотримання обов'язку обережності.
Ці два режими перетинаються, але не є однаковими. Фішинговий інцидент, який скомпрометує поштову скриньку, може призвести до повідомлення GDPR до Управління з питань захисту персональних даних та окремого звіту про інцидент згідно з Законом про кібербезпеку (Cyberbeveiligingswet) у різні терміни та до різних органів. Частиною підготовки є попереднє визначення того, який режим застосовується до вашої організації та хто телефонує о третій годині ночі. У нашому посібнику з обов’язків щодо звітування про інциденти кібербезпеки ці терміни встановлені поруч.
Транскордонні справи та як отримують докази
Фішингові операції рідко обмежуються однією країною. Інфраструктура відправлення знаходиться в одній юрисдикції, жертва — в іншій, гроші — в третій, а розміщення клонованого сайту — в четвертій. Кримінальна юрисдикція Нідерландів поширюється на злочини, скоєні на території Нідерландів, і злочин, спрямований проти жертви в Нідерландах, зазвичай розглядається як скоєний тут, тому доручення в голландській поліції є правильною відправною точкою, навіть якщо злочинець перебуває за кордоном.
Отримання доказів з іншої держави відбувається через усталені канали. У Європейському Союзі Європейський ордер на розслідування дозволяє нідерландському прокурору або слідчому судді запитувати дані, інформацію про рахунки або заморожування коштів від іншої держави-члена. За межами ЄС Конвенція Ради Європи про кіберзлочинність, укладена в Будапешті в 2001 році, передбачає прискорене збереження збережених комп'ютерних даних та взаємну допомогу між державами, які її підписали. Європол та Інтерпол координують операції, але самі не здійснюють кримінального переслідування; справа залишається у національному органі прокуратури.
Для жертви це має практичні наслідки. Повернення коштів зазвичай залежить від того, як швидко буде повідомлено банк-одержувач, оскільки гроші, переміщені через рахунок-мула, розподіляються протягом кількох годин. Негайне повідомлення до вашого банку, щоб він міг спробувати відкликати кошти, має більше ймовірності для результату, ніж будь-який пізніший юридичний крок.
Запобігання фішингу та інтернет-шахрайству у вашій організації
Профілактика здебільшого полягає у видаленні окремих точок відмови, а не у купівлі програмного забезпечення. Багатофакторна автентифікація на кожному обліковому записі, який може отримати доступ до даних компанії, унікальні паролі, що зберігаються в менеджері паролів, та оперативне оновлення пристроїв і програмного забезпечення усувають більшість опортуністичних атак. Шахрайство з платежами потребує окремого контролю: фіксованого правила, згідно з яким зміни банківських реквізитів постачальника перевіряються телефоном за заздалегідь відомим номером, і жодна особа не може одночасно створювати та здійснювати платіж.
Навчання заповнює прогалину, що залишилася, за умови, що воно повторюється та є реалістичним. Персонал, який бачив переконливе змодельоване фішингове повідомлення, розпізнає справжнє; персонал, який лише ознайомився з політикою, зазвичай цього не робить. Зрештою, заздалегідь вирішіть, що відбуватиметься протягом першої години після інциденту: хто ізолює обліковий запис, хто зберігає журнали, хто зв’язується з банком і хто оцінює, чи було запущено обов’язок щодо повідомлення. Цей список рішень цінніший за день, ніж будь-який аналіз після події.
Що робити, якщо вас переслідували
Дійте в такому порядку. Зверніться до свого банку за його офіційним номером для перевірки шахрайства та попросіть заблокувати або відкликати транзакцію. Змініть облікові дані скомпрометованого облікового запису та будь-якого іншого облікового запису, що використовує той самий пароль. Збережіть усе: оригінальне повідомлення з його заголовками, скріншоти, посилання на транзакції та час, коли ви помітили кожен крок. Подайте заяву до поліції, яка є обов’язковою для більшості страхових випадків і є підставою для будь-яких подальших претензій як потерпілої сторони. Якщо персональні дані інших осіб були розкриті, оцініть обов’язки щодо повідомлення згідно з GDPR та, де це можливо, Cyberbeveiligingswet, перш ніж терміни почнуть спливати.
Law & More консультує жертв фішингу та інтернет-шахрайства щодо відшкодування збитків з банків, платформ та порушників, а також консультує компанії щодо зобов'язань щодо безпеки, повідомлень про порушення та відповідальності після інциденту. Ми оцінюємо вашу ситуацію, взаємодіємо з банком або наглядовим органом від вашого імені та ведемо судові процеси, якщо це є розумним шляхом. Зверніться до наших юристів, щоб обговорити вашу ситуацію. Додаткова інформація зібрана в нашому Посібники з голландського законодавства про ІТ.
