Друзья приобретали билеты на сапсан, попали на фишинговый сайт(точную копию, созданную мошенниками) ржд, на нем «купили» билеты на 11 тысяч, когда поняли, что «попали», сразу же написали заявление в полицию и обратились в банк. Банк деньги отказывается возвращать, как поступать в такой ситуации?
Конечно отказывается. Вы же сами сообщили данные мошенникам и ввели код из СМС. Теперь единственный вариант - обращаться в полицию и жаловаться на этот сайт.
Если ваши друзья такие балбесы, что не смотрят на адрес сайта в адресной строке, и вводят туда данные, то банк-то тут при чём? rzd.ru - вот сайт РЖД.