Indsigelse mod at hæfte for 8.000 DKK af en korttransaktion som blev gennemført ved 3D Secure og godkendt i MitID-app.
| Sagsnummer: | 277 /2023 |
| Dato: | 12-12-2023 |
| Ankenævn: | Henrik Waaben, Christina Bryanth Konge, Karin Duerlund, Jacob Ruben Hansen og Anna Marie Schou Ringive. |
| Klageemne: |
Betalingstjenester - ikke-vedkendte hævninger
Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for 8.000 DKK af en korttransaktion som blev gennemført ved 3D Secure og godkendt i MitID-app. |
| Indklagede: | Lån & Spar Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod hæftelse for 8.000 DKK af en korttransaktion som blev gennemført ved 3D Secure og godkendt i MitID-app.
Sagens omstændigheder
Klageren var kunde i Lån og Spar Bank, hvor hun havde konto og et Visa/Dankort.
Den 19. og 21. februar 2023 blev der med klagerens betalingskort foretaget to betalinger på henholdsvis 61.080 ukrainske hryvnia (UAH), svarende til 11.896,22 DKK, til en betalingsmodtager, M, og 320,20 DKK til en betalingsmodtager, T, som klageren ikke kan vedkende sig.
Om baggrunden for betalingerne har klageren oplyst, at hun modtog en e-mail indeholdende en anmodning om betaling af porto på 19 DKK for en udenlandsk pakke, hvor logoet viste et udenlandsk postfirma. Efter tøven, så hun, at hun kunne betale med MitID, og idet hun troede, at MitID var sikkert, godkendte hun betalingen. Ved godkendelsen fremgik navnet på postfirmaet, som hun ikke kan huske.
Banken har oplyst, at betalingen blev godkendt med 3D Secure via MitID-app, og da det var en udenlandsk transaktion, blev den først bogført den 21. februar 2023.
Banken har endvidere oplyst, at betalingen blev gennemført ved, at der blev indtastet kortoplysninger, brug af MitID samt klagerens indtastning af personlig kode.
Banken har herudover oplyst, at Nets har oplyst, at betalingen blev valideret med MitID-app, hvoraf der ved godkendelsen fremgik følgende tekst:
”Betal 61080,00 UAH til [M] fra kort xx0361”.
Klageren har anført, at hun ikke kender noget til betalingsmodtagerne, og at hun ikke har overdraget noget til tredjemand.
Klageren gjorde indsigelse over for banken vedrørende betalingerne. Banken tilbageførte klagerens tab fratrukket 8.000 DKK.
Klageren har oplyst, at hun har fået tilbageført betalingen på 320,20 DKK.
Parternes påstande
Den 30. april 2023 har klageren indbragt sagen for Ankenævnet med påstand om, at Lån & Spar Bank skal tilbageføre det fulde beløb.
Lån & Spar Bank har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har anført, at hun ikke har handlet groft uforsvarligt, og at hun ikke har udleveret oplysninger til tredjemand.
Hun troede, at det var sikkert at godkende en porto på 19 DKK med sit MitID.
Hun har mistet tilliden til MitID, da man åbenbart kan snyde med den, og til banken.
Hun har som kunde i banken handlet redeligt i alle pengesager og har ikke gæld, så man burde tro, at banken anså hende for at være troværdig.
Hun var ikke blevet orienteret om bøden på 8.000 DKK.
Lån & Spar Bank har til støtte for frifindelsespåstanden anført, at klageren afgav sine strengt personlige oplysninger, og at klageren ved at indtaste, og herved videregive, sine strengt personlige oplysninger og ”swipe” ved groft uforsvarlig adfærd har muliggjort transaktionen, jf. betalingslovens § 100, stk. 4, nr. 3. Klageren hæfter derfor for 8.000 DKK af tabet som følge af transaktionen.
Klageren har selv godkendt overførslen af 61.080 UAH ved sit swipe eller ved sit ”swipe” af gebyret på 19 DKK godkendt, at svindleren har oprettet en ny ”udgave” af klagerens MitID på svindlerens egen device, og at det så er svindleren, der har ”swipet” og godkendt overførslen af de 61.080 UAH.
Uagtet ovenstående har klageren ved sin uforsvarlige adfærd videregivet sine strengt personlige betalingsoplysninger via et link fra et ukendt udenlandsk ”postfirma” uden at undersøge mailafsenderen, indholdet af mailen, ”postfirmaet” samt hvilken pakke henvendelsen vedrørte.
Klageren burde have undersøgt mailen, klageren fik tilsendt, inden tryk på link og afgivelse af alle sine oplysninger, og dermed udviste klageren grov uagtsomhed ved ikke at undersøge forholdet nærmere.
Der advares mod denne svindelmetode på diverse medier og hjemmesider.
Til støtte for afvisningspåstanden har banken anført, at Ankenævnet bør afvise sagen, da det kun vil være muligt at træffe afgørelse i sagen, hvis klageren og eventuelle vidner under strafansvar afgiver mundtlige parts- og vidneforklaringer. Dette kan ikke ske for Ankenævnet, men må i givet fald ske ved domstolene. Ankenævnet bør derfor afvise sagen under henvisning til § 5, stk. 3, nr. 4 i Ankenævnets vedtægter.
Ankenævnets bemærkninger
Klageren var kunde i Lån og Spar Bank, hvor hun havde konto og et Visa/Dankort.
Den 19. og 21. februar 2023 blev der med klagerens betalingskort foretaget to betalinger på henholdsvis 61.080 UAH, svarende til 11.896,22 DKK, til en betalingsmodtager, M, og 320,20 DKK til en betalingsmodtager, T, som klageren ikke kan vedkende sig. Klageren fik tilbageført betalingen på 320,20 DKK.
Om baggrunden for betalingerne har klageren oplyst, at hun modtog en e-mail indeholdende en anmodning om betaling af porto på 19 DKK for en udenlandsk pakke, hvor logoet viste et udenlandsk postfirma. Efter tøven så hun, at hun kunne betale med MitID, og idet hun troede, at MitID var sikkert, godkendte hun betalingen. Ved godkendelsen fremgik navnet på postfirmaet, som hun ikke kan huske.
Klageren har anført, at hun ikke videregav oplysninger til tredjemand, og at hun ikke har handlet groft uforsvarligt.
Banken har anført, at betalingen på 61.080 UAH blev godkendt med 3D Secure i MitID-app, og at klageren ved at videregive sine oplysninger og herefter swipe ved groft uforsvarlig adfærd har muliggjort transaktionen.
Ankenævnet finder, at transaktionerne skyldtes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Ankenævnet finder, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingsloven § 7, nr. 31. Ved transaktionerne blev der anvendt stærk kundeautentifikation, jf. betalingsloven § 7, nr. 30.
Efter betalingslovens § 100, stk. 4, hæfter betaleren med op til 8.000 kr. af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5 (§ 100, stk. 4, nr. 2), eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse (§ 100, stk. 4, nr. 3).
Tre medlemmer – Henrik Waaben, Christina Bryanth Konge og Karin Duerlund – udtaler:
Vi finder det godtgjort, at klageren uforvarende må have godkendt betalingen på 61.080 UAH i sin MitID-app. Vi har herved lagt vægt på oplysningerne fra Nets.
Vi finder derfor, at banken har godtgjort, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, da hun burde have reageret på teksten i MitID-appen, hvor hun fik oplysninger om beløbet på 61.080 UAH og beløbsmodtager, og at klageren som følge heraf hæfter med op til 8.000 DKK.
Vi stemmer derfor for, at klageren ikke får medhold i klagen.
To medlemmer – Jacob Ruben Hansen og Anna Marie Schou Ringive – udtaler:
Som ovenfor anført finder vi det godtgjort, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Vi finder, at der er tale om organiseret professionel svindel.
Forbrugere har forskellige forudsætninger for at gennemskue professionel svindel. Det må aldrig blive utrygt for den almindelige forbruger at anvende de digitale løsninger og betalingstjenester, der er nødvendige for at fungere i vores samfund.
Vi finder derfor ikke, at klageren, ved at blive snydt af en professionel svindler, har udvist groft uforsvarlig adfærd. Det må forudsættes, at såfremt klageren havde forudsætninger for at gennemskue svindlen, ville klageren ikke have godkendt transaktionen.
Hertil bemærkes et generelt forbehold for så vidt angår systemfejl. Det kan ikke udelukkes, at der i sager med phishing, hvor forbrugeren oplever, at beløbet ændrer sig efter, at transaktionen er godkendt, er tale om raffineret systemteknisk misbrug, hvor svindleren er lykkedes med at udvikle tekniske løsninger, hvor beløbet først ændres efter, at transaktionen er godkendt.
Vi finder ikke, at banken har godtgjort, at betingelserne for, at klageren hæfter efter de udvidede ansvarsbestemmelser i betalingslovens § 100, stk. 4, er opfyldt.
Vi finder, at banken er nærmest til at bære risikoen for, at det betalingssystem, forbrugerne anvender, er tilstrækkelig sikkert og tydeligt til at hindre svindel.
Da den til betalingstjenesten hørende personlige sikkerhedsforanstaltning har været anvendt, hæfter klageren for 375 DKK af tabet på 11.896,22 DKK, jf. betalingslovens § 100, stk. 3.
Vi stemmer derfor for, banken skal tilbageføre 7.625 DKK til klageren.
Sagen afgøres efter stemmeflertallet.
Ankenævnets afgørelse
Klageren får ikke medhold i klagen.