Indsigelse vedrørende en korttransaktion gennemført med 3D Secure og godkendt med MitID.
| Sagsnummer: | 83 /2023 |
| Dato: | 22-08-2023 |
| Ankenævn: | Vibeke Rønne, Jonas Thestrup Nielsen, Karin Duerlund, Morten Bruun Pedersen og Elizabeth Bonde. |
| Klageemne: |
Betalingstjenester - ikke-vedkendte hævninger
Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse vedrørende en korttransaktion gennemført med 3D Secure og godkendt med MitID. |
| Indklagede: | Danske Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse vedrørende en korttransaktion gennemført med 3D Secure og godkendt med MitID.
Sagens omstændigheder
Klageren var kunde i Danske Bank, hvor hun havde en konto med et tilhørende betalingskort -548.
Den 14. december 2022 blev der med klagerens betalingskort foretaget en korttransaktion på 5.617 RON, svarende til 8.598,33 DKK, til en betalingsmodtager, F, som klageren ikke kunne vedkende sig.
Klageren har oplyst, at hun i begyndelsen af december modtog en SMS om, at en pakke, hun afventede, ikke kunne leveres og at hun skulle verificere sin adresse, hvorefter hun klikkede på linket og kunne se, at hendes adresse stemte, men hun prøvede forgæves at genskrive den, hvorefter hun opgav.
Klageren har anført, at hun på intet tidspunkt godkendte det omtalte beløb, hverken med sit betalingskort eller MitID.
Banken har oplyst, at betalingen er godkendt med klagerens MitID-app. Banken har fremlagt en udskrift af MitID-tekst, hvoraf fremgår:
”Betal 5617,00 RON til [F]. fra kort xx5548”
Banken har endvidere fremlagt en transaktionslog, hvoraf fremgår, at der den 14. december 2022 er foretaget en 3D Secure betaling på 5.617 RON til F med betalingskort -548.
Banken har derudover fremlagt ”processing details” fra Nets, hvoraf fremgår, at betalingen blev godkendt med MitID fra en IP-adresse -80 i Danmark.
Banken har oplyst, at klageren spærrede sit MitID-app den 19. december 2022, og indrullerede MitID-appen et par dage senere, på hvad der fremstår som værende den samme telefon. Banken har fremlagt en udskrift af MitID-oplysninger, hvor det fremgår, at MitID-app med serienummer -908 installeret på iOS-15.7.1 den 19. januar 2022 blev spærret den 16. december 2022, og at der er en aktiv MitID-app med serienummer -188 installeret på iOS-15.7.1, som blev installeret den 23. december 2022.
Klageren gjorde den 22. december 2022 indsigelse over for banken vedrørende betalingen. I indsigelsesblanketten anførte hun blandt andet, at hun ikke havde foretaget transaktionen, og at kortet var i hendes besiddelse på tidspunktet for den ikke-godkendte transaktion.
Banken godtgjorde klagerens tab fratrukket 8.000 DKK.
Parternes påstande
Den 31. januar 2023 har klageren indbragt sagen for Ankenævnet med påstand om, at Danske Bank skal tilbageføre hele beløbet.
Danske Bank har nedlagt påstand om frifindelse.
Parternes argumenter
Klageren har anført, at hun ikke foretog eller godkendte betalingen, og at hun opdagede transaktionen den 16. december 2022.
Hun blev udsat for hacking og har ikke handlet groft uforsvarligt og medvirket til købet.
Hun har på intet tidspunkt godkendt det omtalte beløb, hverken med sit kort eller MitID til en beløbsmodtager hun ikke kender, ej heller da der ikke var dækning for beløbet på hendes konto.
Det må kunne undersøges grundigere, idet hun husker at være logget på SKAT med MitID, hvor hun fik at vide, at koden ikke kunne godkendes, men at hun skulle vente i 29 sekunder, hvorefter det lykkedes.
Det kan ikke være rigtigt, at hun skal straffes for en handling som hun ikke har udført.
Da hun opdagede, at der var blevet trukket 8.598 DKK den 16. december 2022 fra hendes konto, kontaktede hun banken straks og fik spærret sin konto og MitID.
Banken har svigtet sit ansvar ved ikke at afvise købet, da der ikke var dækning for beløbet på hendes konto.
Danske Bank har anført, at klageren har været udsat for phishing, men selv foretog transaktionen og autoriserede den i sin MitID-app.
Betalingen, herunder modtager og transaktionsbeløb, blev tydeligt vist til klageren, inden hun swipede og autoriserede betalingen.
Det er derfor bankens opfattelse, at klageren har handlet groft uforsvarligt, og af den grund hæfter for op til 8.000 DKK, jf. betalingslovens § 100, stk. 4, nr. 3.
Da klageren allerede er godtgjort 598,33 DKK og det resterende beløb er 8.000 DKK, skal banken ikke godtgøre klageren yderligere.
Banken kan ikke se nogen indikation af, at klageren blev hacket, og dette er der ikke fremlagt nogen dokumentation for.
Betalingen er godkendt med klagers MitID-app. Der var ikke indrulleret andre MitID-apps på tidspunktet for gennemførelsen.
Klager har, efter transaktionen blev gennemført, spærret sit MitID-app den 19. december 2022 og indrulleret MitID-app’en et par dage senere på, hvad der fremstår som værende den samme telefon igen.
Ankenævnets bemærkninger
Klageren var kunde i Danske Bank, hvor hun havde en konto med et tilhørende betalingskort -548.
Den 14. december 2022 blev der med klagerens betalingskort foretaget en korttrans-aktion på 5.617 RON, svarende til 8.598,33 DKK, til en betalingsmodtager, F, som klageren ikke kan vedkende sig.
Klageren har oplyst, at hun i begyndelsen af december modtog en SMS om, at en pakke, hun afventede, ikke kunne leveres, og at hun skulle verificere sin adresse, hvorefter hun klikkede på linket og kunne se, at hendes adresse stemte, men hun prøvede forgæves at genskrive den, hvorefter hun opgav.
Klageren har anført, at hun på intet tidspunkt godkendte det omtalte beløb, hverken med sit betalingskort eller MitID.
Banken har anført, at klageren har været udsat for phishing, men at hun selv foretog transaktionen og godkendte denne i sin MitID-app, hvor modtager og transaktionsbeløb fremgik, inden klageren swipede.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet finder det godtgjort, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Ankenævnet finder endvidere, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Ankenævnet finder, at det på det foreliggende grundlag ikke er muligt at afgøre, om der er tale om misbrug under sådanne omstændigheder, at klageren hæfter for 8.000 kr. af tabet, jf. betalingslovens § 100, stk. 4. Ankenævnet finder, at en stillingtagen hertil forudsætter en yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men i givet fald må finde sted ved domstolene. Ankenævnet afviser derfor sagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen.
Klageren får klagegebyret tilbage.