Indsigelse mod at hæfte for misbrug af betalingskort i forbindelse med phishing.
| Sagsnummer: | 369/2021 |
| Dato: | 21-03-2022 |
| Ankenævn: | Henrik Waaben, Bjarke Svejstrup, Karin Duerlund og Morten Bruun Pedersen |
| Klageemne: |
Betalingstjenester - spørgsmål om groft uforsvarlig adfærd
Betalingstjenester - ikke-vedkendte hævninger |
| Ledetekst: | Indsigelse mod at hæfte for misbrug af betalingskort i forbindelse med phishing. |
| Indklagede: | Lån & Spar Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører en indsigelse mod at hæfte for misbrug af betalingskort i forbindelse med phishing.
Sagens omstændigheder
Klageren var kunde i Lån & Spar Bank, hvor han havde et Visa/dankort.
Den 13. august 2021 blev klagerens betalingskort anvendt til en betaling til en svensk betalingsmodtager, F, på 3.316,71 euro (24.916,53 kr.), som klageren ikke kunne vedkende sig.
Den 17. august 2021 blev transaktionen bogført på klagerens konto.
Klageren gjorde indsigelse mod transaktionen ved udfyldelse af bankens indsigelsesblanket. Følgende fremgik blandt andet af blanketten:
”Beskriv hvad der er sket:
Jeg er blevet snydt og bedraget, som jeg aldrig har prøvet før. Fik en skrivelse fra Nets, som så ganske tilforladelig ud. Men det var den ikke. De havde modtaget en transaktionsanmodning med mit kreditnummer med de første rigtige cifre 457xxxx osv. Og så skulle jeg ignorere den først, men de kunne inden 24 timer i fredags annullere transaktionen, hvis jeg lukkede ind for at annullere transaktionen. Men de snuppede mine kortoplysninger, så de kunne tyvestjæle min konto og nærmest rippe den, hvis jeg ikke havde ringet i dag mandag og fik at vide, at jeg skulle annullere mit kort. […]
Havde du kortet på købstidspunktet?
Ja, og det er kun mig, der har haft adgang til mit kort.
[…]
Vælg en indsigelsesårsag for hver transaktion og beskriv, hvorfor du gør indsigelse mod beløbet.
Jeg har ikke foretaget dette køb.
[…]”
Den 23. august 2021 skrev banken blandt andet følgende til klageren:
”Du gør indsigelse mod et træk på EUR 3.316,71 / kr. 24.916,53 trukket på konto x65.
Da transaktionen er gennemført med 3D secure sikkerhedskode, så har vi ikke mulighed for at gå videre med sagen til Nets.
Man må ALDRIG klikke på links i SMSer eller mails og efterfølgende udlevere personlige oplysninger eller koder.
Når denne sikkerhedskode er benyttet, vil selvrisikoen være mellem kr. 8.000,00 og det fulde beløb, afhængig af sagens omstændigheder.
I dit tilfælde må du have godkendt i NemID appen, hvor dette beløb samt den forkerte forretning [er] fremgået, og du godkendte alligevel transaktionen. Dette gør, at banken ikke har mulighed for at imødekomme indsigelsen.
Vi kan foreslå dig at hente appen Mit digitale selvforsvar, da der her vil komme beskeder om hvilke trends man skal passe på og være opmærksom på.
Du kan også logge på Nemid.nu. Under selvbetjening skal du kontrollere om de oplysninger der er tilknyttet dit NemID er korrekte. Under menuen Mit NemID til venstre er der to punkter; NemID nøgle App og Hændelseslog. Du skal sikre dig, at det kun er dine enheder (mobil/ipad/landet) som Nøgle App’en er tilknyttet. Er det ikke det, så skal du straks spærre de forkerte enheder og give banken besked.”
Den 24. august 2021 skrev banken blandt andet:
”Det er en rigtig ærgerlig situation, at du er blevet svindlet, men da du selv har godkendt transaktionen, så har banken ikke mulighed for at hjælpe i sagen.
3D secure sikkerhedsgodkendelse via NemID appen er netop en ekstra sikkerhed for både at sikre kortholder, men også forretningen og banken. Brugen af denne ekstra sikkerhedsgodkendelse betyder, at du selv har deltaget i en sådan grad til transaktionen at Nets ikke har mulighed for at lave chargeback, og dermed at banken ikke har mulighed for at imødekomme sagen.”
Banken har anført, at den modtog følgende oplysninger fra Nets:
”Beløb: 3.316,71 EUR - 2469,83 DKK
Dato og tid: den 13.08.21 kl. 19:17
Valideret med: NemID app
Mobilnummer: [xx]
IP adresse: [-115]
Informationer omkring NemID Nøgleapp serienummer, enheder installeret på, hændelseslog m.m. kan vi ikke svare på herfra.”
Banken har ikke fremlagt skrivelsen med oplysningerne fra Nets.
Banken har oplyst, at den omtvistede betaling med klagerens betalingskort blev fore- taget med sikkerhedsløsningen 3D Secure ved godkendelse i NemID-nøgleapp.
Parternes påstande
Den 1. september 2021 har klageren indbragt sagen for Ankenævnet med påstand om, at Lån & Spar Bank skal betale 24.916,53 kr.
Lån & Spar Bank har nedlagt påstand om principalt afvisning, subsidiært frifindelse.
Parternes argumenter
Klageren har anført, at svindlerne formulerede sin henvendelse således, at den fremstod som om, den kom fra Nets. I henvendelsen indgik nogle af tallene fra hans konto, og svindlerne fremlagde det således, at de blot ville hjælpe ham.
Han havde ikke sit nøglekort fremme, men han svarede i god tro på felterne, som forlangte hans banknumre i banken. Det var til stor forbløffelse, da han et par dage efter erfarede, at de havde berøvet ham 24.916,53 kr.
Han regnede med, at banken ville give ham pengene tilbage. Selv kassedamen i banken sagde, at han bare skulle tage det roligt, fordi banken ville give ham pengene tilbage. Det var dog ikke tilfældet.
Lån & Spar Bank har til støtte for afvisningspåstanden anført, at det alene vil være muligt at træffe afgørelse i sagen, hvis klageren og eventuelle vidner under strafansvar afgiver mundtlige parts- og vidneforklaringer. Dette kan ikke ske for Ankenævnet, men i givet fald ved domstolene, hvorfor sagen bør afvises, jævnfør § 5, stk. 3, nr. 4, i Ankenævnets vedtægter.
Banken har til støtte for frifindelsespåstanden anført, at det på grundlag af klagerens oplysninger om, at han ikke videregav sine personlige oplysninger, har formodningen imod sig, at en uvedkommende tredjemand skulle have foretaget betalingen ved anvendelse af klagerens personlige sikkerhedskoder.
Det må på grundlag af klagerens oplysninger lægges til grund, at klageren, der ikke var i telefonisk kontakt med tredjemand eller i øvrigt befandt sig i en presset situation på transaktionstidspunktet, selv gennemførte og godkendte transaktionen på 3.316,71 euro ved brug af hans 3D Secure/NemID-nøgleapp. Klageren benyttede sin personlige sikkerhedsforanstaltning ved købet og blev forud for transaktionen præsenteret for både beløbet og beløbsmodtageren i sin NemID-nøgleapp. Transaktionen skete således med klagerens medvirken og samtykke, da klageren selv godkendte den. Betalingslovens § 100 om uautoriserede betalinger finder dermed ikke anvendelse.
Det var ikke muligt for banken at stoppe eller tilbagekalde transaktionen på 3.316,71 euro, jævnfør betalingslovens § 111, stk. 1. En betalingsordre kan ikke tilbagekaldes, efter den er modtaget af betalerens udbyder. Betalingen blev i øvrigt korrekt registreret og bogført.
Ankenævnets bemærkninger
Den 13. august 2021 blev klagerens betalingskort anvendt til en betaling til en svensk betalingsmodtager, F, på 3.316,71 euro (24.916,53 kr.), som klageren ikke kan vedkende sig.
Klageren gjorde indsigelse mod transaktionen ved udfyldelse af bankens indsigelsesblanket. Om baggrunden for transaktionen oplyste klageren, at han modtog en skrivelse, der så ud til at have Nets som afsender. I forbindelse med at Nets skulle hjælpe ham, stjal de hans kortoplysninger. Han godkendte ikke transaktionen.
Banken har afvist at tilbageføre de 24.916,53 kr. til klageren.
Banken har oplyst, at den omtvistede betaling med klagerens betalingskort blev foretaget med sikkerhedsløsningen 3D Secure ved godkendelse i NemID-nøgleapp.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. lov om betalinger § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. lov om betalinger § 93.
Klageren har anført, at han ikke godkendte transaktionen til F. Banken har bestridt dette.
Ankenævnet finder, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Ankenævnet finder, at klagerens NemID var en personlig sikkerhedsforanstaltning til kortet, jf. betalingslovens § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 kr. af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5, eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse. Efter bestemmelsens stk. 5, hæfter betaleren uden beløbsbegrænsning for tab, der opstår som følge af andres uberettigede anvendelse af betalingstjenesten, når den til betalingstjenesten hørende personlige sikkerhedsforanstaltning har været anvendt og betalerens udbyder godtgør, at betaleren med forsæt har oplyst den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, og at det er sket under omstændigheder, hvor betaleren indså eller burde have indset, at der var risiko for misbrug.
Tre medlemmer – Henrik Waaben, Bjarke Svejstrup og Karin Duerlund - udtaler:
Klageren har anført, at han ikke godkendte transaktionen på 3.316,71 euro til F. Banken har anført, at klageren godkendte transaktionen i sin NemID-nøgleapp.
Vi finder, at en afklaring af sagens nærmere omstændigheder, herunder en afklaring af, hvordan transaktionen blev behandlet i Nets’ systemer, og hvorvidt klageren godkendte transaktionen i NemID-nøgleappen, vil forudsætte en bevisførelse i form af parts- og vidneforklaringer, som ikke kan ske for Ankenævnet, men som i givet fald må finde sted for domstolene, jævnfør § 5, stk. 3, nr. 4, i Ankenævnets vedtægter.
Vi stemmer derfor for, at klagen afvises.
Et medlem – Morten Bruun Pedersen, der i medfør af Ankenævnets vedtægter § 16, er tillagt to stemmer – udtaler:
Som nævnt ovenfor finder Ankenævnet, at der er tale om svindel fra tredjemands side.
Jeg finder ikke, at banken har godtgjort, at klageren med forsæt har oplyst den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, under omstændigheder, hvor klageren indså eller burde have indset, at der var risiko for misbrug, eller har udvist groft uforsvarlig adfærd. Jeg lægger til grund, at beløbet blev trukket fra klagerens konto trods klagerens manglende godkendelse. Der må derfor være tale om systemfejl. Banken har dermed ikke godtgjort, at betingelserne for, at klageren hæfter efter de udvidede ansvarsbestemmelser i betalingslovens § 100, stk. 4 og 5, er opfyldt.
Jeg stemmer derfor for, at klageren får medhold i klagen.
Der træffes afgørelse efter stemmeflertallet.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen.
Klageren får klagegebyret tilbage.