Indsigelse mod betalinger gennemført med et virtuelt kort via Apple Pay. Indrullering af et betalingskort i tredjemands Apple Pay. Spørgsmål om stærk kundeautentifikation.
| Sagsnummer: | 409 /2023 |
| Dato: | 18-01-2024 |
| Ankenævn: | Henrik Waaben, Christina Bryanth Konge, Nanna Vetter Viberg Nielsen, Morten Bruun Pedersen og Anna Marie Schou Ringive |
| Klageemne: |
Afvisning - bevis § 5, stk. 3, nr. 4
Betalingstjenester - ikke-vedkendte hævninger Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod betalinger gennemført med et virtuelt kort via Apple Pay. Indrullering af et betalingskort i tredjemands Apple Pay. Spørgsmål om stærk kundeautentifikation. |
| Indklagede: | Ringkjøbing Landbobank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod betalinger gennemført med et virtuelt kort via Apple Pay. Indrullering af et betalingskort i tredjemands Apple Pay. Spørgsmål om stærk kundeautentifikation.
Sagens omstændigheder
Klageren var kunde i Ringkøbing Landbobank, hvor han blandt andet havde et betalingskort -937.
Den 22. maj 2023 blev klagerens betalingskort anvendt til tre betalinger på 3.000 kr., 2.500 kr., og 115,95 kr., i alt 5.615,95 kr., til betalingsmodtagerne, D, E og F, som klageren ikke kan vedkende sig.
Klageren har oplyst, at han den 22. maj 2023 modtog et link i en SMS, der fremstod som om, den kom fra MitID. Af SMS’en fremgik, at hans MitID ville blive midlertidigt spærret den 23. maj 2023, hvis han ikke fornyede det. Han skulle opdatere sine oplysninger ved at følge linket. Klageren har endvidere oplyst, at han ved at følge linket kom til en hjemmeside, der lignede en almindelig MitID-godkendelsesside.
Banken har anført, at der den 22. maj 2023 blev aktiveret et virtuelt betalingskort på enheden ”iPhone” med SEID-nummer -D8DC. Aktiveringen skete ved indtastning af en SMS-kode, som blev sendt i en SMS til klagerens telefonnummer -052 den 22. maj 2023. Af SMS’en fremgik:
”Denne kode er personlig og må ikke oplyses til andre - heller ikke til banken. Din aktiveringskode er XXXXXX. Du aktiverer Apple Pay ved at 1) åbne Wallet på din iPhone, 2) vælge dit Visa/Dankort [-937], 3) vælge 'Skriv kode' og 4) indsætte aktiveringskoden. Koden udløber om 30 min. Hvis du ikke har anmodet om denne kode, så kontakt Hotline på 70231166. Venlig hilsen Banken.”
Banken har oplyst, at aktiveringen af det virtuelle kort den 22. maj 2023 kun kan være sket ved indtastning af aktiveringskoden, der fremgik af SMS’en, samt klagerens kortoplysninger.
Banken har oplyst, at der efter aktiveringen blev sendt en ny SMS til klagerens telefonnummer -052, hvoraf fremgik:
"Dit Visa/Dankort eller Mastercard Debet/Kredit [-937] er klar til brug i Apple Pay. Der kan bruges alle steder, hvor du ser et kontaktløst symbol eller Apple Pay mærket…”
Banken har oplyst, at de tre betalinger, som klageren har gjort indsigelse mod, blev gennemført ved anvendelse af Apple Pay på den nye enhed.
Den 23. maj 2023 anmeldte klageren misbruget af betalingskortet til politiet.
Den 24. maj 2023 gjorde klageren indsigelse over for banken mod betalingerne. Af indsigelsesblanketten fremgår:
”…
Beskriv hvad der er sket: …
Mit kort er blevet misbrugt, ved at svindler fremsendte sms med opdateringslink til mit MitId. Svindler har dermed været ind på min netbank samt fået downloaded mine kortoplysninger til Apple Pay. Efterfølgende er det lykkes svindler at hæve de nævnte steder, førend NETS blokerer for yderligere.
Havde du kortet på købstidspunktet? …
Ja, og det er kun mig, der har haft adgang til mit kort
Hvor opbevarede du dit kort? …
I min pung
Vælg en af nedenstående muligheder …
Jeg har ikke foretaget dette køb.
…
Hvornår fandt du ud af, at dit kort var blevet misbrugt? …
23-05-2023
Tidspunkt (tt:mm) …
08:06
…
Her har du mulighed for at give yderligere oplysninger til din indsigelse eller give oplysninger, hvis du ønsker at gøre indsigelse i mod transaktioner, som du ikke kunne vælge før …
Jeg har talt med [betalingsmodtager D], og anmodet om at de sikrer overvågningen fra mandag aften.
Jeg har i går anmeldt svindlen til politiet med delvise oplysninger som uddybes i takt med at jeg modtager info.”
Den 12. juni 2023 afviste banken klagerens indsigelse af 24. maj 2023.
Klageren har fremlagt en korrespondance med politiet fra perioden 24. maj 2023 til 19. juni 2023.
Parternes påstande
Den 10. juli 2023 har klageren indbragt sagen for Ankenævnet med påstand om, at Ringkjøbing Landbobank skal godtgøre ham 5.615,95 kr.
Ringkjøbing Landbobank har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har anført, at han er uenig i, at han har handlet groft uforsvarligt i forbindelse med misbruget af hans Visa/Dankort.
Han anvendte kun et link i en SMS, hvor han kom til en side, der 100 % var ligesom en almindelig MitID-godkendelse, som han desværre godkendte. Det var bedrageri, og hans adfærd kan derfor ikke betragtes som groft uforsvarlig adfærd.
Han modtog, udførte eller godkendte ikke efterfølgende noget, før han den 23. maj 2023 kl. 08:06 modtog en SMS fra Nets, hvoraf fremgår, at Nets spærrede hans Visa/Dankort på grund af mistanke om misbrug.
Ringkjøbing Landbobank har til støtte for frifindelsespåstanden anført, at det af link-adressen i den SMS, som klageren modtog den 22. maj 2023, ikke fremstår som en SMS eller et link fra MitID. Klageren erkender at have tilgået det pågældende link og at have foretaget en godkendelse.
Den 22. maj 2023 skete der fremsendelse af SMS-beskeder til klagerens telefonnummer, herunder en SMS indeholdende en kode til aktivering af et virtuelt kort i Apple Pay. Modtagelsen af SMS’erne har ikke medført undren hos klageren, selvom det af den første SMS fremgik, ”Hvis du ikke har anmodet om denne kode, så kontakt Hotline på 70231166...”.
Aktiveringen af det virtuelle kort i Apple Pay var kun mulig ved indtastning af aktiveringskoden, der fremgik af den modtagne SMS. En opdatering af MitID vil ikke medføre, at man får en SMS vedrørende oprettelse af Apple Pay. Betalingerne skete ved anvendelse af klagerens Visa/Dankort -937.
Klageren har udvist en adfærd, som kan betegnes som groft uforsvarlig, hvorved han har muliggjort gennemførslen af de tre omstridte betalinger. Klageren hæfter derfor selv med op til 8.000 kr., jf. betalingslovens § 100, stk. 4, nr. 3.
Banken har til støtte for afvisningspåstanden anført, at Ankenævnet bør afvise at behandle klagen, idet en afgørelse forudsætter yderligere bevisførelse i form af parts- og vidneafhøringer, der ikke kan ske for Ankenævnet, men i givet fald må finde sted ved domstolene, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets bemærkninger
Klageren var kunde i Ringkøbing Landbobank, hvor han blandt andet havde et betalingskort -937.
Den 22. maj 2023 blev klagerens betalingskort anvendt til tre betalinger på 3.000 kr., 2.500 kr. og 115,95 kr., i alt 5.615,95 kr., til betalingsmodtagerne, D, E og F, som klageren ikke kan vedkende sig.
Klageren har oplyst, at han den 22. maj 2023 modtog et link i en SMS, der fremstod, som om den kom fra MitID. Af SMS’en fremgik, at hans MitID ville blive midlertidigt spærret den 23. maj 2023, hvis han ikke fornyede det. Han skulle opdatere sine oplysninger ved at følge linket. Klageren har endvidere oplyst, at han ved at følge linket kom til en hjemmeside, der lignede en almindelig MitID-godkendelsesside. Han modtog, udførte eller godkendte ikke efterfølgende noget, før han den 23. maj 2023 kl. 08:06 modtog en SMS fra Nets, hvoraf fremgår, at Nets spærrede hans Visa/Dankort på grund af mistanke om misbrug.
Banken har oplyst, at der den 22. maj 2023 blev aktiveret et virtuelt betalingskort på enheden ”iPhone” med SEID-nummer -D8DC. Aktiveringen skete ved indtastning af en SMS-kode, som klageren modtog på sit telefonnummer -052 den 22. maj 2023. Af aktiverings-SMS ’en fremgik blandt andet, at koden var personlig og ikke måtte oplyses til andre, og at man skulle kontakte banken, hvis man ikke havde anmodet om koden. Herudover fremgik selve aktiveringskoden og fremgangsmåden for, hvordan man aktiverede Apple Pay.
Banken har oplyst, at betalingerne, der er gjort indsigelse mod, blev gennemført ved anvendelse af Apple Pay på den nye enhed.
Klageren har anført, at han kun anvendte det link, som førte ham til den falske MitId-godkendelse, og at han efterfølgende hverken modtog, udførte eller godkendte noget, før han den 23. maj 2023 modtog en SMS fra Nets, hvoraf det fremgik, at Nets havde spærret hans Visa/Dankort på grund af mistanke om misbrug.
Det lægges til grund, at transaktionerne er korrekt registreret og bogført og ikke er ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98, stk. 1. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnets finder, at der savnes nærmere oplysninger om, hvordan klageren reagerede på bankens SMS med aktiveringskoden, og om hvilke oplysninger klageren videregav til tredjemand, og hvilke handlinger klageren i øvrigt foretog sig. Ankenævnet finder derfor, at en afklaring af de nærmere omstændigheder omkring tredjemands tilføjelse af klagerens betalingskort til Apple Pay på tredjemands telefon forudsætter en yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men som i givet fald må finde sted for domstolene. Under en sådan sag vil det eventuelt også kunne klarlægges, om der er anvendt stærk kundeautentifikation ved betalingerne den 22. maj 2022, jf. betalingslovens § 100, stk. 7, og § 128, stk. 1, nr. 2 og 3. Ankenævnet afviser derfor sagen i medfør af § 5, stk. 3, nr. 4, i Ankenævnets vedtægter.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen.
Klageren får klagegebyret tilbage.