Afgørelse

Indsigelse mod at hæfte for 8.000 DKK for korttransaktioner. Aktivering af MitID-app på svindlers enhed.

Sagsnummer:	291 /2023
Dato:	12-12-2023
Ankenævn:	Henrik Waaben, Christina Bryanth Konge, Karin Duerlund, Jacob Ruben Hansen og Anna Marie Schou Ringive.
Klageemne:	Afvisning - bevis § 5, stk. 3, nr. 4 Betalingstjenester - ikke-vedkendte hævninger Betalingstjenester - spørgsmål om groft uforsvarlig adfærd
Ledetekst:	Indsigelse mod at hæfte for 8.000 DKK for korttransaktioner. Aktivering af MitID-app på svindlers enhed.
Indklagede:	Ringkjøbing Landbobank
Øvrige oplysninger:
Senere dom:
	Pengeinstitutter

---

Indledning

Sagen vedrører indsigelse mod at hæfte for 8.000 DKK for korttransaktioner.

Sagens omstændigheder

Klageren var kunde i Ringkjøbing Landbobank, hvor han havde et MasterCard.

I perioden fra 30. januar 2023 til den 9. februar 2023 blev der foretaget følgende transaktioner på klagerens kort, som klageren ikke kan vedkende sig:

Dato og klokkeslæt	Forretning	Beløb i EUR	Beløb i DKK	Godkendt med
30-01-2023 kl. 08:58	A		2,00	3D
30-01-2023 kl. 13:39	A		1,00	3D
30-01-2023 kl. 14:39	B		10.700,00	3D
30-01-2023 kl. 14:39	B		6.400,00	3D
30-01-2023 kl. 14:50	C	819,00	6.184,40	3D
07-02-2023 kl. 05:12	C	Returneret 35,00	Returneret 264,52
08-02-2023 kl. 01:17	A		Returneret 1,00
09-02-2023 kl. 01:16	A		Returneret 1,00

Banken har fremlagt udskrifter fra sit system, hvoraf det fremgår, at der den 30. januar 2023 kl. 15:04 endvidere blev forsøgt foretaget en betaling på 13.680 DKK til en forretning, D, som blev afvist på grund af limit på kort.

Banken har oplyst, at betalingerne blev godkendt i MitID-app med serienummer -3075, som blev installeret på iPhone 7 den 28. januar 2023 og spærret den 21. februar 2023, og at betalingerne er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98, stk. 1.

Klageren gjorde indsigelse mod transaktionerne overfor banken, der godtgjorde klagerens tab fratrukket 8.000 DKK.

I en mail af 6. marts 2023 til banken anførte klageren:

”Jeg kan desværre ikke godkende behandlingen af min indsigelse.

Mitid er installeret sidste år og ikke den 28/1-2023

Jeg har ikke selv godkendt transaktionerne på nogen måde. Jeg kan ikke opgive hvordan mine kort oplysninger er blevet tastet, da jeg ikke selv har tastet dem

Jeg er blevet opmærksom på, at der har været stor aktivitet på Mitid fra et fremmed telefon nr. …”

Den 7. marts 2023 fastholdt banken sin afgørelse og skrev til klageren:

”Transaktionerne er godkendt på nyoprettet MitID identifikationsmiddel der er oprettet den 28/01/2023. Det nye identifikationsmiddel er blevet oprettet med godkendelse af dit eksisterende MitID.”

Banken har fremlagt en udskrift fra klagerens MitID hændelseslog. Det fremgår heraf, at der den 28. januar 2023 var registreret tre MitID-apps tilknyttet klagerens MitID: nr. -6347 (aktiveret på Android 12 den 15. september 2022 og spærret den 6. marts 2023) og nr. -6034 (aktiveret på Android-13 den 21. november 2022 og spærret den 24. marts 2023) samt nr. -3075 (aktiveret på iPhone 7 den 28. januar 2023 og spærret den 21. februar 2023).

Klageren har fremlagt en udskrift af sin MitID hændelseslog, hvoraf der blandt andet fremgår følgende aktiviteter den 28. januar 2023:

Tidspunkt	Hændelse
18:49	Oplysninger – valideringskode sendt på SMS
18:49	Oplysninger – ændret for MitID bruger
18:49	Oplysninger – mobilnummer tilknyttet MitID bruger
18:49	Aktiveringskode – til ny MitID app oprettet
18:49	Aktiveringskode – til ny MitID app valideret
18:50	Midlertidig PIN-kode– til MitID app sendt på SMS
18:50	Midlertidig PIN-kode – til MitID app valideret
18:50	App – ny MitID app aktiveret … MitID identifikationsmiddel-ID: …-3075
18:51	App – autentificering lykkedes … MitID identifikationsmiddel-ID: …-6034

Banken har fremlagt yderligere oplysninger vedrørende klagerens MitID.

Banken har oplyst, at på baggrund af det fremlagte vedrørende klagerens MitID kan konstateres, at der den 28. januar 2023 med klagerens MitID-identifikationsmiddel med serienummer -6034 blev godkendt oprettelse af endnu et MitID-identifikationsmiddel med serienummer -3075. Et MitID identifikationsmiddel (et MitID identifikationsmiddel med et specifikt serienummer) kan kun være installeret på én enhed, ligesom der ved en godkendelsesprocedure altid skal foretages en fysisk swipe-bevægelse på den enhed, som godkendelsen er sendt til.

Banken har oplyst, at der inden godkendelsen den 28. januar 2023 kl. 15:47 blev afsendt en notifikations-SMS fra MitID med følgende ordlyd til klagerens registrerede telefonnummer hos MitID:

”Du har bedt om adgang til at ændre oplysninger på MitID. dk og kan logge på om 1 time.

Har du ikke bedt om adgang? Ring til MitID support + 45 33980010.”

Banken har endvidere oplyst, at der med klagerens MitID-identifikationsmiddel/MitID-app nr. -6034 samme dag kl. 15:47 blev swipet til/godkendt følgende: ”Log på MitID.dk for at se eller ændre i din MitID profil”.

Banken har oplyst, at der efter godkendelsen den 28. januar 2023 kl. 16:47 blev sendt endnu en notifikations-SMS fra MitID med følgende ordlyd til klagerens registrerede telefonnummer hos MitID:

”Du har nu adgang til at logge på MitID.dk og ændre oplysninger i 24 timer.

Har du ikke bedt om adgang? Ring til MitID support + 45 33980010.”

Banken har endvidere oplyst, at der med klagerens MitID-app nr. -6034 den 28. januar 2023 kl. 18:35 blev swipet til/godkendt følgende: ”Log på MitID.dk for at se eller ændre i din MitID profil”.

Banken har yderligere oplyst, at der den 28. januar 2023 kl. 18:50 blev sendt en SMS-kode til klagerens registrerede telefonnummer hos MitID, og at koden blev indtastet samme dag kl. 18:50, hvorefter et nyt MitID-identifikationsmiddel med serienummer -3075 var aktiveret.  Banken har oplyst, at SMS’en udover koden indeholdt følgende tekst:

”IMPORTANT: Never share this code with others. Not even with someone who claims to come from the bank or support.
Temporary PIN code for MitID app: [xx]

Parternes påstande

Den 17. maj 2023 har klageren indbragt sagen for Ankenævnet med påstand om, at Ringkjøbing Landbobank skal godtgøre ham de resterende 8.000 DKK alene med fradrag af den lave selvrisiko på 375 DKK.

Ringkjøbing Landbobank har nedlagt påstand om frifindelse, subsidiært afvisning.

Parternes argumenter

Klageren har anført, at hans MasterCard og MitID er blevet misbrugt. Hans MitID blev aktiveret i 2022 og ikke den 28. januar 2023.

Han har ikke godkendt transaktionerne på nogen måde. Han har på intet tidspunkt godkendt handlerne.

Han kan ikke oplyse, hvordan hans kortoplysninger er blevet tastet. Han har ikke selv tastet dem.

Han er blevet opmærksom på, at der har været stor aktivitet fra hans MitID fra en fremmed telefon.

Han har aldrig ejet eller brugt en iPhone 11, da han ejer en Samsung Galaxy.

Han har ikke handlet groft uforsvarligt.

Ringkjøbing Landbobank har til støtte for frifindelsespåstanden anført, at betaleren efter betalingslovens § 100, stk. 4, hæfter med op til 8.000 DKK af tabet, blandt andet hvis en betaler ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse (§ 100, stk. 4, nr. 3).

Det er sammenfattende bankens vurdering, at klageren ved godkendelsen af et nyt MitID identifikationsmiddel udviste en groft uforsvarlig adfærd, som muliggjorde gennemførsel af de transaktioner, som klageren har gjort indsigelse imod. Banken var derfor berettiget til at vurdere, at klageren selv hæfter med 8.000 DKK, jf. betalingslovens § 100, stk. 4, nr. 3.

Godkendelsesanmodningen vedrørende et nyt MitID identifikationsmiddel blev sendt til en enhed, hvor klagerens MitID identifikationsmiddel med serienummeret -6034 var installeret. Et MitID identifikationsmiddel (et MitID identifikationsmiddel med et specifikt serienummer) kan kun være installeret på én enhed, ligesom der ved en godkendelsesprocedure altid skal foretages en fysisk swipe-bevægelse på den enhed, som godkendelsen er sendt til. En sådan fysisk swipe-bevægelse kan således ikke foretages fra en anden enhed end den, som godkendelsesanmodningen er sendt til, ligesom en fysisk swipe-bevægelse/godkendelsesanmodning ikke kan fjerngennemføres. Det vurderes derfor kun at kunne være klageren selv, der foretog en fysisk swipebevægelse i forbindelse med godkendelse af oprettelse af et nyt MitID identifikationsmiddel.

Både inden og efter oprettelsen af et nyt MitID identifikationsmiddel blev der sendt en notifikations-SMS herom til klagerens registrerede telefonnummer ved MitID.

Ved oprettelsen af et nyt MitID identifikationsmiddel med serienummeret -3075 muliggjorde klageren gennemførsel af de transaktioner, som klageren har gjort indsigelse imod.

Transaktionerne, som der er gjort indsigelse imod, er alle blevet godkendt med et MitID identifikationsmiddel, hvis oprettelse er blevet godkendt af klageren.

Ringkjøbing Landbobank har til støtte for afvisningspåstanden anført, at stillingtagen til klagen forudsætter en yderligere bevisførelse i form af parts- og vidneafhøringer, der ikke kan ske for Ankenævnet, men i givet fald må finde sted ved domstolene, hvorfor sagen bør afvises, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.

Ankenævnets bemærkninger

Den 30. januar 2023 blev klagerens betalingskort anvendt til fem betalinger (en betaling på 819 EUR og fire betalinger på i alt 17.103 DKK) til tre beløbsmodtagere, A, B og C, som klageren ikke kan vedkende sig. I perioden fra den 8. til den 9. februar 2023 returnerede A og C henholdsvis 3 DKK og 35 EUR/264,25 DKK.

Banken har dækket klagerens tab med fradrag af 8.000 DKK.

Ankenævnet lægger til grund, at betalingstransaktionerne er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.

Ankenævnet finder, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionerne blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.

Klageren har anført, at han ikke godkendte noget. Banken har anført, at klageren i sin MitID-app nr. -6034 godkendte aktiveringen af en ny MitID-app på tredjemands enhed, hvorved klageren ved groft uforsvarlig adfærd muliggjorde gennemførslen af de ikke vedkendte transaktioner.

Ankenævnet finder, at en afklaring af de nærmere omstændigheder omkring aktiveringen af MitID-appen på tredjemands enhed forudsætter yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men som i givet fald må finde sted for domstolene. Ankenævnet afviser derfor sagen i medfør af § 5, stk. 3, nr. 4, i Ankenævnets vedtægter.

Ankenævnets afgørelse

Ankenævnet kan ikke behandle klagen.

Klageren får klagegebyret tilbage.