Indsigelse mod transaktion, der blev gennemført som en ”3D Secure” betaling
| Sagsnummer: | 138 /2021 |
| Dato: | 18-01-2022 |
| Ankenævn: | Henrik Waaben, Inge Kramer, Karin Duerlund, Morten Bruun Pedersen, Jørn Ravn. |
| Klageemne: |
Afvisning - bevis § 5, stk. 3, nr. 4
Betalingstjenester - ikke-vedkendte hævninger |
| Ledetekst: | Indsigelse mod transaktion, der blev gennemført som en ”3D Secure” betaling |
| Indklagede: | Nykredit Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod en transaktion, der blev gennemført som en ”3D Secure” betaling.
Sagens omstændigheder
Klageren var kunde i Nykredit Bank, hvor han havde tre konti, herunder sin Nemkonto, og et betalingskort.
Den 6. februar 2021 omkring klokken 16 opdagede klageren, at der var reserveret en betaling på 16.000 kroner på NemKontoen. Klageren fremsatte en indsigelse mod transaktionen over for banken.
Klageren har oplyst, at han samme dag omkring klokken 15 telefonisk var blevet kontaktet af en person, der udgav sig for at være fra hans nye telefonselskab, T. Han udleverede sit CPR-nummer og sine kortoplysninger til personen.
Den 8. februar 2021 blev 16.000 kroner hævet fra klagerens konto. Betalingsmodtageren var et udenlandsk investeringsfirma, F.
Klageren har fremlagt en udateret korrespondance mellem ham og banken, som vedrører betalingen til F. Klageren anfører blandt andet følgende i korrespondancen:
”Jeg blev henvist til jer af [ansat i banken], da han har meldt ud, at min indsigelse er blevet afsat. [ansat i banken] har spurgt mig, hvem der har flyttet rundt på beløbene imellem mine konti.
Det ved jeg ikke, og det har jeg ikke gjort, men det er vel banken, som kan se, hvem [der] har logget ind på dette tidspunkt.
Først bliver 20.000 kroner overført fra "Spar konto" til "NemID konto". Derefter bliver de 20.000 kroner, overført tilbage til "Spar konto" fra "NemID konto". Og så bliver der overført 15.000 kroner til "NemID konto" fra "Spar Konto" Og til sidst under billedet her, bliver der reserveret 16.000 kroner fra min NemID konto.
…
Den forklaring som jeg gav til [ansat i banken] i første omgang, [jeg] blev stillet nogle spørgsmål, [var følgende]:
#1 Jeg kan forstå på dig, at du ikke har nogen idé, om hvordan nogen har fået adgang til din netbank og flyttet rundt på beløb internt mellem dine konti på denne. Er det korrekt forstået?
Ja, det er korrekt forstået.
#2 Har andre personer end dig selv til kendskab til dit NemID bruger-id og adgangskode?
Nej, jeg er den eneste der er i besiddelse af både bruger-id og adgangskode.
#3 Har andre adgang til dit NemId nøglekort eller kan andre logge på din NemId nøgleapp?
Nej, jeg er også den eneste som er i besiddelse af både nøglekort og kan logge på Nemid nølgeapp.
#4 Betalingen på 16.000 kr. er en 3DS betaling, hvor der udover dit korts information er godkendt med NemID nøgleapp. Har du en idé, hvorledes dette kan være sket?
Jeg har ingen ide om, hvordan i alverden det har kunne ske. Jeg kontaktede jer lige med det samme, da jeg opdagede det i lørdags.
#5 Har andre adgang til dit betalingskort og telefon?
Nej, jeg er også den eneste, som har adgang til min telefon og betalingskort.
…
[ansat i banken] har svaret på min indsigelse således:
”Vi mener ikke, da du ikke fyldestgørende har redegjort for et hændelsesforløb, som underbygger at der er tale om 3. mands misbrug og kan derfor ikke imødekomme din indsigelse.”
Jeg forstod ikke, hvad [ansat i banken] mente om en 3. persons involvering, men det eneste som jeg kan huske (hvis det har nogen relevans) er et telefonopkald, jeg havde med en person, som udgav sig for at være fra [T].
Jeg købte en telefon på afbetaling via [T] tilbage i starten i december 2020, hvor aftalen stod på at jeg skulle skifte abonnement fra [firma] til [T].
Det er [bank], som jeg afbetaler den nye telefon til, [bank] har et samarbejde med [T].
Den 6. februar kl. ca. 15 fik jeg et opkald af en person, fra tlf. nr. [-671] som oplyste om, at han ringede fra [T], hvor det drejede sig om at få skiftet abonnement. Han spurgte om mit Cpr-nummer, for at sikre sig at det var mig han talte med. Derefter spurgte personen om mit kontonummer og kortnummer da det skulle bruges til at trække penge fra min konto fra marts af for mit abonnement hos [T]. Det virkede ikke mistænksom hele processen, da jeg ventede på dette i forvejen.
Kl. lidt efter 16 opdagede jeg at pengene de kr. 16.000, - stod som reserveret, og der kontaktede jeg banken med det samme, men banken ville ikke tilbageholde pengene, hvilket jeg finder fuldstændigt uacceptabelt.
…”
Den 12. marts 2021 fastholdt banken sin afvisning. Blandt andet følgende fremgår heraf:
”Den 8. februar 2021 er bogført en transaktion på din konto á kr. 16.000 til [F]. Denne transaktion har du henvendt dig til Nykredit om og indgivet indsigelse imod.
Transaktionen er foretaget med dit betalingskort som 3D Secure betaling, hvormed den er godkendt med din NemID-nøgleapp.
For at have godkendt transaktionen vurderes det, at det har været nødvendigt at være i besiddelse af dine NemID-oplsyninger, NemID-nøgleapp og betalingskort.
Du er blevet bedt om at redegøre for, hvordan tredjemand kan være kommet i besiddelse af disse. Idet du oplyser, at du var i besiddelse af betalingskortet på tidspunktet for transaktionen, og du i øvrigt er af den opfattelse, at tredjemand ikke har kunne tilgå dine NemID-oplysninger og NemID-nøgleapp, ses det ikke at være sandsynliggjort, at der er tale om tredjemandsmisbrug. På den baggrund findes det ikke sandsynliggjort, at transaktionen ikke er autoriseret af dig, hvorfor der ikke er grundlag for at fravige det afslag, du tidligere er meddelt af Nykredit.
..”
Banken har oplyst, at den omtvistede betaling med klagerens betalingskort blev foretaget med sikkerhedsløsningen 3D Secure ved godkendelse i NemID-nøgleapp.
Parternes påstande
Den 15. marts 2021 har klageren indbragt sagen for Ankenævnet med påstand om, at Nykredit Bank skal betale ham 16.000 kroner.
Nykredit Bank har nedlagt påstand om principalt afvisning, subsidiært frifindelse.
Parternes argumenter
Klageren har anført, at han er blevet udsat for svindel.
Svindleren må være personen, der 6. februar 2021 kontaktede ham og udgav sig for at være fra hans nye telefonselskab. Han ventede på en henvendelse fra telefonselskabet, da han var ved at skifte abonnement, og fandt derfor ikke henvendelsen mistænkelig.
Den 6. februar 2021 omkring klokken 16 overførte han 100 kroner til sin Pay-konto. I den forbindelse opdagede han, at 16.000 kroner var reserveret til en konto i et udenlandsk investeringsfirma. Han kendte ikke til den kommende transaktion og kontaktede med det samme banken.
Han rettede telefonisk henvendelse til banken flere gange den 6., 7. og 8. februar 2021 med indsigelse mod den kommende transaktion, men banken ville ikke tilbageholde pengene.
Han bestrider, at han selv flyttede rundt på de 20.000 kroner og 15.000 kroner forud for reservationen af de 16.000 kroner. Banken påstår, at han selv har overført beløbene mellem sine konti, og at han i den sammenhæng har anført posteringsteksten ”Fra [navn] spar kont”.
Når han logger ind i banken via en mobiltelefon og overfører penge fra den ene konto til den anden, uden at skrive en posteringstekst, så skriver systemet automatisk kun et kontonummer. Når han derimod logger ind i banken via en computer og overfører penge fra sin sparekonto til sin NemKonto, uden at skrive posteringstekst, indsætter Netbanken automatisk posteringsteksten ”Fra [navn] Spar kont”.
Banken kender således ikke sit eget Netbank-system. Netbank-systemet har altid automatisk udfyldt en tekst, såsom posteringsteksten ”Fra [navn] spar kont”, hvis man ikke selv indskriver en posteringstekst. Dette er dokumenteret med screenshots, som han har fremlagt. Han opfatter det som en vildledning af Ankenævnet, at banken påstår det modsatte.
Banken har fremlagt login-oplysninger for hans konti. Af oplysningerne kan det ses, at en person via en Apple Mac computer var logget ind to gange, hvilket skete på præcis de tidspunkter, hvor pengene forsvandt. Han har ikke selv en Mac computer.
Han står på en akutliste til en lejlighed og har brug for pengene til indskuddet til lejligheden.
Nykredit Bank har til støtte for afvisningspåstanden anført, at en afgørelse af sagen vil kræve bevisførelse fra klagerens side, hvilket ikke er omfattet af Det finansielle ankenævns virksomhed, jf. § 5, stk. 3, nr. 4 i Ankenævns vedtægter. Nykredit påstår derfor sagen afvist.
Nykredit Bank har til støtte for frifindelsespåstanden anført, at ingen andre end klageren selv er i besiddelse af både bruger-id og adgangskode til klagerens NemID samt NemID-nøglekort, ligesom ingen andre end klageren selv kan logge på klagerens NemID-nøgleapp. Klageren har endvidere oplyst, at ingen andre end klageren selv har adgang til hverken klagerens telefon eller betalingskort. Besiddelse af ovenstående oplysninger, som alene klageren har haft adgang til, er en forudsætning for at kunne have gennemført transaktionen, hvorfor det efter bankens opfattelse ikke er sandsynliggjort, at der skulle være tale om et tredjemandsmisbrug omfattet af lov om betalinger § 100, hvorfor banken ikke hæfter for transaktionen.
Adfærden på klagerens konti underbygger, at det ikke er en tredjemand, som har foretaget transaktionen. Den 6. februar 2021 klokken 15.54 blev der overført 20.000 kroner fra klagerens kontonummer -214 ledsaget af teksten ”Fra [navn] Spar kont”. Det er usædvanligt, hvis en tredjemand med forsæt til at begå svig skulle indtaste en sådan meddelelsestekst. Få øjeblikke efter, blev der overført 100 kroner til en anden af klagerens konti med tilknyttet betalingskort. Overførslen inddækkede kontoen, så indestående på denne var tilstrækkelig til at dække det reserverede beløb. Det vurderes at være usædvanligt, hvis en tredjemand med forsæt til at begå svig skulle tage sig lejlighed til at inddække en anden af klagerens konti. Få øjeblikke senere blev de 20.000 kroner ført tilbage til afsenderkontoen. Klokken 16.02 blev 15.000 kroner overført til den samme konto, der oprindeligt var overført 20.000 kroner til. Også denne gang var overførslen ledsaget af en tekstmeddelelse svarende til den ovenfor. Det vurderes at være usædvanligt, hvis en tredjemand med forsæt til at begå svig skulle fortryde og nøjes med at begå svig for et mindre beløb.
Det bestrides, at posteringsteksten ”Fra [navn] spar kont” skulle være en automatisk posteringstekst i Nykredits Netbank-system. Hvis en kunde i forbindelse med en transaktion ikke selv angiver en posteringstekst, vil kontonummeret på den afsendende eller modtagende konto blive påført. ”[Navn] Spar konto” er et kaldenavn for klagerens ene konto, som klageren selv har valgt til kontoen.
Næsten en måned før de transaktioner, som klageren gør indsigelse imod, er der foretaget en transaktion fra en af klagerens konti til en anden af klagerens konti med samme posteringstekst ”Til [navn] Spar kont”, som de transaktioner, klageren har gjort indsigelse imod, var udstyret med.
Klageren har oplyst at have kontaktet banken den 6. februar 2021. Klokken 16.17 samme dag spærrede klageren selv begge sine betalingskort. Det betyder, at klageren allerede 15 minutter efter initiering af transaktionen skulle have været i sin Netbank og set, at der var reserveret et beløb svarende til transaktionen.
Klagerens forklaring om telefonselskabet er ikke egnet til at sandsynliggøre et tredjemandsmisbrug. Dette skal ses i lyset af den konstaterede adfærd samt det faktum, at den, klageren påstår har udgivet sig for at være fra telefonselskabet, ikke har adgang til de oplysninger, som er nødvendige for at kunne tilgå klagerens Netbank og foretage transaktionen. Hverken et kontonummer eller et kortnummer, som klageren oplyser at have oplyst til den, klageren påstår har udgivet sig for at være fra telefonselskabet, alene kan sætte en person i stand til at tilgå klagerens Netbank eller foretage transaktionen.
Det fremgår af oversigten over log-in i bankens Netbank-system, at der er foretaget log-in fra to forskellige telefoner, ligesom IP-adressen varierer. Det er værd at bemærke, at klageren efter eget udsagn i perioden har fået ny telefon samt nyt abonnement. En ny telefon vil bevirke, at IP-adressen ændres. Derudover har klageren telefonisk forklaret banken, at han midlertidigt har haft lånt en telefon af en bekendt, og at denne telefon var udstyret med et andet styresystem end det, klageren plejer at anvende. Det fremgår af et vedlagt bilag, at en iPhone er anvendt til to login i perioden, imens en Android er anvendt til fire login i perioden.
Idet der er tale om en transaktion med et betalingskort, havde banken ikke mulighed for at standse eller tilbageføre transaktionen.
Ankenævnets bemærkninger
Klageren var kunde i Nykredit Bank, hvor han havde tre konti, herunder sin Nemkonto, og et betalingskort.
Den 6. februar 2021 omkring klokken 16 opdagede klageren, at der var reserveret en betaling på 16.000 kroner på hans NemKonto, og han fremsatte en indsigelse mod transaktionen over for banken.
Omkring klokken 15 samme dag var klageren telefonisk blevet kontaktet af en person, der udgav sig for at være fra hans nye telefonselskab. Han udleverede sit CPR-nummer og sine kortoplysninger til personen.
Den 8. februar 2021 blev der overført 16.000 kroner fra klagerens konto til et udenlandsk investeringsfirma, F.
Ankenævnet lægger som oplyst af banken til grund, at banken ikke havde mulighed for at tilbageføre eller annullere transaktionen.
Banken har oplyst, at den omtvistede betaling med klagerens betalingskort blev foretaget med sikkerhedsløsningen 3D Secure ved godkendelse i NemID-nøgleapp.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. lov om betalinger § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. lov om betalinger § 93.
Klageren har anført, at han ikke har foretaget eller godkendt betalingen, og at han har været udsat for svindel. Banken har bestridt dette.
Afgørelsen af, om klageren hæfter for betalingstransaktionen, beror på, om der må antages at være tale om tredjemandsmisbrug. Ankenævnet finder, at en stillingtagen hertil forudsætter en yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men som i givet fald må finde sted ved domstolene. Ankenævnet afviser derfor sagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen.
Klageren får klagegebyret tilbage.