Krav om tilbageførsel af netbankoverførsler, der blev fore-taget i forbindelse med bedrageriske telefonopkald. Spørgsmål om tredjemands adgang til klagerens pc via et fjernstyringsprogram.
| Sagsnummer: | 113/2025 |
| Dato: | 22-09-2025 |
| Ankenævn: | Helle Korsgaard Lund-Andersen, Mette Lindekvist Højsgaard, Kritte Sand Nielsen, Rolf Høymann Olsen og Anna Marie Schou Ringive. |
| Klageemne: |
Betalingstjenester - ikke-vedkendte hævninger
Netbank - øvrige spørgsmål |
| Ledetekst: | Krav om tilbageførsel af netbankoverførsler, der blev fore-taget i forbindelse med bedrageriske telefonopkald. Spørgsmål om tredjemands adgang til klagerens pc via et fjernstyringsprogram. |
| Indklagede: | Nordea Danmark |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører krav om tilbageførsel af netbankoverførsler, der blev foretaget i forbindelse med bedrageriske telefonopkald. Spørgsmål om tredjemands adgang til klagerens pc via et fjernstyringsprogram.
Sagens omstændigheder
Klageren var kunde i Nordea Danmark, hvor hun og hendes mand, M, blandt andet havde en fælleskonto -975 og netbankadgang.
Det er oplyst, at klageren i slutningen af februar 2024 modtog en besked på sin pc. Af beskeden fremgik, at klageren og M, formentlig var blevet hacket. Hun skulle derfor kontakte it-virksomhed Q, hvilket klageren gjorde. Den person, som klageren kom i kontakt med, forklarede, at klageren skulle overføre sine midler til en sikringskonto, så de blev beskyttet mod truslen fra hackere.
Klageren har oplyst, at hun blev udsat for phishing. I den forbindelse blev der foretaget 13 overførsler på i alt 956.000 DKK fra hendes konto til en række forskellige konti i ukendte banker. Hun foretog selv overførsler for 480.000 DKK, mens tredjemand via et fjernstyringsprogram foretog overførsler for 476.000 DKK.
Det er oplyst, at der den 19. februar 2024 blev installeret et fjernstyringsprogram på klagerens pc, og at der tidligere havde været installeret fjernstyringsprogrammer på klagerens pc.
Banken har oplyst, at der i perioden fra den 20. februar til den 7. marts 2024 blev foretaget overførsler på samlet 1.150.660,63 DKK fra klagerens konto i banken til tredjemands konti i andre pengeinstitutter.
Banken har oplyst, at der den 20. februar 2024 blev overført 2.490 EUR svarende til 18.616,39 DKK, og at overførslen blev foretaget via netbank ved brug af M’s MitID og ved godkendelse med M’s MitID.
Banken har endvidere oplyst, at der som en ekstra sikkerhed blev sendt en SMS til M’s telefonnummer, hvortil der skulle svares ”JA”, hvis overførslen skulle gennemføres. Banken har fremlagt en SMS-log, hvoraf det fremgår, at der inden overførslen blev sendt SMS med følgende tekst til M’s telefonnummer:
”Bekræft overførsel af EUR 2.490,00 til konto [-002]. Svar JA, hvis den skal gennemføres - NEJ, hvis den ikke skal gennemføres. Har du ikke selv oprettet betalingen kontakt Nordea 24/7 på 70334060. Venlig hilsen Nordea”
Det fremgår endvidere af SMS-loggen, at SMS-beskeden blev besvaret med ”JA”.
Banken har oplyst, at der derudover blev foretaget følgende ni overførsler:
|
Dato: |
Beløb (EUR): |
Beløb (DKK) |
|
21. februar 2024 |
12.800 |
95.746,56 |
|
22. februar 2024 |
12.800 |
95.744,97 |
|
23. februar 2024 |
9.990 |
74.722,56 |
|
26. februar 2024 |
12.850 |
96.111,96 |
|
27. februar 2024 |
12.800 |
95.738,88 |
|
28. februar 2024 |
12.870 |
96.262,09 |
|
29. februar 2024 |
12.790 |
95.663,19 |
|
1. marts 2024 |
12.880 |
96.343,04 |
|
4. marts 2024 |
12.890 |
96.406,81 |
Banken har oplyst, at overførslerne blev foretaget via klagerens netbank ved brug af klagerens MitID og ved godkendelse med klagerens MitID.
Banken har endvidere oplyst, at der som en ekstra sikkerhed ved hver overførsel blev sendt en SMS til klagerens telefonnummer, hvortil der skulle svares ”JA”, hvis overførslen skulle gennemføres. Banken har fremlagt en SMS-log, hvoraf det fremgår, at der inden overførslerne blev sendt SMS’er med følgende tekst til klagerens telefonnummer:
”Bekræft overførsel af [beløb] til konto […]. Svar JA, hvis den skal gennemføres - NEJ, hvis den ikke skal gennemføres. Har du ikke selv oprettet betalingen kontakt Nordea 24/7 på 70334060. Venlig hilsen Nordea”
Det fremgår endvidere, at SMS-beskederne blev besvaret med ”JA”.
Derudover blev der foretaget følgende tre overførsler:
|
Dato: |
Beløb (EUR): |
Beløb (DKK): |
|
5. marts 2024 |
12.860 |
96.179,99 |
|
6. marts 2024 |
12.900 |
96.485,16 |
|
7. marts 2024 |
12.920 |
96.639,03 |
Banken har oplyst, at overførslerne blev foretaget via klagerens netbank ved brug af klagerens MitID og ved godkendelse med klagerens MitID. Der blev ikke sendt en SMS til klagerens telefonnummer ved overførslerne den 5., 6. og 7. marts 2024.
Banken har oplyst, at samtlige 13 overførsler er korrekt registreret og bogført og ikke er ramt af tekniske svigt eller andre fejl.
Banken har fremlagt en oversigt over aktive identifikationsmidler for klagerens MitID og oversigt over aktive identifikationsmidler for M’s MitID.
Den 8. marts 2024 indgav klageren indsigelse til banken. I indsigelsesblanketten oplyste klageren blandt andet:
”Computeren lukkede ned mandag den 19/2-24, og på skærmen stod at vi skulle ringe til et [it-virksomhed Q] security-nummer. [Person A] sagde, at vi var blevet hacket og det viste han os på skærmen. Han sagde, at vores penge var blevet brugt til illegal virksomhed og at der …. I de følgende dage forklarede han, at for … hackerne skulle vi overføre penge til en … - konto, som var sikret af den Europæiske Centralbank. Dernæst ville pengene komme tilbage. Han samarbejdede med den Europæiske Centralbank + den danske stat. De numre, der blev ringet fra var: …”
I forbindelse med indsigelsen krydsede klageren følgende punkt af:
|
|
Jeg har ikke selv foretaget, indtastet, accepteret eller beordret andre til at lave transaktioner, hverken med min Netbank, Mobilbank App, eller ved telefonisk henvendelse til Nordea. |
|
|
Jeg har selv foretaget de ovenstående transaktioner med henblik på investering af midlerne |
|
X |
Jeg har selv foretaget de ovenstående transaktioner på baggrund af 3. mands urigtige oplysninger omkring formålet af transaktionerne |
Det lykkedes banken at få 190.210,75 DKK tilbage fra de modtagende pengeinstitutter. Banken har oplyst, at klagerens tab herefter udgør 960.449,88 DKK.
Banken afviste klagerens indsigelse.
Parternes påstande
Den 27. februar 2025 har klageren indbragt sagen for Ankenævnet med påstand om, at Nordea Danmark skal tilbageføre hendes tab.
Nordea Danmark har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har anført, at hun har været udsat for phishing. Der blev i den forbindelse foretaget en række uautoriserede transaktioner. Der blev overført i alt 956.000 DKK ved 13 overførsler fra hendes konto til en række forskellige konti i ukendte banker.
En del af overførslerne blev foretaget af svindlerne via fjernkontrol af hendes computer, mens en del af overførslerne blev foretaget af hende selv efter svindlernes anvisning.
Banken hæfter som udbyder af betalingstjenesten for hendes tab. Den hæfter som udbyder af betalingstjenesten for enhver uberettiget anvendelse heraf, jf. betalingslovens § 100. Udgangspunktet er derfor, at banken skal bære tabet, hvis der er tale om uautoriserede transaktioner, jf. betalingslovens § 82.
Er der tale om phishing, hvor betaleren franarres MitID-koder via e-mail, telefon eller på en hjemmeside følger det af Ankenævnets praksis, at betalerens afgivelse af MitID-koder ikke udgør et gyldigt samtykke til gennemførelse af en betalingstransaktion, uanset om en uberettiget tredjemand benytter oplysningerne, eller om betaleren selv har indtastet sine koder efter tredjemands anvisninger.
Transaktioner, som foretages på baggrund af oplysningerne, er dermed uautoriserede i betalingslovens § 82’s forstand, uanset om en uberettiget tredjemand benytter oplysningerne, eller om kortindehaveren selv efter tredjemands anvisninger har indtastet sine oplysninger.
Gerningsmændene har foretaget en stor del af transaktionerne gennem fjernkontrol af hendes computer. På den måde har gerningsmændene overført i alt 476.000 DKK Herudover har hun selv efter gerningsmændenes anvisning overført 480.000 DKK. Ser man på gældende praksis kan der ikke være nogen tvivl om, at banken som udbyder af betalingstjenesten skal dække i hvert fald den del af tabet, som svindlerne har påført hende gennem fjernkontrol af hendes computer. Der er utvivlsomt tale om uautoriserede transaktioner i betalingslovens forstand. For den del af beløbet hun selv har overført på svindlernes anvisning, er retspraksis ikke helt så entydig, men det er hendes opfattelse, at der er tale om uautoriserede transaktioner, og at banken efter omstændighederne kan blive dømt til at bære den del af tabet også, jf. betalingslovens § 100, stk. 1.
Der er tale om et for hende yderst atypisk transaktionsmønster. Hun har aldrig tidligere været involveret i noget tilsvarende. Hun er uforstående over for, at der ikke er nogen sikkerhedsforanstaltninger, der har forhindret svindlerne i at franarre hende så eksorbitant stort et beløb, idet det objektivt set havde været nemt at opstille nogle begrænsninger, der havde forhindret dette.
Der er tale om uautoriseret brug af betalingstjenesten i betalingslovens § 82. Banken skal dække hendes tab stort 956.000 DKK. Ingen af de i betalingslovens § 100, stk. 3-4 nævnte betingelser er til stede.
Nordea Danmark har til støtte for frifindelsespåstanden anført, at de ovenfor nævnte overførsler alle er autoriserede overførsler. Overførslerne er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl. Klageren anerkender i tro og love-erklæringen, at hun selv foretog overførslerne. Hun har blandt andet beskrevet dette, og har videre sat ”X” i feltet ”Jeg har selv foretaget de ovenstående transaktioner på baggrund af 3. mands urigtige oplysninger omkring formålet af overførslerne”.
Klageren loggede selv på sin netbank i banken ved at indtaste sit brugernavn og adgangskode til MitID og godkendte med MitID. Det samme gjorde klageren, da hun skulle gennemføre overførslerne, og klageren har ydermere benyttet sin sædvanlige MitID-enhed, hvorpå hun godkender alle overførsler, ligesom hendes aktive identifikationsmiddel ved MitID ikke er indrulleret på andre enheder.
Herudover svarede klageren ”JA” til de ni SMS´er, som hun modtog vedrørende overførslernes gennemførelse. Teksten i SMS´erne var meget tydelige omkring hvad det omhandlede og med klagerens ”JA”, så godkendte hun overførslerne.
Samtlige overførsler er autoriserede, og at banken er på den baggrund ikke forpligtet til at godtgøre klageren de omhandlede transaktioner. Klageren kan derfor heller ikke påberåbe sig de hæftelsesbegrænsninger, der følger af betalingslovens § 100.
Betalingslovens § 112 finder ikke anvendelse i dette tilfælde, da klageren har foretaget overførslerne via sin netbank. Tilsvarende argumentation gør sig gældende for den kontooverførsel, hvor klagerens mand godkendte transaktionen i netbank med sit MitID og ved at svare ”JA” via SMS.
Banken har til støtte for afvisningspåstanden anført, at der i sagen er tvivl om, om andre end klageren havde adgang til hendes pc, og dermed om andre kunne have medvirket til at foretage nogle af kontooverførslerne.
Klageren erkender at have foretaget kontooverførsler for 480.000 DKK, mens kontooverførsler for 476.000 DKK blev foretaget af tredjemand med adgang til hendes computer. Klageren har ikke konkretiseret hvilke overførsler, der kan henføres til førnævnte opdeling.
Der er også usikkerhed om, hvad det installerede fjernstyringsprogram gav tredjemand adgang til, ligesom det er usikkert, om tredjemand overhovedet havde adgang, og hvad denne potentielt kunne foretage sig på klagerens pc.
Tilsvarende gør sig gældende for kontooverførslen fra fælleskontoen, som klagerens mand godkendte. Men der kan tillige være usikkerhed om det faktiske forløb herom, da banken ikke har modtaget en redegørelse eller indsigelse fra klagerens mand.
Med den usikkerhed om det faktisk passerede i sagen og om der må antages at være tale om tredjemandsmisbrug i forhold til de angivne ikke-vedkendte kontooverførsler vil en stillingtagen hertil forudsætte yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets bemærkninger
Klageren var kunde i Nordea Danmark, hvor hun og hendes mand, M, blandt andet havde en fælleskonto -975 og netbankadgang.
Det er oplyst, at der i perioden fra den 20. februar til den 7. marts 2024 blev foretaget overførsler på samlet 1.150.660,63 DKK fra klagerens konto i banken til tredjemands konti i andre pengeinstitutter.
Om baggrunden for transaktionerne har klageren oplyst, at hun blev udsat for phishing. I den forbindelse blev der foretaget 13 overførsler på i alt 956.000 DKK fra hendes konto til en række forskellige konti i ukendte pengeinstitutter. Hun foretog selv overførsler for 480.000 DKK, mens tredjemand via et fjernstyringsprogram foretog overførsler for 476.000 DKK.
Det er oplyst, at der den 19. februar 2024 blev installeret et fjernstyringsprogram på klagerens pc, og at der tidligere havde været installeret fjernstyringsprogrammer på klagerens pc.
Banken har oplyst, at der den 20. februar 2024 blev overført 2.490 EUR svarende til 18.616,39 DKK, og at overførslen blev foretaget via netbank ved brug af M’s MitID og ved godkendelse med M’s MitID. Banken har endvidere oplyst, at der som en ekstra sikkerhed blev sendt en SMS til M’s telefonnummer, hvortil der skulle svares ”JA”, hvis overførslen skulle gennemføres, og at SMS’en blev besvaret med ”JA”.
Banken har derudover oplyst, at der i perioden fra den 21. februar 2024 til den 4. marts 2024 ved ni overførsler blev overført 112.670 EUR svarende til 842.740,06 DKK, og at overførslerne blev foretaget via netbank ved brug af klagerens MitID og ved godkendelse med klagerens MitID. Banken har endvidere oplyst, at der ved hver overførsel som en ekstra sikkerhed blev sendt en SMS til klagerens telefonnummer, hvortil der skulle svares ”JA”, hvis overførslen skulle gennemføres, og at SMS’erne blev besvaret med ”JA”.
Banken har herudover oplyst, at der i perioden fra den 5. marts 2024 til den 7. marts 2024 ved tre overførsler blev overført 38.680 EUR svarende til 289.304,18 DKK, og at overførslerne blev foretaget via netbank ved brug af klagerens MitID og ved godkendelse med klagerens MitID.
Det lykkedes banken at få 190.210,75 DKK tilbage fra tredjemands konti i de modtagende pengeinstitutter. Banken har oplyst, at klagerens tab herefter udgør 960.449,88 DKK.
Ankenævnet lægger efter det oplyste til grund, at klagerens tab udgør 960.449,88 DKK.
Ankenævnet finder, at det på det foreliggende grundlag ikke er muligt at afgøre, om der foreligger misbrug under sådanne omstændigheder, at banken helt eller delvist hæfter for transaktionerne. Ankenævnet finder, at en stillingtagen hertil forudsætter yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men som i givet fald må finde stede ved domstolene. Ankenævnet afviser derfor sagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen.
Klageren får klagegebyret tilbage.