Indsigelse mod at hæfte for 8.000 DKK af korttransaktion, der blev godkendt i MitID.
| Sagsnummer: | 386/2025 |
| Dato: | 28-10-2025 |
| Ankenævn: | Helle Korsgaard Lund-Andersen, Christina Bryanth Konge, Janni Visted Hansen, Tina Thygesen og Jørgen Lanng. |
| Klageemne: |
Afvisning - bevis § 5, stk. 3, nr. 4
Betalingstjenester - ikke-vedkendte hævninger Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for 8.000 DKK af korttransaktion, der blev godkendt i MitID. |
| Indklagede: | Nykredit Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for 8.000 DKK af korttransaktion, der blev godkendt i MitID.
Sagens omstændigheder
Klageren var kunde i Nykredit Bank, hvor hun blandt andet havde en konto med et tilknyttet betalingskort -467.
Klageren har oplyst, at hun blev udsat for phishing og ikke kender til betalingen. Hun fik et nyt betalingskort den 8. august 2025 og aktiverede det samme dag. Den 9. august 2025 opdaterede hun betalingskortet til diverse streamingtjenester, MobilePay og andre tjenester.
Den 9. august 2025 blev der gennemført en kortbetaling på 1.099 GBP svarende til 9.581,26 DKK med klagerens betalingskort -467 til en udenlandsk betalingsmodtager, betalingsmodtager A, som klageren ikke kan vedkende sig.
Banken har anført, at kortbetalingen blev godkendt med stærk kundeautentifikation i klagerens MitID -061, som var installeret på klagerens iPhone 11 den 27. december 2024. Banken har fremlagt en udskrift fra sit system med teksten, der blev vist i klagerens MitID i forbindelse med godkendelsen af betalingen. Af teksten fremgik:
”Betal 1099,00 GBP til [betalingsmodtager A] fra kort [-467]”
Banken har oplyst, at transaktionen var korrekt registreret og bogført.
Banken har fremlagt en udskrift af klagerens MitID-log, hvoraf blandt andet fremgår, at MitID -061 blev aktiveret den 27. december 2024 og sidst brugt den 6. september 2025.
Klageren gjorde indsigelse mod betalingen. I forbindelse med indsigelsen har klageren oplyst følgende:
”… Jeg får mit nye kort d. 8.8 og får det aktiveret. Den 9.8 vil jeg opdatere kortet til div. betalings ting, man nu har sit kort tilknyttet til, Netflix, Viaplay, og div apps, inkl. MobilePay.
Jeg har på det her tidspunkt ikke fået nogle mærkelige mails eller sms’er, som jeg har skulle åbne og opdatere betalings oplysninger på (de klassiske spam mails). Jeg opdaterer min MobilePay allerede den 8.8, men det driller mig lidt så, jeg lader den ligger og prøver igen dagen efter, jeg får min MobilePay opdateret, ikke noget mærkeligt ved det - der står 0,00 kr. betalt til oprettelse af MobilePay, som den skal vise. D. 12/8 får jeg så en mail fra banken (Nykredit) om at jeg er i overtræk på mit kort, hvilket jeg ikke kan forstå, for jeg havde kun betalt to beløb via mit kort på 60 og 90 kr. Da jeg går ind og kigger min konto igennem, kan jeg se at der er trukket 9.588 kr. til et engelsk firma.
Et beløb jeg ikke kender til og ej heller firmaet de er betalt til Jeg kontakter banken omgående, da jeg ikke selv har foretaget denne overførelse og får spærret mit (nye) kort. Jeg skriver en indsigelse på beløbet, da det ikke er mig selv, der har foretaget overførelsen. Jeg har haft mit nye kort et sikkert sted (derhjemme i en skuffe) hele tiden og har ikke foretaget nogle betalinger andet end de to små beløb den 8.8 da kortet lige var blevet åbnet.…”
Banken godtgjorde klagerens tab med fradrag af 8.000 DKK, hvorfor den tilbageførte 1.581,26 DKK til klagerens konto.
Klageren har politianmeldt sagen.
Parternes påstande
Den 25. august 2025 har klageren indbragt sagen for Ankenævnet med påstand om, at Nykredit Bank skal godtgøre hende 8.000 DKK.
Nykredit Bank har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har anført, at hun blev udsat for phishing. Hun er ikke enig i, at hun har handlet groft uagtsomt.
Transaktionen skete, da hun åbnede kortet, og hun har ikke skullet swipe en godkendelse af engelske pund.
Banken har anført, at "klager må have swipet godkend til", og "må have" er en påstand og ikke dokumentation, man med sikkerhed ved er sket.
Hun har på intet tidspunkt godkendt mail, sms eller opdateret sine kortoplysninger på nogle suspekte steder. Hun understreger, at der aldrig har været en tekst fremme om, at hun skulle godkende et beløb. Hun ved godt, at hun skal læse teksten, før hun swiper.
Hun ved også, hvordan billedet ser ud, når noget bliver godkendt via MitID, og det eneste, der var kommet frem, var 0,00 kr. i forbindelse med installering af MobilePay. Der har kun været tekst med 0,00 kr. og ingen andre beløb.
Beløbet 1.099 britiske pund er en tekst, man ikke tager fejl af, og hun er sikker på, at det ikke har været fremme.
Hun har ikke trykket på nogle link eller opdateret noget, hverken på det gamle eller det nye kort, udover at installere MobilePay.
Nykredit Bank har til støtte for den principale påstand anført, at klageren selv har autoriseret betalingen. Betalingen blev godkendt med klagerens personlige MitID, fra den enhed, som klagerens almindeligvis anvender.
Der er tale om en enhed og MitID-app, som klageren almindeligvis anvender, og da en MitID-app med et specifikt serienummer kun kan være installeret på én enhed, må det være klageren selv, der har godkendt overførslen. Klageren har været i besiddelse af sit betalingskort på tidspunktet for betalingens gennemførelse, og klageren har forklaret ikke at have videregivet sine oplysninger til tredjemand. Det forekommer derfor mest sandsynligt, at klageren har været udsat for phishing.
Ved godkendelsen i MitID-appen fremgik følgende tekst ”Betal 1099,00 GBP til [betalingsmodtager A] fra kort [-467]”, som klageren må have swipet godkend til.
Det er bankens vurdering, at klageren ved godkendelse af betalingen udviste en groft uforsvarlig adfærd, som muliggjorde, at den omtvistede betaling blev gennemført, hvorefter klageren hæfter med en egen hæftelse på 8.000 DKK, jf. betalingsloven § 100, stk. 4, nr. 3.
Nykredit Bank har til støtte for den subsidiære påstand anført, at sagen forudsætter en yderligere bevisførelse i form af parts- og vidneafhøringer, hvilket ikke kan ske for Ankenævnet, men i givet fald må finde sted ved domstolene, hvorfor sagen bør afvises, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets bemærkninger
Klageren var kunde i Nykredit Bank, hvor hun blandt andet havde en konto med et tilknyttet betalingskort -467.
Klageren har oplyst, at hun blev udsat for phishing og ikke kender til betalingen. Hun fik et nyt betalingskort den 8. august 2025 og aktiverede det samme dag. Den 9. august 2025 opdaterede hun betalingskortet til diverse streamingtjenester, MobilePay og andre tjenester.
Den 9. august 2025 blev der gennemført en kortbetaling på 1.099 GBP svarende til 9.581,26 DKK med klagerens betalingskort -467 til en udenlandsk betalingsmodtager, betalingsmodtager A, som klageren ikke kan vedkende sig.
Banken har anført, at kortbetalingen blev godkendt med stærk kundeautentifikation i klagerens MitID -061, som var installeret på klagerens iPhone 11 den 27. december 2024. Banken har fremlagt en udskrift fra sit system med teksten, der blev vist i klagerens MitID i forbindelse med godkendelsen af betalingen.
Banken har oplyst, at transaktionen var korrekt registreret og bogført.
Banken har fremlagt en udskrift af klagerens MitID-log, hvoraf blandt andet fremgår, at MitID -061 blev aktiveret den 27. december 2024 og sidst brugt den 6. september 2025.
Banken godtgjorde klagerens tab med fradrag af 8.000 DKK, hvorfor den tilbageførte 1.581,26 DKK til klagerens konto.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet finder, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Ankenævnet lægger til grund, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 DKK af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5, jf. betalingslovens § 100, stk. 4, nr. 2, eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, jf. betalingslovens § 100, stk. 4, nr. 3.
Ankenævnet finder, at det på det foreliggende grundlag ikke er muligt at afgøre, om der foreligger misbrug under sådanne omstændigheder, at klageren hæfter for 8.000 DKK af tabet, jf. betalingslovens § 100, stk. 4. Ankenævnet finder, at en stillingtagen hertil forudsætter yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men i givet fald må finde sted ved domstolene. Ankenævnet afviser derfor sagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen.
Klageren får klagegebyret tilbage.