Afgørelse

Indsigelse mod at hæfte for op til 8.000 DKK af korttransaktioner gennemført som betalinger med et virtuelt kort via tredjemands wallet og krav om tilbageførsel af købesum for en flybillet, som var reserveret på klagerens konto.

Sagsnummer:	426/2026
Dato:	30-10-2026
Ankenævn:	Bo Østergaard, Bjarke Levinsky Svejstrup, Majken Christoffersen, Morten Bruun Pedersen og Elizabeth Bonde.
Klageemne:	Afvisning - bevis § 5, stk. 3, nr. 4 Betalingstjenester - ikke-vedkendte hævninger Betalingstjenester - spørgsmål om groft uforsvarlig adfærd
Ledetekst:	Indsigelse mod at hæfte for op til 8.000 DKK af korttransaktioner gennemført som betalinger med et virtuelt kort via tredjemands wallet og krav om tilbageførsel af købesum for en flybillet, som var reserveret på klagerens konto.
Indklagede:	Lunar Bank A/S
Øvrige oplysninger:
Senere dom:
	Pengeinstitutter

Indledning

Sagen vedrører indsigelse mod at hæfte for op til 8.000 DKK af korttransaktioner gennemført som betalinger med et virtuelt kort via tredjemands wallet og krav om tilbageførsel af købesum for en flybillet, som var reserveret på klagerens konto.

Sagens omstændigheder

Klageren var kunde i Lunar Bank, hvor han havde en konto -036 med et tilknyttet betalingskort -549 samt adgang til mobilbank via Lunar-appen.

Den 5. maj 2026 blev der reserveret et beløb på klagerens konto på 5.109,99 DKK, da klageren var i færd med at købe en flybillet. Købet blev senere blev annulleret. Klageren har oplyst, at han ikke modtog købesummen retur.

Banken har fremlagt en oversigt fra klagerens konto, hvoraf fremgår, at der den 5. maj 2026 kl. 18:14 blev reserveret et beløb på 5.109,00 DKK, men at transaktionen blev ”deleted” samme dag kl. 19:35.

Banken har endvidere fremlagt en kontoudskrift fra klagerens konto i perioden 24. marts 2026 til 24. juni 2026, hvoraf fremgår, at der ikke på noget tidspunkt i perioden blev debiteret et beløb på 5.109,99 DKK fra kontoen.

Den 12. maj 2026 blev klagerens betalingskort indrulleret i en wallet udenfor Lunar-appen.

Samme dag kl. 14:40 blev klagerens betalingskort midlertidigt frosset. Banken har oplyst, at frysningen af klagerens betalingskort skete på grund af tilføjelsen af kortet til en ny digital wallet uden for Lunar-appen, og at klageren i den forbindelse modtog en notifikation i sin Lunar-app om, at hans betalingskort var blevet tilføjet en ny wallet.

Banken har fremlagt et eksempel på indholdet af notifikationen i Lunar-appen:

”Kort tilføjet til tegnebog.

Vi har låst dit kort, fordi det blev tilføjet til en wallet uden for Lunar-appen. Hvis det var dig, skal du låse dit kort op. Hvis det ikke var dig, skal du lukke det for at forhindre svindel.”

Banken har endvidere fremlagt en oversigt fra klagerens konto, hvoraf fremgår, at klagerens betalingskort blev frosset på grund af ”Weak tokenization authentification”. Banken har oplyst, at det er den meddelelse, der fremkommer, når et betalingskort tilføjes til en ny digital wallet med SMS-kode.

Banken har oplyst, at indrulleringen af et Lunar-betalingskort i en digital wallet kræver stærk kundeautentifikation, enten 1) via Lunar-appen, hvor kortholderen logger ind i sin personlige Lunar-app ved brug af MitID, biometrisk login (fingeraftryk/ansigtsgenkendelse) eller sin personlige fire-cifrede adgangskode. Under kortoversigten vælger kortholderen funktionen for at tilføje det specifikke kort til enhedens wallet, eller 2) direkte via enhedens wallet-app, hvor kortholderen manuelt indtaster kortoplysningerne (kortnummer, udløbsdato og CVC-kode) i enhedens wallet-app. Der sendes herefter omgående en engangskode via SMS til det telefonnummer, som er registreret på kundens profil. Kortholderen skal indtaste denne engangskode i wallet-appen for at bekræfte og fuldføre tilknytningen af betalingskortet. Som verifikation udløser dette en automatisk sikkerhedsforespørgsel til Lunar, hvorfor betalingskortet bliver frosset i appen. En notifikation omkring tilføjelsen af kortet til en ny digital wallet, vil figurere i kortholderens Lunar app. Kortholderen skal efterfølgende ind og genåbne betalingskortet i sin Lunar-app, inden det kan bruges på den nye digitale wallet.

Banken har fremlagt loginoplysninger for klagerens Lunar-app for perioden fra den 9. april til den 1. juni 2026, hvoraf blandt andet fremgår, at der i hele perioden kun blev logget ind på klagerens Lunar-app fra samme enhed.

Banken har oplyst, at metode 1 kan udelukkes, da der ikke har været uautoriseret adgang til klagerens Lunar app, og at tilføjelsen af klagerens kort til tredjemands wallet dermed må være sket via metode 2, hvorfor tredjemand har haft adgang til klagerens fulde kortoplysninger og efterfølgende har fået delt den engangskode, som klageren fik tilsendt på SMS.

Klageren har fremlagt den SMS, han modtog den 12. maj 2026 kl. 14:40:

”Din aktiveringskode er [xxx]. Hvis kortet ikke automatisk er aktiveret i wallet-appen kan du aktivere det ved at:

Åbne Wallet-appen på din telefon
Vælge dit kort
Vælge ’Skift kode’
Indsætte aktiveringskode

Koden udløber om 30 minutter. Hvis du har problemer, skal du kontakte support på [xxx]”

Banken har oplyst, at klageren må have delt den tilsendte sikkerhedskode med tredjemand.

Klageren har oplyst, at han ikke delte koden med nogen, og at han bare ignorerede SMS’en.

Den 13. maj 2026 kl. 04:38 genaktiverede klageren sit betalingskort.

Den 13. maj 2026 blev der foretaget ni kortbetalinger med klagerens betalingskort på i alt 690 GBP svarende til 6.026,52 DKK, som klageren ikke kan vedkende sig.

Banken har oplyst, at kortbetalingerne er korrekt registreret og bogført og er ikke ramt af tekniske svigt eller andre fejl jf. betalingslovens § 98, stk. 1.

Om baggrunden for kortbetalingerne har klageren oplyst, at han den 12. maj 2026 modtog en SMS, der fremstod som værende fra et parkeringsfirma vedrørende ubetalt parkering. Han trykkede på linket og indtastede sine kortoplysninger i den tro, at han betalte en regning. Senere samme dag modtog han en aktiveringskode fra banken. Han indtastede ikke koden nogen steder. Samme dag blev hans betalingskort desuden automatisk spærret af banken. Han var i færd med at betale i en dagligvarebutik, og fordi han troede, at spærringen skyldtes en teknisk fejl, genåbnede han kortet i god tro. På dette tidspunkt vidste han ikke, at han var blevet udsat for svindel.

Ved tro- og loveerklæring gjorde klageren indsigelse til banken mod de ikke-vedkendte kortbetalinger. Klageren skrev heri, at det kun var ham, der havde haft adgang til betalingskortet, at han ikke havde sin pinkode nedskrevet og:

”Jeg fik tidligere på ugen en besked om at jeg manglede at betale noget parkering så jeg skrev mine kontooplysninger ind på en hjemmeside der meget lignede en officiel københavnsk parkerings-hjemmeside. Så forestiller det er der de har fået mine kontooplysninger. Så i mens jeg er på arbejde bliver der trukket omkring 6000kr fra min konto forestiller mig de har hævet en masse penge. Håber det kan rettes især nu hvor jeg ikke har været i England.”

Den 18. maj 2026 stillede banken klageren nogle opfølgende spørgsmål, som klageren besvarede den følgende dag. Klageren skrev blandt andet, at det kun var ham, der havde haft adgang til hans mobiltelefon og betalingskort, at han havde kontaktet de virksomheder, der havde trukket de ikke-vedkendte kortbetalinger, og at kortbetalingerne i øvrigt var et resultat af et phishing-forsøg. Klageren skrev endvidere:

”Jeg modtog en falsk besked, der fremstod som en legitim henvendelse om ubetalte regninger. Jeg blev narret til at tro, at det var en officiel besked, og derfor indtastede jeg oplysninger i god tro. Jeg har vedhæftet screenshot af beskeden, så I kan se, at den er tydeligt svindel.”

Den 26. maj 2026 afviste banken klagerens indsigelse med henvisning til, at han selv hæftede med en selvrisiko på 8.000 DKK.

Den 28. maj 2026 klagede klageren over bankens afgørelse, da han mente, at den indeholdt flere faktuelle fejl. Klageren bestred blandt andet, at han selv havde genåbnet sit betalingskort i Lunar-appen, og at han havde videregivet sine kortoplysninger, da videregivelsen var sket i forbindelse med phishing.

I perioden 25. maj til 3. juni 2026 korresponderede klageren og banken vedrørende flybilletten, som klageren anførte, ikke var blevet tilbagebetalt.

Den 3. juni 2026 klagede klageren til bankens klageansvarlige over bankens afgørelse omkring de ikke-vedkendte kortbetalinger og bankens manglende tilbageførsel af købesummen for flybilletten.

Samme dag fastholdt banken sin afgørelse af 26. maj 2026 og anførte i øvrigt, at beløbet på 5.109,99 DKK for flybilletten kun var en reservation og ikke en betaling.

Parternes påstande

Den 9. juni 2026 har klageren indbragt sagen for Ankenævnet med påstand om, at Lunar Bank A/S skal tilbageføre 11.136,51 DKK til ham.

Lunar Bank A/S har nedlagt påstand om frifindelse, subsidiært afvisning vedrørende klagerens krav på 6.026,52 DKK og påstand om afvisning vedrørende klagerens krav på 5.109,99 DKK.

Parternes argumenter

Klageren har anført, at han ikke har fået sine penge tilbage fra købet af flybilletten, og at han er blevet udsat for et phishing-angreb via en falsk SMS.

Den 5. maj 2026 købte han en flybillet til 5.109,99 DKK. Billetten blev senere annulleret automatisk, fordi han ikke fik bekræftet noget i tide. Han har aldrig modtaget beløbet retur. Der er ingen synlig udgift, ingen tilbageførsel og ingen fjernet reservation, men hans disponible saldo viser, at pengene ikke er kommet tilbage.

Den 12. maj 2026 modtog han en SMS fra, hvad der lignede et parkeringsfirma om en ubetalt parkering. Han trykkede på linket og indtastede sine kortoplysninger i god tro, fordi han troede, at han betalte en regning. Han videregav ikke sine kortoplysninger, men var offer for et phishing-angreb. Han forstod ikke, at beskeden var svindel. Han godkendte ikke en wallet-tilføjelse. Hans adfærd opfylder ikke kriterierne for grov uforsvarlig adfærd efter betalingslovens § 100, stk. 4.

Senere på dagen modtog han aktiveringskoden fra banken. Han indtastede den ikke nogen steder. Han forstod ikke, at aktiveringskoden kunne anvendes til at tilføje hans betalingskort til en fremmed digital wallet. Han forstod ikke, hvad beskeden havde med ham at gøre. Banken har ingen dokumentation for, at han delte koden. Bankens påstand bygger kun på en teknisk antagelse.

Da hans kort blev automatisk spærret af banken den 12. maj 2026, stod han i en dagligvarebutik og skulle betale. Da han troede, at spærringen skyldtes en teknisk fejl, genåbnede han kortet i god tro i en stresset situation. På dette tidspunkt vidste han ikke, at han var blevet udsat for svindel.

Efterfølgende blev hans kort misbrugt i Storbritannien. Han befandt sig i Danmark og foretog sig ingen af de omtvistede kortbetalinger.

Efter svindlen måtte han hæve flere gange fra sin opsparing for at få økonomien til at hænge sammen. Det understøtter, at han aldrig fik flybilletbeløbet tilbage.

Banken har afvist hans indsigelse med henvisning til “grov uforsvarlighed”. Han er uenig i denne vurdering. Han blev udsat for phishing. Han indtastede ikke SMS?koden, han godkendte ikke nogen wallet?tilføjelse, og han genåbnede kortet i en helt almindelig hverdagssituation, fordi han troede, det var en fejl.

Han anmoder derfor om, at både svindelbeløbet og flybilletbeløbet tilbageføres. Han har flere gange været i kontakt med banken for at forstå, hvad der er sket og har under hele forløbet været aktivt søgende i at få løst problemet.

Fra sekundet, hvor der blev lavet uautoriseret køb fra hans kort, har han prøvet at stoppe det. Han skrev endda med virksomhederne i Storbritannien for at prøve, om de kunne stoppe transaktionerne.

Lunar Bank A/S har til støtte for sin frifindelsespåstand blandt andet anført, at klageren hæfter for det fulde tab på 6.026,52 DKK, idet misbruget er muliggjort af klagerens groft uforsvarlige adfærd, jf. betalingslovens § 100, stk. 4, nr. 3. Klagerens adfærd afviger væsentligt fra, hvad der med rimelighed kan forventes af en almindeligt forsigtig bruger af betalingstjenester.

Efter betalingslovens § 100, stk. 4, nr. 3, hæfter en betaler med op til 8.000 DKK, hvis den uberettigede brug af betalingsmidlet skyldes, at betaleren har handlet groft uforsvarligt.

Klagerens handlinger har muliggjort de uberettigede transaktioner gennem en række dispositioner, der i væsentlig grad afviger fra, hvad man med rimelighed kan forvente af en almindeligt forsigtig bruger af betalingstjenester, hvorfor det må anses som uagtsom adfærd af følgende årsager:

1. Det er dokumenteret, at ingen fremmede enheder har haft adgang til klagerens Lunar-app. Kortet kan derfor ikke være blevet tilføjet en digital wallet via metode 1.

2. Den eneste tekniske mulighed, der herefter kan forklare forløbet, er, at tredjepart manuelt har tilføjet kortet via enhedens egen wallet-app (metode 2). Denne proces forudsætter, at svindleren har haft adgang til flere separate og fortrolige oplysninger, som klageren har udleveret: a) komplette kortoplysninger, herunder kortnummer, udløbsdato og CVC-kode, b) engangskoden, som sendes til klagerens registrerede telefonnummer c) der kræves desuden en aktiv handling fra klageren, idet kortet automatisk bliver frosset af sikkerhedsmæssige årsager, når det tilføjes til en ny wallet. Klageren modtog i den forbindelse en tydelig notifikation i appen med besked om, at kortet var blevet tilføjet til en ny digital wallet. For at de bestridte transaktioner kunne gennemføres, må klageren derfor efterfølgende have logget ind i sin Lunar-app og aktivt ophævet spærringen af kortet på trods af advarslen i notifikationen.

Banken har noteret sig, at klageren selv har vedhæftet notifikationen om tilføjelse af kort til digital wallet. Dette dokumenterer, at klageren modtog SMS-koden, som var nødvendig for at tilføje kortet til den fremmede wallet. Klageren må således have videregivet denne sikkerhedskode.

Det samlede forløb viser, at klageren har handlet groft uforsvarligt ved både at videregive fortrolige oplysninger og bevidst ophæve de sikkerhedsforanstaltninger, der skulle beskytte ham mod misbrug. Betingelserne i betalingslovens § 100, stk. 4, nr. 3, er dermed opfyldt, og da det omtvistede beløb på 6.026,52 DKK ligger under selvrisiko på 8.000 DKK, hæfter klageren for det fulde tab.

Klageren anfører, at han var i en stresset situation, da han skulle foretage en betaling i dagligvarebutikken. Betalingsloven fritager kun for selvrisiko i visse tilfælde af vold, trusler om vold eller afpresning. En betaling i en dagligvarebutik er derfor ikke omfattet af disse fritagelser. Klagerens subjektive stress kan derfor ikke begrunde fritagelse fra selvrisikoen.

Lunar Bank A/S har til støtte for afvisningspåstanden anført, at sagen alene kan afgøres på baggrund af yderligere bevisførelse i form af parts- og vidneforklaringer.

Bevisførelsen er nødvendig for at fastlægge sagens faktiske omstændigheder, hvilket har betydning for hæftelsesspørgsmålet. Sådan bevisførelse kan ikke finde sted i Ankenævnet, men alene ved domstolene, hvorfor sagen bør afvises, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.

Det reserverede beløb

En beløbsreservation adskiller sig fra en faktisk betaling. Ved en reservation låses beløbet midlertidigt på kontohavers konto af betalingsmodtageren (merchanten), uden at der foretages en faktisk debitering.

Når en virksomhed frigiver en reservation, slettes reservationen, og spærringen af beløbet ophæves. Dette sker automatisk, uden at der kræves en særskilt tilbageførselstransaktion. Der vil ikke indgå en synlig tilbageførsel eller indbetaling på kontooversigten, når en reservation frigives. I stedet bliver beløbet automatisk tilgængeligt igen i kontohavers rådige saldo.

Den 5. maj 2026 kl. 18:14 blev der reserveret et beløb på 5.109,99 DKK, som blev slettet igen kl. 19:35, hvorfor beløbet aldrig er blevet debiteret.

Klagerens anmodning vedrører ikke et økonomisk mellemværende mellem klageren og banken. Banken har dokumenteret, at beløbet på 5.109,99 DKK aldrig blev debiteret klagerens konto. Da der således ikke foreligger nogen faktisk debitering, og klageren følgelig ikke har pådraget sig noget økonomisk tab, bør sagen afvises efter Ankenævnets vedtægter § 5, stk. 3, nr. 2.

Ankenævnets bemærkninger

Klageren var kunde i Lunar Bank, hvor han havde en konto med et tilknyttet betalingskort samt adgang til mobilbank via Lunar-appen.

Den 12. maj 2026 blev klagerens betalingskort indrulleret i en wallet udenfor Lunar-appen. Dette skete ved brug af klagerens kortoplysninger samt en engangskode, der blev sendt i en SMS til klagerens telefonnummer.

Klageren har oplyst, at han modtog en aktiveringskode på SMS den 12. maj 2026, men at han ikke forstod, hvorfor han modtog den. Han har hverken anvendt eller videregivet aktiveringskoden.

Banken har oplyst, at aktiveringen af betalingskortet i tredjemands wallet medførte en automatisk sikkerhedsforespørgsel til banken, hvorefter klagerens betalingskort blev frosset den 12. maj 2026 kl. 14:40.

Den 13. maj 2026 kl. 04:38 blev klagerens betalingskort genaktiveret i Lunar-appen.

Den 13. maj 2026 blev der foretaget ni kortbetalinger til flere betalingsmodtagere i Storbritannien på i alt 6.026,52 DKK med klagerens betalingskort, som klageren ikke kan vedkende sig.

Klageren gjorde indsigelse mod betalingerne. Banken afviste klagerens indsigelse med henvisning til, at han selv hæftede med en selvrisiko på 8.000 DKK.

Klageren har anført, at han ikke foretog de ikke-vedkendte transaktioner, at han var udsat for phishing i hvilken forbindelse han indtastede sine kortoplysninger, at han ikke godkendte, at hans betalingskort blev indrulleret i en wallet, og at han ikke indtastede eller videregav engangskoden, som han modtog i en SMS.

Det reserverede beløb

Indledningsvist bemærkes, at Ankenævnet ikke finder, at denne del af klagen skal afvises.

Ankenævnet bemærker, at beløbet på 5.109,99 DKK, der blev reserveret på klagerens konto den 5. maj 2026 kl. 18:14 blev slettet igen samme dag kl. 19:35, hvorfor beløbet aldrig er blevet debiteret. Af kontoudskriften for klagerens konto for perioden 24. marts til 24. juni 2026 fremgår også, at der hverken var en betaling eller tilbageførsel af et beløb på 5.109,99 DKK.

Ankenævnet finder herefter, at klageren ikke har krav på at få tilbageført et beløb på 5.109,99 DKK fra banken, og klageren får derfor ikke medhold i denne del af klagen.

Kortbetalingerne

Ankenævnet finder, at indrullering af et betalingskort i en wallet udgør en situation omfattet af betalingslovens § 128, stk. 1, nr. 3.

Ved indrullering af betalingskortet via en wallet er kravet til stærk kundeautentifikation opfyldt, når minimum to sikkerhedselementer vedrørende samme kunde er anvendt.

Ankenævnet lægger på baggrund af oplysningerne fra banken til grund, at indrulleringen er sket ved brug af klagerens kortoplysninger, en engangskode, som blev sendt til klagerens telefonnummer og ved klagerens efterfølgende fjernelse af en automatisk etableret spærring på betalingskortet ved login i sin Lunar-app ved brug af biometri. Ankenævnet finder det godtgjort, at indrulleringen af klagerens betalingskort i en wallet er sket ved stærk kundeautentifikation, da det må lægges til grund, at videns- og besiddelseselementet er opfyldt.

Ankenævnet lægger til grund, at transaktionerne skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.

Klageren har bestridt at have godkendt indrulleringen af sit betalingskort i den pågældende wallet, herunder at have indtastet eller videregivet engangskoden modtaget på SMS. Ankenævnet finder på baggrund heraf, at en afklaring af de nærmere omstændigheder omkring indrulleringen af klagerens betalingskort i den pågældende wallet forudsætter yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men som i givet fald må finde sted for domstolene. Ankenævnet afviser derfor denne del af sagen i medfør af § 5, stk. 3, nr. 4, i Ankenævnets vedtægter.

Ankenævnets afgørelse

Klageren får ikke medhold i den del af klagen, der vedrører krav om tilbageføring af det reserverede beløb på 5.109,99 DKK.

Ankenævnet kan ikke behandle den del af klagen, der vedrører klagerens krav om tilbageføring af kortbetalingerne på 6.026,52 DKK.

Kontakt

Indsigelse mod at hæfte for op til 8.000 DKK af korttransaktioner gennemført som betalinger med et virtuelt kort via tredjemands wallet og krav om tilbageførsel af købesum for en flybillet, som var reserveret på klagerens konto.