Indsigelse mod at hæfte for misbrug af betalingskort i forbindelse med phishing.
| Sagsnummer: | 338/2021 |
| Dato: | 21-03-2022 |
| Ankenævn: | Henrik Waaben, Karin Duerlund, Mette Lindekvist Højsgaard, Morten Bruun Pedersen, Finn Borgquist |
| Klageemne: |
Betalingstjenester - spørgsmål om groft uforsvarlig adfærd
Betalingstjenester - ikke-vedkendte hævninger |
| Ledetekst: | Indsigelse mod at hæfte for misbrug af betalingskort i forbindelse med phishing. |
| Indklagede: | Nordea Danmark |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for misbrug af betalingskort i forbindelse med phishing.
Sagens omstændigheder
Klageren var kunde i Nordea Danmark, hvor hun havde en konto med et tilknyttet Visa/dankort.
Den 15. juni 2021 blev klagerens betalingskort anvendt til en betaling til et udenlandsk firma, F, på 1.453,99 EUR, som klageren ikke kan vedkende sig.
Klageren har oplyst, at hun den 15. juni 2021 modtog en mail fra en pakkeshop, P, hvoraf fremgik, at hun skyldte 15,13 kr. i porto for levering af en pakke fra P. Betalingen af portoen skulle ske ved, at klageren skulle trykke på et link i mailen. Klageren har ikke fremlagt mailen.
Klageren har oplyst, at hun ”ventede et par bukser retur fra en forretning” og derfor troede, at den manglende porto vedrørte denne forsendelse.
Efter at klageren havde klikket på linket og indtastet sine kortoplysninger, blev hun bedt om at godkende betalingen med NemID. Hun godkendte en betaling på 15,13 kr. til P. Ved godkendelsen blev beløb og navn ændret. Det kom kortvarigt frem, at det var 1.453,99 EUR, der skulle overføres. Denne oplysning var der kun i få sekunder, hvorfor hun ikke kunne nå at registrere firmaets navn.
Klageren kontaktede straks banken og IT-afdelingen på sit arbejde, da hun brugte en arbejdsmobiltelefon. Hun fik i første omgang at vide, at der ikke var hævet nogen penge med kortet.
Den 17. juni 2021 oplyste banken, at der var hævet 1.453,99 EUR svarende til 10.976,40 kr. på klagerens konto. Betalingsmodtageren var F. Klageren aftalte med banken, at hendes kort herefter blev spærret.
Ved en indsigelsesblanket af 22. juni 2021 gjorde klageren indsigelse mod transaktionen over for banken.
Banken har oplyst, at transaktionen blev foretaget med sikkerhedsløsningen 3D Secure, idet betalingen var godkendt i klagerens NemID-nøgleapp.
Banken har oplyst, at følgende tekst, der blev genereret i Nets’ system, blev præsenteret i Nem- ID-nøgleappen:
”Betal 1453,99 EUR til [F] fra kort xx4187”
Den 24. juni 2021 skrev banken til klageren, at hendes tab fratrukket 8.000 kr. blev godtgjort svarende til 2.976,40 kr.
Parternes påstande
Den 2. august 2021 har klageren indbragt sagen for Ankenævnet med påstand om, at Nordea Danmark skal reducere selvrisikoen til 375 kr. og dermed betale 7.625 kr.
Nordea Danmark har nedlagt påstand om frifindelse.
Parternes argumenter
Klageren har anført, at hun alene bør hæfte for en selvrisiko på 375 kr., da hun er blevet hacket.
Hun var i god tro, idet hun ventede et par bukser retur fra en forretning. Hun troede derfor, at den manglende porto vedrørte denne forsendelse.
Hun godkendte en betaling på 15,13 kr. til P. I samme øjeblik hun havde godkendt betalingen ændrede beløbet sig til 1.453,99 EUR. Hun vidste først da, at der var noget galt.
Hun kontaktede banken, så hurtigt hun kunne, da hun opdagede, at hun var blevet hacket. På trods af at hun i første omgang fik at vide, at der ikke var blevet hævet nogen penge, blev pengene efterfølgende trukket på hendes konto.
Det bestrides, at hun har opfundet en ”belejlig forklaring” efter godkendelsen. Hun har ikke mulighed for at dokumentere beløbsoverførslerne i videre omfang, end hun har gjort. Dette burde banken være hende behjælpelig med.
Nordea Danmark har anført, at klageren selv har gennemført betalingen på 1.453,99 EUR med NemID validering, hvorfor der er tale om en autoriseret betaling. Nets har oplyst, at betalingen ligeledes er korrekt gennemført og bogført og dermed ikke fejlbehæftet.
Det fremgik tydeligt af teksten i NemID-nøgleappen, at klageren var ved at foretage en betaling på et langt større beløb end 15,13 kr. og til en helt anden beløbsmodtager, jf. teksten, som klageren blev præsenteret for i nøgleappen.
Det af klageren anførte om, at teksten ændrede sig, efter at hun havde godkendt betalingen, bestrides, da banken har fået teksten genbekræftet systemmæssigt, da Nets har bekræftet, at transaktionen er korrekt registreret og dermed gennemført uden fejl, da NETS ikke har fejlmeldt systemet over for banken, og da det virker for belejligt for klageren og i øvrigt er udokumenteret fra hendes side.
Klageren befandt sig ikke i en presset situation svarende til f.eks. den situation, hvor misbrug sker i forbindelse med en telefonisk henvendelse.
Vedrørende hæftelsen på 8.000 kr. henvises der til betalingslovens § 100, stk. 4, nr. 3, idet det må anses for groft uagtsomt - fuldt oplyst - at godkende en betalingsmodtager og et beløb, som man ikke har til hensigt at overføre til.
Klageren har i øvrigt heller ikke dokumenteret, om hun overhovedet ventede på en pakke fra P, hvilket kun er en skærpende omstændighed for hende.
Ankenævnets bemærkninger
Klageren har gjort indsigelse mod en transaktion på 1.453,99 EUR til et udenlandsk firma, F.
Om baggrunden for transaktionen har klageren oplyst, at hun ventede et par bukser retur fra en forretning og troede, at den manglende porto vedrørte denne forsendelse. Derfor passede det, at P opkrævede et manglende beløb. Hun modtog en mail fra P med oplysning om, at hun skulle betale 15,13 kr. Hun godkendte en betaling på 15,13 kr. med NemID. I samme øjeblik hun havde godkendt betalingen, blev beløb og navn ændret. Beløbet ændrede sig til 1.453,99 EUR. Oplysningen kom kun frem i få sekunder, hvorfor hun ikke kunne nå at registrere firmaets navn.
Banken har oplyst, at den omtvistede betaling med klagerens betalingskort blev foretaget med sikkerhedsløsningen 3D Secure ved godkendelse i NemID-nøgleapp.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. lov om betalinger § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. lov om betalinger § 93.
Klageren har anført, at hun ikke godkendte betalingen af 1.453,99 EUR til F.
Ankenævnet finder det godtgjort, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste, hvilket ikke er bestridt.
Ankenævnet finder endvidere, at klagerens NemID var en personlig sikkerhedsforanstaltning, jf. lov om betalinger § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. lov om betalinger § 7, nr. 30.
Efter lov om betalinger § 100, stk. 4, hæfter betaleren med op til 8.000 kr. af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5 (§ 100, stk. 4, nr. 2), eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse (§ 100, stk. 4, nr. 3).
Tre medlemmer - Henrik Waaben, Karin Duerlund og Mette Lindekvist Højsgaard - udtaler:
Vi lægger til grund, at klageren må have godkendt betalingen på 1.453,99 EUR i sin NemID-nøgleapp.
Vi finder, at banken har godtgjort, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, da klageren burde have reageret på teksten i NemID-nøgleappen, hvor klageren fik oplysninger om, at der var tale om en overførsel af 1.453,99 EUR til F.
Vi stemmer derfor for, at klageren ikke får medhold i klagen.
To medlemmer - Morten Bruun Pedersen og Finn Borgquist - udtaler:
Som nævnt ovenfor finder Ankenævnet, at der er tale om svindel fra tredjemands side.
Vi finder ikke, at klageren har udvist groft uforsvarlig adfærd. Det må lægges til grund, at beløbet ændrede sig efter godkendelsen. Der må derfor være tale om en systemfejl, som banken hæfter for. Banken har dermed ikke godtgjort, at betingelserne for, at klageren hæfter efter de udvidede ansvarsbestemmelser i betalingslovens § 100, stk. 4, er opfyldt.
Vi stemmer derfor for, at klageren får medhold i klagen.
Sagen afgøres efter stemmeflertallet.
Ankenævnets afgørelse
Klageren får ikke medhold i klagen.