Indsigelse mod at hæfte for 8.000 DKK af korttransaktioner gennemført som betalinger med et virtuelt kort via en Wallet. Indrullering af et betalingskort i tredjemands Wallet.
| Sagsnummer: | 516/2026 |
| Dato: | 30-10-2026 |
| Ankenævn: | Bo Østergaard, Bjarke Levinsky Svejstrup, Majken Christoffersen, Morten Bruun Pedersen og Elizabeth Bonde. |
| Klageemne: |
Betalingstjenester - ikke-vedkendte hævninger
Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for 8.000 DKK af korttransaktioner gennemført som betalinger med et virtuelt kort via en Wallet. Indrullering af et betalingskort i tredjemands Wallet. |
| Indklagede: | Lunar Bank |
| Øvrige oplysninger: | OF |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for 8.000 DKK af korttransaktioner gennemført som betalinger med et virtuelt kort via en Wallet. Indrullering af et betalingskort i tredjemands Wallet.
Sagens omstændigheder
Klageren var kunde hos Lunar Bank, hvor han havde en konto -008 med et tilknyttet virtuelt betalingskort -167 i sin Lunar Bank-app.
Banken har oplyst, at klagerens betalingskort -167 den 24. juni 2026 blev indrulleret i en ny Wallet uden for Lunar Bank-appen. Banken har anført, at dette skete ved brug af klagerens kortoplysninger, herunder kortnummer, udløbsdato og CVC-kode samt en engangskode, der blev sendt i en SMS til klagerens telefonnummer. Banken har fremlagt et eksempel på indholdet af SMS’en med engangskoden:
”Din aktiveringskode er [xxx]. Hvis kortet ikke automatisk er aktiveret i wallet-appen kan du aktivere det ved at:
1) Åbne Wallet-appen på din telefon
2) Vælge dit kort
3) Vælge ’Skift kode’
4) Indsætte aktiveringskode.
Koden udløber om 30 minutter. Hvis du har problemer, skal du kontakte support på [XXX]. …”
Banken har oplyst, at aktiveringen medførte en automatisk sikkerhedsforespørgsel til banken, hvorefter klagerens betalingskort blev spærret (frosset/frozen) i Lunar Bank-appen den 24. juni 2026 kl. 15:19. Der blev herefter sendt en notifikation til klageren i Lunar Bank-appen. Banken har fremlagt et eksempel på indholdet af notifikationen i Lunar Bank-appen:
”[Lås kort op] [Luk kort] [Mere]
Kort tilføjet til tegnebog
Vi har låst dit kort, fordi det blev tilføjet til en wallet uden for Lunar-appen. Hvis det var dig, skal du låse dit kort op. Hvis det ikke var dig, skal du lukke det for at forhindre svindel.”
Den 24. august 2026 kl. 15:36 blev klagerens betalingskort genaktiveret i Lunar Bank-appen.
Banken har fremlagt en oversigt over loginoplysninger på klagerens Lunar Bank-app for perioden fra 1. juni til 1. juli 2026. Banken har oplyst, at de angivne tidsstempler i oversigten, er angivet i tidszonen UTC, og at der skal lægges to timer til de anførte tidspunkter, da hændelserne fandt sted under dansk sommertid (UTC+2). Af oversigten fremgår, at klageren var logget ind på sin konto den 24. juni 2026 kl. 13:36 (15:36 dansk sommertid). Banken har anført, at den ikke har konstateret en uautoriseret adgang til klagerens Lunar Bank-app.
Den 24. juni 2026 blev den virtuelle udgave af klagerens betalingskort -167 i en Wallet anvendt til at foretage otte betalinger til flere betalingsmodtagere på i alt 12.250,75 SEK svarende til 8.347,95 DKK, som klageren ikke kan vedkende sig.
Klageren har anført, at han ikke bevidst videregav sine kortoplysninger eller aktiveringskode til tredjemand, at han ikke foretog de omtvistede betalinger, og at han, så snart han konstaterede betalingerne, kontaktede banken og spærrede betalingskortet.
Den 26. juni 2026 stillede banken klageren en række spørgsmål samt anmodede klageren om at udfylde og underskrive en tro og love-erklæring.
Ved indsigelsesblanket Q&A gjorde klageren indsigelse mod betalingerne. Af indsigelsesblanketten fremgår blandt andet:
”
|
Beskriv hvad der er sket: […] |
|
Indsigelse mod uautoriserede korttransaktioner Den 24. juni 2026 modtog jeg en SMS, som fremstod som en besked fra [parkeringsselskab A] om en ubetalt parkeringsafgift. Beskeden indeholdt et link til en hjemmeside, som så ud til at være [parkeringsselskab A’s] officielle betalingsside. Da jeg troede, at beskeden var ægte, klikkede jeg på linket og indtastede mit registreringsnummer samt mine kortoplysninger for at betale parkeringsafgiften. Kort efter modtog jeg en SMS fra Lunar med en aktiveringskode til Wallet. Jeg troede, at koden var en del af godkendelsen af parkeringsbetalingen og indtastede derfor koden. Efterfølgende har jeg fundet ud af, at der var tale om en falsk hjemmeside (phishing), som misbrugte mine kortoplysninger. SMS'en blev sendt til min arbejdstelefon, som jeg bruger i forbindelse med mit arbejde i [arbejdsplads K]. Det er ikke et telefonnummer, jeg normalt anvender privat. Mit kort havde tidligere været frosset. Da jeg senere skulle betale i kantinen på mit arbejde, ophævede jeg frysningen, da jeg ikke var klar over, at mine kortoplysninger allerede var blevet kompromitteret. Kort efter blev der foretaget en række transaktioner, som jeg ikke selv har foretaget. Der blev registreret flere næsten identiske køb på 1.510 SEK hos [betalingsmodtager B] og [betalingsmodtager C] i [by i udlandet] samt en transaktion hos [betalingsmodtager D] på 1.680,75 SEK. Jeg havde hele tiden mit fysiske betalingskort i min besiddelse. På tidspunktet for transaktionerne befandt jeg mig på arbejde i [arbejdsplads K] og var derfor ikke i [by i udlandet]. Da jeg opdagede de uautoriserede transaktioner, spærrede jeg straks mit kort og anmeldte sagen til Lunar. Jeg gør indsigelse mod samtlige af de ovennævnte transaktioner, da de ikke er foretaget af mig. Jeg blev udsat for phishing og troede, at jeg betalte en legitim parkeringsafgift. Jeg anmoder derfor om, at transaktionerne behandles som uautoriserede korttransaktioner i henhold til betalingsloven. |
|
… |
”
Den 9. juli 2026 godtgjorde banken klagerens tab med fradrag af en egenhæftelse på 8.000 DKK, hvorfor banken tilbageførte 347,95 DKK til klagerens konto.
Samme dag klagede klageren over bankens afgørelse.
Den 13. juli 2026 fastholdt banken sin afgørelse om, at klageren selv hæftede for 8.000 DKK.
Parternes påstande
Den 13. juli 2026 har klageren indbragt sagen for Ankenævnet med påstand om, at Lunar Bank A/S skal betale ham 8.000 DKK.
Lunar Bank A/S har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har anført, at han ikke selv har foretaget de omtvistede betalinger eller bevidst videregivet sine kortoplysninger eller aktiveringskode til en tredjepart. Så snart han blev opmærksom på de uautoriserede transaktioner, kontaktede han banken, spærrede kortet og indgav en kortindsigelse.
Han har ikke bevidst videregivet sin engangskode eller genåbnet sit betalingskort i Lunar Bank-appen. Han har ikke ved sine handlinger handlet groft uforsvarligt. Banken har ikke dokumenteret, at han foretog handlingerne.
Bankens sikkerhedssystemer forhindrede ikke misbruget, selvom der var registreret mistænkelig aktivitet. Det burde ikke være muligt at gennemføre betalinger via en digital Wallet uden brug af PIN-kode, som normalt kræves ved brug af fysiske betalingskort. Der er et hul i sikkerhedssystemet, når man kan godkende brug af en digital Wallet uden indtastning af PIN-kode. Alle kan blive snydt i en stresset situation, hvis biometrisk godkendelse accepteres. Bankens sikkerhedsløsninger er utilstrækkelige.
Banken har ikke løftet bevisbyrden for, at han har handlet groft uforsvarligt. Betingelserne for at pålægge ham en egenhæftelse på 8.000 DKK, jf. betalingslovens § 100, stk. 4, er ikke opfyldt.
Lunar Bank A/S har til støtte for frifindelsespåstanden anført, at klageren hæfter for selvrisikoen på 8.000 DKK, da misbruget er muliggjort af klagerens groft uforsvarlige adfærd, jf. betalingslovens § 100, stk. 4, nr. 3. Klagerens adfærd afviger væsentligt fra, hvad der med rimelighed kan forventes af en almindeligt forsigtig bruger af betalingstjenester.
Banken har etableret to forskellige sikkerhedsforanstaltninger i forbindelse med tilføjelse af et betalingskort til en digital Wallet. Banken finder, at sikkerheden er tilstrækkelig.
For at tredjepart har kunnet tilføje klagerens betalingskort til en fremmed digital Wallet, har det været en forudsætning, at klageren har udleveret sine betalingskortoplysninger, herunder kortnummer, udløbsdato, CVC-kode samt den engangskode, som fremsendes til klagerens registrerede telefonnummer. Dette er den eneste tekniske mulighed, da der ikke er konstateret uautoriseret adgang til klagerens Lunar Bank-app.
Klageren har aktivt tilsidesat bankens sikkerhedsforanstaltninger. Efter betalingskortet blev tilføjet i en ny digital Wallet, blev det automatisk frosset, og klageren modtog samtidig en notifikation i Lunar Bank-appen om, at betalingskortet var blevet låst af sikkerhedsmæssige årsager. På trods af denne advarsel har klageren logget ind i sin Lunar Bank-app og manuelt genåbnet betalingskortet, hvilket muliggjorde de bestridte transaktioner.
Klageren har handlet groft uforsvarligt ved både at videregive fortrolige oplysninger og bevidst ophæve de sikkerhedsforanstaltninger, der skulle beskytte ham mod misbrug.
Banken har til støtte for afvisningspåstanden anført, at sagen alene kan afgøres på baggrund af yderligere bevisførelse i form af parts- og vidneforklaringer. Bevisførelsen er nødvendig for at fastlægge sagens faktiske omstændigheder, hvilket har betydning for hæftelsesspørgsmålet.
Sådan bevisførelse kan ikke finde sted i Ankenævnet, men alene ved domstolene, hvorfor sagen bør afvises jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets bemærkninger
Klageren var kunde hos Lunar Bank, hvor han havde en konto -008 med et tilknyttet virtuelt betalingskort -167 i sin Lunar Bank-app.
Banken har oplyst, at klagerens betalingskort -167 den 24. juni 2026 blev indrulleret i en ny Wallet uden for Lunar Bank-appen. Banken har anført, at dette skete ved brug af klagerens kortoplysninger, herunder kortnummer, udløbsdato og CVC-kode samt en engangskode, der blev sendt i en SMS til klagerens telefonnummer.
Banken har oplyst, at aktiveringen medførte en automatisk sikkerhedsforespørgsel til banken, hvorefter klagerens betalingskort blev spærret (frosset/frozen) i Lunar Bank-appen den 24. juni 2026 kl. 15:19. Der blev herefter sendt en notifikation til klageren i Lunar Bank-appen. Banken har fremlagt et eksempel på indholdet af notifikationen i Lunar Bank-appen, hvoraf fremgår, at klagerens betalingskort var låst, da det var blevet tilføjet en Wallet uden for Lunar Bank-appen. Klageren skulle låse sit betalingskort op, hvis det var ham, der havde tilføjet betalingskortet til en Wallet og skulle lukke betalingskortet, hvis det ikke var ham, der havde tilføjet betalingskortet til en Wallet.
Den 24. august 2026 kl. 15:36 blev klagerens betalingskort genaktiveret i Lunar Bank-appen.
Den 24. juni 2026 blev den virtuelle udgave af klagerens betalingskort -167 i en Wallet anvendt til at foretage otte betalinger til flere betalingsmodtagere på i alt 12.250,75 SEK svarende til 8.347,95 DKK, som klageren ikke kan vedkende sig.
Klageren har anført, at han ikke bevidst videregav sine kortoplysninger eller aktiveringskode til tredjemand, at han ikke foretog de omtvistede betalinger, og at han, så snart han konstaterede betalingerne, kontaktede banken og spærrede betalingskortet.
Ved indsigelsesblanket Q&A gjorde klageren indsigelse mod betalingerne.
I perioden fra den 26. juni 2026 til den 13. juli 2026 havde klageren og banken en dialog vedrørende klagerens indsigelse mod betalingerne. Banken meddelte klageren, at han hæftede for 8.000 DKK og tilbageførte ham 347,95 DKK.
Klageren får klagegebyret tilbage.
Ankenævnet finder, at indrullering af et betalingskort i en Wallet udgør en situation omfattet af betalingslovens § 128, stk. 1, nr. 3.
Ved indrullering af betalingskortet via Wallet-appen er kravet til stærk kundeautentifikation opfyldt, når minimum to sikkerhedselementer vedrørende samme kunde er anvendt.
Ankenævnet lægger som anført af banken til grund, at indrulleringen er sket ved brug af klagerens kortoplysninger, en engangskode, som blev sendt til klagerens telefonnummer og ved efterfølgende fjernelse af en automatisk etableret spærring på betalingskortet ved login med password i sin Lunar Bank-app. Ankenævnet finder det godtgjort, at indrulleringen af klagerens betalingskort -167 i tredjemands Wallet er sket ved stærk kundeautentifikation.
Ankenævnet lægger til grund, at transaktionerne skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 DKK af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5, jf. betalingslovens § 100, stk. 4, nr. 2, eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, jf. betalingslovens § 100, stk. 4, nr. 3.
Tre medlemmer – Bo Østergaard, Morten Bruun Pedersen og Elizabeth Bonde – udtaler:
Vi finder efter en samlet vurdering af sagens omstændigheder, herunder udformningen af de beskeder, der blev sendt til klageren i forbindelse med tilføjelsen af hans betalingskort til tredjemands Wallet, at det ikke kan anses for godtgjort, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse af sin betalingstjeneste, jf. betalingslovens § 100, stk. 4, nr. 3.
Vi finder således, at det forhold, at klageren samtidig med åbningen af sit betalingskort også uforvarende åbnede den virtuelle kopi af kortet i tredjemands Wallet, ikke udgør groft uforsvarlig adfærd.
Da den til betalingstjenesten hørende personlige sikkerhedsforanstaltning har været anvendt, hæfter klageren for 375 DKK af tabet, jf. betalingslovens § 100, stk. 3.
Vi stemmer derfor for, at Lunar Bank skal betale klageren 7.625 DKK.
To medlemmer – Bjarke Levinsky Svejstrup og Majken Christoffersen – udtaler:
Efter de foreliggende oplysninger finder vi det godtgjort, at klageren må have udleveret sine kortoplysninger, engangskode og fjernet den automatisk etablererede spærring i sin Lunar Bank-app, hvilket har muliggjort, at tredjemand kunne oprette en digital udgave af klagerens betalingskort på tredjemands Wallet og herefter foretage betalingerne.
Vi finder, at banken har godtgjort, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, da han burde have reageret på teksten i SMS’en med engangskoden eller notifikationen i Lunar Bank-appen, hvor han fik oplysninger om, at hans betalingskort var låst, da det var blevet tilføjet til en Wallet uden for Lunar Bank-appen, og at han for at undgå svindel skulle lukke kortet, hvis det ikke var ham, der havde tilføjet betalingskortet til en Wallet, hvorfor klageren som følge heraf hæfter med op til 8.000 DKK.
Vi stemmer derfor for, at klageren ikke får medhold i klagen.
Sagen afgøres efter stemmeflertallet.
Ankenævnets afgørelse
Lunar Bank A/S skal inden 30 dage indsætte 7.625 kr. på klagerens konto med valør fra datoen for debitering af transaktionerne.
Klageren får klagegebyret tilbage.