Indsigelse mod at hæfte for 8.000 DKK af korttransaktion, der blev godkendt i MitID.
| Sagsnummer: | 233/2026 |
| Dato: | 24-09-2026 |
| Ankenævn: | Helle Korsgaard Lund-Andersen, Christina Bryanth Konge, Janni Visted Hansen, Tina Thygesen og Ann-Mari Faldt Agerlin. |
| Klageemne: |
Betalingstjenester - ikke-vedkendte hævninger
Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for 8.000 DKK af korttransaktion, der blev godkendt i MitID. |
| Indklagede: | Nykredit Bank / Spar Nord Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for 8.000 DKK af korttransaktion, der blev godkendt i MitID.
Sagens omstændigheder
Klageren var kunde i Nykredit Bank / Spar Nord Bank, hvor hun blandt andet havde en konto med et tilknyttet betalingskort -145.
Klageren har oplyst, at hun på et ikke nærmere oplyst tidspunkt modtog en SMS, der fremstod som værende fra DAO. Beskeden blev modtaget i en eksisterende SMS-tråd. Af SMS’en fremgik et link, som førte hende til en hjemmeside, der fremstod som værende DAO’s hjemmeside, og her blev klageren bedt om at betale et mindre gebyr på ca. 10 DKK i forbindelse med en levering.
Den 3. marts 2026 blev der gennemført en kortbetaling på 14.730,58 DKK med klagerens betalingskort -145 til en udenlandsk betalingsmodtager, betalingsmodtager X, som klageren ikke kan vedkende sig.
Banken har anført, at kortbetalingen blev godkendt med stærk kundeautentifikation i klagerens MitID -949. Banken har fremlagt en udskrift fra Nets med teksten, der blev vist i klagerens MitID i forbindelse med godkendelsen af betalingen. Af teksten fremgik:
”Betal 1951,92 EUR til [betalingsmodtager X] fra kort [-7145]”
Banken har oplyst, at transaktionen var korrekt registreret og bogført.
Banken har fremlagt en udskrift af klagerens MitID-log, hvoraf blandt andet fremgår, at MitID -949 blev aktiveret 1. august 2024 og deaktiveret den 22. april 2026.
Klageren gjorde indsigelse mod betalingen ved tro og love-erklæring af 5. marts 2026. Af denne fremgår blandt andet:
”Beskriv hændelsesforløbet
Jeg ønsker at gøre indsigelse mod en transaktion, som jeg er blevet narret til at godkende i forbindelse med svindel.
Jeg modtog en SMS, der fremstod som værende fra DAO, og beskeden fremgik i samme SMS-tråd som tidligere legitime beskeder fra DAO vedrørende pakkelevering. Beskeden oplyste, at min pakke ville blive returneret på grund af en leveringsfejl, og at jeg kunne se årsagen via et link. Da jeg aktuelt ventede en pakke, fremstod beskeden troværdig, og jeg trykkede derfor på linket. Linket førte til en hjemmeside, som visuelt fremstod identisk med DAO’s officielle hjemmeside. Her blev jeg bedt om at indtaste mine adresseoplysninger og betale et mindre leveringsgebyr på 10 kr. for at få pakken genudsendt. Efter indtastning af oplysninger blev jeg sendt videre til godkendelse via MitID. Jeg var på dette tidspunkt i den tro, at jeg godkendte betalingen af det mindre leveringsgebyr for at få pakken leveret igen. Jeg havde ingen intention om at godkende en større betaling eller give adgang til min konto. Det er først efterfølgende gået op for mig, at der var tale om svindel, og at hjemmesiden ikke tilhørte DAO, men var oprettet på et udenlandsk domæne. Jeg opdager det ved en tilfældighed i forbindelse med andre ærinder på min netbank kort efter hændelsen. Svindlen var således tilrettelagt på en måde, der fik beskeden og hjemmesiden til at fremstå legitim, blandt andet fordi SMS’en fremgik i samme tråd som tidligere ægte beskeder.
Jeg har derfor været udsat for svindel og blev manipuleret til at godkende noget andet end det, jeg troede.
På den baggrund ønsker jeg at gøre indsigelse mod transaktionen og anmoder om, at sagen behandles som svindel.
Jeg står naturligvis til rådighed for yderligere oplysninger og kan fremsende dokumentation, herunder screenshots af SMS-beskeden og den falske hjemmeside”
Den 6. marts 2026 godtgjorde banken klagerens tab med fradrag af 8.000 DKK, hvorfor den tilbageførte 6.730,58 DKK til klagerens konto.
Klageren gjorde indsigelse mod bankens afgørelse.
Den 9. marts 2025 fastholdt banken sin afgørelse af 6. marts 2026.
Parternes påstande
Den 24. marts 2026 har klageren indbragt sagen for Ankenævnet med påstand om, at Nykredit Bank / Spar Nord Bank skal godtgøre hende 8.000 DKK
Nykredit Bank / Spar Nord Bank har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har anført, at hun modtog en SMS, der fremstod som værende fra DAO i samme SMS-tråd som tidligere legitime DAO-beskeder. Beskeden henviste til en manglende leverance og indeholdt et link. Efter at have benyttet linket blev hun ført til en side, som visuelt fremstod som DAO’s side.
Ved godkendelsen blev hun vildledt til at tro, at hun kun godkendte et mindre beløb i forbindelse med forsendelsen. Hun godkendte i tillid hertil via MitID-appen.
Betalingen blev ikke foretaget af en tredjemand ved misbrug af MitID, men ved, at hun blev vildledt til at godkende en anmodning. For at pålægge hæftelse efter § 100, stk. 4, kræves groft uforsvarlig adfærd, hvilket ikke foreligger i hendes situation.
Hun reagerede på en troværdig besked fra en afsender, der havde tidligere legitime beskeder i samme tråd, og fulgte en normal brugerproces. Det var et veludført phishing-angreb, som sigtede mod at fremkalde en tilsyneladende legitim MitID-godkendelse.
At godkendelsen fremgår fra serienummeret på hendes sædvanlige enhed, betyder ikke, at godkendelsen var informeret og frivillig i juridisk forstand. En MitID-godkendelse fremkaldt ved vildledning om transaktionens karakter eller beløb kan ikke sidestilles med en virkelig, informeret autorisation.
Phishing-angreb kan manipulere brugerens opfattelse og kontekst for godkendelsen, så den reelle vilje til at betale det store beløb ikke forelå.
Hun reagerede straks ved at indgive indsigelse til banken den 5. marts 2026, hvilket taler for, at hun ikke havde intention om eller viden om betaling på det anførte beløb.
Nykredit Bank / Spar Nord Bank har til støtte for frifindelsespåstanden anført, at klageren selv har autoriseret betalingen.
Betalingen blev godkendt med klageren personlige MitID, fra den enhed, som klageren almindeligvis anvender. Da et serienummer er unikt og kun kan være installeret på en enhed, og MitID godkendelse kræver et fysisk swipe, er det usandsynligt, at klageren ikke selv har swipet på godkendelsesanmodningen, som blev sendt til klagerens enhed.
Klageren gør gældende, at hun var udsat for phishing i forbindelse med den omtvistede betaling. Klageren har i den forbindelse forklaret, at hun modtog et link i en i øvrigt reel sms-tråd fra DAO, at hun blev ført ind på en hjemmeside, der fremstod identisk med DAOs, og at hun ved godkendelsen i MitID var i den tro, at hun alene godkendte en betaling på 10 DKK.
Såfremt klagerens forklaring lægges til grund, er der imidlertid ikke tale om, at tredjemand har misbrugt klagerens MitID ved selvstændigt at foretage godkendelsen. Der er derimod tale om, at klageren selv har godkendt betalingen med MitID på sin sædvanlige enhed. Til støtte herfor bemærkes, at klageren i sin skriftlige redegørelse til Spar Nord, ikke bestrider dette forhold, men selv tilkendegiver at have foretaget betalingen, om end efter instruktion fra svindleren.
Banken gør gældende, at tredjemand således hverken har haft adgang til den enhed, hvorpå klagerens MitID-app er installeret, til loginoplysningerne til denne enhed eller til selve Klagers MitID-app. Hertil kommer, at klageren var i besiddelse af sit betalingskort på tidspunktet for betalingens gennemførelse, og at klageren har forklaret ikke at have videregivet sine oplysninger til tredjemand. Det forekommer derfor mest sandsynligt, at klageren har været udsat for phishing.
På baggrund heraf er det bankens vurdering, at klageren har godkendt betalingen. Ved godkendelse af betalingen udviste klageren en groft uforsvarlig adfærd, som muliggjorde, at den omtvistede betaling blev gennemført, hvorefter klageren hæfter med en selvrisiko på 8.000 kr., jf. betalingsloven § 100, stk. 4, nr. 3.
Til støtte for afvisningspåstanden har banken anført, at sagen forudsætter en yderligere bevisførelse i form af parts- og vidneafhøringer (for en gennemgang af hele forløbet), hvilket ikke kan ske for Ankenævnet, men i givet fald må finde sted ved domstolene, hvorfor sagen bør afvises, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets bemærkninger
Klageren var kunde i Nykredit Bank / Spar Nord Bank, hvor hun blandt andet havde en konto med et tilknyttet betalingskort -145.
Klageren har oplyst, at hun på et ikke nærmere oplyst tidspunkt modtog en SMS, der fremstod som værende fra DAO. Beskeden blev modtaget i en eksisterende SMS-tråd. Af SMS’en fremgik et link, som førte hende til en hjemmeside, der fremstod som værende DAO’s hjemmeside, og her blev klageren bedt om at betale et mindre gebyr på ca. 10 DKK i forbindelse med en levering.
Den 3. marts 2026 blev der gennemført en kortbetaling på 14.730,58 DKK med klagerens betalingskort -145 til en udenlandsk betalingsmodtager, betalingsmodtager X, som klageren ikke kan vedkende sig.
Banken har anført, at kortbetalingen blev godkendt med stærk kundeautentifikation i klagerens MitID -949. Banken har fremlagt en udskrift fra Nets med teksten, der blev vist i klagerens MitID i forbindelse med godkendelsen af betalingen.
Klageren gjorde indsigelse mod betalingen ved tro og love-erklæring af 5. marts 2026.
Den 6. marts 2026 godtgjorde banken klagerens tab med fradrag af 8.000 DKK, hvorfor den tilbageførte 6.730,58 DKK til klagerens konto.
Klageren gjorde indsigelse mod bankens afgørelse.
Den 9. marts 2025 fastholdt banken sin afgørelse af 6. marts 2026.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet finder, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Ankenævnet lægger til grund, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 DKK af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5, jf. betalingslovens § 100, stk. 4, nr. 2, eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, jf. betalingslovens § 100, stk. 4, nr. 3.
Tre medlemmer – Helle Korsgaard Lund-Andersen, Christina Bryanth Konge og Janni Visted Hansen – udtaler:
Efter de foreliggende oplysninger finder vi det godtgjort, at klageren må have godkendt betalingen på 1.951,92 EUR med sit MitID.
Vi finder, at banken har godtgjort, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, da hun burde have reageret på teksten i MitID, hvor hun fik oplysninger om beløbet på 1.951,92 EUR og betalingsmodtager X, og at klageren som følge heraf hæfter med op til 8.000 DKK.
Vi stemmer derfor for, at klageren ikke får medhold i klagen.
To medlemmer – Tina Thygesen og Ann-Mari Faldt Agerlin – udtaler:
Som ovenfor anført finder vi det godtgjort, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Vi finder, at der er tale om organiseret professionel svindel.
Forbrugere har forskellige forudsætninger for at gennemskue professionel svindel. Det må aldrig blive utrygt for den almindelige forbruger at anvende de digitale løsninger og betalingstjenester, der er nødvendige for at fungere i vores samfund.
Vi finder derfor ikke, at klageren, ved at blive snydt af en professionel svindler, har udvist groft uforsvarlig adfærd. Det må forudsættes, at såfremt klageren havde forudsætninger for at gennemskue svindlen, ville klageren ikke have godkendt transaktionen.
Hertil bemærkes et generelt forbehold for så vidt angår systemfejl. Det kan ikke udelukkes, at der i sager med phishing, er tale om raffineret systemteknisk misbrug, hvor svindleren er lykkedes med at udvikle tekniske løsninger, som muliggjorde svindlen.
Vi finder ikke, at banken har godtgjort, at betingelserne for, at klageren hæfter efter de udvidede ansvarsbestemmelser i betalingslovens § 100, stk. 4, er opfyldt.
Vi finder, at banken er nærmest til at bære risikoen for, at det betalingssystem, forbrugerne anvender, er tilstrækkelig sikkert og tydeligt til at hindre svindel.
Da den til betalingstjenesten hørende personlige sikkerhedsforanstaltning har været anvendt, hæfter klageren for 375 DKK af tabet, jf. betalingslovens § 100, stk. 3.
Vi stemmer derfor for, at banken skal tilbageføre 7.625 DKK til klageren.
Sagen afgøres efter stemmeflertallet.
Ankenævnets afgørelse
Klageren får ikke medhold i klagen.