Indsigelse mod at hæfte for i alt 147.361,80 DKK af kortbetalinger gennemført som betalinger via Google Pay. Indrullering af et betalingskort i tredjemands Wallet. Spørgsmål om passivitet.
| Sagsnummer: | 16/2026 |
| Dato: | 04-09-2026 |
| Ankenævn: | Kristian Korfits Nielsen, Inge Kramer, Majken Christoffersen, Tina Thygesen og Jørgen Lanng. |
| Klageemne: |
Afvisning - bevis § 5, stk. 3, nr. 4
Betalingstjenester - ikke-vedkendte hævninger Betalingstjenester - passivitet Passivitet - hæftelse |
| Ledetekst: | Indsigelse mod at hæfte for i alt 147.361,80 DKK af kortbetalinger gennemført som betalinger via Google Pay. Indrullering af et betalingskort i tredjemands Wallet. Spørgsmål om passivitet. |
| Indklagede: | Lunar Bank A/S |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for i alt 147.361,80 DKK af kortbetalinger gennemført som betalinger via Google Pay. Indrullering af et betalingskort i tredjemands Wallet. Spørgsmål om passivitet.
Sagens omstændigheder
Klageren var kunde i Lunar Bank, hvor hun havde en konto -709 med et tilknyttet betalingskort -958.
Banken har oplyst, at betalingskort -958 den 5. juli 2025 blev tilføjet i en ny Google-Wallet uden for Lunar-appen. Dette skete ved brug af klagerens kortoplysninger, herunder kortnummer, udløbsdato og CVC-kode samt en engangskode, der blev sendt i en SMS til klagerens telefonnummer.
Banken har oplyst, at den ikke kan tilgå de specifikke SMS-data. Der vil dog altid blive sendt en SMS-kode til det nummer, som fremgår i ens Lunar-app, og som skal bruges hver gang, et betalingskort forsøges tilføjet en ny Wallet.
Banken har fremlagt et eksempel på indholdet af SMS’en med engangskoden:
”Din aktiveringskode er [xxx]. Hvis kortet ikke automatisk er aktiveret i wallet-appen, kan du aktivere det ved at:
1) Åbne Wallet-appen på din telefon
2) Vælge dit kort
3) Vælge ’Skift kode’
4) Indsætte aktiveringskode.
Koden udløber om 30 minutter. Hvis du har problemer, skal du kontakte support på [XXX]. …”
Klageren har bestridt, at hun modtog en SMS med en aktiveringskode.
Banken har oplyst, at aktiveringen medførte en automatisk sikkerhedsforespørgsel til banken, hvorefter klagerens betalingskort blev spærret den 5. juli 2025 kl. 08:08. Der blev herefter sendt en notifikation til klageren i Lunar-appen, som blev vist på forsiden af appen. Banken har fremlagt et eksempel på indholdet af notifikationen i Lunar-appen:
”Dit kort er blevet tilføjet til en ny Wallet
For en sikkerheds skyld har vi låst det. Lås det op i appen for at begynde at bruge kor…
(Åben)”
Klageren har bestridt, at hun modtog en notifikation om spærringen i sin Lunar-app.
Banken har oplyst, at tilføjelse af et Lunar-betalingskort til en Wallet kan foretages enten via 1) Lunar-appen, hvor kortholder logger ind i sin Lunar-app ved brug af MitID, biometrisk login eller en personlig firecifret adgangskode. Under kortoversigten kan kortholder tilføje det specifikke kort til enhedens Wallet, eller 2) via enhedens Wallet-app, hvor kortholder manuelt indtaster kortoplysningerne i appen, hvorved der sendes en engangskode via SMS til det telefonnummer, der er registreret på kundens profil i banken. Denne SMS-kode skal indtastes i Wallet-appen for at bekræfte og fuldføre tilknytningen af kortet. Dette udløser en automatisk sikkerhedsforespørgsel til banken, hvorved betalingskortet bliver frosset. En notifikation om tilføjelsen af kortet til en ny Wallet vil figurere i kortholders Lunar-app. Kortholderen skal efterfølgende genåbne betalingskortet i Lunar-appen, inden det kan bruges i den nye Wallet.
Den 8. juli 2025 kl. 18:52 blev betalingskort -958 genaktiveret, hvorefter det kl. 18:58 blev spærret igen.
Den 14. juli 2025 kl. 12:35 blev betalingskort -958 genaktiveret.
Den 14. og 15. juli 2025 blev der fra konto -709 foretaget kortbetalinger for i alt 66.157,59 DKK til en række betalingsmodtagere, som klageren ikke kan vedkende sig.
Fra den 16. til den 21. juli 2025 blev der fra konto -709 foretaget yderligere kortbetalinger til en række betalingsmodtagere, som klageren ikke kan vedkende sig.
Banken har oplyst, at samtlige kortbetalinger blev godkendt via Google Pay.
Klageren har oplyst, at de uautoriserede kortbetalinger udgjorde i alt 204.867,31 DKK. Banken har oplyst, at der blev foretaget 46 uautoriserede kortbetalinger, som udgjorde i alt 196.471,03 DKK.
Den 18. juli 2025 fik klageren tilbagebetalt to kortbetalinger på i alt 3.843,85 DKK fra en betalingsmodtager W.
Den 21. juli 2025 kl. 20:49 blev der logget ind på klagerens Lunar-app fra en iPhone 17,3, og på samme tidspunkt blev betalingskort -958 spærret.
Samme dag kl. 20:52 kontaktede klageren bankens chatfunktion og oplyste, at der var foretaget transaktioner fra hendes konto i banken, som hun ikke kunne vedkende sig.
I perioden fra den 21. juli 2025 kl. 21:30 til den 22. juli 2025 kl. 03:43 rapporterede klageren problemer med 53 gennemførte og reserverede kortbetalinger til banken.
Banken har fremlagt en oversigt over loginoplysninger på klagerens Lunar-app for perioden fra den 1. til den 31. juli 2025. Banken har oplyst, at de angivne tidsstempler i oversigten er angivet i tidszonen UTC, og at der skal lægges to timer til de anførte tidspunkter, da hændelserne fandt sted under dansk sommertid (UTC+2). Samtlige pålogninger skete ved brug af en pinkode.
Det fremgår af oversigten, at der blev logget ind på klagerens Lunar-app den 8. juli 2025 kl. 16:58 (18:58 dansk tid) og igen den 15. juli 2025 kl. 11:41 (13:41 dansk tid). Der blev ikke logget ind på Lunar-appen i perioden fra den 16. til den 21. juli 2025.
Af oversigten fremgår endvidere, at der blev logget ind på klagerens Lunar-app fra henholdsvis en iPhone 14,7 og en 17,3. Banken har oplyst, at både en iPhone 17,3 og en iPhone 14,7 er tilkoblet klagerens Apple-ID ud fra deres installation ID, som er ens på begge enheder.
Banken har oplyst, at da der ikke blev logget ind på klagerens Lunar-app fra en uautoriseret enhed i perioden op til eller under gennemførelsen af de bestridte kortbetalinger, er det metoden via enhedens Wallet-app, der blev anvendt ved tilføjelsen af klagerens kort til tredjemands Google-Wallet. Dette indebærer, at tredjemand har haft adgang til klagerens kortoplysninger og har efterfølgende modtaget den SMS-engangskode, der blev sendt til klagerens telefonnummer.
Den 22. juli 2025 gjorde klageren indsigelse overfor banken mod 46 ikke-vedkendte kortbetalinger på i alt 26.839,36 EUR, som var foretaget i perioden fra den 14. til den 20. juli 2025, hvoraf 8.775,77 EUR var foretaget den 14. og 15. juli 2025. Klageren oplyste blandt andet i indsigelsen, at hendes betalingskort var blevet stjålet og kopieret, og at hun ikke havde godkendt betalingerne med sit MitID eller en sikkerhedskode. Hun oplyste endvidere, at hun ikke havde været i besiddelse af sit betalingskort på tidspunkterne for betalingerne, og at hun den 14. juli 2025 opdagede, at hendes betalingskort var bortkommet, og at hun ikke var blevet kontaktet og bedt om at oplyse sine kortoplysninger eller personlige oplysninger.
Den 28. juli 2025 fik klageren tilbagebetalt 3.504,07 DKK. fra en betalingsmodtager V.
Den 30. juli 2025 gjorde klageren indsigelse til banken mod 47 ikke-vedkendte kortbetalinger foretaget i perioden fra den 15. til den 21. juli 2025 på i alt 208.711,16 DKK. I indsigelsen oplyste hun blandt andet, at hun tilgår sin Lunar-app med en iPhone 16.
Banken har fremlagt en skriftlig korrespondance mellem klageren og banken fra den 12. august 2025, hvoraf blandt andet fremgår:
” Vedrørende de stillede spørgsmål:
- (Banken) Har du en korrespondance med virksomheden som har trukket uberettiget? (Klageren) Nej, jeg har ikke haft nogen korrespondance med virksomheden.
- (Banken) Hvad foretog du dig den pågældende dag? (Klageren) Jeg har ikke foretaget noget usædvanligt den dag.
- (Banken) Har du svaret på en mail, hvor du skulle afgive dine kortoplysninger? (Klageren) Nej, jeg har ikke svaret på nogen mail og har ikke afgivet mine kortoplysninger.
- (Banken) Har andre haft kendskab til dine kortoplysninger? (Klageren) Nej, ingen andre har haft kendskab til mine kortoplysninger.
- (Banken) Har andre haft adgang til din telefon? (Klageren) Nej, ingen andre har haft adgang til min telefon.
- (Banken) Har andre haft adgang til dit kort? (Klageren) Nej, ingen andre har haft adgang til mit kort.”
Den 2. september 2025 anmeldte klageren sagen til politiet.
Den 20. november 2025 skrev klageren til banken, at de uautoriserede kortbetalinger foretaget fra den 14. til den 21. juli 2025 udgjorde i alt 204.867,31 DKK. Klageren havde fået tilbageført i alt 7.347,92 DKK, og hendes tab udgjorde herefter 197.519,39 DKK.
Den 25. november 2025 godtgjorde banken klageren for kortbetalingerne foretaget den 14. og 15. juli 2025 med fradrag af en selvrisiko på 8.000 DKK, hvorfor banken tilbageførte 58.157,59 DKK til klagerens konto.
Den 27. november 2025 klagede klageren til banken.
Den 18. december 2025 afviste banken klagen. Banken afviste blandt andet at godtgøre klageren 126.567,90 DKK med henvisning til betalingslovens § 100, stk. 2.
Parternes påstande
Den 8. januar 2026 har klageren indbragt sagen for Ankenævnet med påstand om, at Lunar Bank A/S skal godtgøre hende selvrisikoen på 8.000 DKK (påstand 1) samt den resterende del af de uautoriserede kortbetalinger på 139.361,80 DKK (påstand 2), i alt 147.361,80 DKK.
Lunar Bank A/S har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har blandt andet anført, at hun ikke har foretaget de omtvistede kortbetalinger. Hun har på intet tidspunkt fået notifikationer, hvor hun skulle godkende kortbetalinger.
Hun har på intet tidspunkt videregivet sine kortoplysninger eller modtaget en aktiveringskode i forbindelse med tilføjelsen af hendes betalingskort i en Wallet.
Hun opdagede først de omtvistede kortbetalinger den 21. juli 2025. Hun fremsendte sin indsigelse til banken samme dag, og har dermed handlet inden for rimelig tid, jf. betalingslovens § 97.
Et login i mobilbanken er ikke det samme som faktisk viden om det samlede omfang af de uautoriserede kortbetalinger. Banken har ikke dokumenteret, hvad hun konkret kunne se ved login, herunder om alle transaktionerne fremgik bogført eller reserveret, eller om omfanget af misbruget.
Hun har ikke været bekendt med de omtvistede kortbetalinger, da hun var på ferie med sin familie i perioden fra den 28. juni til den 15. juli 2025, hvor hun i begrænset omfang brugte sit betalingskort, da hendes ægtefælle afholdt ferieudgifterne.
Hun har således ikke handlet groft uagtsomt.
Banken har ikke dokumenteret, at transaktionerne er korrekt autentificeret og registreret, jf. betalingslovens § 98.
Banken har ikke fremlagt dokumentation for, at der faktisk blev sendt en SMS-aktiveringskode til hende. Der foreligger hverken SMS-log, afsendelsestidspunkt, leverings-log, systemreference, dokumentation for modtagernummer i selve transaktionsøjeblikket eller anden verificerbar teknisk dokumentation. Når banken ikke kan dokumentere, at SMS-koden faktisk blev sendt, kan det ikke lægges til grund, at hun modtog og videregav koden.
Hun har kun benyttet en iPhone 16 til at tilgå sin Lunar-app, men af bankens loginoplysninger fremgår, at der blev logget ind fra en iPhone 17 og en iPhone 14.
Der foreligger flere artikler og rapporter om betalingsnedbrud hos Nets i perioden 19.–20. juli 2025, som medførte omfattende problemer med kortbetalinger og fejlagtige debiteringer for både Dankort og internationale kort i Skandinavien og Europa. På den baggrund er det nærliggende, at hun ikke har modtaget notifikationer eller anmodninger om samtykke til betalingerne, hvis der allerede forud for nedbruddet forelå tekniske problemer hos Nets.
De uautoriserede kortbetalinger for perioden fra den 14. til den 21. juli 2025 udgjorde i alt 204.867,31 DKK. Hun har modtaget tre tilbagebetalinger på i alt 7.347,92 DKK, og de uautoriserede betalinger udgør herefter 197.519,39 DKK. Banken skal godtgøre hende selvrisikoen på 8.000 DKK samt den resterende del af de uautoriserede kortbetalinger på i alt 139.361,80 DKK.
Lunar Bank A/S har til støtte for frifindelsespåstanden anført, at det har været en forudsætning for en tredjeparts tilføjelse af klagerens betalingskort til en Wallet, at klageren har udleveret sine kortoplysninger samt den engangskode, som blev sendt med SMS til klagerens registrerede telefonnummer. Der er ikke konstateret uautoriseret adgang til klagerens Lunar-app.
Tilføjelse af et Lunar-betalingskort til en Wallet er en handling, der kræver stærk kundeautentifikation.
Kortbetalingerne blev foretaget via Google Pay og dermed ikke fra en Apple-enhed.
Klageren modtog en tydelig notifikation i Lunar-appen om, at hendes betalingskort var blevet låst, da det var tilføjet en ny Wallet. På trods af denne advarsel genåbnede klageren betalingskortet, hvilket muliggjorte de omtvistede kortbetalinger. Forløbet gentog sig, idet betalingskortet på ny blev frosset den 8. juli 2025, hvorefter klageren igen genåbnede det den 14. juli 2025.
Det samlede forløb viser, at klageren handlede groft uforsvarligt ved både at videregive fortrolige oplysninger og bevidst ophæve de sikkerhedsforanstaltninger, der skulle beskytte hende imod misbrug. Betingelserne i betalingslovens § 100, stk. 4, nr. 3, er dermed opfyldt.
Klageren hæfter uden beløbsbegrænsning for den resterende del af tabet på 126.567,90 DKK, idet hun forsætligt undlod at opfylde sin underretningspligt. Klageren loggede ind i Lunar-appen den 15. juli 2025, og på daværende tidspunkt var kortbetalinger for i alt 66.157,59 DKK allerede trukket fra hendes konto, og hun burde være blevet opmærksom på misbruget. Ved ikke at reagere eller spærre betalingskortet straks herefter, har klageren tilsidesat sin forpligtelse til at underrette banken uden ugrundet ophold, jf. betalingslovens § 93, nr. 3. Da klageren har haft adgang til oplysningerne om misbruget uden at reagere før den 21. juli 2025, anses underretningen ikke for at være sket "snarest muligt". Denne passivitet medfører, at klageren hæfter uden beløbsbegrænsning for de tab, der opstod efter den 15. juli 2025, jf. betalingslovens § 100, stk. 2.
Banken har til støtte for afvisningspåstanden anført, at sagen alene kan afgøres på baggrund af yderligere bevisførelse i form af parts- og vidneforklaringer. Bevisførelsen er nødvendig for at fastlægge sagens faktiske omstændigheder, hvilket har betydning for hæftelsesspørgsmålet. Sådan en bevisførelse kan ikke finde sted i Ankenævnet, men alene ved domstolene, hvorfor sagen skal afvises jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets bemærkninger
Klageren var kunde i Lunar Bank, hvor hun havde en konto -709 med et tilknyttet betalingskort -958.
Klagerens betalingskort -958 blev den 5. juli 2025 tilføjet en ny Google-Wallet uden for Lunar-appen. Banken har anført, at dette skete ved brug af klagerens kortoplysninger samt en engangskode, der blev sendt i en SMS til klagerens telefonnummer.
Banken har oplyst, at aktiveringen medførte en automatisk sikkerhedsforespørgsel til banken, hvorefter klagerens betalingskort blev spærret. Der blev herefter sendt en notifikation til klageren i Lunar-appen om, at hendes kort var blevet spærret i forbindelse med tilføjelsen til en Wallet.
Den 8. juli 2025 kl. 18:52 blev betalingskort -958 genaktiveret, hvorefter det kl. 18:58 blev spærret igen.
Den 14. juli 2025 blev klagerens betalingskort genaktiveret.
Den 14. og 15. juli 2025 blev der foretaget kortbetalinger på i alt 66.157,59 DKK med klagerens betalingskort til en række betalingsmodtagere, som klageren ikke kan vedkende sig.
Fra den 16. til den 21. juli 2025 blev der foretaget yderligere kortbetalinger med klagerens betalingskort til en række betalingsmodtagere, som klageren ikke kan vedkende sig.
Klageren har oplyst, at de uautoriserede kortbetalinger i perioden fra den 14. til den 21. juli 2025 udgjorde i alt 204.867,31 DKK, og at hun har fået tilbagebetalt i alt 7.347,92 DKK.
Banken har oplyst, at der blev foretaget 46 uautoriserede kortbetalinger på i alt 196.471,03 DKK.
Den 22. juli 2025 gjorde klageren indsigelse til banken mod 46 ikke-vedkendte kort-betalinger på i alt 26.839,36 EUR, som var foretaget i perioden fra den 14. til den 20. juli 2025, hvoraf 8.775,77 EUR var foretaget den 14. og 15. juli 2025.
Den 30. juli 2025 gjorde klageren indsigelse til banken mod de ikke-vedkendte kortbetalinger på i alt 208.711,16 DKK.
Den 28. november 2025 godtgjorde banken klageren for de uautoriserede kortbetalinger foretaget den 14. og 15. juli 2025 med fradrag af en selvrisiko på 8.000 DKK, hvorfor banken tilbageførte 58.157,59 DKK til klagerens konto.
Klageren har anført, at hun ikke har videregivet sine kortoplysninger eller modtaget en aktiveringskode i forbindelse med tilføjelsen af hendes betalingskort i en Wallet, og at hun først den 21. juli 2025 opdagede de ikke-vedkendte kortbetalinger.
Det lægges til grund, at transaktionerne er korrekt registreret og bogført og ikke er ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98, stk. 1. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionerne, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet finder, at indrullering af et betalingskort i en Wallet udgør en situation omfattet af betalingslovens § 128, stk. 1, nr. 3.
Ved indrullering af betalingskortet i en Wallet er kravet til stærk kundeautentifikation opfyldt, når minimum to sikkerhedselementer vedrører samme kunde er anvendt.
Ankenævnet lægger som anført af banken til grund, at indrulleringen skete ved brug af klagerens kortoplysninger, en engangskode, som blev sendt til klagerens telefonnummer (besiddelse) og ved klagerens efterfølgende fjernelse af en automatisk etableret spærring på betalingskortet ved login med password i sin Lunar-app (viden). Ankenævnet finder det således godtgjort, at indrulleringen af betalingskort -958 i tredjemands Google-Wallet skete ved stærk kundeautentifikation, da videns- og besiddelseselementet er opfyldt.
Ankenævnet lægger til grund, at transaktionerne skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Vedrørende klagerens krav om godtgørelse på 8.000 DKK (påstand 1)
Klageren har bestridt at have udleveret sine betalingskortoplysninger, og at hun skulle have godkendt indrulleringen af betalingskort -958 i en tredjemands Google-Wallet. Ankenævnet finder på baggrund heraf, at en afklaring af de nærmere omstændigheder omkring indrullering af klagerens betalingskort i en tredjemands Google-Wallet forudsætter yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men som i givet fald må finde sted for domstolene. Ankenævnet afviser derfor denne del af sagen i medfør af § 5, stk. 3, nr. 4, i Ankenævnets vedtægter.
Vedrørende klagerens krav på tilbageførelse af 139.361,80 DKK (påstand 2)
Af betalingslovens § 93, nr. 3, som banken har påberåbt sig, fremgår, at en betaler snarest muligt skal underrette betalingsudbyderen, når betaleren bliver opmærksom på tab, uberettiget tilegnelse eller anden uberettiget brug af betalingsinstrumentet. Endvidere fremgår det af lovens § 100, stk. 2, som banken også har påberåbt sig, at betaleren hæfter uden beløbsbegrænsning for tab, der opstår som følge af, at betaleren har handlet svigagtigt eller med forsæt har undladt at opfylde sine forpligtelser efter § 93.
En afgørelse af denne del af sagen beror på, om det er muligt at afgøre, om klageren ved login i sin Lunar-app den 15. juli 2025 fik kendskab til de kortbetalinger, som hun ikke kan vedkende sig, og om hun derefter med forsæt undlod at underrette banken om uberettiget brug af kortet.
Ankenævnet finder, at det kun vil være muligt at træffe afgørelse i denne del af sagen efter mundtlige forklaringer fra parterne og relevante vidner under strafansvar. En afgørelse af denne del af sagen vil således kræve en bevisførelse, der ikke kan ske for Ankenævnet, men som i givet fald må finde sted ved domstolene. Ankenævnet afviser derfor denne del af sagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen.
Klageren får klagegebyret tilbage.