Indsigelse mod at hæfte for op til 8.000 DKK af kort-transaktioner gennemført som betalinger med et vir-tuelt kort via Google Pay. Indrullering af et betalings-kort i tredjemands Google Wallet. Spørgsmål om kra-vene til stærk kundeautentifikation var opfyldt i for-bindelse med indrullering.
| Sagsnummer: | 673/2025 |
| Dato: | 14-08-2026 |
| Ankenævn: | Kristian Korfits Nielsen, Jonas Thestrup Nielsen, Signe Kjørup Carlsson, Rolf Høymann Olsen og Poul Erik Jensen. |
| Klageemne: |
Betalingstjenester - ikke-vedkendte hævninger
Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for op til 8.000 DKK af kort-transaktioner gennemført som betalinger med et vir-tuelt kort via Google Pay. Indrullering af et betalings-kort i tredjemands Google Wallet. Spørgsmål om kra-vene til stærk kundeautentifikation var opfyldt i for-bindelse med indrullering. |
| Indklagede: | Lunar Bank A/S |
| Øvrige oplysninger: | OF |
| Senere dom: | |
| Pengeinstitutter |
Klager medhold.
Indledning
Sagen vedrører indsigelse mod at hæfte for op til 8.000 DKK af korttransaktioner gennemført som betalinger med et virtuelt kort via Google Pay. Indrullering af et betalingskort i tredjemands Google Wallet. Spørgsmål om kravene til stærk kundeautentifikation var opfyldt i forbindelse med indrullering.
Sagens omstændigheder
Klageren var kunde i Lunar Bank, hvor hun havde en konto -625 med to tilknyttede betalingskort -340 og -725 og adgang til Lunar Bank-appen.
Banken har oplyst, at klagerens betalingskort -340 og -725 den 8. oktober 2025 blev indrulleret i en ny Wallet (Google Wallet) ved, at klageren med sit MitID godkendte tredjemands adgang til hendes konto i banken, hvorved tredjemand kunne indrullere betalingskortene til sin Wallet. Banken er ikke i besiddelse af klagerens MitID-hændelseslog, hvorfor banken ikke kan angive oplysninger og tidspunkter for klagerens modtagelse af notifikationer. Banken har ikke fremlagt en udskrift med teksten, der blev sendt til klagerens MitID-app.
Banken har endvidere oplyst, at tilføjelse af et Lunar-betalingskort til en Wallet kræver stærk kundeautentifikation, enten via 1) Lunar Bank-appen, hvor kortholder logger ind i sin Lunar Bank-app ved brug af MitID, biometrisk login eller en personlig firecifret adgangskode. Under kortoversigten kan kortholder tilføje det specifikke kort til enhedens Wallet, eller 2) via enhedens Wallet-app, hvor kortholder manuelt indtaster kortoplysningerne i appen, hvorved der sendes en engangskode via SMS til det telefonnummer, der er registreret på kundens profil i banken. Denne SMS-kode skal indtastes i Wallet-appen for at bekræfte og fuldføre tilknytningen af kortet. Dette udløser en automatisk sikkerhedsforespørgsel til banken, hvorved betalingskortet bliver frosset i appen. En notifikation om tilføjelsen af kortet til en ny Wallet vil figurere i kortholders Lunar Bank-app. Kortholderen skal efterfølgende genåbne betalingskortet i Lunar Bank-appen, inden det kan bruges i den nye Wallet.
Banken har desuden oplyst, at begge klagerens betalingskort -340 og -725 blev indrulleret i tredjemands Wallet via den første metode på en SM-G991B-enhed (Samsung Galaxy S21 5G mobiltelefon).
Den 8. oktober 2025 blev der foretaget ni betalinger på i alt 936,39 USD svarende til 6.063,02 DKK med klagerens betalingskort -340 og -725 til tre forskellige betalingsmodtagere. Klageren kan ikke vedkende sig betalingerne. Banken har oplyst, at samtlige kortbetalinger blev foretaget gennem XPay via Google Wallet.
Om baggrunden for kortbetalingerne har klageren oplyst, at hun den 8. oktober 2025 modtog en SMS fra, hvad der fremstod som værende fra MobilePay, hvori der stod, at det var nødvendigt med en sikkerhedsopdatering. Hun trykkede derfor på linket i SMS’en og indtastede sine informationer og godkendte en anmodning i MitID-appen. I MitID-appen blev der ikke vist nogen information om banken eller noget, der indikerede, at hun tillod nogen adgang til sin bankkonto. Den viste kun den almindelige bekræftelses-swipe. Hun var derfor ikke klar over, at hun ved denne handling tillod en tredjemand adgang til hendes konto i banken. Kort efter var der flere ikke-vedkendte kortbetalinger i udenlandsk valuta fra hendes konto.
Klageren har endvidere oplyst, at hun ikke loggede ind i Lunar Bank-appen for at tilføje sit kort til en Wallet, ligesom hun ikke godkendte en sådan handling via MitID, biometrisk login eller pinkode. Hun indtastede heller ikke nogen SMS-kode i forbindelse med indrullering af sit kort i en Wallet.
Den 8. oktober 2025 kontaktede klageren bankens support, hvor hun var i dialog med bankens AI-chatfunktion. Banken har oplyst, at klageren i den forbindelse meddelte, at hun ønskede at indberette en række kortbetalinger, som hun ikke kunne genkende, og at en ukendt tredjemand måtte have fået adgang til hendes kortoplysninger. Banken instruerede klageren i at spærre sine betalingskort øjeblikkeligt for at begrænse yderligere tab. Samme dag fik klageren sine betalingskort spærret.
Den 21. oktober 2025 gjorde klageren indsigelse mod de ni kortbetalinger. I indsigelsesblanketten vedrørende betalingskort -340 skrev klageren blandt andet:
”I received an email from "MobilePay" telling me that I had to update my information. I cliciked on the link and I put my data like my name and my number. They never asked for my card numbers, they just asked me what bank I have. So i put lunar and then I had to sign with my mitID so I did. After that i got several transactions made from my account to an unknown one in dollars. They used both my cards, this is one of the disputes for one card and I made another one for my other card.”
I indsigelsesblanketten vedrørende betalingskort -725 skrev klageren blandt andet:
” I received an SMS from "Mobile Pay" that I just needed to update my information. I clicked in the link and I fill up with my phone number and name, they just asked what bank I have and I put lunar, i never provided with any information about my cards. After that I had to log in with mitID so I did it, and no longer after that a lot of transactions were made from my account in dollars to another one.”
Den 23. oktober 2025 afviste banken klagerens indsigelse med henvisning til, at hun selv hæftede for 8.000 DKK af tabet, da betalingerne var godkendt i hendes MitID-app.
Samme dag klagede klageren over bankens afvisning af at dække hendes fulde tab, og den 27. oktober 2025 afviste banken klagen.
Parternes påstande
Den 24. december 2025 har klageren indbragt sagen for Ankenævnet med påstand om, at Lunar Bank A/S skal betale 6.063 DKK til hende, subsidiært 5.688 DKK.
Lunar Bank A/S har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har blandt andet anført, at hun er blevet svindlet.
Hun godkendte en MitID-anmodning i den tro, at hun var ved at gennemføre en sikkerhedsopdatering af MobilePay. MitID-skærmen viste ikke bankens navn eller nogen transaktionsdetaljer.
Hun tilgik ikke Lunar Bank-appen, og hun modtog ikke en sikkerhedsbekræftelse i appen, som det er tilfældet ved legitime transaktioner. Der skete ikke nogen dobbelt-autentifikationsproces, hvilket tyder på, at bankens interne system ikke opdagede det uregelmæssige godkendelsesflow.
MitID-godkendelsesprocessen indeholdt ikke nogen transaktionsdetaljer, advarsler eller kontekstuelle informationer, der ville have advaret en forbruger om, at tredjemand var ved at få adgang til vedkommendes bankkonto. Godkendelsen bestod i standard MitID-godkendelse, som forbrugere ofte benytter i dagligdagen.
Hun ejer ikke en Samsung-mobiltelefon, og hun har aldrig anvendt den Samsung-model, som banken har identificeret som den anvendte model. Hun ejer en iPhone og bruger kun Apple Wallet – aldrig Google Wallet.
Hun loggede sig ikke ind i Lunar Bank-appen for at tilføje sine kort til nogen Wallet, ligesom hun ikke godkendte en sådan handling via MitID, biometrisk login eller pinkode.
Da banken ikke har hendes MitID-hændelseslog, kan banken ikke dokumentere, at hun modtog en kode, at hun godkendte i MitID, eller at hun var informeret om, at hendes kort blev tilføjet en ny enhed.
Sagens omstændigheder stemmer overens med phishing-sager/social engineering scams, hvor en tredjemand har fået adgang til kortinformationer og foretager uautoriserede transaktioner uden forurettedes accept.
Bankens argumenter er tilsyneladende mere baseret på den teoretiske sikkerhed i bankens system, end på hvad hun rent faktisk autoriserede – hvilket banken har oplyst, at den ikke kan fremskaffe, da den ikke har hendes MitID-hændelseslog.
Banken anfører, at uoverensstemmelsen mellem hendes forventninger til, hvad hun godkendte (MobilePay) og den information, der angiveligt blev vist i MitID-appen (Lunar) automatisk medfører grov uforsvarlighed. Dette argument tager imidlertid ikke højde for realiteterne ved moderne digitale autentifikationsgodkendelser - at MitID bliver brugt i forbindelse med mange forskellige tjenester, og at phishing angriber og i højere grad er designet til at udnytte tilliden til systemet. Vurderingen bør ske ud fra, om en almindelig, opmærksom forbruger kunne være blevet vildledt under de samme omstændigheder.
Banken har ikke løftet sin bevisbyrde for, at hun handlede groft uforsvarligt.
Hun delte ikke på noget tidspunkt sine kortoplysninger, PIN-koder, CPR-nummer eller MitID-informationer med nogen, ligesom hun heller ikke bevidst godkendte tredjemands adgang til hendes bankkonto. Hun havde ikke til hensigt at autorisere nogen bankaktiviteter eller digitale Wallet-koblinger, og hun ignorerede ikke en åbenlys advarsel om svindel. Hun kontaktede banken, så snart hun opdagede svindlen, fik sine betalingskort spærret og anmeldte forholdet til politiet. Hun handlede således ikke groft uforsvarligt, men var udsat for organiseret og sofistikeret phishing-svindel.
Banken sidestiller det at være offer for sofistikeret phishing-svindel med at handle groft uforsvarligt. Denne fortolkning sætter tærsklen for grov uforsvarlighed urimeligt lavt og i strid med forbrugerbeskyttelsesprincipperne bag betalingsloven.
Ankenævnet har tidligere truffet afgørelse i lignende phishing-sager, der involverede MobilePay og MitID, eksempelvis i sagerne 159/2024 og 386/2024.
Der er ikke behov for yderligere bevisførelse i form af parts- og vidneforklaringer, og sagen bør derfor ikke afvises.
Lunar Bank A/S har til støtte for frifindelsespåstanden blandt andet anført, at det lægges til grund som ubestridt, at klagerens personlige sikkerhedsforanstaltning, MitID, blev anvendt i forbindelse med de omtvistede transaktioner.
Selvom klagerens tab er resultatet af et sofistikeret phishing-scam, ændrer det ikke på ansvarsvurderingen. Det følger af fast praksis fra Ankenævnet, at kortholders objektive pligt til at læse indholdet af en godkendelsesanmodning vejer tungt, og at phishing ikke fritager for almindelig agtpågivenhed, jf. sag 404/2025. Klageren har i sin indsigelsesblanket bekræftet forløbet ved at angive: "I had to sign with my mitID so I did". Hermed har banken løftet sin bevisbyrde, jf. betalingslovens § 98, for, at klagerens personlige sikkerhedsforanstaltning blev anvendt.
Klageren har udvist groft uforsvarlig adfærd ved at reagere på en uopfordret henvendelse via et link i en SMS og efterfølgende indtaste følsomme oplysninger på en ekstern side. Det fremgår eksplicit af MitID-brugerfladen, hvad der godkendes. Klagerens godkendelse i MitID-appen muliggjorde, at tredjemand kunne tilføje hendes to betalingskort ved at have adgang til hendes konto via Lunar Bank-appen, hvorved tredjemand under kortoversigten kunne vælge det specifikke kort til enhedens Wallet, i dette tilfælde en Google Wallet.
Det fremgik eksplicit af MitID-godkendelsen, hvad der blev givet adgang til. Da klageren bekræftede anmodningen med sit MitID, blev det tydeligt oplyst i selve MitID-brugerfladen, at der blev givet adgang til ”Lunar” og ikke ”MobilePay”. Ved at gennemføre godkendelsen på trods af denne oplysning, muliggjorde klageren, at en tredjemand kunne få adgang til hendes konto og tilknytte kortet til en digital Wallet.
Selvom klageren efter eget udsagn troede, at henvendelsen vedrørte MobilePay, så viste MitID-skærmen eksplicit "Lunar". Denne direkte uoverensstemmelse mellem klagers subjektive forventning og den objektive information på skærmen burde have fået klageren til at afbryde processen. Denne adfærd, hvor en kortholder ignorerer en klar advarsel eller instruktion i MitID-brugerfladen, kvalificeres som groft uforsvarlig adfærd i henhold til betalingslovens § 100, stk. 4, nr. 3.
Da klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, hæfter hun for op til 8.000 DKK, jf. betalingslovens § 100, stk. 4, nr. 3. Da det samlede tab er mindre end denne selvrisiko, er der ikke grundlag for godtgørelse.
Lunar Bank har til støtte for afvisningspåstanden anført, at afgørelsen af, om klageren har handlet groft uforsvarligt, beror på en vurdering af de konkrete omstændigheder omkring transaktionernes godkendelse. En fyldestgørende belysning af sagen, herunder klagerens agtpågivenhed ved anvendelsen af MitID, forudsætter parts- og vidneforklaringer.
En sådan bevisførelse kan ikke finde sted som led i Ankenævnets skriftlige behandling, hvorfor sagen bør afvises til indbringelse for domstolene, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets bemærkninger
Klageren var kunde i Lunar Bank, hvor hun havde en konto -625 med to tilknyttede betalingskort -340 og -725 og adgang til Lunar Bank-appen.
Banken har oplyst, at klagerens betalingskort -340 og -725 den 8. oktober 2025 blev indrulleret i en ny Wallet (Google Wallet) ved, at klageren med sit MitID godkendte tredjemands adgang til hendes konto i banken, hvorved tredjemand kunne indrullere betalingskortene til sin Wallet. Banken har ikke fremlagt en udskrift med teksten, der blev sendt til klagerens MitID-app.
Samme dag blev der foretaget ni betalinger på i alt 936,39 USD svarende til 6.063,02 DKK med klagerens betalingskort -340 og -725 til tre forskellige betalingsmodtagere. Klageren kan ikke vedkende sig betalingerne. Banken har oplyst, at samtlige kortbetalinger blev foretaget gennem XPay via Google Wallet.
Klageren har oplyst, at hun den 8. oktober 2025 modtog en SMS fra, hvad der fremstod som værende fra MobilePay. Hun trykkede på et link i SMS’en og indtastede sine informationer og godkendte en anmodning i MitID-appen. Hun loggede ikke ind i Lunar Bank-appen for at tilføje sit kort til en Wallet, ligesom hun ikke godkendte en sådan handling via MitID, biometrisk login eller pinkode.
Ankenævnet lægger til grund, at transaktionerne er korrekt registreret og bogført og ikke er ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98, stk. 1. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionerne, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Det følger af betalingslovens § 128, stk. 1, nr. 1, at en udbyder af betalingstjenester skal anvende stærk kundeautentifikation, når en bruger tilgår sin betalingskonto online.
Det følger af betalingslovens § 128, stk. 1, nr. 3, at en udbyder af betalingstjenester skal anvende stærk kundeautentifikation, når en bruger udfører handlinger gennem en enhed til fjernkommunikation, der kan indebære risiko for misbrug.
Stærk kundeautentifikation indebærer efter betalingslovens § 7, nr. 30, at betalingstjenesteudbydere skal forlange, at kunderne bruger minimum to ud af tre mulige sikkerhedselementer; noget kunden ved, f.eks. et kodeord, noget kunden besidder, f.eks. en app eller SMS-engangskode, og noget kun kunden er, f.eks. et fingeraftryk.
Ankenævnet finder, at indrullering af et betalingskort i en Wallet udgør en situation omfattet af betalingslovens § 128, stk. 1, nr. 3. Kravet til stærk kundeautentifikation er kun opfyldt, hvis minimum to sikkerhedselementer vedrører samme kunde.
Ved indrullering via kortholderens mobilbank er kravet til stærk kundeautentifikation opfyldt, hvis kortholderen efter pålogning anvender en ny stærk kundeautentifikation til at indrullere betalingskortet.
Ankenævnet lægger efter oplysningerne i sagen til grund, at indrulleringerne af klagerens betalingskort i tredjemands Google Wallet blev initieret fra klagerens mobilbank ved, at klageren selv godkendte i MitID, at tredjemand fik adgang til hendes mobilbank. Banken har ikke godtgjort, at der efter pålogning i mobilbanken tillige blev anvendt en ny, stærk kundeautentifikation for at gennemføre indrulleringen.
Ankenævnet finder det på denne baggrund ikke godtgjort, at indrulleringerne af klagerens betalingskort i tredjemands Google Wallet opfyldte kravene for stærk kundeautentifikation.
Ankenævnet har herved lagt vægt på, at pålogning i mobilbanken og indtastning af kortoplysningerne ikke opfylder kravene til stærk kundeautentifikation.
Ifølge betalingslovens § 100, stk. 1, hæfter betalerens udbyder af betalingstjenester i forhold til betaleren for tab som følge af andres uberettigede anvendelse af en betalingstjeneste, medmindre andet følger af stk. 2-5. Ifølge betalingslovens § 100, stk. 7, hæfter betalingsudbyderen uanset betalingslovens § 100, stk. 3-5, hvis udbyderen ikke kræver stærk kundeautentifikation, medmindre betaleren har handlet svigagtigt. Det følger herudover af betalingslovens bilag 1, pkt. 5, at udstedelse eller indløsning af betalingsinstrumenter udgør en betalingstjeneste.
Formålet med betalingslovens bestemmelser om krav om stærk kundeautentifikation, herunder § 100, stk. 7, og § 128, stk. 1, er blandt andet at højne sikkerheden og øge forbrugerbeskyttelsen ved at iværksætte foranstaltninger til at beskytte fortroligheden og integriteten af betalingstjenestebrugeres personaliserede sikkerhedsoplysninger og anvendelse af betalingstjenesten.
Selv om der blev foretaget to processer for at gennemføre misbruget af klagerens betalingskort, nemlig indrulleringerne af klagerens kort i tredjemands Google Wallet og tredjemands brug af Wallet-løsningen, finder Ankenævnet, at de to processer i relation til hæftelsesspørgsmålet må betragtes samlet, hvorfor misbruget er omfattet af betalingslovens § 100, stk. 7, eller denne bestemmelses analogi.
Ankenævnet har herved lagt vægt på den nære sammenhæng mellem de to processer, idet misbruget af klagerens betalingskort blev muliggjort ved indrulleringerne af disse i tredjemands Google Wallet og på formålet med betalingslovens § 100.
Da indrulleringerne ikke er sket med stærk kundeautentifikation, og da der ikke efter sagens oplysninger er grundlag for at antage, at klageren har handlet svigagtigt, finder Ankenævnet, at banken hæfter for tredjemands misbrug af klagerens betalingstjeneste, jf. betalingslovens § 100, stk. 7.
Ankenævnets afgørelse
Lunar Bank skal inden 30 dage indsætte 6.063,02 DKK på klagerens konto med valør fra datoen for debitering af transaktionerne.
Klageren får klagegebyret tilbage.