Krav om tilbageførsel af netbankoverførsler og indsigelse mod korttransaktion, der blev foretaget i forbindelse med bedrageriske telefonopkald
| Sagsnummer: | 19/2023 |
| Dato: | 18-09-2023 |
| Ankenævn: | Henrik Waaben, Jimmy Bak, Karin Sønderbæk, Tina Thygesen og Poul Erik Jensen |
| Klageemne: |
Afvisning - erhvervsforhold § 2, stk. 3 og 4
Betalingstjenester - spørgsmål om groft uforsvarlig adfærd Netbank - øvrige spørgsmål |
| Ledetekst: | Krav om tilbageførsel af netbankoverførsler og indsigelse mod korttransaktion, der blev foretaget i forbindelse med bedrageriske telefonopkald |
| Indklagede: | Nordea Danmark |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører krav om tilbageførsel af netbankoverførsler og indsigelse mod korttransaktion, der blev foretaget i forbindelse med bedrageriske telefonopkald.
Sagens omstændigheder
Klageren var kunde i Nordea Danmark, hvor hun blandt andet havde en konto -615 med et tilknyttet Visa/Dankort -836.
Klageren var også ejer af et selskab, anpartsselskabet S, som var kunde i Nordea Danmark. Selskabet havde blandt andet en konto -759 i banken og adgang til netbank.
Den 4. november 2022 blev der foretaget fem overførsler fra anpartsselskab S’ konto -759 på i alt 802.800 DKK. Beløbene blev overført til to forskellige konti i pengeinstitut P, og hver overførsel blev bekræftet ved SMS.
Banken har fremlagt en SMS-log af fem SMS-beskeder, som blev sendt til klagerens telefonnummer den 4. november 2022. Af udskriften fremgår:
”Bekræft overførsel af [overførselsbeløb] til [modtagerkonto]. Svar JA, hvis den skal gennemføres – NEJ, hvis den ikke skal gennemføres. Har du ikke selv oprettet betalingen kontakt Nordea 24/7 på 70334060. Venlig hilsen Nordea”.
Det fremgår af herudover af SMS-loggen, at banken for hver overførsel modtog en SMS med indholdet: ”Ja”.
Herefter blev der for hver overførsel sendt en SMS til klagerens telefonnummer med indholdet:
”Overførsel på [overførselsbeløb] gennemføres. Venlig hilsen Nordea.”
Samme dag blev klagerens betalingskort -836 anvendt til en betaling til en udenlandsk betalingsmodtager, F, på 1.500 EUR svarende til 11.277,53 DKK.
Banken har fremlagt en udskrift fra Nets, hvoraf det fremgår, at klageren fik præsenteret følgende tekst i sin MitID-app, og at hun godkendte dette:
”Betal 1500,00 EUR til [F] … fra kort [-836]”
Den 7. november 2022 gjorde klageren på vegne af anpartsselskab S indsigelse overfor banken ved en tro og love-erklæring. Heraf fremgår blandt andet:
”…
Hændelsesforløb:
…
Natten til fredag d. 4. november 2022 kl.02 ringer min mobiltlf. På skærmen fremgår Nordea nummer (7033 3333), som hvis fx deres kundeservice ringer. Jeg vurderer, at jeg hellere må tage telefonen.
Svindleren, en venlig ung mand, giver sig ud for at være fra Nordeas efterforskningsafdeling. Han undskylder det sene tidspunkt med sagens akutte problem og alvoren af sikkerhedsbruddet. Herefter spørger han om jeg har foretaget transaktion ca. kl. 01 og et meget stort beløb? Han ringer for at oplyse mig om, at en svindler er ved at overføre yderligere store beløb fra mine konti og Nordea forsøger at stoppe en potentiel svindler. Det sene tidspunkt betyder jeg er halvt søvne, chokeret over at blive vække med det budskab og nok ikke så kritisk som hvis det havde været på et andet tidspunkt. Personen der ringer, fremstår derfor meget kompetent og vil gøre hvad han kan for at hjælpe mig.
Omtumlet står jeg op og får tændt for min pc. Her kommer han med forklaringer, omkring hvordan transaktionerne kan stoppes. Han siger at de hævede beløb skal overføres til en/flere sikkerhedskonti i en bank og jeg accepterer derfor overførelse vha. MitID og SMS godkendelse. Han får mig desuden til at forstå, at det skal ske hurtigst muligt for at komme i gang med standsningen af transaktionerne.
Svindleren holder mig hen med snak over flere timer, med den begrundelse at en svindelsag er under optrævling i Nordea og det har utrolig høj prioritet. Telefonforbindelsen ryger af ukendt årsag et par gange, men svindleren ringer mig op igen hver gang og stadig fra Nordea’s kundeservice nummer, som jeg har programmeret i min telefon. Undervejs i forløbet bliver jeg sat på hold og i alt kommer det hele til at trække ud i timevis. På et tidspunkt bliver jeg mistroisk og spørger ind til mange ting fx hvorfor det trækker ud og jeg ikke må kontakte Nordea, hvor jeg får overbevisende svar på ALT.
Da min bror [navn] kommer fra arbejde, får vi talt forløbet igennem og ringer med det samme til Nordea – dette ca. kl. 15.30. Her bliver gennemgået med en medarbejder og sikre os at alle konti er spærret. Han oplyser at der er lavet såkaldte straksoverførsler fra min driftskonto på ca. 800.000 kr. Nordea ville straks sætte deres specialister til at opspore transaktioner og forsøge at geninddrive.
Da svindler vil ringe kl. 16, anmoder vi om at Nordea kontakter politiet mhp. Iværksætte efterforskning – vi har stadig kontakt til svindler. Nordea lover at ringe igen kort tid efter, men jeg bliver ikke kontaktet og derfor uvist om sagen er blevet politianmeldt.
Svindleren ringer igen kl. 17, da min telefon har været optaget med opkald til Nordea. Her giver jeg et henholdende svar og beder ham ringe igen kl. 19. Han ringer imidlertid ikke, men derimod i nat (5/11), jeg bliver igen ringet op kl. 01.50. Her tør jeg dog ikke tage telefonen, men valgte i stedet at afvente til nu her til morgen (d. 5/11), hvor jeg i samråd med min bror beslutter også at anmelde sagen til politiet. Dette for at sikre politiets viden om sagen og eventuelle muligheder for at fange svindleren.
Du skal krydse af på én af de 3 følgende scenarier:
…
[X] Jeg har selv foretaget de ovenstående transaktioner på baggrund af 3. mands urigtige oplysninger omkring formålet af overførslerne.
…”
Banken har fremlagt en kontoudskrift af klagerens konto -615 af 21. november 2022, hvoraf fremgår, at betalingen på 11.277,53 DKK blev debiteret klagerens konto den 8. november 2022.
Den 11. november 2022 besvarede banken anpartsselskab S’ indsigelse over netbankoverførslerne på i alt 802.800 DKK. Banken meddelte anpartsselskab S, at det lykkedes den at få tilbageført 520.827,56 DKK fra pengeinstitut P. Banken afviste herudover at tilbageføre de resterende 281.972,44 DKK.
Den 15. november 2022 gjorde klageren indsigelse over for banken over kortbetalingen på 11.277,53 DKK. Det fremgår blandt andet af indsigelsen:
”…
Kortet blev spærret den 4/11 2022 i forbindelse med anmeldelse om større svindelsag fra bankkonti (anmeldelse er beskrevet i underskrevet ’Tro og lov erklæring’). Her blev Nordea’s svindel-hotline kontaktet for at lukke alle banktransaktioner, herunder mine betalingskort.
Fire dage efter er der tilsyneladende alligevel hævet det nedenfor beskrevne beløb fra kortet, hvilket jeg opdager yderligere et par dage senere og derfor straks kontakter Nordea for at gøre opmærksom på problemet. Transaktionen har på intet tidspunkt haft at gøre med eget ønske om køb på kortet.
…
Transaktion(er), der gøres indsigelse imod …
Købsdato Forretning Beløb i valuta Beløb i DKK
4.11.22 [F] 1500 E 11277,53
…”
Den 24. november 2022 svarede banken, at klageren selv hæftede for 8.000 kr. af tabet.
Parternes påstande
Den 6. januar 2023 har klageren indbragt sagen for Ankenævnet med påstand om, at Nordea Danmark, skal tilbagebetale 289.972,44 DKK.
Nordea Danmark har nedlagt påstand om frifindelse.
Parternes argumenter
Klageren har anført, at hun er en almindelig privatkunde med et almindeligt forbrugsmønster. Hun forstår ikke, hvordan hun kunne få adgang til at overføre så store beløb på én nat. Af bankens hjemmeside fremgår, at bankens kunder har en begrænsning på overførsel på 500.000 DKK pr. døgn. Dette gælder også hende.
Ifølge hvidvaskloven og Finans Danmark er pengeinstitutterne forpligtede til at overvåge alle transaktioner blandt andet ind- og udbetalinger samt overførsler til og fra udlandet og at underrette politiets hvidvasksekretariat om mistænkelige overførsler, såfremt kunden ikke kan svare på opklarende spørgsmål vedrørende overførslernes karakter. I hendes tilfælde havde banken hverken stillet spørgsmål ved det unormale forbrugsmønster eller kontaktet politiets hvidvasksekretariat. Banken bør stilles til ansvar herfor.
Hun opfordrede banken til at kontakte politiet med henblik på at fange svindleren, men banken vendte aldrig tilbage, hvorfor hun var nødsaget til selv at politianmelde svindlen.
Hun kontaktede straks banken vedrørende kortbetalingen. Hun gav i den forbindelse udtrykkelig besked om at standse eller tilbagekalde samtlige transaktioner fra hendes konti samt spærringen af nye transaktioner. Fire dage efter dette konstaterede hun, at banken alligevel havde frigivet beløbet på 11.277,53 DKK. Banken har dermed handlet i strid med hendes besked. Alle, undtagen svindlerne, har en interesse i, at sådanne overførsler ikke kan ske, når transaktionen er blevet annulleret. Banken var grundet dens manglende handlinger ansvarlig for at påføre hende yderligere tab.
Nordea Danmark har for så vidt angår netbankoverførslerne anført, at netbankoverførslerne på i alt 281.972,44 DKK er autoriserede overførsler.
Klageren anerkender i tro og love-erklæringen af 7. november 2022, at hun selv har foretaget overførslerne og godkendt dem med sit MitID. Det er således ubestridt, at klageren selv har foretaget de pågældende overførsler via sin netbank ved brug af sit MitID.
Netbankoverførslerne blev gennemført ved stærk kundeautentifikation. Derudover er overførslerne som en yderligere sikkerhedsforanstaltning bekræftet via SMS fra klagerens telefon.
Overførslerne er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl.
Der er endvidere ikke tale om phishing i form af en uautoriseret overførsel ved tredjemands uberettigede anvendelse af netbank eller misbrug af MitID, idet klageren hverken udleverede MitID eller SMS-koder til svindleren, og denne person var ikke logget på klagerens netbank.
Overførslerne skyldtes således ikke tredjemands misbrug af klagerens netbank eller MitID. Det forhold, at klageren var udsat for svindel af en kriminel til at foretage overførslen, medfører ikke, at overførslerne kan anses som uautoriserede efter betalingsloven.
Klageren kan ikke påberåbe sig de hæftelsesbegrænsninger, der følger af betalingslovens § 100, idet klageren selv har foretaget og godkendt overførslerne, og klageren hæfter derfor fuldt ud.
Betalingslovens § 112 finder ikke anvendelse i dette tilfælde, da klageren har foretaget overførslerne via sin netbank. Korttransaktionen er omfattet af betalingslovens § 100, stk. 4.
Korttransaktionen blev godkendt ved brug af klagerens MitID-app installeret på klagerens mobiltelefon den 4. november 2022 med bekræftelse af følgende ”Betal 1.500 EUR til [F] fra kort xxx836”.
Klageren godkendte kortbetalingen i MitID-appen, og godkendelsen af betalingen udgør groft uforsvarlig adfærd fra klagerens side, hvorfor klageren hæfter for op til 8.000 DKK, jf. betalingslovens § 100, stk. 4, nr. 3.
Klageren har selv muliggjort den uberettigede anvendelse, da hun burde have reageret på teksten i MitID-appen.
Den omtvistede betaling er korrekt registreret, bogført og i øvrigt ikke fejlbehæftet.
Ankenævnets bemærkninger
Klageren var kunde i Nordea Danmark, hvor hun blandt andet havde en konto -615 med et tilknyttet Visa/Dankort -836.
Klageren var også ejer af et selskab, anpartsselskabet S, som var kunde i Nordea Danmark. Selskabet havde blandt andet en konto -759 i banken og adgang til netbank.
Den 4. november 2022 blev der foretaget fem overførsler fra anpartsselskab S’ konto -759. Banken har fremlagt en kontoudskrift af anpartsselskab S’ konto -759 af 31. december 2022, hvoraf det fremgår, at der den 4. november 2022 blev overført beløb på i alt 802.800 DKK. Beløbene blev overført til to forskellige konti i pengeinstitut P, og hver overførsel blev bekræftet ved SMS. Den 11. november 2022 meddelte banken anpartsselskab S, at det var lykkedes den at få tilbageført 520.827,56 DKK fra pengeinstitut P, og at den afviste at tilbageføre de resterende 281.972,44 DKK.
Samme dag blev klagerens kort anvendt til en betaling til en udenlandsk betalingsmodtager, F, på 1.500 EUR svarende til 11.277,53 DKK.
Ifølge Ankenævnets vedtægter § 2, stk. 3 og 4, behandler Ankenævnet klager vedrørende private kundeforhold. Klager fra erhvervsdrivende kan behandles, såfremt klagen ikke adskiller sig væsentligt fra en klage vedrørende et privat kundeforhold. Netbankoverførslerne af 4. november 2022 blev ifølge klageren foretaget af hende fra anpartsselskab S’ driftskonto -759. Ankenævnet finder på baggrund heraf, at klagen vedrørende disse overførsler efter deres karakter angår et erhvervsmæssigt kundeforhold, der adskiller sig væsentligt fra en klage over et privat kundeforhold. Ankenævnet afviser derfor at behandle denne del af klagen.
Ankenævnet finder det godtgjort, at transaktionen på 11.277,53 DKK skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste, hvilket ikke er bestridt.
Ankenævnet finder endvidere, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. lov om betalinger § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. lov om betalinger § 7, nr. 30.
Efter lov om betalinger § 100, stk. 4, hæfter betaleren med op til 8.000 DKK af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5 (§ 100, stk. 4, nr. 2), eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse (§ 100, stk. 4, nr. 3).
Tre medlemmer – Henrik Waaben, Jimmy Bak og Karin Sønderbæk – udtaler:
Vi finder det godtgjort, at klageren har godkendt betalingen på 1.500 EUR med sit MitID. Vi har herved lagt vægt på den udskrift fra Nets, der er fremlagt.
Vi finder derfor, at banken har godtgjort, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, da hun burde have reageret på teksten i MitID-appen, hvor hun fik oplysninger om beløbet på 1.500 EUR og beløbsmodtager, og at klageren som følge heraf hæfter med op til 8.000 DKK.
Vi stemmer derfor for, at klageren ikke får medhold i klagen.
To medlemmer – Tina Thygesen og Poul Erik Jensen – udtaler:
Som ovenfor anført finder vi det godtgjort, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Vi finder, at der er tale om organiseret professionel svindel.
Forbrugere har forskellige forudsætninger for at gennemskue professionel svindel. Det må aldrig blive utrygt for den almindelige forbruger at anvende de digitale løsninger og betalingstjenester, der er nødvendige for at fungere i vores samfund.
Vi finder derfor ikke, at klageren, ved at blive snydt af en professionel svindler, har udvist groft uforsvarlig adfærd. Det må forudsættes, at såfremt klageren havde forudsætninger for at gennemskue svindlen, ville klageren ikke have godkendt transaktionen.
Hertil bemærkes et generelt forbehold for så vidt angår systemfejl. Det kan ikke udelukkes, at der i sager med phishing er tale om raffineret systemteknisk misbrug, hvor svindleren er lykkedes med at udvikle tekniske løsninger, som muliggjorde svindlen.
Vi finder ikke, at banken har godtgjort, at betingelserne for, at klageren hæfter efter de udvidede ansvarsbestemmelser i betalingslovens § 100, stk. 4, er opfyldt.
Vi finder, at banken er nærmest til at bære risikoen for, at det betalingssystem, forbrugerne anvender, er tilstrækkelig sikkert og tydeligt til at hindre svindel.
Da den til betalingstjenesten hørende personlige sikkerhedsforanstaltning har været anvendt, hæfter klageren for 375 DKK, jf. betalingslovens § 100, stk. 3.
Vi stemmer derfor for, banken skal tilbageføre 7.625 DKK til klageren.
Sagen afgøres efter stemmeflertallet.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen over netbankoverførslerne.
Klageren får ikke medhold i klagen over korttransaktionen.