Indsigelse mod at hæfte for 8.000 kr. af korttransaktion godkendt i MitID-app.
| Sagsnummer: | 42/2024 |
| Dato: | 19-08-2024 |
| Ankenævn: | Henrik Waaben, Inge Kramer, Nanna Vetter Viberg Nielsen, Rolf Høymann Olsen og Poul Erik Jensen. |
| Klageemne: |
Betalingstjenester - ikke-vedkendte hævninger
Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for 8.000 kr. af korttransaktion godkendt i MitID-app. |
| Indklagede: | Lån & Spar Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for 8.000 kr. af korttransaktion godkendt i MitID-app.
Sagens omstændigheder
Klageren var kunde i Lån & Spar Bank, hvor han havde en konto med et tilknyttet Visa/dankort -2180.
Den 23. december 2023 blev klagerens Visa/dankort anvendt til en betaling til en udenlandsk betalingsmodtager, L, på 10.908,87 kr., som klageren ikke kan vedkende sig.
Banken har oplyst, at betalingen blev godkendt med sikkerhedsløsningen 3D Secure ved indtastning af kortoplysninger og ved godkendelse i MitID-app, og at transaktionen er korrekt registreret og bogført.
Banken har endvidere oplyst, at det fremgår af en udskrift fra Nets, at følgende tekst blev præsenteret i klagerens MitID-app:
”Betal 10908,87 DKK til [L] fra kort xx2180”
Den 28. december 2022 blev betalingen bogført på klagerens konto.
Klageren indgav indsigelse til banken. I forbindelse med indsigelsen bekræftede klageren, at han var blevet kontaktet på SMS og bedt om at bekræfte/oplyse sit betalingskort eller sine personlige oplysninger. Klageren anførte endvidere:
” Dato: 23.12 klokken ca 15.
Jeg sidder og skal via Mobilepay overføre 1580 kroner til et foredrag som jeg er ”indsamler ” til for nogle venner ( billetter koster 395, så jeg vil overføre for 4 personer) Da jeg klikker på min App til Mobilepay dukker en besked op med følgende ordlyd MobileID: ”Vi har begrænset visse funktioner på din Mobile-Pay konto på grund af mistænkelig aktivitet: Https//dk-mobilepay.web.app”. Jeg bedt om at vælge et af mine kort numre ( de viste kort numre er alle nogle jeg har, eller har haft tilknyttet MobilePay),tilføje CVV samt efterfølgende godkende via MitId. Jeg gør dette og så sker der som sådan ikke mere end at MitId ”spørger” ,om jeg vil åbne NETS og jeg godkender.
Lige efter får jeg ( ved ikke hvorfor, da der ikke har været noget ”unaturligt”) en underlig fornemmelse. Så jeg ringer til MobliePay for lige at tjekke at alt er ok. Men de siger så, at det ikke er dem der har sendt den besked ud. De spærrer min MobilePay App og jeg får ringet til Nets og får spærret mit VISA dankort ( som var det jeg godtkendt via MitId) samt jeg ringer også til MitId og får dette spærret. Det viser sig desværre, at de indenfor den tid det tog for mig at komme igennem Mobilepay og til Nets ( ca 3-5 minutter, gik ret hurtigt at komme igennem) har svindlerne nået at hæve 10908 kroner som de har brugt ved [L] som er et selskab til flyrejser.
Jeg får via nettet søgt på [L], finder en helpdesk og en mail adresse jeg kan skrive til for at gøre dem opmærksom på problemet. De forsøger at hjælpe pt, men har ikke fundet pengene/ bestillingen endnu.”
Banken godtgjorde klagerens tab fratrukket 8.000 kr.
Klageren har fremlagt sin korrespondance med L i perioden fra den 23. december 2023 til den 8. januar 2024.
Parternes påstande
Den 18. januar 2024 har klageren indbragt sagen for Ankenævnet med påstand om, at Lån & Spar Bank skal nedsætte hans hæftelse betydeligt.
Lån & Spar Bank har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har anført, at han ikke har handlet groft uforsvarligt. Han har været udsat for et udspekuleret svindelnummer af dygtige svindlere.
Svindlen skete i forbindelse med åbning af MobilePay, hvor han skulle overføre et beløb på 1.580 kr. Da han klikkede på sin MobilePay-app og indtastede sin 4 cifrede kode, dukkede en besked i samme øjeblik op med ordlyden: MobileID: ”Vi har begrænset visse funktioner på din Mobile-Pay konto på grund af mistænkelig aktivitet. Derfor har vi sat din grænse på transaktioner til max 300 kr. Hvis du ønsker at ændre dette skal du godkende via MitId.: Https//dk-mobilepay.web.app”. Han blev bedt om at vælge et af sine kortnumre samt efterfølgende godkende via MitID. Han gjorde dette, og så skete der ikke mere, end at MitID spurgte, om han ville åbne Nets, og han godkendte.
Beskeden dukkede op i samme sekund, han havde indtastet sin kode til MobilePay. Svindlerne vidste præcis, hvornår han gik på MobilePay. Beskeden var på en eller anden måde designet til at blive sendt, når han gik aktivt ind i MobilePay-appen. Måden, hele svindelnummeret var sat op på, gjorde, at man kunne ”falde i” uden at handle groft uansvarligt. Beskeden kom ikke bare ”ud af det blå”!
Han kan ikke genkende at have godkendt et beløb på 10.908,87 kr. En sådan besked kom ikke frem. Der stod heller ikke noget om 10.908,87 kr. på MitID. Han må på det bestemteste afvise, at dette billede var på hans skærm – Så må det have været et sekund eller lignende. Det var der ikke, da han skulle godkende!
Han fik med det samme en underlig fornemmelse og ringede straks til MobilePay, der sagde, at de ikke havde sendt beskeden. De spærrede hans MobilePay-app. Han gjorde alt, hvad han kunne så hurtigt som muligt efter, at skaden var sket for at stoppe og begrænse tabet. Han ringede til Nets og MitID og fik spærret sit Visa/dankort og MitID. Det viste sig desværre, at svindlerne indenfor den tid, det tog at komme igennem til MobilePay og til Nets (ca. 3-5 minutter), nåede at hæve 10.908 kr., som de brugte hos L, der sælger flyrejser. Han forsøgte endvidere med det samme at komme i kontakt med L.
Lån & Spar Bank har til støtte for frifindelsespåstanden anført, at betalingstransaktionen blev gennemført ved, at der er valgt et betalingskort i MobilePay ved brug af MitID samt indtastning af klagerens personlige kode. Klageren klikkede på et ukendt link og afgav sine strengt personlige oplysninger. Klageren udviste derved grov uagtsomhed. Klageren burde have undersøgt beskeden, inden han trykkede på linket og afgav alle sine oplysninger.
Klageren erkender at have godkendt betalingen i sin MitID-app, jf. også det af klageren anførte ”Jeg bedt om at vælge et af mine kort numre … tilføje CVV samt efterfølgende godkende via MitID. Jeg gør dette og så sker der som sådan ikke mere end at MitID ”spørger”, om jeg vil åbne NETS og jeg godkender”.
Der advares imod denne svindelmetode på diverse medier og hjemmesider, f.eks. MobilePays hjemmeside.
Klageren har ved at indtaste sine strengt personlige oplysninger og ved at ”swipe” i sin MitID-app ved groft uforsvarlig adfærd muliggjort transaktionen, jf. betalingslovens § 100, stk. 4, nr. 3, og hæfter derfor for 8.000 kr. af tabet.
Lån & Spar Bank har til støtte for afvisningspåstanden anført, at Ankenævnet bør afvise sagen, da det kun vil være muligt at træffe afgørelse i sagen, hvis klageren og eventuelle vidner under strafansvar afgiver mundtlige parts- og vidneforklaringer. Dette kan ikke ske for Ankenævnet, men i givet fald ved domstolene. Ankenævnet bør derfor afvise sagen under henvisning til § 5, stk. 3, nr. 4, i Ankenævnets vedtægter.
Ankenævnets bemærkninger
Klageren var kunde i Lån & Spar Bank, hvor han havde en konto med et tilknyttet Visa/dankort -2180.
Den 23. december 2023 blev klagerens Visa/dankort anvendt til en betaling til en udenlandsk betalingsmodtager, L, på 10.908,87 kr., som klageren ikke kan vedkende sig.
Klageren har oplyst, at han modtog en besked med et link i forbindelse med, at han åbnede sin MobilePay-app. Beskeden fremstod som værende fra MobilePay. Af beskeden fremgik, at hans grænse for transaktioner i MobilePay var sat til 300 kr., og at han skulle godkende via MitID, hvis han ønskede at ændre dette. Han blev bedt om at vælge et af sine kortnumre samt efterfølgende godkende via MitID, hvilket han gjorde. Der stod ikke noget om 10.908,87 kr. i beskeden eller på MitID.
Banken har oplyst, at den omtvistede betaling blev foretaget med sikkerhedsløsningen 3D Secure ved godkendelse i klagerens MitID-app, og at det fremgår af en udskrift fra Nets, at klageren fik præsenteret teksten ”Betal 10908,87 DKK til [L] fra kort xx2180” i MitID-appen.
Banken godtgjorde klagerens tab fratrukket 8.000 kr.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bog-ført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter be-stemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet lægger til grund, at transaktionen skyldtes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Ankenævnet finder, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. lov om betalinger § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeauten-tifikation, jf. lov om betalinger § 7, nr. 30.
Efter lov om betalinger § 100, stk. 4, hæfter betaleren med op til 8.000 kr. af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5 (§ 100, stk. 4, nr. 2), eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse (§ 100, stk. 4, nr. 3).
Tre medlemmer – Henrik Waaben, Inge Kramer og Nanna Vetter Viberg Nielsen – udtaler:
Vi finder, at det må lægges det godtgjort, at klageren må have godkendt betalingen på 10.931,87 kr. i sin MitID-app.
Vi finder herefter, at banken har godtgjort, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, da han burde have reageret på teksten i MitID-appen, hvor han fik oplysninger om beløbet på 10.931,87 kr. og beløbsmodtager, og at klageren som følge heraf hæfter med op til 8.000 kr.
Vi stemmer derfor for, at klageren ikke får medhold i klagen.
To medlemmer – Rolf Høymann Olsen og Poul Erik Jensen – udtaler:
Som ovenfor anført finder vi det godtgjort, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Vi finder, at der er tale om organiseret professionel svindel.
Forbrugere har forskellige forudsætninger for at gennemskue professionel svindel. Det må aldrig blive utrygt for den almindelige forbruger at anvende de digitale løsninger og betalingstjenester, der er nødvendige for at fungere i vores samfund.
Vi finder derfor ikke, at klageren, ved at blive snydt af en professionel svindler, har udvist groft uforsvarlig adfærd. Det må forudsættes, at såfremt klageren havde forudsætninger for at gennemskue svindlen, ville klageren ikke have godkendt transaktionen.
Hertil bemærkes et generelt forbehold for så vidt angår systemfejl. Det kan ikke udelukkes, at der i sager med phishing, hvor forbrugeren oplever, at beløbet ændrer sig efter, at transaktionen er godkendt, er tale om raffineret systemteknisk misbrug, hvor svindleren er lykkedes med at udvikle tekniske løsninger, hvor beløbet først ændres efter, at transaktionen er godkendt.
Vi finder ikke, at banken har godtgjort, at betingelserne for at klageren hæfter efter de udvidede ansvarsbestemmelser i betalingslovens § 100, stk. 4, er opfyldt.
Vi finder, at banken er nærmest til at bære risikoen for, at det betalingssystem, forbrugerne anvender, er tilstrækkelig sikkert og tydeligt til at hindre svindel.
Da den til betalingstjenesten hørende personlige sikkerhedsforanstaltning har været anvendt, hæfter klageren for 375 kr. af tabet på 10.931,87 kr., jf. betalingslovens § 100, stk. 3.
Vi stemmer derfor for, banken skal tilbageføre 7.625 kr. til klageren.
Sagen afgøres efter stemmeflertallet.
Ankenævnets afgørelse
Klageren får ikke medhold i klagen.