Indsigelse mod at hæfte for 8.000 DKK af korttransaktioner, der blev godkendt i MitID-app.
| Sagsnummer: | 89/2024 |
| Dato: | 25-09-2024 |
| Ankenævn: | Helle Lund-Andersen, Jonas Thestrup Nielsen, Klaus Tougaard Kristensen, Rolf Høymann Olsen og Poul Erik Jensen. |
| Klageemne: |
Afvisning - bevis § 5, stk. 3, nr. 4
Betalingstjenester - ikke-vedkendte hævninger Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for 8.000 DKK af korttransaktioner, der blev godkendt i MitID-app. |
| Indklagede: | Nykredit Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for 8.000 DKK af korttransaktioner godkendt i MitID-app.
Sagens omstændigheder
Klageren var kunde i Nykredit Bank, hvor han havde en konto med et tilknyttet betalingskort.
Den 31. januar 2024 blev der med klagerens betalingskort foretaget to betalinger på henholdsvis 44.999 filippinske pesos (PHP) og 44.699 PHP til en udenlandsk betalingsmodtager F, som klageren ikke kan vedkende sig.
Banken har oplyst, at kortbetalingerne blev godkendt med stærk kundeautentifikation i klagerens MitID-app -176, som blev aktiveret i marts 2022.
Banken har fremlagt en udskrift fra sit system med teksterne, der blev sendt til klagerens MitID-app i forbindelse med godkendelse af betalingerne. Af teksterne fremgik:
”Betal 44999,00 PHP til [F] fra kort [xx1259]”
”Betal 44699,00 PHP til [F] fra kort [xx1259]”
Den 2. februar 2024 blev transaktionerne hævet på klagerens konto med henholdsvis 5.584,53 DKK og 5.547,30 DKK, i alt 11.131,83 DKK.
Klageren gjorde herefter over for banken indsigelse mod betalingerne. Han anførte følgende om hændelsesforløbet:
”Jeg fik en mail at jeg skulle opdatere mit id hurtigst muglig og logoet lignet fuldstendig mit id logo så gjorde det i alt fortolighed og jeg har ikke godkent nogen form for handel, men der er blevet trokket to beløb fra [F], jeg har ikke købt noget hos det firma de skal betales tilbage på min konto.”
Den 5. februar 2024 meddelte banken klageren, at banken ville dække 3.131,83 DKK, og at han selv hæftede for 8.000 DKK, da betalingerne var godkendt med klagerens MitID.
Parternes påstande
Den 10. februar 2024 har klageren indbragt sagen for Ankenævnet med påstand om, at Nykredit Bank skal tilbageføre 8.000 DKK.
Nykredit Bank har nedlagt påstand om frifindelse.
Parternes argumenter
Klageren har anført, at han er blevet hacket ved, at han fik en mail fra MitID med logo, som så meget fortrolig ud om, at han skulle opdatere sit MidID hurtigst muligt, da det ellers ville blive lukket. Han brugte sine kortoplysninger. Det skal man, hvis man vil opdatere sit MitID, men det var svindel. Han fik spærret kortet med det samme i banken. Han har ikke godkendt nogen form for handel eller noget beløb.
Han bruger næsten aldrig sit kortnummer til at handle på nettet og aldrig i udlandet. Han har fundet ud af, at betalingsmodtageren F er en blomsterbutik på Filippinerne.
Han ønsker de 8.000 DKK eller en del heraf tilbagebetalt, da han har svært ved at undvære så mange penge.
Han håber, at der kan blive sat en stopper for falske mails. Han har efterfølgende modtaget en ny mail, som fremstod som om den kom fra Nets, som også var en svindelmail, hvor han blev bedt om at give sit kortnummer. Det gjorde han ikke, for han skulle ikke have hacket sit kort igen.
Nykredit Bank har anført, at betalingerne er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl som beskrevet i betalingslovens § 98, stk. 1.
Klageren har selv godkendt betalingerne i sin MitID-app. Betalingstransaktionerne har været underlagt stærk kundeautentifikation. Af MitID-appen fremgik følgende tekster: ”Betal 44999,00 PHP til [F] fra kort [xx1259]” den 31. januar 2024 kl. 10.56 og ”Betal 44699,00 PHP til [F] fra kort [xx1259]” den 31. januar 2024 kl. 11.03.
Det skal samtidig oplyses, at der kun har været en MitID-app aktiveret på betalingstidspunktet. Den MitID-app, som har været anvendt ved betalingen, har været aktiv siden marts 2022.
Der er derfor tale om et typisk tilfælde af phishing, hvor klageren ved groft uforsvarlig adfærd har muliggjort misbruget som beskrevet i betalingslovens § 100, stk. 4, nr. 3.
Der henvises i øvrigt til Ankenævnets afgørelser i sagerne 145/2023 og 115/2023.
Ankenævnets bemærkninger
Klageren var kunde i Nykredit Bank, hvor han havde en konto med et tilknyttet betalingskort.
Den 31. januar 2024 blev der med klagerens betalingskort foretaget to betalinger på henholdsvis 44.999 filippinske pesos (PHP) og 44.699 PHP svarende til i alt 11.131,83 DKK til en udenlandsk betalingsmodtager F, som klageren ikke kan vedkende sig.
Klageren har oplyst, at han modtog en mail, der fremstod som om, den kom fra MitID. Det fremgik heraf, at han skulle opdatere sit MitID hurtigst muligt, ellers ville det blive lukket. Han brugte sine kortoplysninger, men han har ikke godkendt nogen form for handel eller noget beløb.
Banken har oplyst, at kortbetalingerne blev godkendt med stærk kundeautentifikation i klagerens MitID-app, som blev aktiveret i marts 2022.
Banken har dækket klagerens tab med fradrag af 8.000 DKK.
Ankenævnet lægger til grund, at betalingstransaktionerne er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet finder, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionerne blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Ankenævnet lægger til grund, at transaktionerne skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 DKK af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5, jf. betalingslovens § 100, stk. 4, nr. 2, eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, jf. betalingslovens § 100, stk. 4, nr. 3.
Ankenævnet finder, at det på det foreliggende grundlag ikke er muligt at afgøre, om der foreligger misbrug under sådanne omstændigheder, at klageren hæfter for 8.000 DKK af tabet, jf. betalingslovens § 100, stk. 4. Ankenævnet finder, at en stillingtagen hertil forudsætter yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men i givet fald må finde sted ved domstolene. Ankenævnet afviser derfor sagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen.
Klageren får klagegebyret tilbage.