Indsigelse mod at hæfte for 8.000 DKK af korttransaktion, der blev godkendt i MitID-app.
| Sagsnummer: | 128/2024 |
| Dato: | 21-10-2024 |
| Ankenævn: | Vibeke Rønne, Inge Kramer, Janni Visted Hansen, Rolf Høymann Olsen og Ann-Mari Agerlin. |
| Klageemne: |
Betalingstjenester - ikke-vedkendte hævninger
Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for 8.000 DKK af korttransaktion, der blev godkendt i MitID-app. |
| Indklagede: | Jyske Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for 8.000 DKK af korttransaktion, der blev godkendt i MitID-app.
Sagens omstændigheder
Klageren var kunde i Jyske Bank, hvor han havde en konto med et tilknyttet Visa/dankort.
Banken har fremlagt en udskrift fra klagerens MitID-portal, hvoraf fremgår, at klageren den 21. januar 2022 installerede MitID med identifikationsnummer -3463 på en Android-enhed (Android 13). Klageren har over for banken oplyst, at han har en Samsung telefon, det vil sige en Android telefon.
Den 23. november 2023 modtog klageren en SMS, hvoraf fremgik:
”Opdatering, detaljerne for Mobilepay udløb, onlinefunktionerne vil ikke være tilgængelige for dig: [link]”
Klageren har oplyst, at han klikkede på linket, opdaterede sit MobilePay og godkendte det med sit MitID.
Den 23. november 2023 blev der foretaget en betaling på 2.532 EUR svarende til 19.066,97 DKK med klagerens betalingskort til en betalingsmodtager, F, som klageren ikke kan vedkende sig.
Banken har oplyst, at kortbetalingen den 23. november 2023 kl. 17:42 blev godkendt med stærk kundeautentifikation i klagerens MitID-app med identifikationsnummer -3463, og at der ikke efterfølgende er blevet tilføjet yderligere enheder til MitID-appen.
Banken har endvidere oplyst, at det fremgår af en udskrift fra Nets, at klageren fik præsenteret følgende tekst i MitID-appen:
”Betal 2532,00 EUR til [F] fra kort xx4784”
Transaktionen blev bogført på klagerens konto den 27. november 2023.
Ved en tro- og loveerklæring af 27. november 2023 gjorde klageren over for banken indsigelse mod betalingen på 2.532 EUR svarende til 19.066,67 DKK.
I en mail af 28. november 2023 bad banken klageren besvare nogle supplerende spørgsmål og i en mail af 30. november 2023 til banken anførte klageren blandt andet:
”Jeg vil hermed prøve at besvare dine spørgsmål så godt som jeg nu kan.
- Du spøger mig:
Har du relevant dokumentation. Fx ordrebekræftelse, regning, leje- og rejsedokumenter samt svar fra forretningen.
- Jeg har Hverken set eller fået nogen dokumentation, regning eller lignende på det hævede beløb. Opdager det først da jeg ser at der er hævet 19066,97 kr. på min konto den 27. november 2023.
Du er blevet forevist følgende tekst ved godkendelse: "Betal 2532,00 EUR til [F] fra kort xx4784"
- Nej. Jeg har aldrig set dette beløb på min skærm eller godkendt et køb fra [F]
Hvad kan der være sket: For at kunne behandle din indsigelse, har vi brug for at vide, om du har modtaget en mail eller SMS med et link i.
- Ja. Jeg har den 23. november 2023 modtaget en SMS hvor der stod at min Mobilepay ville udløbe (se vedlagt fil)
Vi beder dig sende kopi af den mail eller SMS, til brug for fremtidig forebyggelse, til os.
- Er vedlagt
Endvidere vil vi gerne have oplyst
Hvor skulle du oplyse dit kortnummer der slutter med 4784 (via link, i sms el.lign.)
- PÅ vedlagte link
Hvilket mærke telefon du har?
- SAMSUNG
Om du på mitid.dk d. 23.11.2023 ca. kl. 17:42 kan finde følgende tekst, under dine seneste aktiviteter: App - autentificering lykkedes
- Ja. Det har jeg fundet
Endvidere kan du se hvilket nummer MitID identifikationsmiddel er. Det består af et bogstav og 3 x 4 tal. FX A-1111-1111-1111.
- Jeg mener at det er den du gerne vil have. Det er den nyeste. Har 2 ældre Identifikationsmiddel-ID
MitID app(Android-13)
Identifikationsmiddel-ID: [-3463] …
21-01-2022 …
Hvad er politiets J. nr.
- Jeg har anmeldt sagen til politiet den 30. november. …
…”
Banken godtgjorde klageren 11.066,97 DKK svarende til klagerens tab fratrukket 8.000 DKK.
Parternes påstande
Den 20. februar 2024 har klageren indbragt sagen for Ankenævnet med påstand om, at Jyske Bank skal tilbageføre 8.000 DKK til ham.
Jyske Bank har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har anført, at han har været offer for organiseret svindel.
Han har ikke godkendt en betaling. Han har godkendt en opdatering af sin MobilePay og ikke et køb/en overførsel til F. Han har derfor ikke ved groft uforsvarlig adfærd muliggjort den uberettigede anvendelse.
Han har kontaktet MitID angående godkendelsesteksten "Betal 2532,00 EUR til [F] fra kort xx4784" den 23. november 2023 mellem klokken 17:40-17:42. MitID kender ikke til denne tekst, da det er banken, der skriver den. Han har ikke set denne tekst, da han swipede i MitID.
Jyske Bank har til støtte for frifindelsespåstanden blandt andet anført, at transaktionen er korrekt registreret og bogført og ikke har været ramt af tekniske svigt eller andre fejl. Klageren autoriserede transaktionen med sit MitID -3463, og transaktionen blev dermed godkendt med stærk kundeautentifikation.
Klageren har ifølge ham selv fulgt et link i en falsk SMS-besked, hvori han fik oplyst, at han skulle opdatere sine oplysninger på MobilePay. Yderligere indtastede han sine kortoplysninger og godkendte betalingstransaktionen i sin egen MitID-app.
Det fremgik af godkendelsesteksten i klagerens MitID, at betalingsmodtageren var F, og at beløbet på 2.532 EUR ville blive trukket på hans betalingskort. Det måtte derfor være klart for klageren, at han var ved at foretage en betaling på 2.532 EUR til en anden betalingsmodtager.
SMS-beskeden indeholdt et underligt link, og var uklart formuleret på dårligt dansk. Den inkluderede et udtryk som ”detaljerne for Mobilepay udløb” og en forkert stavning af MobilePay, der staves med et stort ”P”, hvorfor klageren burde have undersøgt sagen nærmere, før han fulgte linket og godkendte betalingen.
Det fremgik klart af godkendelsesteksten, at klageren ikke var i færd med at tilknytte/opdatere oplysninger på MobilePay, men derimod var i færd med at godkende og gennemføre en betaling til en betalingsmodtager, F.
Klageren muliggjorde betalingen ved groft uforsvarlig adfærd, hvorfor han hæfter med 8.000 DKK, jf. betalingslovens § 100, stk. 4.
Det følger af betalingslovens § 111, at en betalingsordre ikke kan tilbagekaldes efter, at den er modtaget af banken. Betalingen blev modtaget af banken på det tidspunkt, hvor den blev godkendt med klagerens kortoplysninger og i hans MitID-app den 23. november 2023 kl. 17:42. Fra dette tidspunkt var banken ikke berettiget til at tilbageføre betalingen. Det gælder uanset, at betalingen i første omgang alene blev reserveret på klagerens konto.
Banken har til støtte for afvisningspåstanden anført, at der foreligger en sådan usikkerhed om det faktisk passerede i sagen, herunder hvilke betalingsoplysninger klageren har fået vist i betalingsflowet og i MitID-appen, at en vurdering af sagen vil kræve yderligere bevisførelse i form af vidne- og/eller partsafhøring. Dette kan ikke ske for Ankenævnet, hvorfor Ankenævnet bør afvise at behandle klagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets bemærkninger
Klageren var kunde i Jyske Bank, hvor han havde en konto med et tilknyttet Vi-sa/dankort.
Den 23. november 2023 blev der foretaget en betaling på 2.532 EUR svarende til 19.066,97 DKK med klagerens betalingskort til en betalingsmodtager, F, som klageren ikke kan vedkende sig.
Klageren har oplyst, at han den 23. november 2023 modtog en SMS med et link, der fremstod som værende fra MobilePay. Han klikkede på linket, opdaterede sit MobilePay og godkendte det med sit MitID. Han godkendte en opdatering af sin MobilePay. Han har ikke set nogen godkendelsestekst af en betaling til F i MItID, da han swipede.
Banken har anført, at klageren selv godkendte betalingen i sin MitID-app, hvor beløb, beløbsmodtager og valuta fremgik ved godkendelsen.
Banken har dækket klagerens tab med fradrag af 8.000 DKK.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet lægger til grund, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste, hvilket ikke er bestridt.
Ankenævnet finder, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 DKK af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5 (§ 100, stk. 4, nr. 2), eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse (§ 100, stk. 4, nr. 3).
Tre medlemmer – Vibeke Rønne, Inge Kramer og Janni Visted Hansen – udtaler:
Vi lægger til grund, at klageren må have godkendt betalingen på 2.532 EUR med sit MitID.
Vi finder herefter, at Jyske Bank har godtgjort, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, da han burde have reageret på teksten i MitID, hvor han fik oplysninger om beløbet på 2.532 EUR og beløbsmodtageren, F, og at klageren som følge heraf hæfter med op til 8.000 DKK.
Vi stemmer derfor for, at klageren ikke får medhold i klagen.
To medlemmer – Rolf Høymann Olsen og Ann-Mari Agerlin – udtaler:
Som ovenfor anført finder vi det godtgjort, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Vi finder, at der er tale om organiseret professionel svindel.
Forbrugere har forskellige forudsætninger for at gennemskue professionel svindel. Det må aldrig blive utrygt for den almindelige forbruger at anvende de digitale løsninger og betalingstjenester, der er nødvendige for at fungere i vores samfund.
Vi finder derfor ikke, at klageren, ved at blive snydt af en professionel svindler, har udvist groft uforsvarlig adfærd. Det må forudsættes, at såfremt klageren havde forudsætninger for at gennemskue svindlen, ville klageren ikke have godkendt transaktionen.
Vi finder ikke, at Jyske Bank har godtgjort, at betingelserne for, at klageren hæfter efter de udvidede ansvarsbestemmelser i betalingslovens § 100, stk. 4, er opfyldt.
Vi finder, at Jyske Bank er nærmest til at bære risikoen for, at det betalingssystem, forbrugerne anvender, er tilstrækkelig sikkert og tydeligt til at hindre svindel.
Da den til betalingstjenesten hørende personlige sikkerhedsforanstaltning har været anvendt, hæfter klageren for 375 DKK, jf. betalingslovens § 100, stk. 3.
Vi stemmer derfor for, Jyske Bank skal tilbageføre 7.625 DKK til klageren.
Sagen afgøres efter stemmeflertallet.
Ankenævnets afgørelse
Klageren får ikke medhold i klagen.