Indsigelse mod at hæfte for 8.000 DKK af korttransaktion godkendt i MitID-app
| Sagsnummer: | 749/2023 |
| Dato: | 14-06-2024 |
| Ankenævn: | Henrik Waaben, Jonas Thestrup Nielsen, Karin Sønderbæk, Rolf Høymann Olsen og Ann-Mari Faldt Agerlin. |
| Klageemne: |
Betalingstjenester - ikke-vedkendte hævninger
Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for 8.000 DKK af korttransaktion godkendt i MitID-app |
| Indklagede: | Lån & Spar Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for 8.000 DKK af korttransaktion godkendt i MitID-app.
Sagens omstændigheder
Klageren var kunde i Lån & Spar Bank, hvor hun havde to Visa/dankort -2940 og -9378.
Torsdag den 30. november 2023 blev klagerens betalingskort -2940 anvendt til en betaling til en betalingsmodtager, I, på 12.504,50 RON (Rumænske Leu), svarende til 19.058,21 DKK, som klageren ikke kan vedkende sig.
Om baggrunden for transaktionen har klageren oplyst, at hun modtog en mail den 30. november 2023, der fremstod som om, den kom fra PostNord, hvoraf fremgik, at hun havde en pakke liggende i tolden, og at der skulle betales moms, eventuel told samt ekspeditionsgebyr inden for fem dage på 31 DKK til PostNord.
Hun ventede en pakke fra New York, så det gav god mening, hvorfor hun gennemførte betalingen via MitID-appen. Hun godkendte transaktionen i den tro, at hun betalte et lille beløb til PostNord.
Banken har oplyst at betalingen blev foretaget i klagerens MitID-app. Banken har fremlagt transaktionsdetaljer fra Nets med teksten, der blev sendt til klagerens MitID-app i forbindelse med godkendelsen af betalingen. Af teksten fremgik:
”Betal 12504,50 RON til [I] fra kort xx2940”
Banken har oplyst, at transaktionen er sket korrekt, og at betalingen er korrekt registreret.
Banken har endvidere oplyst, at kortbetalingen blev godkendt med sikkerhedsløsningen 3D Secure ved godkendelse i klagerens MitID-app.
Klageren har oplyst, at hun efter godkendelsen af transaktionen modtog en SMS fra banken. Af beskeden fremgik følgende:
”Info om køb [I] 12504,50 RON. Omregnet til: 19.058,21 dkr.”
Yderligere har klageren oplyst, at hun straks derefter satte en midlertidig spærring på betalingskortet. Fredag den 1. december 2023 kl. 09:00 kontaktede hun banken, som tilsyneladende ville spærre begge hendes betalingskort. Hun henvendte sig efterfølgende til sin lokale bankafdeling, som oplyste hende, at hendes kort ikke var spærret.
Klageren gjorde indsigelse mod betalingen.
Banken godtgjorde klagerens tab på 19.058,21 DKK, fratrukket en selvrisiko på 8.000 DKK., svarende til 11.058,21 DKK.
Parternes påstande
Den 13. december 2023 har klageren indbragt sagen for Ankenævnet med påstand om, at Lån & Spar Bank skal hæfte for de resterende 8.000 DKK.
Lån & Spar Bank har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har anført, at hun kun har foretaget en transaktion, som dækkede et portobeløb på 31 DKK og ikke 19.058,21 DKK.
Det er ikke retfærdigt, at hun skal hæfte med 8.000 DKK for tab som følge af andres uberettigede anvendelse af betalingstjenesten.
Hun har ikke forsætligt overdraget den personlige sikkerhedsforanstaltning til den person, der uberettiget har anvendt den, eller gennem groft uansvarlig opførsel muliggjort den uberettigede anvendelse.
Hun har været i god tro og er blevet udsat for raffineret systemteknisk misbrug. Der er tale om organiseret professionel svindel. Hun godkendte beløbet i den tro, at hun betalte et lille beløb til PostNord. Hun blev ikke præsenteret for beløbsmodtager og beløb i MitID-appen. I forbindelse med godkendelsen af transaktionen modtog hun en SMS fra banken med teksten: "Info om køb. [I] 12504,50 RON. Omregnet til: 19.058,21 DKK." Hun modtog ikke en SMS før godkendelsen af transaktionen.
De væsentligste procedurer blev overholdt i sagen, da hun undersøgte afsenderens e-mailadresse, som viste sig at være velgennemtænkt til formålet. Umiddelbart efter transaktionen sørgede hun for en midlertidig spærring af MitID samt kontoen, der blev anvendt.
Fredag den 1. december 2023 blev hun af banken informeret om, at den ville hjælpe hende med at spærre hendes MitID og begge betalingskort. Hun følte, at hun var i gode hænder. Ingen af delene blev gennemført som lovet af banken.
Lån & Spar Bank har til støtte for frifindelsespåstanden anført, at klageren erkendte at have godkendt betalingen i sin MitID-app.
Klageren afgav strengt personlige oplysninger.
Svindelmetoden, som klageren var udsat for, advares der imod på diverse medier og hjemmesider. Klageren burde have undersøgt mailen, som hun fik tilsendt, inden hun trykkede på linket og afgav alle sine oplysninger, hvorfor hun har udvist grov uagtsomhed.
Klageren havde flere betalingskort. Det betalingskort -2940, som blev anvendt til transaktionen, blev spærret den 30. november 2023. Det andet betalingskort -9378, som ikke blev anvendt til transaktionen, blev spærret ved klagerens henvendelse i banken den 1. december 2023. Banken kan ikke genkende, at klageren skulle have fået oplyst, at begge kort ikke var spærret. Banken har indhentet en redegørelse fra medarbejderne der talte med klageren, hvor det fremgår, at medarbejderne ikke har udtalt sig om kortspærringerne.
Klageren har i forbindelse med indtastningen og videregivelsen af sine personlige oplysninger og ved at ”swipe” i sin MitID-app ved groft uforsvarlig adfærd muliggjort transaktionen, jf. betalingslovens § 100, stk. 4, nr. 3. Klageren hæfter derfor for 8.000 DKK af tabet som følge af transaktionen.
Lån & Spar Bank har til støtte for afvisningspåstanden anført, at det kun vil være muligt at træffe afgørelse i sagen, hvis klageren og eventuelle vidner under strafansvar afgiver mundtlige parts- og vidneforklaringer. Dette kan ikke ske for ankenævnet, men i givet fald ved domstolene. Ankenævnet bør derfor afvise sagen under henvisning til § 5, stk. 3, nr. 4, i Ankenævnets vedtægter.
Ankenævnets bemærkninger
Klageren var kunde i Lån & Spar Bank, hvor hun havde Visa/dankort -2940 og -9378.
Torsdag den 30. november 2023 blev klagerens betalingskort -2940 anvendt til en betaling til en betalingsmodtager, I, på 12.504,50 RON, som klageren ikke kan vedkende sig.
Om baggrunden for transaktionen har klageren oplyst, at hun modtog en mail, der fremstod som om, den kom fra PostNord, hvoraf fremgik, at hun havde en pakke liggende i tolden, og at der skulle betales moms, eventuel told samt ekspeditionsgebyr inden for fem dage på 31 DKK til PostNord. Klageren ventede en pakke fra New York, så det gav god mening, hvorfor hun gennemførte betalingen via MitID-appen. Hun godkendte transaktionen i den tro, at hun betalte et lille beløb til PostNord.
Banken har oplyst, at betalingen blev foretaget i klagerens MitID-app. Banken har fremlagt transaktionsdetaljer fra Nets med teksten, der blev sendt til klagerens MitID-app i forbindelse med godkendelsen af betalingen.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet lægger til grund, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Ankenævnet finder, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 DKK af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5 (§ 100, stk. 4, nr. 2), eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse (§ 100, stk. 4, nr. 3).
Tre medlemmer – Henrik Waaben, Jonas Thestrup Nielsen og Karin Sønderbæk – udtaler:
Vi finder det godtgjort, at klageren må have godkendt betalingen på 12.504,50 RON i sin MitID-app. Vi har herved lagt vægt på oplysningerne fra Nets.
Vi finder derfor, at banken har godtgjort, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, da hun burde have reageret på teksten i MitID-appen, hvor hun fik oplysninger om beløbet på 12.504,50 RON og beløbsmodtager, og at klageren som følge heraf hæfter med op til 8.000 DKK.
Der er heller ikke i øvrigt oplyst omstændigheder, der kan begrunde ansvar for banken.
Vi stemmer derfor for, at klageren ikke får medhold i klagen.
To medlemmer – Rolf Høymann og Ann-Mari Faldt Agerlin – udtaler:
Vi finder det godtgjort, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Vi finder, at der er tale om organiseret professionel svindel.
Forbrugere har forskellige forudsætninger for at gennemskue professionel svindel. Det må aldrig blive utrygt for den almindelige forbruger at anvende de digitale løsninger og betalingstjenester, der er nødvendige for at fungere i vores samfund.
Vi finder derfor ikke, at klageren, ved at blive snydt af en professionel svindler, har udvist groft uforsvarlig adfærd. Det må forudsættes, at såfremt klageren havde forudsætninger for at gennemskue svindlen, ville klageren ikke have godkendt transaktionen.
Hertil bemærkes et generelt forbehold for så vidt angår systemfejl. Det kan ikke udelukkes, at der i sager med phishing er tale om raffineret systemteknisk misbrug, hvor svindleren er lykkedes med at udvikle tekniske løsninger, hvor beløbet først ændres efter, at transaktionen er godkendt.
Vi finder ikke, at banken har godtgjort, at betingelserne for, at klageren hæfter efter de udvidede ansvarsbestemmelser i betalingslovens § 100, stk. 4, er opfyldt.
Vi finder, at banken er nærmest til at bære risikoen for, at det betalingssystem, forbrugerne anvender, er tilstrækkelig sikkert og tydeligt til at hindre svindel.
Da den til betalingstjenesten hørende personlige sikkerhedsforanstaltning har været anvendt, hæfter klageren for 375 DKK, jf. betalingslovens § 100, stk. 3.
Vi stemmer derfor for, at banken skal tilbageføre 7.625 DKK til klageren.
Der træffes afgørelse efter stemmeflertallet.
Ankenævnets afgørelse
Klageren får ikke medhold i klagen.