Indsigelse mod at hæfte for misbrug af betalingskort i forbindelse med phishing.
| Sagsnummer: | 324/2021 |
| Dato: | 21-03-2022 |
| Ankenævn: | Henrik Waaben, Bjarke Svejstrup, Karin Duerlund, Morten Bruun Pedersen og Finn Borgquist |
| Klageemne: |
Betalingstjenester - spørgsmål om groft uforsvarlig adfærd
Betalingstjenester - ikke-vedkendte hævninger |
| Ledetekst: | Indsigelse mod at hæfte for misbrug af betalingskort i forbindelse med phishing. |
| Indklagede: | Nykredit Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for misbrug af betalingskort i forbindelse med phishing.
Sagens omstændigheder
Klageren var kunde i Nykredit Bank, hvor han havde en konto med et tilknyttet Visa/dankort.
Den 26. april 2021 blev klagerens betalingskort anvendt til en betaling til en udenlandsk sportsforretning, F, på 1.519,57 EUR, som klageren ikke kan vedkende sig.
Klageren har oplyst, at han den 26. april 2021 modtog en mail fra et postfirma, P, hvoraf fremgik, at han skulle betale 27,18 kr. i forbindelse med levering af en pakke fra P. Betaling skulle ske ved, at klageren trykkede på et link i mailen. Klageren har ikke fremlagt mailen.
Klageren har oplyst, at han og hans ægtefælle ventede på en pakke, som hans ægtefælle tidligere havde bestilt online. Købesummen var blevet trukket den 26. april 2021. Han troede derfor, at beløbet på 27,18 kr. vedrørte denne forsendelse.
Efter han havde klikket på linket og indtastet sine kortoplysninger, godkendte han en betaling på 27,18 kr. til P. Efter godkendelsen blev beløb og navn ændret. Herefter kom det frem, at der var tale om en betaling på 1.519,57 EUR til F.
Klageren har oplyst, at han straks ringede til banken og spærrede sit betalingskort. På daværende tidspunkt stod der ikke et beløb svarende til 1.519,57 EUR på hans konto, og han spurgte banken, om han ikke for en sikkerheds skyld burde få sin løn, der ville indgå på hans konto om tre dage, indsat på en konto, som han havde i et andet pengeinstitut. Banken oplyste imidlertid, at det var tilstrækkeligt at spærre kortet, og at det ikke var nødvendigt, at han flyttede sin løn til kontoen i det andet pengeinstitut.
Den 29. april 2021, hvor hans løn indgik på kontoen, blev der hævet et beløb på 11.415,39 kr. på klagerens konto. Betalingsmodtageren var F.
Ved en indsigelsesblanket af 29. april 2021 gjorde klageren indsigelse mod transaktionen over for banken.
Banken har oplyst, at transaktionen blev foretaget med sikkerhedsløsningen 3D Secure, idet betalingen var godkendt i klagerens NemID-nøgleapp.
Banken har fremlagt en udskrift fra Nets med den tekst, som blev præsenteret i Nem- ID-nøgleappen. Følgende tekst fremgår af udskriften:
”Betal 1519,57 EUR til [F] fra kort xx9920”
I maj 2021 afviste banken at tilbageføre beløbet til klageren. Efterfølgende genvurderede banken sagen og skrev den 10. juni 2021 til klageren, at hans tab fratrukket 8.000 kr. blev godtgjort svarende til 3.415,39 kr.
Parternes påstande
Den 20. juli 2021 har klageren indbragt sagen for Ankenævnet med påstand om, at Nykredit Bank skal godtgøre ham hele transaktionen og dermed betale 8.000 kr.
Nykredit Bank har nedlagt påstand om frifindelse.
Parternes argumenter
Klageren har anført, at han ikke bør hæfte for transaktionen.
Han var i god tro, idet han og hans ægtefælle ventede på en pakke, som hans ægtefælle tidligere havde bestilt online. I mailen af 26. april 2021 stod der, at beløbet på 27,18 kr. var et ekstra forsendelsesgebyr vedrørende en pakke. Købesummen var blevet trukket den 26. april 2021. Han troede derfor, at beløbet vedrørte denne forsendelse.
Han godkendte en betaling på 27,18 kr. til P. Efter godkendelsen blev beløb og navn ændret. Herefter kom det frem, at der var tale om en betaling på 1.519,57 EUR til F. Han fik først da mistanke om svindel, men kunne herefter ikke gøre noget.
Han handlede så hurtigt han kunne. Han kontaktede banken og spærrede straks sit kort, men på trods af dette blev pengene efterfølgende trukket på hans konto.
Selv om han spurgte banken, om han ikke for en sikkerheds skyld burde få sin løn indsat på en konto, som han havde i et andet pengeinstitut, oplyste banken, at det var tilstrækkeligt at spærre betalingskortet. Hvis han havde fået indsat sin løn på kontoen i det andet pengeinstitut, ville betalingen til F ikke have kunnet gennemføres. Banken er således også af denne grund ansvarlig for hans tab.
Nykredit Bank har anført, at det fremgik klart og tydeligt af teksten, at betalingsmodtageren var F, og at beløbet var 1.519,57 EUR, da klageren godkendte betalingen i NemID-nøgleappen.
Der er ikke konstateret forkert registrering eller bogføring, og transaktionen var ikke ramt af tekniske svigt eller andre fejl.
Ved at godkende transaktionen uden at tage stilling til beløbet, har klageren handlet uagtsomt i en sådan grad, at han selv skal bære det økonomiske tab, i hvert fald med en hæftelse efter lov om betalinger § 100, stk. 4. Ingen sikkerhedsforanstaltninger til selvbetjeningssystemer kan dæmme op for, at personen selv godkender i strid med det ønskede.
Klageren burde have læst teksten og beløbet, der var angivet i forbindelse med godkendelsen. Havde han læst teksten og beløbet inden godkendelse, ville transaktionen ikke have kunnet gennemføres.
Klageren burde endvidere have været skeptisk over for mailen, der skulle fremstå som værende fra P. Det må anses for meget usædvanligt at modtage en uopfordret opkrævning fra P, der ikke engang angav, hvad betalingen vedrørte. Klageren burde derfor have undersøgt forholdet yderligere, førend han gennemførte betaingen. Såfremt klageren havde undersøgt forholdet, inden han initierede betalingen eller havde læst teksten forbundet med NemID godkendelsen, så havde den uberettigede anvendelse været forhindret allerede på dette tidspunkt.
Klageren har således muliggjort betalingen ved groft uforsvarlig adfærd, jf. lov om betalinger § 100, stk. 4. Klageren hæfter derfor for 8.000 kr.
Det har ingen betydning, at klageren kontaktede banken kort tid efter transaktionen. Når transaktionen er godkendt, bliver den gennemført umiddelbart herefter og kan ikke stoppes.
Klageren anfører ligeledes, at han kunne have flyttet sin løn til en anden konto. Dette ville have været uden betydning, da kontoen i Nykredit Bank i så fald blot var gået i overtræk, som ville resultere i, at banken ville have et krav mod klageren.
Postfirmaet P og flere medier har igennem længere tid advaret om den type mail svindel, som er anvendt i denne sag.
Ankenævnets bemærkninger
Klageren har gjort indsigelse mod en transaktion på 1.519,57 EUR til en udenlandsk sportsforretning, F.
Om baggrunden for transaktionen har klageren oplyst, at han og hans ægtefælle ventede på en pakke, som hans ægtefælle tidligere havde bestilt online. Købesummen var blevet trukket den 26. april 2021. Derfor passede det, at P opkrævede et ekstra forsendelsesgebyr på pakken. Han modtog en mail fra P med oplysning om, at han skulle betale 27,18 kr. Efter han havde klikket på linket og indtastet sine kortoplysninger, godkendte han en betaling på 27,18 kr. til P. Efter godkendelsen blev beløb og navn ændret. Herefter kom det frem, at der var tale om en betaling på 1.519,57 EUR til F.
Banken har oplyst, at den omtvistede betaling med klagerens betalingskort blev foretaget med sikkerhedsløsningen 3D Secure ved godkendelse i NemID-nøgleapp.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. lov om betalinger § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. lov om betalinger § 93.
Ankenævnet finder, at det som anført af banken må lægges til grund, at det ikke var muligt at tilbageføre eller stoppe transaktionen. Såfremt klageren havde flyttet sin løn til en konto i et andet pengeinstitut, ville kontoen i Nykredit Bank i stedet være gået i overtræk, som ville resultere i, at banken ville have et krav mod klageren.
Klageren har anført, at han ikke godkendte betalingen af 1.519,57 EUR til F.
Ankenævnet finder det godtgjort, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste, hvilket ikke er bestridt.
Ankenævnet finder endvidere, at klagerens NemID var en personlig sikkerhedsforanstaltning, jf. lov om betalinger § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. lov om betalinger § 7, nr. 30.
Efter lov om betalinger § 100, stk. 4, hæfter betaleren med op til 8.000 kr. af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5 (§ 100, stk. 4, nr. 2), eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse (§ 100, stk. 4, nr. 3).
Tre medlemmer – Henrik Waaben, Bjarke Svejstrup og Karin Duerlund - udtaler:
Vi lægger til grund, at klageren må have godkendt betalingen på 1.519,57 EUR i sin NemID-nøgleapp.
Vi finder, at banken har godtgjort, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, da klageren burde have reageret på teksten i NemID-nøgleappen, hvor klageren fik oplysninger om, at der var tale om en overførsel af 1.519,57 EUR til F.
Vi stemmer derfor for, at klageren ikke får medhold i klagen.
To medlemmer – Morten Bruun Pedersen og Finn Borgquist - udtaler:
Som nævnt ovenfor finder Ankenævnet, at der er tale om svindel fra tredjemands side.
Vi finder ikke, at klageren har udvist groft uforsvarlig adfærd. Det må lægges til grund, at beløbet ændrede sig efter godkendelsen. Der må derfor være tale om en systemfejl, som banken hæfter for. Banken har dermed ikke godtgjort, at betingelserne for, at klageren hæfter efter de udvidede ansvarsbestemmelser i betalingslovens § 100, stk. 4, er opfyldt.
Vi stemmer derfor for, at klageren får medhold i klagen.
Sagen afgøres efter stemmeflertallet.
Ankenævnets afgørelse
Klageren får ikke medhold i klagen.