Afgørelse

Indsigelse mod at hæfte for op til 8.000 DKK af korttransaktioner gennemført som betalinger med et virtuelt kort via Apple Pay. Indrullering af et betalingskort i tredjemands Apple Pay-Wallet.

Sagsnummer:	511/2026
Dato:	30-10-2026
Ankenævn:	Bo Østergaard, Bjarke Levinsky Svejstrup, Majken Christoffersen, Morten Bruun Pedersen og Elizabeth Bonde.
Klageemne:	Betalingstjenester - ikke-vedkendte hævninger Betalingstjenester - spørgsmål om groft uforsvarlig adfærd
Ledetekst:	Indsigelse mod at hæfte for op til 8.000 DKK af korttransaktioner gennemført som betalinger med et virtuelt kort via Apple Pay. Indrullering af et betalingskort i tredjemands Apple Pay-Wallet.
Indklagede:	Lunar Bank
Øvrige oplysninger:
Senere dom:
	Pengeinstitutter

Indledning

Sagen vedrører indsigelse mod at hæfte for op til 8.000 DKK af korttransaktioner gennemført som betalinger med et virtuelt kort via Apple Pay. Indrullering af et betalingskort i tredjemands Apple Pay-Wallet.

Sagens omstændigheder

Klageren var kunde i Lunar Bank, hvor hun havde en konto med et tilknyttet betalingskort -157 i sin Lunar Bank-app.

Den 28. maj 2026 modtog hun en SMS om et parkeringsgebyr. Beskeden passede med parkeringen, hun havde foretaget dagen før. Af denne grund opfattede hun den som legitim og fulgte et link i den tro, at hun skulle betale et parkeringsgebyr på 27 DKK. Hun indtastede sine kortoplysninger.

Banken har fremlagt et eksempel på indholdet af SMS’en med aktiveringskoden, hvoraf fremgår:

”Din aktiveringskode er [XXX].

Hvis kortet ikke automatisk er aktiveret i wallet-appen kan du aktivere det ved at:

1) Åbne Wallet-appen på din telefon

2) Vælge dit kort

3) Vælge ’Skift kode’

4) Indsætte aktiveringskode.

Koden udløber om 30 minutter. Hvis du har problemer, skal du kontakte support på +4570605454.

Med venlig hilsen

Lunar”

Samme dag kl. 13:19 blev klagerens betalingskort -157 frosset, fordi kortet blev tilføjet til en ny digital Wallet uden for Lunar-appen. Banken har fremlagt kortdetaljer, hvoraf fremgår, at kortet blev frosset med begrundelsen ”Weak tokenization authentication”.

”Kort tilføjet til tegnebog

Vi har låst dit kort, fordi det blev tilføjet til en wallet uden for Lunar-appen. Hvis det var dig, så skal du låse dit kort op. Hvis det ikke var dig, skal du lukke det for at forhindre svindel.”

Banken har anført, at notifikationen vises, inden kortet kan åbnes.

Banken har oplyst, at klageren samme dag kl. 13:21 loggede på sin Lunar-app og åbnede det frosne kort.

Klageren har oplyst, at hun åbnede kortet uden at have set notifikationen.

Banken har fremlagt en oversigt over login i klagerens Lunar-app i perioden fra den 1. maj til den 1. juni 2026. Af oversigten fremgår, at der i perioden blev logget ind i klagerens Lunar-app på en iPhone 15,2 ved brug af PIN-kode.

Banken har oplyst, at tilføjelse af et Lunar-betalingskort til en digital Wallet kan gennemføres på to måder. Banken har oplyst, at tilføjelsen af kortet skete direkte via enhedens Wallet-app på følgende måde:

1. Kortholder indtaster manuelt kortoplysningerne (kortnummer, udløbsdato og CVC-kode) i enhedens Wallet-app.

2. Der sendes omgående en engangskode via SMS til det telefonnummer, som er registreret på kundens profil.

3. Kortholder skal indtaste denne engangskode i Wallet-appen for at bekræfte og fuldføre tilknytningen af kortet.

4. Som verifikation udløser dette en automatisk sikkerhedsforespørgsel til banken, hvorfor ens kort bliver frosset i appen.

5. En notifikation omkring tilføjelsen af kortet til en ny digital Wallet, vil figurere i kortholderens Lunar-app.

6. Kortholder skal efterfølgende ind og genåbne kortet i sin Lunar-app, inden det kan bruges i den nye digitale Wallet.

Den 29. maj 2026 blev en virtuel udgave af klagerens betalingskort -157 i en Apple Pay-Wallet anvendt til at foretage 15 betalinger til pengeinstitut R på hver 250 EUR, svarende til 1.868,32 DKK, i alt 28.024,80 DKK, som klageren ikke kan vedkende sig.

Efterfølgende lukkede klageren sit betalingskort -157.

Den 31. maj 2026 blev transaktionerne debiteret klagerens konto.

Ved besked af 1. juni 2026 til klageren kvitterede banken for modtagelse af klagerens indsigelse og anmodede om yderligere oplysninger. Parterne var i forlængelse heraf i dialog om indsigelsen.

Den 5. juni 2026 oplyste klageren over for banken:

”Jeg vil gerne præcisere en oplysning til sagen fra 29.5

Jeg godkendte alene en betaling på parkerings afgift i et parkeringshus på ca 27kr den 29.5.26 på min sikre arbejdstelefon via MitID i den tro, at der var tale om betaling af et parkeringsgebyr [område A] kommune opkræver deres betaling 1 døgn efter parkering, hvilket passede med min parkering). Jeg har ikke godkendt de efterfølgende 15 transaktioner på 250 EUR, hverken via MitID eller på anden måde. Så beløbene er ikke identiske med parkeringsafgiften til [område A] kommune.”

Den 30. juni 2026 afgjorde banken, at klageren hæftede med 8.000 DKK af tabet. Af afgørelsen fremgår blandt andet:

”Vi har haft din kortindsigelse på kort: 8157 beløb 28.024,80 kr. til behandling, og sagen er godtaget med en selvrisiko på 8.000,00 kr. Da det samlede beløb er højere end selvrisikoen på 8.000,00 kr. har vi godtgjort den resterende del af beløbet på DKK 20.024,80. Vi henviser til betalingsloven §100.

?Du har videregivet dine kortoplysninger, hvilket har gjort det muligt for en tredjepart at tilføje dit kort til sin digitale wallet. Dette er sket i forbindelse med at du modtager en aktiverings SMS fra Nets, hvor aktiveringskoden heri er sendt videre til tredjepart. Efterfølgende blev kortet spærret med en advarsel om at dit kort er tilføjet en ny wallet. På trods af dette, har du selv været inde og genåbne kortet igen i appen. På baggrund af en samlet vurdering er det konkluderet, at du har handlet groft uforsvarligt, og du pålægges derfor en selvrisiko på 8.000 kr. i henhold til betalingslovens § 100, stk. 4.”

Samme dag anmodede klageren om en revurdering af bankens afgørelse og stillede banken en række spørgsmål.

Den 6. juli 2026 fastholdt banken sin afgørelse.

Samme dag anmodede klageren banken om følgende oplysninger:

”Jeg vil derfor bede om dokumentation for:

den handling, som I beskriver som, at jeg genaktiverede kortet den 28.05.2026 kl. 13.21,
hvilken tekst og hvilke oplysninger jeg konkret blev præsenteret for i Lunar-appen i forbindelse med denne handling,
dokumentation for, at der blev sendt en SMS eller e-mail med aktiveringskode til tilføjelse af kortet til en digital wallet, herunder tidspunkt og modtager,
samt den dokumentation, der ligger til grund for vurderingen af, at jeg har handlet groft uagtsomt efter betalingslovens § 100, stk. 4.”

Den 7. juli 2026 svarede banken:

”Vedrørende hændelsen kl. 13.21: Vi kan se, at du tilgik appen fra din enhed kort før kortet blev åbnet. Dette indikerer, at det udelukkende kan være dig, der har foretaget denne handling.

Når et kort tilføjes til en tegnebog uden for Lunar-appen, fryses det automatisk. Du modtog følgende besked:

Kort tilføjet til tegnebog

Vi har låst dit kort, fordi det blev tilføjet til en wallet uden for Lunar-appen. Hvis det var dig, skal du låse dit kort op. Hvis det ikke var dig, skal du lukke det for at forhindre svindel.

SMS-beskeder fra Nets opbevares af Nets og ikke i vores systemer, hvorfor vi desværre ikke kan fremsende denne dokumentation.

Vi har i vores tidligere svar allerede redegjort for grundene til, at vi vurderer, at du har handlet groft uagtsomt i henhold til betalingsloven § 100, stk. 4, og henviser derfor til vores tidligere svar.”

Parternes påstande

Den 10. juli 2026 har klageren indbragt sagen for Ankenævnet med påstand om, at Lunar Bank skal betale hende 8.000 DKK.

Lunar Bank har nedlagt påstand om frifindelse, subsidiært afvisning.

Parternes argumenter

Klageren har anført blandt andet, at hun og banken er enige om de faktiske hændelser og tekniske registreringer. Klagen vedrører alene bankens vurdering af, at hendes handlinger udgør groft uforsvarlig adfærd.

Hun accepterer, at hendes betalingskort blev tilføjet en digital Wallet, at kortet automatisk blev frosset, at hun efterfølgende genåbnede kortet fra sin egen telefon, og at de efterfølgende transaktioner blev gennemført via denne Wallet.

I sin afgørelse anfører banken: “Når disse sikkerhedsforanstaltninger omgås, kan det sidestilles med grov uagtsomhed.” Hun er enig i, at sikkerhedsforanstaltningerne blev omgået, men hun er ikke enig i, at dette i sig selv er tilstrækkeligt til at konkludere, at hun handlede groft uforsvarligt. En sådan vurdering kræver også, at der tages stilling til de konkrete omstændigheder, som førte til, at hun foretog handlingerne.

Dagen før hændelsen parkerede hun i et kommunalt parkeringshus i område A med nummerpladegenkendelse. Hun var efterfølgende i tvivl om, hvorvidt betalingen var registreret korrekt. Da hun senere modtog en SMS om betaling i forbindelse med parkering, kom beskeden på hendes arbejdstelefon i område A Kommune. Det havde betydning for, hvordan hun opfattede beskeden. Hun havde netop parkeret i et kommunalt parkeringshus i område A, og da en besked om parkering efterfølgende kom på hendes arbejdstelefon i område A Kommune, fremstod den for hende som en naturlig fortsættelse af den konkrete parkering.

Hun fulgte linket og indtastede sine kortoplysninger i den tro, at hun foretog en almindelig betaling på 27 DKK. Hun vidste ikke, at hendes kortoplysninger i stedet blev anvendt til at tilføje sit kort til en fremmed digital Wallet. Fra hendes perspektiv var hun ikke ved at oprette eller aktivere en Wallet. Hun var ved at betale for parkering. Det er en væsentlig forskel i forhold til bankens fremstilling. Banken beskriver, hvad hendes handlinger teknisk viste sig at blive anvendt til. Det er ikke det samme som, hvad hun på tidspunktet forstod, at hun foretog sig.

Banken anfører, at hun har “delt den tilsendte sikkerhedskode”. Dette er ikke en præcis beskrivelse. Hun har ikke bevidst videregivet en sikkerhedskode til en tredjemand med henblik på at aktivere sit kort i en digital Wallet. Hvis hun som led i det betalingsforløb, som hun troede vedrørte 27 DKK, indtastede en kode, gjorde hun det i den tro, at hun fortsat gennemførte denne betaling.

Banken oplyser, at banken ikke har adgang til den konkrete SMS, hun modtog. Banken har alene fremlagt et eksempel på en SMS. Hun bestrider ikke bankens tekniske forklaring om, at en kode må være blevet anvendt. Men der er forskel på, at en kode teknisk er blevet anvendt, og på at konkludere, at hun bevidst har delt en sikkerhedskode med en tredjemand med forståelse af, at hun dermed aktiverede sit kort i en fremmed Wallet.

Bankens egen håndtering af den registrerede sikkerhedsrisiko bør også indgå i vurderingen.

Af bankens bilag fremgår det, at systemet kl. 13:19 registrerede “Weak tokenization authentication” og automatisk frøs hendes kort. Bankens eget system identificerede dermed en konkret sikkerhedsrisiko i forbindelse med tokeniseringen og reagerede på den. Allerede kl. 13:21 blev kortet imidlertid registreret som “Card activated”. Der skete ikke en særskilt kontrol af den nye Wallet eller en ny og utvetydig bekræftelse af, at hun faktisk ønskede sit kort tilføjet netop denne Wallet. Hun bestrider ikke, at det var hende, der genåbnede kortet, men hun gjorde det ikke med forståelsen af, at hendes kort var blevet tilføjet en fremmed digital Wallet. Hun befandt sig fortsat i det betalingsforløb, som hun troede handlede om sin parkering.

Hun genåbnede kortet, fordi hun fortsat troede, at hele forløbet vedrørte den parkeringsbetaling, som hun mente at være i gang med at gennemføre. Hvis hun havde opfattet, at hendes handlinger samtidig gav en svindler adgang til sit betalingskort via en digital Wallet, ville hun naturligvis have afbrudt forløbet med det samme.

Banken bekræfter, at bankens system blokerede hendes kort, fordi der var mistanke om svindel. Dette vidste hun ikke. Hun så ikke notifikationen om den digitale Wallet. Når hun åbner Lunar-appen, kommer hun ind på sin almindelige kontooversigt og bliver ikke mødt af notifikationerne først. Da hun kunne se, at hendes kort var lukket, troede hun, at der var tale om en teknisk fejl, og hun åbnede det igen. Dette er væsentligt for hende, fordi banken beskriver det, som om hun havde set bankens advarsel, forstået at den havde blokeret kortet på grund af mistanke om svindel og derefter bevidst valgt at åbne det alligevel. Sådan var det ikke.

Banken beskriver hendes genåbning som om, at hun ”bevidst ophævede de sikkerhedsforanstaltninger, der skulle beskytte [hende] mod misbrug.” Hun foretog bevidst selve handlingen med at genåbne kortet, men hun gjorde det ikke med bevidstheden om, at hun dermed gav en fremmed Wallet mulighed for at anvende sit kort. Det er en væsentlig forskel.

Det er banken, der skal godtgøre, at betingelserne for hæftelse efter betalingslovens § 100, stk. 4, er opfyldt.

Hun er ikke enig med banken i, at sagen bør afvises med henvisning til behov for parts- og vidneforklaringer.

Lunar Bank har til støtte for frifindelsespåstanden anført, at klageren hæfter for selvrisikoen på 8.000 DKK, idet misbruget er muliggjort af klagerens groft uforsvarlige adfærd, jf. betalingslovens § 100, stk. 4, nr. 3. Klagerens adfærd afviger væsentligt fra, hvad der med rimelighed kan forventes af en almindeligt forsigtig bruger af betalingstjenester.

For at tredjepart har kunnet tilføje klagerens kort til en fremmed digital Wallet, har det været en forudsætning, at klageren har udleveret sine fulde kortoplysninger, herunder kortnummer, udløbsdato, CVC-kode samt den engangskode, som fremsendes til klagerens registrerede telefonnummer. Dette er den eneste tekniske mulighed, da der ikke er konstateret uautoriseret adgang til klagerens Lunar-app.

Det må desuden lægges til grund, at klageren aktivt har tilsidesat bankens sikkerhedsforanstaltninger. Efter kortet blev tilføjet en ny digital Wallet, blev det automatisk frosset, og klageren modtog samtidig en tydelig notifikation i appen om, at kortet var blevet låst af sikkerhedsmæssige årsager. På trods af denne advarsel har klageren logget ind i sin Lunar-app og manuelt genåbnet kortet, hvilket muliggjorde de bestridte transaktioner.

Det samlede forløb viser, at klageren har handlet groft uforsvarligt ved både at videregive fortrolige oplysninger og bevidst ophæve de sikkerhedsforanstaltninger, der skulle beskytte hende mod misbrug.

Betingelserne i betalingslovens § 100, stk. 4, nr. 3, er dermed opfyldt, og klageren hæfter derfor for selvrisikoen på 8.000 DKK.

Betalingstransaktionerne er korrekt registreret og bogført og er ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98, stk. 1.

Vedrørende SMS'en anfører klageren, at beskeden blev opfattet som en naturlig fortsættelse af den konkrete parkering. Det fremgår tydeligt af beskeden, at koden skal bruges til at tilføje kortet til en digital Wallet. Havde klageren læst beskedens indhold, ville det derfor også have stået klart, at koden ikke havde noget at gøre med en parkering, men derimod tilføjelse af hendes kort til en anden digital Wallet.

Klageren anfører også, at bankens system netop spærrer kortet, fordi der er mistanke om svindel, hvilket ikke bestrides. Grunden til, at kortet spærres og efterfølgende kan genåbnes, er, at der kan opstå situationer, hvor kunden selv ønsker at tilføje sit kort til en betroet enhed uden for Lunar-appen. Det er netop af denne årsag, at banken sender en notifikation, som tydeligt anfører, at kortet kun bør genåbnes, hvis kunden selv har foretaget tilføjelsen til en digital Wallet uden for Lunar-appen.

Banken har til støtte for afvisningspåstanden anført, at sagen alene kan afgøres på baggrund af yderligere bevisførelse i form af parts- og vidneforklaringer.

Bevisførelsen er nødvendig for at fastlægge sagens faktiske omstændigheder, hvilket har betydning for hæftelsesspørgsmålet. Sådan bevisførelse kan ikke finde sted i Ankenævnet, men alene ved domstolene, hvorfor sagen bør afvises, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.

Ankenævnets bemærkninger

Klageren var kunde i Lunar Bank, hvor hun havde en konto med et tilknyttet betalingskort -157 i sin Lunar Bank-app.

Klageren har oplyst, at hun den 27. maj 2026 parkerede i et kommunalt parkeringshus i område A, hvor der var automatisk nummerpladegenkendelse. Efter parkeringen var hun usikker på, om betalingen var registreret korrekt. Hun vidste, at der fandtes flere forskellige betalingsmuligheder i forbindelse med parkering, og hun var derfor i tvivl om, hvorvidt hun skulle foretage en efterbetaling. Den 28. maj modtog hun en SMS om et parkeringsgebyr. Beskeden passede med parkeringen, hun havde foretaget dagen før. Af denne grund opfattede hun den som legitim og fulgte et link i den tro, at hun skulle betale et parkeringsgebyr på 27 DKK. Hun indtastede sine kortoplysninger.

Banken har oplyst, at der den 28. maj 2026 blev aktiveret en virtuel kopi af betalingskort -157 via en Wallet. Banken har oplyst, at dette skete ved brug af klagerens kortoplysninger og en aktiveringskode, sendt i en SMS fra Nets til klageren. Af SMS’en fremgik, at såfremt kortet ikke var aktiveret i Wallet-appen, så kunne hun aktivere det ved at åbne Wallet-appen på sin telefon, vælge sit kort, vælge ”skift kode” og indsætte aktiveringskoden.

Banken har endvidere oplyst, at banken sendte en notifikation i klagerens Lunar-app med besked om, at kortet blev tilføjet til en ny Wallet. Banken har fremlagt et skærmprint med beskeden i Lunar-appen, hvoraf fremgår: ”Kort tilføjet til tegnebog. Vi har låst dit kort, fordi det blev tilføjet til en Wallet uden for Lunar-appen. Hvis det var dig, så skal du låse dit kort op. Hvis det ikke var dig, skal du lukke det for at forhindre svindel.”

Banken har anført, at notifikationen vises, inden kortet kan åbnes.

Banken har oplyst, at klageren samme dag kl. 13:21 loggede på sin Lunar-app og åbnede det frosne kort.

Klageren har oplyst, at hun åbnede kortet uden at have set notifikationen.

Den 29. maj 2026 blev en virtuel udgave af klagerens betalingskort -157 i en Apple Pay-Wallet anvendt til at foretage 15 betalinger til pengeinstitut R på hver 250 EUR svarende til 1.868,32 DKK, i alt 28.024,8 DKK, som klageren ikke kan vedkende sig.

Ankenævnet lægger til grund, at betalingstransaktionerne er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionerne, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.

Ankenævnet finder, at indrullering af et betalingskort i en Apple Pay-Wallet udgør en situation omfattet af betalingslovens § 128, stk. 1, nr. 3.

Ved indrullering af betalingskortet via Apple Pay-Wallet-appen er kravet til stærk kundeautentifikation opfyldt, når minimum to sikkerhedselementer vedrørende samme kunde er anvendt.

Ankenævnet lægger som anført af banken til grund, at indrulleringen er sket ved brug af klagerens kortoplysninger, en engangskode, som blev sendt til klagerens telefonnummer (besiddelse) og ved klagerens efterfølgende fjernelse af en automatisk etableret spærring på betalingskortet ved login med PIN-kode i sin Lunar Bank-app (viden). Ankenævnet finder det godtgjort, at indrulleringen af klagerens betalingskort -157 i tredjemands Apple Pay-Wallet er sket ved stærk kundeautentifikation, da videns- og besiddelseselementet er opfyldt.

Ankenævnet lægger til grund, at transaktionerne skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.

Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 DKK af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5, jf. betalingslovens § 100, stk. 4, nr. 2, eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, jf. betalingslovens § 100, stk. 4, nr. 3.

Tre medlemmer - Bo Østergaard, Morten Bruun Pedersen og Elizabeth Bonde - udtaler:

Vi finder efter en samlet vurdering af sagens omstændigheder, herunder udformningen af de beskeder, der blev sendt til klageren i forbindelse med tilføjelsen af hendes betalingskort til tredjemands Wallet, at det ikke kan anses for godtgjort, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse af sin betalingstjeneste, jf. betalingslovens § 100, stk. 4, nr. 3.

Vi finder således, at det forhold, at klageren samtidig med åbningen af sit betalingskort også uforvarende åbnede den virtuelle kopi af kortet i tredjemands Wallet, ikke udgør groft uforsvarlig adfærd.

Da den til betalingstjenesten hørende personlige sikkerhedsforanstaltning har været anvendt, hæfter klageren for 375 DKK af tabet, jf. betalingslovens § 100, stk. 3.

Vi stemmer derfor for, at Lunar Bank skal betale klageren 7.625 DKK.

To medlemmer - Bjarke Levinsky Svejstrup og Majken Christoffersen – udtaler:

Efter de foreliggende oplysninger finder vi det godtgjort, at klageren må have udleveret sine kortoplysninger, engangskode og fjernet den automatisk etablererede spærring i sin Lunar Bank-app, hvilket har muliggjort, at tredjemand kunne oprette en digital udgave af klagerens betalingskort på tredjemands Wallet og herefter foretage betalingerne.

Vi finder, at banken har godtgjort, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, da hun burde have reageret på teksten i SMS’en med engangskoden eller notifikationen i Lunar Bank-appen, hvor han fik oplysninger om, at hendes betalingskort var låst, da det var blevet tilføjet til en Wallet uden for Lunar Bank-appen, og at hun for at undgå svindel skulle lukke kortet, hvis det ikke var hende, der havde tilføjet betalingskortet til en Wallet, og at klageren som følge heraf hæfter med op til 8.000 DKK.

Vi stemmer derfor for, at klageren ikke får medhold i klagen.

Sagen afgøres efter stemmeflertallet.

Ankenævnets afgørelse

Lunar Bank skal inden for 30 dage indsætte 7.625 DKK på klagerens konto med valør fra datoen for debitering af transaktionerne.

Klageren får klagegebyret tilbage.

Kontakt

Indsigelse mod at hæfte for op til 8.000 DKK af korttransaktioner gennemført som betalinger med et virtuelt kort via Apple Pay. Indrullering af et betalingskort i tredjemands Apple Pay-Wallet.