Indsigelse mod at hæfte for 8.000 DKK af korttransaktion i forbindelse med modtagelse af en phising-SMS.
| Sagsnummer: | 395/2026 |
| Dato: | 29-10-2026 |
| Ankenævn: | Katrine Waagepetersen, Inge Kramer, Signe Kjørup Carlsson, Tina Thygesen og Martin Hare Hansen |
| Klageemne: |
Betalingstjenester - ikke-vedkendte hævninger
Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for 8.000 DKK af korttransaktion i forbindelse med modtagelse af en phising-SMS. |
| Indklagede: | Jyske Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for 8.000 DKK af korttransaktion i forbindelse med modtagelse af en phising-SMS.
Sagens omstændigheder
Klageren var kunde i Jyske Bank, hvor hun havde en konto med et tilknyttet Visa/Dankort -9026.
Den 28. april 2026 blev der med klagerens Visa/Dankort gennemført en kortbetaling på 975,98 EUR svarende til 7.369,85 DKK til en betalingsmodtager, L, som klageren ikke kan vedkende sig.
Klageren har fremlagt en SMS af 28. april 2026, som fremstod som værende fra ”Park”, hvoraf fremgik:
”Påmindelse: Du har en Udbetalt regning. Log Venligst ind på din Officielle kontoportal på (http://dk-parkering.cfd/dk) for at se detaljer og betalingsstatus.”
Klageren har oplyst, at hun trykkede på linket i beskeden og loggede ind med MitID i den tro, at hun håndterede et forhold vedrørende parkering.
Banken har oplyst, at kortbetalingen blev godkendt med stærk kundeautentifikation i klagerens MitID-app -281, som blev aktiveret på en iPhone 14 den 14. marts 2024. Banken har fremlagt en udskrift fra klagerens MitID-log, hvoraf blandt andet fremgår:
”28-04-2026 […] App – autentificering lykkedes
…
MitID identifikationsmiddel-ID -281”
Banken har fremlagt en udskrift fra Nets med teksten, der blev vist i klagerens MitID i forbindelse med godkendelsen af betalingen. Af teksten fremgik:
”Betal 975,98 EUR til [betalingsmodtager L] fra kort [-9026]”
Banken har oplyst, at transaktionen var korrekt registreret og bogført.
Klageren gjorde indsigelse mod betalingen ved tro og love-erklæring af 5. maj 2026, hvori hun blandt andet anførte, at havde spærret sit Visa/Dankort den 4. maj 2026. Klageren anførte endvidere i forbindelse med indsigelsen:
” Jeg modtog sms fra PARK som skrev at jeg skulle følge linket og og logge ind på en ubetalt parkeringsregning med MitID. Jeg har ikke oplyst mit kortnummer eller kontokort.
JEg har en Iphone.”
Den 11. maj 2026 afviste banken indsigelsen med henvisning til, at klageren hæftede med op til 8.000 DKK for tabet, og da hendes tab var på 7.369,85 DKK, hæftede hun for det fulde beløb.
Parternes påstande
Den 29. maj 2026 har klageren indbragt sagen for Ankenævnet med påstand om, at Jyske Bank skal helt eller delvis dække hendes tab.
Jyske Bank har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har blandt andet anført, at hun hverken frivilligt eller bevidst gennemførte betaling til en ukendt udenlandsk modtager, og hun har ikke haft til hensigt at stille sine betalingsoplysninger til rådighed for en tredjemand. Hun har ikke bevidst godkendt betalingen. SMS’en fremstod som en legitim henvendelse vedrørende en ubetalt parkeringsafgift og virkede troværdig og professionelt udformet. Hun trykkede på linket i beskeden og loggede ind med MitID i den tro, at hun håndterede et forhold vedrørende parkering. Hun var ikke bevidst om, at hun i realiteten blev udsat for svindel. Hun havde ingen forståelse for, at hun var ved at godkende en helt anden transaktion. Havde hun vidst, at der var tale om svindel, ville hun naturligvis aldrig have fortsat. Phishing bygger på, at almindelige mennesker bliver narret til at tro, at de handler korrekt.
Hun har ikke bevidst videregivet sine kortoplysninger. Banken lægger blot til grund, at kortoplysningerne blev anvendt uden at forklare, hvordan dette skete, men har ikke dokumenteret, hvordan svindlerne kom i besiddelse af hendes kortoplysninger.
Banken anfører, at teksten i MitID burde have fået hende til at reagere, men hverken betalingsmodtagerens navn, "rejse", "flybillet" eller andet, som kunne have gjort hende opmærksom på, at der var tale om betaling af en rejse, fremgik af teksten. Hun havde derfor ingen anledning til at forbinde godkendelsen med andet end den situation, hun troede, hun stod i.
Banken har lagt afgørende vægt på, at der i MitID fremgik et beløb og en betalingsmodtager. Bankens vurdering er for kategorisk, og bør tage hensyn til den konkrete svindelsituation, den psykologiske manipulation, hvor hurtigt og presset forløbet var, og om teksten i godkendelsesflowet gjorde det klart for en almindelig forbruger, at der var tale om en betaling til en udenlandsk modtager og ikke blot login/verifikation.
Det forhold, at hun anvendte MitID, kan ikke i sig selv føre til, at hun hæfter for tabet.
Hun handlede ikke groft uforsvarligt efter betalingslovens regler. Hun handlede i god tro og blev udsat for professionelt udført svindel, som havde til formål at efterligne legitim kommunikation og udnytte tilliden til MitID-systemet.
Jyske Bank har til støtte for frifindelsespåstanden anført, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, da hun tilgik et link i en falsk SMS, der angav at være fra ”Park”. Klageren godkendte betalingen i sin MitID-app, hvilket hun heller ikke har bestridt.
Klageren fik i godkendelsesbilledet i MitID forevist både beløbets størrelse samt navnet på betalingsmodtageren, inden hun godkendte betalingen. Det fremgik klart, at klageren var i færd med at godkende og gennemføre en betaling på 975,98 EUR til betalingsmodtager L med sit Visa/Dankort og ikke betalte en parkeringsafgift. Dette burde have skærpet klagerens opmærksomhed og givet hende anledning til at undersøge sagen yderligere, før hun godkendte betalingen. Havde klageren læst detaljerne for betalingen, som de fremgik af godkendelsesteksten i MitID-appen, og reageret på godkendelsesteksten, inden hun godkendte kortbetalingen, kunne misbruget have været undgået.
Ved kortbetalingen blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Kortbetalingen er korrekt registreret og bogført og ikke har været ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98.
Banken har ikke adgang til den side, hvorfra svindlen foregik, og har derfor ikke mulighed for at dokumentere, hvilke oplysninger klageren har udleveret. Det fremgår af klagerens henvendelse til banken og af klagen til Ankenævnet, herunder kopien af svindel-SMS’en, at klageren havde en ubetalt regning, tilgik et link i SMS’en og loggede ind med sit MitID. Det fremgår ligeledes af de tekniske beviser, at betalingen blev godkendt med klagerens kortoplysninger og i klagerens MitID-app. På baggrund heraf er der ikke andre muligheder end, at klageren selv må have videregivet sine kortoplysninger, da hun tilgik linket, og forinden hun godkendte betalingen. I modsat fald kunne betalingen ikke gennemføres.
Ankenævnet har i flere sager, blandt andet sag 746/2023 om phishing, lagt til grund, at det betragtes som groft uforsvarlig adfærd, hvis men kortholder godkender en betaling med MitID uden at reagere på godkendelsesteksten i MitID-appen, hvor både beløb og modtager bliver oplyst. Herved har kortholderen muliggjort den uberettigede anvendelse på en måde, der gør at man som følge heraf hæfter med op til 8.000 DKK af tabet, jf. Betalingslovens § 100, stk. 4, nr. 3.
Da klagerens tab er mindre end 8.000 DKK, hæfter hun for hele tabet.
Banken har til støtte for afvisningspåstanden anført, at hvis klageren måtte bestride at have godkendt kortbetalingen, foreligger der en sådan usikkerhed om det faktisk passerede i sagen, herunder de nærmere omstændigheder i forbindelse med godkendelse af betalingen, at en afgørelse heraf forudsætter en bevisvurdering i form af parts- og vidneforklaringer. Dette kan ikke ske for Ankenævnet, men må i givet fald finde sted ved domstolene. Sagen skal dermed afvises, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets bemærkninger
Klageren var kunde i Jyske Bank, hvor hun havde en konto med et tilknyttet Visa/Dankort -9026.
Den 28. april 2026 blev der med klagerens Visa/Dankort -9026 foretaget en kortbetaling på 975,98 EUR svarende til 7.369,85 DKK til en betalingsmodtager, L, som klageren ikke kan vedkende sig.
Klageren har fremlagt en SMS af 28. april 2026, som fremstod som værende fra ”Park”, hvoraf fremgik, at klageren havde en ubetalt regning, og at hun via et link i SMS’en skulle logge ind på sin kontoportal for at se detaljer og betalingsstatus.
Klageren har oplyst, at hun trykkede på linket i beskeden og loggede ind med sit MitID i den tro, at hun håndterede et forhold vedrørende parkering.
Banken afslog at godtgøre klagerens tab, da tabet var under 8.000 DKK.
Banken har anført, at kortbetalingen blev godkendt med stærk kundeautentifikation i klagerens MitID, og at klageren inden sin godkendelse blev præsenteret for følgende godkendelsestekst: ”Betal 975,98 EUR til [betalingsmodtager L] fra kort xx9026”.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren (klageren) har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet finder, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Ankenævnet lægger til grund, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 DKK af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5, jf. betalingslovens § 100, stk. 4, nr. 2, eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, jf. betalingslovens § 100, stk. 4, nr. 3.
Tre medlemmer – Katrine Waagepetersen, Inge Kramer og Signe Kjørup Carlsson – udtaler:
Efter de foreliggende oplysninger finder vi det godtgjort, at klageren må have godkendt betalingen på 975,98 EUR svarende til 7.369,85 DKK med sit MitID.
Vi finder, at banken har godtgjort, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, da hun burde have reageret på teksten i MitID, hvor hun fik oplysninger om beløbet på 975,98 EUR og betalingsmodtager L, og at klageren som følge heraf hæfter med op til 8.000 DKK.
Vi stemmer derfor for, at klageren ikke får medhold i klagen.
To medlemmer – Tina Thygesen og Martin Hare Hansen – udtaler:
Som ovenfor anført finder vi det godtgjort, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
På baggrund af MitID-partnerskabets forsikring om, at det ikke er muligt gennem tekniske løsninger at ændre teksten i MitID, herunder skjule, ændre eller maskere beløbet, finder vi efter de foreliggende oplysninger, at klageren må have godkendt Betal 975,98 EUR til [betalingsmodtager L] fra kort [-9026].
Vi finder, at der er tale om organiseret og professionel svindel.
Den professionelle svindel har kvalitetsmæssigt nået et niveau, hvor selv den agtpågivende forbruger let kan forveksle svindlen med henvendelser fra legitime erhvervsdrivende eller myndigheder. Det må aldrig blive utrygt for forbrugerne at anvende de digitale løsninger og betalingstjenester, der er nødvendige for at fungere i vores samfund.
Omfanget af digital kriminalitet stiller derimod store krav til udbyderne af digitale sikkerhedsløsninger samt betalingsinfrastrukturen, således at forbrugerne sikres bedst muligt. Dette gælder også i forhold til simpel fejlhåndtering, hvilket er helt almindelig praksis inden for forbrugerbeskyttelse ved andre produkter.
Vi finder derfor ikke, at klagerens fejlhåndtering af sikkerhedsløsningen, i en situation, hvor denne udsættes for professionel, organiseret kriminalitet, udgør groft uforsvarlig adfærd.
Vi finder ikke, at banken har godtgjort, at betingelserne for, at klageren hæfter efter de udvidede ansvarsbestemmelser i betalingslovens § 100, stk. 4, er opfyldt. I vurderingen har vi lagt vægt på, at bestemmelsen stiller krav om en groft uforsvarlig adfærd førend betaleren kan pålægges at hæfte. Henset til sagens omstændigheder, finder vi samlet set at flertallets afgørelse er udtryk for en for skærpet ansvarsnorm, der ikke tager behørigt hensyn til svindlens kvalitetsmæssige niveau og professionelle karakter.
Vi finder, at banken er nærmest til at bære risikoen for, at det betalingssystem, som forbrugerne anvender, er tilstrækkeligt sikkert til at hindre kriminelles misbrug heraf.
Da den til betalingstjenesten hørende personlige sikkerhedsforanstaltning har været anvendt, hæfter klageren for 375 DKK af tabet, jf. betalingslovens § 100, stk. 3.
Vi stemmer derfor for, at banken skal tilbageføre 6.994,85 DKK til klageren.
Sagen afgøres efter stemmeflertallet.
Ankenævnets afgørelse
Klageren får ikke medhold i klagen.