Tapahtumatiedot
Asiakas on myynyt Vinted-sivustolla vaatteita ja hän on saanut sivuston sovelluksen kautta viestin, jonka mukaan ostaja olisi maksanut tuotteen sekä toimituksen. Viestissä on pyydetty asiakkaan puhelinnumeroa. Ilmoitettuaan puhelinnumeronsa asiakas on saanut tekstiviestin, jossa on ollut linkki verkkosivustolle. Verkkopankin sivustolta näyttäneillä sivuilla asiakasta on pyydetty ilmoittamaan maksukorttinsa tiedot rahojen vastaanottamiseksi. Asiakas on syöttänyt ensin yhden kortin tiedot ja virheilmoituksen saatuaan vielä toisen kortin tiedot. Tämän jälkeen hän on luullut kirjautuvansa pankin sivustolle. Asiakas on saanut pankilta englanninkielisen tekstiviestin aiempaan pankin viestiketjuun. Viestissä on ollut aktivointikoodi pankin tunnistussovellukseen. Asiakas on saanut vielä uuden tekstiviestin tunnistussovelluksen onnistuneesta aktivoinnista.
Asiakkaan korttitiedoilla on tehty verkossa 16.7.2024 neljä korttimaksua yhteisarvoltaan noin 17.500 euroa. Korttimaksut on vahvistettu pankin tunnistussovelluksella. Tunnistussovelluksen käyttöönotto on edellyttänyt huijarilta asiakkaan pankkitunnusten käyttäjätunnusta ja salasanaa sekä pankin asiakkaalle lähettämissä tekstiviesteissä ollutta vahvistuskoodia.
Asiakas on soittanut pankkiin tapahtumapäivänä ja hänen maksukorttinsa on suljettu klo 15:10 ja verkkopankkitunnukset klo 15:09.
Asiakkaan valitus
Asiakas vaatii pankkia korvaamaan aiheutuneen 17.565,10 euron vahingon.
Huijaus on toteutettu niin, että sivustot ovat näyttäneet aidoilta eikä asiakkaalla ole ollut mahdollisuutta havaita huijausta. Asiakas luuli viestin tulevan Vinted-sovelluksesta. Toimintatapa oli samanlainen kuin tori.fi -palvelussa. Asiakas luuli olevansa tunnistautumassa sivustolle eikä hän ollut tietoinen, että kysymyksessä oli pankin tunnistussovelluksen käyttöönotto. Toisen pankin vastaavissa viesteissä kerrotaan selkeästi, että pankkisovellusta ollaan ottamassa käyttöön toisessa laitteessa.
Asiakas sai kirjautuessa ensin virheviestin, mikä on myös hyvin yleistä. Asiakas oli vastaanottamassa rahaa eikä missään mainittu, että hänen tililtään tai kortiltaan menisi maksuja. Koska kysymyksessä oli kansainvälinen kauppapaikka, asiakas oletti sen takia pankin viestienkin olevan englanninkielisiä. Asiakas ei luovuttanut tunnuksiaan kenellekään, vaan hän uskoi toimivansa pankin oikealla sivulla.
Pankin vastine
Pankki kiistää asiakkaan vaatimuksen.
Riidanalaiset neljä korttimaksua on hyväksytty vahvalla sähköisellä tunnistautumisella. Pankin selvityksen mukaan asiakkaalle on lähetetty 16.7.2024 tekstiviestillä klo 14:34, 14:36, 14:37 ja 14:51 koodi tunnistussovelluksen lataamista varten. Viestien sisältö on ollut seuraava:
”[Pankin tunnistussovellus] Activation Code
If you’re not trying to activate [pankin tunnistussovellus], please contact us immediately. Remember, we’ll never ask you for this code, but a fraudster would, so stay safe and don’t share this code with anyone. The code to complete your [pankin tunnistussovellus] activation is xxx. SMSID:xxxxxx"
Tämän jälkeen asiakkaan puhelinnumeroon on lähetetty klo 14:35, 14:36, 14:37 ja 15:06 vahvistusviesti tunnistussovelluksen onnistuneesta lataamisesta. Viestien sisältö on tällöin ollut seuraava:
”Great news, you've successfully activated [pankin tunnistussovellus]. If you're not the one trying to activate [pankin tunnistussovellus] and you have received this message, please contact us immediately. SMSID: xxxxxx".
Pankin selvityksen mukaan asiakkaan tietoihin on lisätty kaksi kertaa uusi Android-laite huijarin toimesta sen jälkeen, kun asiakas on avannut kauppapaikkasivuston kautta saamansa linkin, syöttänyt sinne maksukorttinsa tiedot, verkkopankin kirjautumistiedot sekä luovuttanut myös tekstiviestitse tulleen tunnistussovelluksen aktivointikoodin. Korttimaksut ovat tapahtuneet vastaavasti klo 14:49, 14:53, 14:57 ja 15:01.
Asiakkaan vastaanottamissa tekstiviesteissä on kerrottu, että koodi on pankin tunnistussovelluksen aktivointia varten sekä varoitettu antamasta koodia kenellekään. Asiakas on kuitenkin luovuttanut aktivointikoodin huijaussivustolle yhdessä verkkopankin käyttäjätunnuksen sekä salasanan kanssa, ja tämän vuoksi huijarit ovat päässeet lataamaan tunnistussovelluksen omalle laitteelleen sekä tekemään asiakkaan reklamoimat veloitukset.
Asiakas on menetellyt kokonaisuutena arvioituna törkeän huolimattomasti ja vastaa siten täysimääräisesti maksuvälineen oikeudettomasta käytöstä aiheutuneesta vahingosta.
Selvitykset
- Rikosilmoitus 23.7.2024 ja vahvistus sen vastaanottamisesta
- Yleiset korttiehdot henkilöasiakkaille
Ratkaisusuositus
Kysymyksenasettelu
Asiakkaan ja pankin välisen vastuunjaon ratkaisemiseksi Pankkilautakunnan on arvioitava, voidaanko maksuvälineen oikeudettoman käytön katsoa johtuneen siitä, että asiakas on huolimattomuudestaan laiminlyönyt maksupalvelulain 53 § 1 momentin sekä korttiehtojen mukaisia velvollisuuksiaan, sekä minkä asteista asiakkaan mahdollinen huolimattomuus on.
Sovellettavat lainkohdat ja sopimusehdot
Maksupalvelulain 53 §:n (Maksuvälineestä huolehtiminen.) 1 momentin mukaan
Maksuvälineen haltijan on käytettävä maksuvälinettä sen myöntämistä ja käyttöä koskevien ehtojen mukaisesti. Erityisesti hänen on kohtuullisin toimenpitein huolehdittava maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista. Maksuvälineen myöntämistä ja käyttöä koskevat ehdot eivät saa olla perusteettomia, kohtuuttomia tai syrjiviä.
Lain 62 §:n (Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä) mukaan
Maksupalvelun käyttäjä, joka on tehnyt maksuvälinettä koskevan sopimuksen palveluntarjoajan kanssa, vastaa kadonneen tai oikeudettomasti toisen haltuun joutuneen maksuvälineen käytöstä tai muusta maksuvälineen oikeudettomasta käytöstä vain, jos oikeudeton käyttö johtuu siitä, että hän tai muu maksuvälineen haltija on:
1) luovuttanut maksuvälineen sen käyttöön oikeudettomalle;
2) huolimattomuudesta laiminlyönyt 53 §:n 1 momentin mukaiset velvollisuutensa; taikka
3) laiminlyönyt ilman aiheetonta viivytystä ilmoittaa palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.
Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä 1 momentin 2 ja 3 kohdassa tarkoitetuissa tapauksissa on enintään 50 euroa. Tätä rajoitusta ei sovelleta, jos maksupalvelun käyttäjä tai muu maksuvälineen haltija on toiminut tahallisesti tai törkeän huolimattomasti.
Maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä:
1) siltä osin kuin maksuvälinettä on käytetty sen jälkeen, kun palveluntarjoajalle tai sen nimeämälle muulle taholle on ilmoitettu maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä;
2) jos palveluntarjoaja on laiminlyönyt huolehtia siitä, että maksuvälineen haltijalla on mahdollisuus tehdä milloin tahansa 1 kohdassa tarkoitettu ilmoitus;
3) jos maksunsaaja ei ole maksuvälinettä käytettäessä asianmukaisesti varmistunut maksajan oikeudesta käyttää maksuvälinettä; tai
4) jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.
Sen estämättä, mitä 3 momentissa säädetään, maksupalvelun käyttäjä on vastuussa maksuvälineen oikeudettomasta käytöstä, jos hän tai muu maksuvälineen haltija on tahallaan tehnyt väärän ilmoituksen tai toiminut muuten petollisesti.
Maksupalvelulain 85 c §:n (Tunnistaminen) 1 ja 3 momenttien mukaan
Palveluntarjoajan on käytettävä vahvaa tunnistamista, jos maksaja:
1)käyttää maksutiliään tietoverkon välityksellä;
2)käynnistää sähköisen maksutapahtuman;
3)toteuttaa etäkanavan kautta toimen, johon voi liittyä väärinkäytöksen riski.
[...]
Palveluntarjoajan on riittävin turvatoimenpitein huolehdittava vahvassa tunnistamisessa käytettävien henkilökohtaisten turvatunnusten luottamuksellisuuden ja eheyden suojaamisesta.
Pankin henkilöasiakkaiden yleisten korttiehtojen kohta, joka koskee kortinhaltijan vastuuta kortin oikeudettomasta käytöstä, vastaa maksupalvelulain 62 §:n kuluttajan hyväksi pakottavia säännöksiä.
Korttiehtojen Määritelmät-kohdan mukaan:
Näissä korttiehdoissa tarkoitetaan:
[...]
Tunnisteella sähköisessä asioinnissa henkilön tunnistamisen ja allekirjoituksen välinettä, joka on pankin hyväksymä (esimerkiksi verkkopankkitunnukset tai kortin tunnusluku).
Korttiehtojen Kortin omistus- ja käyttöoikeus -kohdan mukaan
[...] Korttia saa käyttää vain luottotilissä olevan luottorajan tai pankkitilillä olevien varojen ja muiden sopimusehtojen puitteissa. [...]
Korttiehtojen Korttien pääominaisuuksia ja käyttötapoja -kohdan MasterCard -kortit -alakohdan mukaan
Debit Mastercard-korttia ja MasterCard -luottokorttia voidaan käyttää maksuvälineenä niissä Suomessa ja ulkomailla sijaitsevissa maksunsaajan palvelupisteissä, jotka vastaanottavat kyseisellä Mastercard-kortilla tehtäviä maksuja. [...]
Kortilla voi Suomessa nostaa käteistä rahaa käteisautomaateista ja ulkomailla Mastercard-järjestelmään kuuluvista automaateista.
Lisäksi kortilla voi nostaa rajoitetusti käteistä kauppojen kassalta. [...]
Korttiehtojen Kortin käyttö -kohdan Kortin, tunnusluvun ja muun tunnisteen käyttö -alakohdan mukaan
[...] Maksamisen yhteydessä kortinhaltijan on luovutettava kortista tietoja
- joko asettamalla kortti fyysisesti maksupäätteen tai muun vastaavan kortinlukijan taikka laitteen luettavaksi tai
- antamalla etämaksamisen [esimerkiksi verkkomaksut, puhelinmyynti ja postimyynti) yhteydessä kortista tarkistetietoina sen numero, voimassaoloaika ja sitä kysyttäessä kortin kääntöpuolella oleva kolminumeroinen turvaluku. Etämaksamisessa ei välttämättä vaadita tunnusluvun käyttöä tai kortinhaltijan allekirjoitusta, vaan tunnisteella ja korttiin liitettyjä tarkisteita tai muita vastaavia menettelyjä käyttämällä tehty korttitapahtuma sitoo kortin haltijaa.
Pankki voi kortinhaltijan tunnistamiseksi edellyttää lisäksi erillistä vahvistamismenettelyä, joka saattaa vaihdella maksamistavasta riippuen.
[...]
Kortinhaltija hyväksyy tekemänsä sopimukset ja sitoutuu maksamaan korttitapahtumista ja varojen siirroista syntyneet saatavat pankille
- allekirjoittamalla maksu- tai myyntitositteen, joka vastaa tunnusluvun käyttöä,
- käyttämällä korttia yhdessä tunnusluvun tai muun tunnisteen kanssa,
- käyttämällä korttia sellaisessa laitteessa, joka ei vaadi tunnuslukua [esimerkiksi paikoitusautomaatti tai käyttämällä lähimaksuominaisuutta) tai
- luovuttamalla kortin maksamis- ja/tai tarkistetiedot muulla vastaavalla tavalla (esimerkiksi etämaksamisessa).
Korttiehtojen Kortin ja tunnusluvun säilyttäminen -kohdan mukaan
Kortinhaltija sitoutuu säilyttämään ja käsittelemään korttia, siihen liittyvää tunnuslukua ja kortin käyttöön liittyvää muuta tunnistetta huolellisesti ja turvallisesti siten, ettei sivullisen ole mahdollista saada niitä tietoonsa tai käyttää niitä. [...]
Pankin sähköisen asioinnin ehtojen kohdan 2.1 (Sähköinen tunnistaminen ja sähköinen allekirjoitus) mukaan
Tunniste on luonnollisen henkilön sähköisen tunnistamisen ja sähköisen allekirjoittamisen väline.
Ehtojen kohdan 2.3 (Tunnisteen säilyttäminen ja katoamisvastuu) mukaan
Tunnisteet ovat henkilökohtaiset, eikä niitä saa luovuttaa kolmannelle tai toisten henkilöiden, sovellusten tai palveluiden käyttöön. Asiakas vastaa hallussaan olevien tunnistetietojen huolellisesta säilyttämisestä siten, että ne eivät joudu sivullisen tietoon. Pankki ei koskaan pyydä pankkitunnusten tietoja sähköpostilla tai muutoin, kun pankki ottaa asiakkaaseen tai käyttäjään yhteyttä. Tunnistetietoja ei koskaan saa antaa sähköpostilla tai puhelimella niitä kysyvälle, ei edes Pankille.
Asian arviointi
Tapahtumienkulku
Pankkilautakunta katsoo asiassa selvitetyksi, että ostajaksi tekeytynyt huijari on asiakasta harhaan johtamalla ja rikollisin aikein saanut asiakkaalta riidanalaisten korttimaksujen edellyttämät korttitiedot ja on niitä hyväksi käyttäen tehnyt verkossa neljä korttimaksua, joiden toteuttaminen on edellyttänyt pankin tunnistussovelluksella tehtyä vahvistusta.
Pankki on esittänyt teknisen selvityksen tapahtumista ja siitä, mitä tietoja rikollisilla on täytynyt olla, jotta he ovat voineet aktivoida omalle laitteelleen asiakkaan nimissä olevan uuden pankin tunnistussovelluksen, jolla riidanalaiset korttimaksut on vahvistettu. Pankkilautakunnalla ei ole syytä epäillä pankin esittämän järjestelmätietoihin perustuvan selvityksen paikkansa pitävyyttä.
Asiakas on saanut huijarilta viestin, jossa olleen linkin kautta asiakas on päätynyt rikollisten luomille valesivuille ja syöttänyt sivuille pankkitunnustietojaan ja korttitietonsa. Huijari on saatuaan kyseiset tiedot valesivun kautta syöttänyt ne omalle laitteelleen lataamaansa pankin tunnistussovellukseen. Pankki on lähettänyt asiakkaalle tekstiviestitse tunnistussovelluksen aktivointikoodin, minkä asiakas on syöttänyt valesivustolle ja huijari on siten saanut tunnistussovelluksen aktivoitua.
Asiakkaan menettelyn arviointi
Asiakas on kertonut olleensa myymässä Vinted-sivustolla tuotteita ja saaneensa ostajaksi tekeytyneeltä huijarilta sivuston kautta viestin ja sen jälkeen edelleen tekstiviestin, jossa on ollut linkki pankin sivustolta näyttäneelle valesivustolle. Asiakas on luullut käyttävänsä pankkitunnuksiaan tavanomaisella tavalla tunnistautumistarkoituksessa. Pankin lähettämä tekstiviesti tunnistussovelluksen aktivoimiseksi on tullut aiempaan viestiketjuun pankin kanssa. Kyseiset seikat ovat osaltaan saaneet asiakkaan uskomaan, että hän toimii asianmukaisesti.
Valesivustolle johtaneen linkin sisältäneen viestin on lähettänyt asiakkaalle tuntematon henkilö Vinted-sivuston viestitoiminnon kautta. Asiassa on myös jäänyt epäselväksi, mistä syystä asiakas on luullut korttitietojaan tarvittavan. Pankin yleisissä korttiehdoissa ei mainita kortin käyttötapana maksun vastaanottamista. Tuntemattoman – vaikkakin ostajaksi tekeytyneen huijarin – lähettämän viestin sisältämä linkki ja korttitietojen tiedustelu, kun asiakkaalla ei ole ollut itsellään korttiehtojen mukaista maksamistarkoitusta, on ollut siinä määrin epäilyttävää, että asiakkaan olisi tullut se huolellisesti toimiessaan havaita. Asiakkaan syötettyä kortti- ja pankkitunnustietojaan maksun vastaanottamista varten hänelle viestissä lähetetyn linkin kautta avautuneilla sivuilla Pankkilautakunta katsoo asiakkaan huolimattomuudestaan laiminlyöneen maksupalvelulain 53 §:n sekä korttiehtojen mukaisia velvollisuuksiaan.
Edelleen Pankkilautakunta katsoo, että saatuaan tavanomaisesta pankkitunnuksilla tehtävästä tunnistautumis- tai kirjautumistilanteesta poikkeavalla tavalla pankin tunnistussovelluksen aktivointikoodin sisältäneen englanninkielisen tekstiviestin, asiakkaan olisi tullut ymmärtää jättää saamansa koodi syöttämättä tuntemattoman henkilön viestin linkistä avautuneelle verkkosivustolle, vaikka sivusto onkin näyttänyt pankin verkkosivulta. Pankin aktivointikoodin sisältäneessä viestissä on mainittu, että kysymyksessä on aktivointikoodi, jota pankki ei koskaan kysy, mutta huijari kysyy. Lautakunta katsoo, että viestissä on kerrottu asianmukaisesti, mihin aktivointikoodia käytetään, mihin se ainoastaan tulee syöttää ja varoitettu myös huijauksista.
Asiakkaan syötettyä aktivointikoodin valesivustolle pankki on lähettänyt asiakkaalle viestin tunnistussovelluksen aktivoinnista. Viestissä on muun ohella kehotettu ottamaan välittömästi yhteyttä pankin asiakaspalveluun, jos epäilee jonkun muun saaneen pääsyn pankin tunnistussovellukseen. Mikäli asiakas olisi ohjeen mukaisesti ottanut yhteyttä pankkiinsa ja tiedustellut menettelyn asianmukaisuutta, olisi asiakkaan korttitietojen ja pankkitunnusten oikeudettomasta käytöstä aiheutuneelta vahingolta voitu välttyä.
Aiemman ratkaisukäytäntönsä mukaisesti Pankkilautakunta katsoo huolelliselta pankkitunnustenhaltijalta edellytettäviin perusvaatimuksiin kuuluvan sen, että pankkitunnuksia käyttäessään hän lukee ja huomioi omassa toiminnassaan asiointinsa yhteydessä pankiltaan saamansa viestit. Pankkilautakunta katsoo, että asiakkaan syötettyä tuntemattoman henkilön lähettämän linkin kautta avautuneille sivuille kortti- ja pankkitunnusten syöttämisen jälkeen vielä pankin tekstiviestitse lähettämän koodin on asiakkaan menettelyn kokonaisuutena katsottava poikkeavan selvästi ja olennaisesti siitä, mitä maksuvälineen haltijan huolelliselta menettelyltä vaaditaan. Näin ollen Pankkilautakunta katsoo asiakkaan menettelyn kokonaisuutena osoittavan maksupalvelulaissa tarkoitettua törkeää huolimattomuutta. Asiakas vastaa siten asiakkaan ja pankin välisessä suhteessa täysimääräisesti maksuvälineensä oikeudettomasta käytöstä aiheutuneesta vahingosta.
Lopputulos
Pankkilautakunta ei suosita asiassa hyvitystä.
Ratkaisusuositus syntyi äänin 4–1. Ratkaisusuosituksen antamiseen osallistuivat puheenjohtaja Sillanpää sekä jäsenet Atrila, Piilo ja Punakivi. Jäsen Makkosen eriävä mielipide on liitteenä.
PANKKILAUTAKUNTA
Puheenjohtaja Sillanpää
Sihteeri Heikinsalmi
Jäsenet:
Atrila
Makkonen
Piilo
Punakivi
Jäsen Makkosen eriävä mielipide:
Olen lautakunnan enemmistön kanssa samaa mieltä lopputuloksesta, mutta perustelujen osalta esitän seuraavat eriävät huomioni:
Asiakkaan toiminnan arviointi törkeän huolimattomuuden näkökulmasta
Tapaus poikkeaa tapauksesta FINE-70437 siten, että nyt puheena olevassa tapauksessa verkkokauppapaikka ei yleisesti ottaen tarjoa vahvaa tunnistautumista.
Vaikka vahva tunnistautuminen on käytössä joillakin kauppapaikoilla, asiakkaalta tulee odottaa kauppapaikkojen perusominaisuuksien tuntemista, johon kuuluvat myös tunnistautumistavat ja turvallisen asioinnin menetelmät.
Tässä kokonaisuudessa katson kokonaisuus huomioiden, että asiakkaan olisi tullut havaita verkkopankkitunnusten kalastelun epäilyttävyys ja pidättyä tunnusten luovuttamisesta kauppapaikalla annetun linkin kautta.
Verkkopankkitunnusten luovuttamisesta niiden käyttöön oikeudettomalle
Pankin lähettämästä tekstiviestistä on perustellusti voinut saada sen käsityksen, että kyse on vahvasta tunnistautumisesta, eikä tunnuslukusovelluksen asennusluvan antamisesta uudelle laitteelle. Vaikka viestissä käytetään pankin tunnuslukusovelluksen nimeä, on tunnuslukusovelluksen nimi sikäli yleisluontoinen, että asiakas on voinut perustellusti erehtyä antavansa luvan ainoastaan vahvaan tunnistautumiseen.
Näin ollen katson, että asiakkaan ei yksistään pankin lähettämien vahvistusviestien perusteella ole katsottava luovuttaneen verkkopankkitunnuksia ulkopuolisen henkilön haltuun maksupalvelulain 62 §:n 1 momentin 1 kohdassa tarkoitetulla tavalla. Pankin sähköisen asiointikanavan vaikeaselkoisuudesta aiheutuvien riskien on yleisesti ottaen perusteltua olla lähtökohtaisesti pankin kannettavana.
Lopputulos
Katson, että asiakas vastaa oikeudettomista maksutapahtumista sillä perusteella, että asiakkaan menettely on katsottava kokonaisuutena törkeän huolimattomaksi maksupalvelulain 62 §:n 2 momentissa tarkoitetulla tavalla. Olen siten lopputuloksesta samaa mieltä kuin lautakunnan enemmistö. Lisäksi katson nimenomaisesti, että asiakkaan vastuu maksutapahtumista ei perustu siihen, että asiakkaan katsottaisiin luovuttaneen verkkopalvelutunnuksensa niiden käyttöön oikeuttamattomalle maksupalvelulain 62 §:n 1 momentin 1 kohdassa tarkoitetulla tavalla, koska pankin toimittamat viestit ovat olleet sisällöltään epäselviä.