Tapahtumatiedot

Asiakas on joutunut verkkourkinnan uhriksi, minkä seurauksena rikolliset ovat päässeet kirjautumaan asiakkaan verkkopankkiin 22.4.2024. Verkkopankissa on tehty 22.4.2024 klo 18.12 25.000,00 euron tilisiirto asiakkaan tililtä espanjalaiseen pankkiin. Verkkopankkiin kirjautuminen ja em. tilisiirto on vahvistettu asiakkaan puhelimessa olleella pankin tunnistussovelluksella, joka on aktivoitu käyttöön 26.3.2024. Tilisiirto on edellyttänyt lisäksi tunnistussovelluksessa annettua lisävahvistusta.

Asiointi on hälyttänyt pankin monitoroinnissa ja pankki on sulkenut asiakkaan verkkopankkitunnukset 22.4.2024 klo 18.18. Tilisiirrosta on tehty palautuspyyntö, mutta rahoja ei ole saatu takaisin.

Asiakkaan valitus

Asiakas vaatii pankkia korvaamaan 25.000,00 euroa.

Asiakas on suorittanut laskun maksamista 22.4.2024 pankin verkkopalvelussa. Suoritettuaan laskun maksamiset, asiakkaan puhelimeen ilmestyi vaatimus/vahvistuspyyntö siirtää asiakkaan tililtä 14.500,00 euroa. Asiakas sulki välittömästi verkkopankin ja otti heti yhteyttä pankin henkilökohtaiseen pankkineuvojaan. Pankista ilmoitettiin, että asiakkaan verkkopankin käyttäjätunnus ja salasana tulee vaihtaa.

Seuraavana päivänä 23.4.2024 asiakas tarkisti tilin tapahtumia puhelimellaan, mutta tili oli lukittu ja asiakas pystyi tarkastamaan tilin tiedot vaimon puhelimella. Asiakas havaitsi, että tililtä oli jo 22.4.2024 hävinnyt oikeudettomasti 25.000,00 euroa.

Asiassa on asiakkaan käsityksen mukaan riidatonta, että kyse on ollut maksuvälineen oikeudettomasta käytöstä. Edelleen asiakkaan käsityksen mukaan on riidatonta, ettei asiakas ole toiminut millään tavalla huolimattomasti. Pikemmin ja nimenomaan päinvastoin: asiakas on 22.4.2024 saatuaan epäilyttävän tilisiirtopyynnön, sulkenut verkkopankin ja ollut välittömästi yhteydessä henkilökohtaiseen pankkineuvojaan. Asiakas on toiminut täydellisesti ja vain pankin antamien ohjeiden mukaan.

Pankkineuvoja on antanut neuvon, jonka mukaan asiakkaan on tullut vasta 26.4.2024 pankin nimetyssä konttorissa käydä vaihtamassa salasana ja käyttäjätunnus. Asiakkaan käsityksen mukaan pankin olisi jo tuolloin 22.4.2024 pitänyt huomata, että asiakkaan tilillä on oikeudetonta toiminta, mutta lisäksi pankin olisi jo 22.4.2024 sulkea varotoimenpiteenä asiakkaan tili. Mitään tällaista ei tapahtunut. Huomionarvoista on, että asiakkaan tilillä oli vielä 23.4.2024 epämääräistä toimintaa. Tämän huomasi nimenomaan asiakas itse, eikä pankki.

Mitään muita ohjeita asiakas ei 22.4.2024 pankilta saanut. Asiassa on erittäin merkityksellistä se, että asiakas on 22.4.2024 tuonut pankille esiin, että hänelle on esitetty epäilyttävä 14.500,00 euron tilisiirtopyyntö. Asiakas pitää täydellisen epäuskottavana sitä, etteikö pankki olisi voinut jo tuossa vaiheessa, muutamien minuuttien päästä epäilyttävältä tilisiirrosta ja yhteenotosta pankkiin, havaita ja myös pysäyttää oikeudeton tilisiirto. Asiakkaan mukaan on selvää, ettei pankki ole tuossa vaiheessa ottanut asiakkaan ilmoitusta tosissaan tai tehnyt mitään. Tätä osoittaa asiakkaan mukaan sekin, että asiakas on ohjeistettu salasanan vaihtoon vasta 26.4.2024.

Asiakkaan mukaan pankki on merkittävällä tavalla rikkonut ja laiminlyönyt oman huolellisuus- ja huolenpitovelvollisuutensa asiakasta kohtaan.

Pankin vastine

Pankin käsitys tapahtumainkulusta

Asiakkaan pankille kertoman mukaan hän on ollut maksamassa laskuja 22.4.2024 ja yrittänyt tämän jälkeen kirjautua OmaKantaan. Pankin käsityksen mukaan asiakas on tietojenkalastelun uhri, ja kyseessä on mahdollisesti nk. OmaKanta -huijaus.

Asiakas on todennäköisesti etsinyt hakukoneella linkkiä em. palveluun ja päätynyt huijarin luomalle huijaussivustolle. Asiakas on yrittänyt kirjautua huijaussivustolle verkkopankkitunnuksellaan, mutta kirjautumisen sijaan huijari saa verkkopankkitunnuksen sivustolta asiakkaan syötettyä sen huijaussivulle ja hyväksyy ensin huijarin kirjautumisen omaan verkkopankkiinsa, sekä seuraavaksi lähtevän tilisiirron omassa käytössään olevalla pankin tunnistussovelluksella.

Asiakkaan tililtä on tehty 25.000,00 euron maksu, jota asiakas väittää oikeudettomaksi. Maksun hyväksymiseen on käytetty asiakkaan omaa tunnistussovellusta, joka on aktivoitu käyttöön 26.3.2024 pankin konttorilla asiakkaan ollessa läsnä. Maksun toteuttaminen on vaatinut vielä erillisen lisävahvistuksen tunnistussovelluksella.

Vastoin mitä asiakas väittää, asiakkaan sessio on hälyttänyt pankin monitoroinnissa ja asiakkaan verkkopankkitunnukset on suljettu pankin toimesta 22.4.2024 klo 18.18. Asiakkaan tililtä lähteneestä siirrosta on tehty palautuspyyntö, mutta rahoja ei ole saatu takaisin.

Asiakkaan väittämään 14.500,00 euron maksunvahvistuspyyntöön liittyen ei ole löydetty pankin järjestelmistä mitään viitteitä. Myöskään asiakkaan väittämästä 23.4.2024 jatkuneesta epäilyttävästä toiminnasta asiakkaan pankkitileillä ei ole löydetty mitään tarkempia tietoja.

Asiakkaan pankin tunnistussovelluksessa näytetyt maksun vahvistuspyynnöt

Asiakas on vahvistanut seuraavat viestit:
[pankin verkkopalvelu] pyytää vahvistusta
Haluan maksaa
summa: 25 000,00 EUR
saaja: [Asiakkaan etunimi]
tilille: ESxx xxxx xxxx xxxx xxxx
päiväys: 22.4.2024
tililtä: FIxx xxxx xxxx xxxx xxxx
Vahvistettu 22.4.2024 klo 18:10

[pankin verkkopalvelu] pyytää vahvistusta
Olet tekemässä maksua joka vaatii lisävahvistuksen.
Tarkasta, että alla olevat tiedot ovat oikein
summa: 25 000,00 EUR
tilille: ESxx xxxx xxxx xxxx xxxx
saaja: [Asiakkaan etunimi]
tililtä: FIxx xxxx xxxx xxxx xxxx
Vahvistettu 22.04.2024 klo 18:12.

Vastuu riidanalaisista tapahtumista

Pankki on pahoillaan siitä, että asiakas on joutunut huijauksen uhriksi. Pankki ei kuitenkaan jaa asiakkaan näkemystä vastuunjaosta. Laki, sopimusehdot ja vastaavissa tapauksissa noudatettu ratkaisukäytäntö puoltavat sitä, ettei kyse ole ollut oikeudettomasta maksutapahtumasta, josta aiheutuneesta vahingosta pankki vastaisi. Näkemyksen perusteena on se, että asiakas on antanut maksutapahtumien veloittamiseen suostumuksensa, vaikkakin jälkikäteen vääriksi osoittautuneisiin tietoihin luottaen.

Pankin ja asiakkaan sopimukseen pankkitunnuksista sovelletaan pankin pankkitunnuksilla käytettävien palvelujen yleisiä sopimusehtoja. Ehtojen mukaan tunnistautumistiedot palvelun edellyttämällä tavalla annettuna vastaavat asiakkaan allekirjoitusta. Kaikki maksut, toimeksiannot, hakemukset, sopimukset sekä muut tahdonilmaisut ja viestit, jotka on tehty käyttäen asiakkaan tunnistautumistietoja sitovat asiakasta tai sitä, jota asiakas edustaa, sen jälkeen, kun tunnistautumistiedot on annettu pankille verkkopankkipalvelun edellyttämällä tavalla.

Maksupalvelulain 38 §:n mukaan maksutapahtuma saadaan toteuttaa vain maksajan suostumuksella. Maksutapahtumaa pidetään oikeudettomana, jollei maksaja ole antanut siihen suostumustaan sovitulla tavalla.

Pankilla on velvollisuus toteuttaa maksutoimeksianto maksupalvelulain 41 §:n mukaisesti. Pankki saa kieltäytyä toteuttamasta maksutoimeksiantoa vain, jos ehdot maksun toteuttamiselle eivät täyty tai jos muualla laissa niin säädetään. Lisäksi maksupalvelulaissa asetetaan pankille velvollisuus toteuttaa maksutoimeksianto tietyssä määräajassa.
Maksupalvelulain 44 §:n mukaan palveluntarjoaja saa toteuttaa maksutapahtuman yksilöivän tunnisteen perusteella, vaikka maksupalvelun käyttäjä olisi antanut sen lisäksi muitakin tietoja maksutapahtuman toteuttamiseksi.

Pankin lokitietojen perusteella riidanalainen maksu on vahvistettu asiakkaan pankin tunnistussovelluksella. Kun asiakas antaa pankille maksupalvelulain mukaisen suostumuksensa maksun veloittamiseen, maksu ei ole oikeudeton, vaikka maksu jälkikäteen osoittautuisikin liittyvän huijaustapaukseen. Siten pankilla ei ole velvollisuutta korvata asiakkaalle vahinkoa, joka on aiheutunut riidan kohteena olevasta maksusta. Riidanalainen maksu jää siis asiakkaan vastuulle, koska se on vahvistettu tunnistussovelluksella, jossa olennaiset maksutiedot näytetään myös maksun hyväksymisen yhteydessä.

Selvitykset

Valitus koskevan osapuolten kirjelmöinnin lisäksi lautakunnalle on toimitettu seuraavat asiakirjat:
- Pankkitunnuksilla käytettävien palvelujen yleiset sopimusehdot

Ratkaisusuositus

Kysymyksenasettelu

Asiakkaan ja pankin välisen vastuunjaon ratkaisemiseksi Pankkilautakunnan on ensin ratkaistava, voidaanko asiakkaan katsoa antaneen maksupalvelulain 38 §:ssä tarkoitetun suostumuksensa ko. tilisiirrolle vai onko maksutapahtumaa pidettävä oikeudettomana. Mikäli tapauksessa katsotaan olevan kyse maksuvälineen oikeudettomasta käytöstä, on lautakunnan arvioitava, voidaanko maksuvälineen oikeudettoman käytön katsoa johtuneen siitä, että asiakas on huolimattomuudestaan laiminlyönyt lain 53 § 1 momentin ja pankkitunnusehtojen mukaisia velvollisuuksiaan, sekä minkä asteista asiakkaan mahdollinen huolimattomuus on.

Sovellettavat lainkohdat ja sopimusehdot

Maksupalvelulain 38 §:n (Maksajan suostumus maksutapahtuman toteuttamiseen) 1 momentin mukaan
Maksutapahtuma saadaan toteuttaa vain maksajan suostumuksella. Maksutapahtumaa pidetään oikeudettomana, jollei maksaja ole antanut siihen suostumustaan sovitulla tavalla.

Maksupalvelulain 53 §:n 1 momentin mukaan
Maksuvälineen haltijan on käytettävä maksuvälinettä sen myöntämistä ja käyttöä koskevien ehtojen mukaisesti. Erityisesti hänen on kohtuullisin toimenpitein huolehdittava maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista. Maksuvälineen myöntämistä ja käyttöä koskevat ehdot eivät saa olla perusteettomia, kohtuuttomia tai syrjiviä.

Lain 54 §:n 1 momentin mukaan
Maksuvälineen haltijan on ilman aiheetonta viivytystä ilmoitettava palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.

Lain 62 §:n mukaan
Maksupalvelun käyttäjä, joka on tehnyt maksuvälinettä koskevan sopimuksen palveluntarjoajan kanssa, vastaa kadonneen tai oikeudettomasti toisen haltuun joutuneen maksuvälineen käytöstä tai muusta maksuvälineen oikeudettomasta käytöstä vain, jos oikeudeton käyttö johtuu siitä, että hän tai muu maksuvälineen haltija on:
1) luovuttanut maksuvälineen sen käyttöön oikeudettomalle;
2) huolimattomuudesta laiminlyönyt 53 §:n 1 momentin mukaiset velvollisuutensa; taikka
3) laiminlyönyt ilman aiheetonta viivytystä ilmoittaa palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.
Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä 1 momentin 2 ja 3 kohdassa tarkoitetuissa tapauksissa on enintään 50 euroa. Tätä rajoitusta ei sovelleta, jos maksupalvelun käyttäjä tai muu maksuvälineen haltija on toiminut tahallisesti tai törkeän huolimattomasti.
Maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä:
1) siltä osin kuin maksuvälinettä on käytetty sen jälkeen, kun palveluntarjoajalle tai sen nimeämälle muulle taholle on ilmoitettu maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä;
2) jos palveluntarjoaja on laiminlyönyt huolehtia siitä, että maksuvälineen haltijalla on mahdollisuus tehdä milloin tahansa 1 kohdassa tarkoitettu ilmoitus;
3) jos maksunsaaja ei ole maksuvälinettä käytettäessä asianmukaisesti varmistunut maksajan oikeudesta käyttää maksuvälinettä; tai
4) jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.
Sen estämättä, mitä 3 momentissa säädetään, maksupalvelun käyttäjä on vastuussa maksuvälineen oikeudettomasta käytöstä, jos hän tai muu maksuvälineen haltija on tahallaan tehnyt väärän ilmoituksen tai toiminut muuten petollisesti.

Lain 63 §:n (Palveluntarjoajan vastuu oikeudettomasta maksutapahtumasta.) 1 momentin mukaan

Jos maksutapahtuma on toteutettu oikeudettomasti eikä 62 §:stä muuta johdu, palveluntarjoajan, jonka asiakkaan varoja on käytetty maksutapahtuman toteuttamiseen, on välittömästi ja viimeistään seuraavana työpäivänä siitä, kun se havaitsi maksutapahtuman tai sille ilmoitettiin maksutapahtumasta, palautettava maksutapahtuman rahamäärä asiakkaalleen tai palautettava tämän maksutili siihen tilaan, jossa se olisi ollut ilman veloitusta.

Pankkitunnusehtojen Tunnistautuminen Verkkopankkipalveluun -kohdan mukaan
Verkkopankkipalvelujen käyttämiseksi asiakas tunnistautuu ilmoittamalla pankille Verkkopankkipalveluun kirjautuessaan tunnistautumistietonsa. Asiakkaan kirjauduttua Verkkopankkipalveluun asiakas ei saa antaa avattua palveluyhteyttä muun tahon käytettäväksi.
Tunnistautumistiedot palvelun edellyttämällä tavalla annettuna vastaavat asiakkaan allekirjoitusta. Kaikki maksut, toimeksiannot, hakemukset, sopimukset sekä muut tahdonilmaisut ja viestit, jotka on tehty käyttäen asiakkaan tunnistautumistietoja sitovat asiakasta tai sitä, jota asiakas edustaa, sen jälkeen, kun tunnistautumistiedot on annettu pankille Verkkopankkipalvelun edellyttämällä tavalla.

Pankkitunnusehtojen Yleistä tunnistautumistietojen säilyttämisestä ja asiakkaan vastuusta -kohdan mukaan
Kuluttaja-asiakkaan tunnistautumistiedot ovat henkilökohtaiset, eikä niitä saa osittainkaan luovuttaa sivullisen tietoon tai haltuun. Kuluttaja-asiakas ei saa antaa valtuutusta tunnistautumistietojen käyttämiseen.
[…]
Asiakas sitoutuu säilyttämään tunnistautumistiedot huolellisesti ja varmistamaan säännöllisesti, että tunnistautumistiedot ovat tallessa. Asiakkaan tulee huolehtia, etteivät tunnistautumistiedot joudu osittainkaan sivullisen tietoon tai haltuun. Asiakas sitoutuu säilyttämään käyttäjätunnuksesta, tunnistautumislaitteesta, [pankin tunnistussovellus] -sovelluksesta, salasanasta, PIN-koodista tai muista pankin hyväksymistä tunnistautumistavoista koostuvat tunnistautumistiedot erillään toisistaan. Tunnistautumistietoja ei saa kopioida, tallentaa tai toisintaa muutoin kuin pankin järjestelmään tai pankin hyväksymällä tavalla.
Mikäli tunnistautumistiedot ovat kadonneet tai asiakkaalla on syytä epäillä, että ne ovat joutuneet tai saattaneet joutua osittainkin sivullisen tietoon tai haltuun, asiakas on velvollinen välittömästi ilmoittamaan tästä pankille palvelujen asiattoman käytön estämiseksi. […]

Asian arviointi

Pankin asiassa antamien selvitysten mukaan kirjautuminen asiakkaan verkkopankkiin 22.4.2024 sekä ko. tilisiirto on vahvistettu asiakkaan omalla pankin tunnistussovelluksella, joka on otettu käyttöön 26.3.2024. Pankin monitorointi on hälyttänyt tapahtuneesta ja asiakkaan verkkopankkitunnukset on suljettu pankin toimesta 22.4.2024 klo 18.18. Pankkilautakunnalla ei ole syytä epäillä pankin esittämän pankin järjestelmätietoihin perustuvan selvityksen paikkansa pitävyyttä.

Pankkilautakunta katsoo asiassa saadun kokonaisselvityksen perusteella ilmeiseksi, että asiakas on joutunut rikoksen - todennäköisesti jonkinlaisen verkossa tapahtuneen petoksen tai verkkourkinnan - uhriksi, mutta asiassa kuitenkin jääneen epäselväksi, onko tämä tapahtunut esimerkiksi valesivuilla asiakkaan yrittäessä kirjautua Omakantaan tai asiakkaan omien laskujen maksun yhteydessä.

Pankkilautakunta katsoo selvitetyksi, että asiakas on vahvistanut ko. tilisiirron puhelimessaan olleella pankin tunnistussovelluksella. Tunnistussovelluksessa on ennen maksun vahvistuksen antamista näkynyt asianmukaisesti ”[pankin verkkopalvelu] pyytää vahvistusta Haluan maksaa” sekä maksun tiedot mukaan lukien maksun euromäärä ja maksunsaajan tilinumero. Vahvistuspyynnössä on saajatietona näkynyt asiakkaan etunimi, koska rikolliset ovat tekemässään maksutoimeksiannossa syöttäneet maksunsaajaksi asiakkaan etunimen. Tilisiirron toteuttaminen on edellyttänyt tavanomaisen tunnistussovelluksessa annettavan maksun vahvistamisen lisäksi sovelluksessa annettua lisävahvistusta. Lisävahvistuksen kohdalla on ennen lisävahvistuksen antamista todettu em. tietojen lisäksi seuraavasti: ”Olet tekemässä maksua joka vaatii lisävahvistuksen. Tarkasta, että alla olevat tiedot ovat oikein.”

Pankkilautakunta on ratkaisukäytännössään vakiintuneesti katsonut, että tapauksissa, joissa rikoksen uhri on huijattuna tullut itse hyväksyneeksi riidanalaiset maksut esimerkiksi omassa puhelimessaan olevalla pankin mobiilisovelluksella ja sovelluksessa on ennen vahvistuksen antamista näkynyt vahvistettavan maksun tiedot, ei pankkia ole suositettu hyvittämään asiassa aiheutunutta vahinkoa asiakkaalle. Näissä tapauksissa on katsottu, että vaikka asiakas on antanut maksujen vahvistukset rikollisten harhaan johtamana, on hän kuitenkin itse antanut maksuille maksupalvelulain 38 §:ssä ja sovellettavissa ehdoissa tarkoitetun suostumuksensa, eivätkä kyseessä olevat maksutapahtumat tällöin ole maksupalvelulaissa tarkoitetulla tavalla oikeudettomia. Tämän vuoksi käsillä ei ole myöskään ollut perusteita pankin vastuulle maksuista asiakkaalle aiheutuneesta vahingosta.

Pankkilautakunnalla ei ole syytä arvioida nyt käsiteltävänä olevaa tapausta eri tavalla. Vaikka asiakas on antanut em. vahvistukset tilisiirrolle tultuaan rikollisten harhaan johtamaksi, tällä ei ole merkitystä asiakkaan ja pankin välisessä suhteessa. Pankkilautakunta katsoo, että asiakas on antanut maksutapahtumalle maksupalvelulain 38 §:ssä tarkoitetun suostumuksensa maksutapahtuman toteuttamiseen ja pankkitunnusehtojen mukaisen suostumuksensa pankille maksutapahtuman veloittamiselle tililtään. Näin ollen lautakunta katsoo, ettei kyseessä oleva maksutapahtuma ole maksupalvelulaissa tarkoitetulla tavalla oikeudeton ja ettei käsillä siten ole perusteita pankin vastuulle tilisiirrosta asiakkaalle aiheutuneesta vahingosta.

Pankin menettelystä

Asiakas on vedonnut tapauksessa myös siihen, että pankki olisi merkittävällä tavalla laiminlyönyt oman huolellisuus- ja huolenpitovelvollisuutensa asiakasta kohtaan ko. tilisiirron estämisen ja asiakkaalle annetun ohjeistuksen suhteen.

Tapauksessa pankki on vastoin asiakkaan käsitystä sulkenut asiakkaan verkkopankkitunnukset tapahtumailtana pankin monitoroinnin hälytettyä tapahtuneesta asioinnista ja pankki on tehnyt tililtä lähteneestä siirrosta maksupalautuspyynnön, joka ei kuitenkaan ole johtanut varojen palautukseen.

Maksupalvelusääntelyn perusteella pankeilla on oltava käytössään maksutapahtumien valvontamekanismit, joiden avulla ne voivat havaita oikeudettomat ja petolliset maksutapahtumat. Pankkilautakunta on vakiintuneessa ratkaisukäytännössään tämän osalta todennut, että tällä velvollisuudella ei kuitenkaan ole suoraa vaikutusta pankin ja asiakkaan väliseen vastuunjakoon maksuvälineen petollisen käytön osalta, eikä pankki siten ole velvollinen korvaamaan asiakkaalle aiheutunutta vahinkoa yksinomaan sillä perusteella, ettei se ole estänyt petollisiksi osoittautuneita maksuja.

Pankkilautakunta katsoo aiemman ratkaisukäytännön mukaisesti, ettei pankki vastaa asiakkaalle aiheutuneesta vahingosta yksinomaan sillä perusteella, ettei se ole estänyt ko. tilisiirtoa sen tekohetkellä. Edelleen lautakunta katsoo asiassa jääneen näyttämättä, että asiakas olisi saanut pankista virheellistä neuvontaa tapahtunutta koskien, ja joka tapauksessa ilmeiseksi, ettei ohjeistuksen mahdolliset puutteet ole vaikuttaneet asiassa aiheutuneen vahingon määrään.

Lopputulos

Edellä esitettyyn viitaten Pankkilautakunta ei suosita asiassa hyvitystä.

Pankkilautakunta oli yksimielinen.

PANKKILAUTAKUNTA

Puheenjohtaja Sillanpää
Sihteeri Hidén

Jäsenet:
Atrila
Piilo
Punakivi
Tervonen