Tapahtumatiedot

Pankin A selvityksen mukaan iPhone XR -laitteelle on ladattu ja aktivoitu 21.1.2025 klo 17:00 asiakkaan nimissä oleva pankin mobiilisovellus. Tämä on edellyttänyt asiakkaan pankin B pankkitunnuksilla tehtyä tunnistautumista sekä vahvistuskoodia, jonka pankki A on lähettänyt tekstiviestitse klo 16:58 asiakkaan puhelinnumeroon. Viestin sisältö on ollut seuraavanlainen:
TÄRKEÄÄ! [Pankin] verkkopankkitunnuksillasi ollaan ottamassa käyttöön [pankin mobiilisovellus] -sovellusta uudessa laitteessa. VARO HUIJAUKSIA! ÄLÄ ANNA VAHVISTUSKOODIA KENELLEKÄÄN TAI MILLEKÄÄN VERKKOSIVUILLE. HUIJAUSSIVUSTOT VOIVAT NÄYTTÄÄ [PANKIN] SIVUILTA. Koodia käytetään vain [pankin mobiilisovellus]-sovelluksen käyttöönottoon. Jos et ole itse ottamassa [pankin mobiilisovellusta] käyttöön, älä käytä koodia ja poista tämä viesti. Jos olet itse ottamassa käyttöön [pankin mobiilisovellusta], anna vahvistuskoodi 7653 laitteesi [pankin mobiilisovellus]-sovellukseen. Jos epäilet antaneesi verkkopankkitunnuksesi huijaussivulle, soita heti sulkupalveluun xx xxxx xxxx (pvm/mpm). Terveisin [pankki]

Em. pankin mobiilisovellusta käyttäen 22.1.2025 klo 9:12-9:26 välisenä aikana asiakkaan luottokortilta on tehty 10.000 euron siirto asiakkaan tilille ja asiakkaan kolmelta tililtä on tehty ulkopuolisille yhteensä 16.646 euron tilisiirrot.

Pankki on sulkenut asiakkaan verkkopankkitunnukset 22.1.2025 klo 13:17.

Asiakkaan valitus

Asiakas vaatii, että pankki A palauttaa koko tappion (50 € omavastuu huomioiden) maksupalvelulain 62–63 §:n sekä PSD2:n 73–74 artiklan perusteella. Asiassa pitää kiinnittää huomiota siihen, että aktivointikoodien välitys on järjestettävä RTS-asetuksen ja GDPR:n tietoturvavaatimusten mukaisesti. Pankin A tulee välttää suojaamattomia kanavia tällaisille koodeille, ellei käytössä ole riittäviä lisäsuojauksia, jotka varmistavat, että vain asiakas voi saada koodin haltuunsa.

Asiakas joutui koordinoidun petoksen kohteeksi, joka koski sekä pankkia B että pankkia A. Pankissa A tehdyt oikeudettomat maksut tapahtuivat 22.1.2025 sen jälkeen, kun pankin mobiilisovellus oli aktivoitu laitteelle, joka ei ollut asiakkaan (iPhone XR). Asiakas käyttää normaalisti iPhone 13 Pro -puhelinta eikä ole asentanut tai aktivoinut pankin mobiilisovellusta millekään muulle laitteelle.

On mahdollista, että ennen 21.1.2025 asiakas on tietämättään siirtynyt tietojenkalastelusivustolle, joka muistutti pankin B verkkopankkisivua käyttäessään tietokonettaan. Mikäli näin on tapahtunut, asiakas ei tuolloin ymmärtänyt sivuston olevan vilpillinen, eikä asiakas ole tietoisesti luovuttanut tunnuksiaan kenellekään.

21.1.2025 asiakas oli matkustamassa Kuusamosta Helsinkiin ja oli kiireinen käytännön järjestelyjen kanssa ennen lentoa. Myös asiakkaan saavuttua Helsinkiin päivä oli kiireinen, hän ei yrittänyt kirjautua pankkiin tietokoneellaan tuona päivänä eikä hoitanut pankkiasioita.

23.1.2025 illalla kaupassa asiakkaan pankin B ja pankin kortit eivät toimineet. Kotona asiakas soitti pankkiin B, josta kerrottiin petollisista maksuista asiakkaan tilillä, joiden johdosta pankki sulki asiakkaan tilin ja kortit. Joku oli ostanut Turkissa kultaa kaksi kertaa käyttäen asiakkaan kortteja.

24.1.2025 asiakas kävi pankissa A, jossa kerrottiin, että asiakkaan tilit on lukittu petollisten maksujen johdosta. Kaikki asiakkaan kolme tilillä ja lisäksi luottokortti oli tyhjennetty.

Pankin A mukaan myös asiakkaan pankin B tunnukset vietiin ja niitä käytettiin tunnistautumiseen pankin suuntaan. Pankin A mukaan huijari latasi pankin mobiilisovelluksen ja pankki lähetti vahvistuskoodin asiakkaan puhelimeen.

Asiakkaan on vaikea tätä vahvistaa, koska hän on unohtanut icloud-tilinsä tunnukset ja menetti edellisen icloudinsa tiedot. Voiko olla, että hakkeri on saanut pääsyn asiakkaan puhelimeen mukaan lukien pankin lähettämän koodin.

Huijarilla näyttää olleen asiakkaan pankin B tunnukset, joita hän käytti ostaessaan pankin B kortilla kultaa 900 euron arvosta. Pankki B epäili epäilyttäviä maksuja ja sulki asiakkaan tilin. Mikäli pankin B tunnukset ovat joutuneet vääriin käsiin tietojenkalastelun seurauksena ennen 21.1.2025, tämä selittäisi, miten ne ovat päätyneet rikollisten käyttöön. Pankki B tutki saman kokonaispetoksen ja katsoi, että asiakas oli kehittyneen ja monimutkaisen tietojenkalastelun uhri eikä asiakkaan menettely täyttänyt törkeän huolimattomuuden tunnusmerkkejä ja hänen vastuuosuutensa rajoitettiin 50 euroon. Tämä tausta on erityisen olennainen, koska pankki A itse toteaa, että sen käyttämä tunnistautuminen perustui pankin B sähköiseen tunnistukseen. Tämä osoittaa myös, että kyse oli kahteen pankkiin kohdistuneesta kehittyneestä tietojenkalasteluhyökkäyksestä, ei tahallisesta tai piittaamattomasta toiminnasta asiakkaan puolelta.

Asiakas ei tiedä, miten hänen tunnuksensa ovat voineet päätyä vääriin käsiin. Asiakas ei ole klikannut linkkejä tai jakanut pankkitunnuksiaan kenellekään. Asiakas ei myöskään käytä pankkitunnuksia tunnistautumiseen. Kyseisellä viikolla asiakas vieraili Valviran, youtuben ja googlen sivuilla, asiakas ei ole ostanut mitään verkossa.

Pankkia A koskevat oikeudettomat tapahtumat tapahtuivat 22.1.2025, kun taas pankin B tiliä koskenut petos tapahtui myöhemmin, 24.1.2025. Tällä tapahtumien aikajärjestyksellä on merkitystä kokonaisuuden arvioinnissa.

Pankki A ei huomioi laajempaa petoskokonaisuutta. Sen sijaan pankki lähtee oletuksesta, että asiakas olisi luovuttanut tunnuksensa tai toiminut törkeän huolimattomasti, vaikka pankki itsekin myöntää, että on olennaisesti epäselvää, miten tunnukset ja tekstiviestivahvistuskoodi ovat päätyneet ulkopuolisen haltuun.

Pankkia A koskeva petos tapahtui normaaleina pankkiaikoina, ja varat siirrettiin toiseen pankin tiliin. Asiakas kysyy perustellusti, miksi pankin petosten seurantajärjestelmät eivät havainneet, viivästyttäneet tai estäneet näitä siirtoja, ottaen huomioon siirtojen nopeuden, määrän ja sen, että varat siirrettiin saman pankin sisällä. Pankin vastineessa ei selitetä, miksi mitään ennaltaehkäiseviä toimia ei tässä vaiheessa tehty.

Pankki A toteaa, että asiakkaan puhelimeen lähetettiin 21.1.2025 klo 16.58 vahvistuskoodi, jota käytettiin pankin sovelluksen aktivoimiseen. Asiakas ei ole tietoisesti aktivoinut pankin sovellusta uudelle laitteelle eikä antanut tai jakanut vahvistuskoodia kenellekään henkilölle tai millekään verkkosivustolle. Asiakas ei muista saaneensa kyseistä tekstiviestiä eikä ollut tuolloin hoitamassa pankkiasioita. Puhelin oli asiakkaan hallussa ja toimi normaalisti. Asiakas ei ollut vaihtanut SIM-korttia, ei ollut matkustanut ulkomaille eikä hänellä ollut muita Apple-laitteita liitettynä viesteihin. Asiakas ei myöskään muista saaneensa tai käyttäneensä tekstiviestivahvistusta. Mikäli jokin vahvistuskoodi on syötetty, se on voinut tapahtua ainoastaan asiakkaan tietämättä osana harhaanjohtavaa tietojenkalasteluprosessia. Asiakas ei ole tietoisesti tai tahallisesti sivuuttanut tekstiviestissä ollutta turvallisuusvaroitusta eikä ymmärtänyt aktivoivansa uutta pankkisovellusta tai mahdollistavansa pääsyä tililleen. Mikäli jokin vahvistuskoodi on syötetty, se on voinut tapahtua ainoastaan asiakkaan tietämättä osana harhaanjohtavaa tietojenkalasteluprosessia tai muuta teknistä petosmenetelmää.

Lisäksi kielimuuri vaikutti merkittävästi asiointiin pankin kanssa. Englanninkielisenä asiakkaana hän koki vaikeuksia henkilökunnan riittämättömän englannin kielen taidon vuoksi, mikä rajoitti mahdollisuuksia ymmärtää hänelle myönnettyjä tuotteita, niihin liittyviä turvallisuusriskejä sekä oikeita toimintatapoja petostilanteessa.

Yhdessä tarkasteltuna nämä seikat herättävät vakavia kysymyksiä pankin petosten torjunnasta, asiakasviestinnästä sekä sen velvoitteiden täyttämisestä maksupalvelulain ja kuluttajansuojaperiaatteiden mukaisesti. Tässä kokonaisuudessa ei ole perusteltua luonnehtia asiakkaan toimia törkeän huolimattomiksi.

Maksupalvelulain mukaan täysi vastuu edellyttää törkeää huolimattomuutta, eli vakavaa ja selvää laiminlyöntiä maksuvälineen käyttöä koskevissa velvollisuuksissa. Pankki ei ole osoittanut, että asiakas olisi tietoisesti jakanut tunnistautumiskoodeja, jättänyt toistuvia varoituksia huomiotta tai toiminut selvästi piittaamattomalla tavalla. Se, että tunnistautuminen on teknisesti onnistunut, ei sellaisenaan osoita törkeää huolimattomuutta. Enintään kyse voisi olla tavanomaisesta huolimattomuudesta ja tällöin vastuu rajoittuu 50 euroon.

Pankin A antama lisäselvitys vahvistaa, että asiakkaalla on ollut ennestään pankin verkkopankkitunnuksia koskeva sopimus, mutta samalla todetaan, että pankin mobiilisovelluksen käyttöönotto on voitu tehdä ilman kyseisten tunnusten (esimerkiksi henkilökohtaisen käyttäjätunnuksen) käyttöä, hyödyntäen toisen pankin tunnistusvälinettä sekä tekstiviestivahvistusta. Asiakas pitää tätä menettelyä olennaisena riskitekijänä ja keskeisenä osana valitustaan. Se, että sovellus voidaan ottaa käyttöön ilman asiakkaan omia pankin tunnuksia, heikentää tunnistamisen luotettavuutta ja mahdollistaa oikeudettoman käyttöönoton tilanteessa, jossa kolmas osapuoli on saanut haltuunsa asiakkaan puhelinnumeron tai pystyy vaikuttamaan tekstiviestivahvistukseen. Asiakas korostaa, että hän ei ole itse ottanut mobiilisovellusta käyttöön kyseisenä ajankohtana, ei ole antanut suostumustaan sovelluksen käyttöönottoon eikä ole hyväksynyt mitään toimenpiteitä, jotka olisivat mahdollistaneet sovelluksen aktivoinnin ilman asiakkaan omien pankkitunnusten käyttöä. Näin ollen asiakas katsoo, että pankin käyttöönotto- ja tunnistautumismenettely ei ole täyttänyt riittäviä turvallisuusvaatimuksia, eikä vastuu tapahtuneesta voi siirtyä asiakkaalle asiakkaana.

Asiakas pyytää FINEä arvioimaan erityisesti, onko pankin tunnistautumisprosessi ollut riittävän vahva tilanteessa, jossa olemassa olevia pankkitunnuksia ei ole edellytetty, ja onko pankki täyttänyt velvollisuutensa estää oikeudeton käyttöönotto ja suojata asiakkaan varoja.

Oikeudellinen viitekehys (Suomi / EU)

• Maksupalvelulaki (290/2010) 62–63 §.
• PSD2 (Direktiivi (EU) 2015/2366), 73–74 artiklat.
• FINEn ratkaisukäytäntö. Monimutkaisissa social-engineering- ja phishing-tapauksissa asiakkaan toimintaa ei yleensä katsota törkeän huolimattomaksi.
• Tunnistetietojen ja koodien suojaaminen. PSD2:n vahvaa tunnistamista koskevan RTS-asetuksen (Komission delegoitu asetus (EU) 2018/389) mukaan palveluntarjoajan on varmistettava henkilökohtaisten turvallisuustunnusten ja vahvistuskoodien luottamuksellisuus ja eheys kaikissa vaiheissa sekä se, että niiden käsittely ja toimittaminen tapahtuu turvallisissa ympäristöissä siten, että vain käyttäjä voi saada ne haltuunsa.
• Tietosuoja ja tietoturva. GDPR edellyttää käsittelyä, joka varmistaa eheyden ja luottamuksellisuuden (5(1)(f)) sekä asianmukaiset tekniset ja organisatoriset suojatoimet (32 art.). Suomen Tietosuojalaki (1050/2018) täydentää GDPR:ää. Lainsäädäntö ei nimeä erikseen ”SMS:ää”, mutta se velvoittaa rekisterinpitäjän (myös pankit) käyttämään riittävän turvallisia menetelmiä, jotta tunnukset/koodit eivät paljastu.

​​​​​​​Kriittisen aktivointikoodin lähettäminen paljaana tekstiviestinä mahdollisti sen, että huijari saattoi kaapata ja käyttää koodin. Ottaen huomioon RTS-asetuksen velvollisuuden varmistaa tunnusten/koodien luottamuksellisuus ja toimittaminen vain turvallisissa ympäristöissä, pelkkään SMS-viestiin tukeutuminen ilman lisäsuojauksia ei täytä palveluntarjoajan velvoitteita korkean riskin tilanteessa.

Pankin vastine

Asiakas vaatii pankkia A hyvittämään varat, jotka hän on menettänyt oikeudettomien tilisiirtojen ja luotolta siirron myötä. Menetetyt varat ovat olleet yhteensä 16.646,00 euroa. Asiakas kiistää käyttäneensä pankin A verkkopankkitunnuksia tai luovuttaneensa niitä kenellekään tai millekään sivustolle tapahtumien yhteydessä.

Kaikki reklamoidut tapahtumat on vahvistettu pankin A mobiilisovelluksella. Sovellus, jolla tapahtumat on vahvistettu, on ladattu 21.1.2025 klo 17:00 laitteelle iPhone XR. Sovelluksen käyttöönottoon on tarvittu asiakkaan henkilökohtaiset verkkopankkitunnukset. Käyttöönotto on tehty käyttäen pankin B sähköistä tunnistusvälinettä sekä pankin A tekstiviestillä asiakkaan henkilökohtaiseen puhelinnumeroon lähetettyä vahvistuskoodia.

Asiakkaalla on ennen tapahtumia ollut pankin A verkkopankkitunnuksia koskeva sopimus, eikä uutta sopimusta ole solmittu sovellusta käyttöönotettaessa. Ja koska sovellus on otettu käyttöön toisen pankin tunnistusvälineen avulla, ei käyttöönotossa tosiaan ole tarvittu pankin A pankkitunnusten osia, kuten käyttäjätunnusta.

Pankki on lähettänyt sovelluksen käyttöönottoon tarvittavan vahvistuskoodin asiakkaan puhelinnumeroon tekstiviestillä 21.1.2025 klo 16:58. Viestin sisältö on ollut:
TÄRKEÄÄ! [Pankin] verkkopankkitunnuksillasi ollaan ottamassa käyttöön [pankin mobiilisovellus] -sovellusta uudessa laitteessa. VARO HUIJAUKSIA! ÄLÄ ANNA VAHVISTUSKOODIA KENELLEKÄÄN TAI MILLEKÄÄN VERKKOSIVUILLE. HUIJAUSSIVUSTOT VOIVAT NÄYTTÄÄ [PANKIN] SIVUILTA. Koodia käytetään vain [pankin mobiilisovellus]-sovelluksen käyttöönottoon. Jos et ole itse ottamassa [pankin mobiilisovellusta] käyttöön, älä käytä koodia ja poista tämä viesti. Jos olet itse ottamassa käyttöön [[pankin mobiilisovellusta], anna vahvistuskoodi 7653 laitteesi [pankin mobiilisovellus]-sovellukseen. Jos epäilet antaneesi verkkopankkitunnuksesi huijaussivulle, soita heti sulkupalveluun xx xxxx xxxx (pvm/mpm). Terveisin [pankki]

Asiakas kertoo, että huijarit ovat saaneet hänen pankkitunnuksensa tietojenkalastelun seurauksena. Tämä selittää sen, että huijarit ovat ryhtyneet ottamaan käyttöön pankin mobiilisovellusta asiakkaan tunnuksilla. Asiakas ei kertomansa mukaan tiedä miten vahvistuskoodi on päätynyt ulkopuolisen haltuun. Käyttöönotto on kuitenkin onnistunut vasta kun asiakkaan puhelinnumeroon lähetettyä vahvistuskoodia on käytetty. Vahvistuskoodi on täytynyt näppäillä uudessa laitteessa olevaan pankin mobiilisovellukseen, jotta sen käyttöönotto on ollut mahdollista. Asiakkaan on siis täytynyt luovuttaa kyseinen vahvistuskoodi ja tässä kohtaa pankki katsoo asiakkaan toimineen törkeän huolimattomasti. Epäselvää on ainoastaan se, millä tavalla asiakas on koodin luovuttanut.

Pankki on sulkenut asiakkaan verkkopankkitunnukset 22.1.2025 klo 13:17. Reklamoidut maksut on tehty 22.1.2025 klo 9:12-9:26 välillä.

Tapauksessa jää olennaisilta osin epäselväksi, miten pankin A mobiilisovelluksen lataamiseen tarvitut asiakkaan henkilökohtaiset verkkopankkitunnukset ja tekstiviestillä lähetetty vahvistuskoodi ovat päätyneet ulkopuolisen haltuun. Pankki A katsoo, että jos asiakas ei itse ole hyväksynyt reklamoituja tapahtumia, pankki ei pidä mitään muuta mahdollisena, kuin että hän on luovuttanut verkkopankkitunnuksensa ja tekstiviestillä saamansa vahvistuskoodin ulkopuoliselle tai hän on säilyttänyt tunnuksiaan ja puhelintaan, johon tekstiviestivahvistus on lähetetty, niin huolimattomasti, että ulkopuolinen on saanut ne haltuunsa hänen huomaamattaan.

Pankki A ei ota kantaa pankin B asiassa tekemään päätökseen. Pankilla A ei ole tietoa toisen pankin järjestelmissä tapahtuneista oikeudettomista maksutapahtumista tai siitä, miten ne on pystytty toteuttamaan. Sen sijaan pankin tapahtumat ovat edellyttäneet, että asiakas on luovuttanut ulkopuoliselle
1) verkkopankkitunnuksensa sekä
2) tekstiviestitse saamansa pankin A mobiilisovelluksen käyttöönottoa koskevan vahvistuskoodin, vaikka tämä on em. tekstiviestissä selkeästi kielletty.
Näin ollen pankki A katsoo, että asiakkaan toiminta on ollut pankin digitaalisten palvelujen yleisten ehtojen vastaista sekä törkeän huolimatonta maksupalvelulaissa tarkoitetulla tavalla.

Kielitaito

Asiakas on lisäksi vedonnut puutteelliseen kielitaitoonsa. Maksupalvelulain mukaan tiedot ja ilmoitukset on annettava käyttäjälle suomeksi tai ruotsiksi, jolleivät osapuolet sovi muun kielen käyttämisestä (9 §). Lain mukaan osapuolten välisestä viestinnästä on lisäksi annettava tieto siitä, millä kielellä tai kielillä puitesopimus on tarkoitus tehdä ja mitä kieltä tai kieliä voidaan käyttää sopimussuhteen aikana (13 §). Pankin A pankkitunnuksia koskevissa ehdoissa todetaan, että asioidessa voi käyttää suomen tai ruotsin kieltä ja että asiakas vastaa tarvitsemansa tulkkauspalvelun hankkimisesta ja sen kustannuksista, jos haluaa käyttää muuta kuin suomen tai ruotsin kieltä.

FINEn Pankkilautakunta on ratkaisukäytännössään jo vakiintuneesti katsonut huolelliselta pankkitunnustenhaltijalta edellytettäviin perusvaatimuksiin kuuluvan sen, että pankkitunnuksia käyttäessään hän lukee ja huomioi omassa toiminnassaan asiointinsa yhteydessä pankiltaan saamansa viestit. Edelleen lautakunta on katsonut, että pankin vastuulla puolestaan on, että pankin asiakkaalle lähettämät viestit ovat sisällöltään ymmärrettäviä siten, ettei esimerkiksi huolelliselle pankkitunnustenhaltijalle pitäisi jäädä epäselväksi, missä tarkoituksessa pankin viestissä ollutta koodia käytetään. Mikäli asiakas ei kuitenkaan ymmärrä asiakkaan ja pankin välillä sovittua asiointikieltä, on lautakunnan näkemyksen mukaan huolellisen asiakkaan vastuulla, että hän varmistuu siitä, mitä pankki hänelle pankkitunnusten käyttämistä edellyttävän asioinnin yhteydessä viestii. Viime kädessä, mikäli asiakas ei kielimuurin vuoksi ymmärrä tai voi olla varma, mihin esimerkiksi pankin tekstiviestitse toimittama koodi on tarkoitettu, olisi hänen lautakunnan ratkaisukäytännön mukaan huolellisesti toimiessaan keskeytettävä asiointinsa ja oltava esimerkiksi yhteydessä pankkiinsa varmistuakseen menettelyn tarkoituksesta ja asianmukaisuudesta.

Pankin seurantajärjestelmät

Pankki käyttää useita erilaisia kontrolleja, rajoituksia ja järjestelmiä suojellakseen asiakkaitaan petolliselta toiminnalta. Yksi kontrolleista pyrkii tunnistamaan petokseksi epäillyt tapahtumat ja pysäyttämään ne manuaalista valvontaa varten. Mikään monitorointi ei kuitenkaan valitettavasti pysty estämään kaikkia huijauksia. Tämän tarkemmin pankki ei valitettavasti voi avata riskienhallinnallisia menetelmiään. Asiakkaan tapauksessa huijarilla on ollut tiedossaan asiakkaan verkkopankkitunnukset ja pankin tunnistussovellus tehdessään maksutapahtumat asiakkaan tililtä, joten pankin näkökulmasta huijari on tehnyt toimenpiteitä, joita asiakas olisi voinut itsekin tehdä.

Selvitykset

Valitusta koskevan osapuolten kirjelmöinnin lisäksi lautakunnalle on toimitettu seuraavat asiakirjat:
- Tutkintailmoitus (ilmoitusaika 24.1.2025)
- Pankin digitaalisia palveluja koskevat ehdot

Ratkaisusuositus

Kysymyksenasettelu

Asiakkaan ja pankin välisen vastuunjaon ratkaisemiseksi Pankkilautakunnan on arvioitava, voidaanko maksuvälineen oikeudettoman käytön katsoa johtuneen siitä, että asiakas on huolimattomuudestaan laiminlyönyt lain 53 § 1 momentin ja pankkitunnusehtojen mukaisia velvollisuuksiaan, sekä minkä asteista asiakkaan mahdollinen huolimattomuus on.

Sovellettavat lainkohdat ja sopimusehdot

Maksupalvelulain 53 §:n (Maksuvälineestä huolehtiminen.) 1-2 momentin mukaan
Maksuvälineen haltijan on käytettävä maksuvälinettä sen myöntämistä ja käyttöä koskevien ehtojen mukaisesti. Erityisesti hänen on kohtuullisin toimenpitein huolehdittava maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista. Maksuvälineen myöntämistä ja käyttöä koskevat ehdot eivät saa olla perusteettomia, kohtuuttomia tai syrjiviä.
Maksuvälineen haltijan velvollisuus huolehtia maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista alkaa, kun hän vastaanottaa ne.

Lain 54 §:n (Katoamisilmoitus.) 1 momentin mukaan
Maksuvälineen haltijan on ilman aiheetonta viivytystä ilmoitettava palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.

Lain 62 §:n (Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä.) mukaan
Maksupalvelun käyttäjä, joka on tehnyt maksuvälinettä koskevan sopimuksen palveluntarjoajan kanssa, vastaa kadonneen tai oikeudettomasti toisen haltuun joutuneen maksuvälineen käytöstä tai muusta maksuvälineen oikeudettomasta käytöstä vain, jos oikeudeton käyttö johtuu siitä, että hän tai muu maksuvälineen haltija on:
1) luovuttanut maksuvälineen sen käyttöön oikeudettomalle;
2) huolimattomuudesta laiminlyönyt 53 §:n 1 momentin mukaiset velvollisuutensa; taikka
3) laiminlyönyt ilman aiheetonta viivytystä ilmoittaa palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.
Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä 1 momentin 2 ja 3 kohdassa tarkoitetuissa tapauksissa on enintään 50 euroa. Tätä rajoitusta ei sovelleta, jos maksupalvelun käyttäjä tai muu maksuvälineen haltija on toiminut tahallisesti tai törkeän huolimattomasti.
Maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä:
1) siltä osin kuin maksuvälinettä on käytetty sen jälkeen, kun palveluntarjoajalle tai sen nimeämälle muulle taholle on ilmoitettu maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä;
2) jos palveluntarjoaja on laiminlyönyt huolehtia siitä, että maksuvälineen haltijalla on mahdollisuus tehdä milloin tahansa 1 kohdassa tarkoitettu ilmoitus;
3) jos maksunsaaja ei ole maksuvälinettä käytettäessä asianmukaisesti varmistunut maksajan oikeudesta käyttää maksuvälinettä; tai
4) jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.
Sen estämättä, mitä 3 momentissa säädetään, maksupalvelun käyttäjä on vastuussa maksuvälineen oikeudettomasta käytöstä, jos hän tai muu maksuvälineen haltija on tahallaan tehnyt väärän ilmoituksen tai toiminut muuten petollisesti.

Maksupalvelulain 63 §:n (Palveluntarjoajan vastuu oikeudettomasta maksutapahtumasta.) 1 momentin mukaan 
Jos maksutapahtuma on toteutettu oikeudettomasti eikä 62 §:stä muuta johdu, palveluntarjoajan, jonka asiakkaan varoja on käytetty maksutapahtuman toteuttamiseen, on välittömästi ja viimeistään seuraavana työpäivänä siitä, kun se havaitsi maksutapahtuman tai sille ilmoitettiin maksutapahtumasta, palautettava maksutapahtuman rahamäärä asiakkaalleen tai palautettava tämän maksutili siihen tilaan, jossa se olisi ollut ilman veloitusta.

Pankin digitaalisten palvelujen ja tunnistusvälineiden yleisten ehtojen (Pankkitunnusehdot) kohta, joka koskee asiakkaan vastuuta tunnistusvälineiden oikeudettomasta käytöstä maksuvälineenä vastaa maksupalvelulain 62 §:n kuluttajan hyväksi pakottavia säännöksiä.

Pankkitunnusehtojen Määritelmät -kohdan mukaan
Pankin tunnistusvälineitä ovat
· verkkopankkitunnukset, jotka koostuvat antamastamme käyttäjätunnuksesta, valitsemastasi henkilökohtaisesta salasanasta sekä tunnusluvusta, joka ilmenee tunnuslukutaulukosta.
· [Pankin mobiilisovelluksen] tunnistaminen, joka koostuu mobiililaitteeseen ladatusta sovelluksesta, valitsemastasi henkilökohtaisesta tunnusluvusta ja/tai biometrisestä tunnisteesta kuten sormenjäljestä tai kasvonpiirteistä. [Pankin mobiilisovelluksen] tunnistamisen voit ottaa käyttöösi [Pankin mobiilisovelluksessa].

Pankkitunnusehtojen Tunnistaminen [pankin] tunnistusvälineillä -kohdan mukaan
Tunnistusperiaatteemme ovat saatavilla verkkosivuillamme osoitteessa [pankki].fi ja asiakaspalvelupisteillämme.
Tunnistusvälineillämme voit tunnistautua myös kolmannen osapuolen palvelussa siten kuin tunnistuslaissa säädetään.
[…]

Pankkitunnusehtojen Tunnistusvälineitä koskevat velvollisuutesi -kohdan Tunnistusvälineiden säilyttäminen -alakohdan mukaan
Verkkopankkitunnukset ja laitteeseen ladattu [pankin mobiilisovelluksen] tunnistaminen ovat henkilökohtaisia. Niitä ei saa osittainkaan luovuttaa tai antaa tiedoksi sivulliselle henkilölle, vaikka kyseessä olisi perheenjäsen, eikä erilliselle sovellukselle tai palvelulle.
Tällä sopimuksella sitoudut säilyttämään tunnistusvälineitä huolellisesti ja varmistamaan säännöllisesti, että ne ovat tallessa. Et saa kirjoittaa verkkopankin tai [pankin mobiilisovelluksen] tunnuslukuasi muistiin helposti tunnistettavaan muotoon. Sitoudut myös säilyttämään verkkopankin käyttäjätunnuksen, mahdollisesti muistiin merkitsemäsi salasanan ja tunnusluvut sisältävät tulosteet erillään toisistaan siten, ettei kukaan voi yhdistää niitä toisiinsa.
Verkkopankkitunnusten eri osia ei siis saa säilyttää samassa paikassa, kuten käsilaukussa, lompakossa tai kotona samassa säilytyspaikassa.
Huomioi erityisesti seuraavat asiat:
· Et saa missään tilanteessa kertoa verkkopankkitunnuksia tai tekstiviestillä lähettämäämme vahvistuskoodia suullisesti sinulle tulleessa puhelussa, sähköpostissa tai muussa viestissä niitä kysyvälle.
· Et saa käyttää verkkopankkitunnuksia verkkopankkiin kirjautumiseen, tunnistautumiseen tai muun pankkiasian hoitamiseen, jos linkki kirjautumissivulle on lähetetty sinulle sähköpostilla tai muulla sähköisellä tavalla.
Tarkista olosuhteiden vaatimalla tavalla säännöllisesti, että verkkopankkitunnusten osat tai [pankin mobiilisovelluksen] sisältävä laitteesi ovat tallessa.
Muiden ihmisten läsnäollessa suojaa käyttämäsi laite kädelläsi tai kehollasi, kun kirjaudut verkkopankkiin. Näin sivulliset eivät pääse näkemään, kun näppäilet verkkopankkitunnuksen tai [pankin mobiilisovelluksen] tunnusluvun.
Et saa kirjautua verkkopankkiin tai hyväksyä tunnistusvälineilläsi maksuja, jos olet luovuttanut laitteesi etäyhteydellä toisen hallintaan. Et saa käyttää verkkopankkitunnuksia laitteella, jossa on havaittu tai epäillään olevan haittaohjelma.
Sinulla on kuitenkin oikeus tunnistautua tunnistusvälineillämme maksupalvelulain mukaisiin ulkopuolisen palveluntarjoajan maksutoimeksiantopalveluihin tai tilitietopalveluihin.

Pankkitunnusehtojen Katoamisilmoituksen tekeminen -kohdan mukaan
Palveluiden asiattoman käytön estämiseksi sinun pitää ilmoittaa meille välittömästi, jos tunnistusvälineet tai niiden osa (verkkopankin salasana, tunnuslukutaulukko, [pankin mobiilisovelluksen] sisältävä laite tai [pankin mobiilisovelluksen] tunnusluku) on kadonnut tai on syytä epäillä sivullisen saattaneen saada ne haltuunsa tai tietoonsa.
Tee katoamisilmoitus ensisijaisesti 24 tuntia vuorokaudessa avoinna olevaan sulkupalveluun: […]

Asian arviointi

Tapahtumienkulku

Pankki on tapauksessa esittänyt järjestelmätietoihinsa perustuvan selvityksen tapahtumista ja siitä, mitä tietoja rikollisilla on täytynyt olla, jotta he ovat voineet aktivoida omalle laitteelleen asiakkaan nimissä olevan uuden pankin A mobiilisovelluksen, jota käyttäen ko. tilisiirrot on tehty. Pankkilautakunnalla ei ole syytä epäillä pankin esittämän pankin järjestelmätietoihin perustuvan selvityksen paikkansa pitävyyttä.

Asiassa saadun selvityksen mukaan pankin A mobiilisovelluksen käyttöönotto on edellyttänyt, että rikolliset ovat onnistuneet tunnistautumaan lataamassaan pankin A sovelluksessa asiakkaan pankin B pankkitunnuksin sekä saaneet tietoonsa pankin A asiakkaalle 21.1.2025 klo 16:58 lähettämässä tekstiviestissä olleen vahvistuskoodin, joita käyttäen he ovat voineet aktivoida omalle laitteelleen asiakkaan nimissä olleen pankin mobiilisovelluksen.

Pankkilautakunnassa on käsitelty viime vuosina lukuisia erilaisia verkossa tapahtuneita verkkopankkitunnusten kalastelua ja oikeudetonta käyttöä koskevia tapauksia ja erityisesti sellaisia, joissa rikolliset ovat tämän tapauksen tavoin onnistuneet aktivoimaan omalle laitteelleen asiakkaan nimissä olevan pankin mobiilisovelluksen. Tyypillisesti näissä tapauksissa uhri on päätynyt esimerkiksi hakukoneen taikka rikollisten uhrille lähettämässä viestissä olleen linkin kautta asioimaan pankin, jonkin viranomaisen tai esimerkiksi kuljetusliikkeen verkkosivuilta näyttäville rikollisten luomille valesivuille, joiden kautta uhrin sivuille esimerkiksi kirjautumistarkoituksessa syöttämät tiedot päätyvät rikollisten tietoon.

Pankkilautakunnan käsittelemässä tapauksessa FINE-71529-W1F8J0 (25.4.2025) pankin mobiilisovelluksen käyttöönotto edellytti rikollisilta asiakkaan pankkitunnustietojen lisäksi pankin tekstiviestitse asiakkaalle lähettämää aktivointikoodia. Kyseisessä tapauksessa asiakas oli hotelleja verkossa katsoessaan päätynyt rikollisten luomille valesivuille, joilla hän oli käyttänyt verkkopankkitunnuksiaan kirjautumistarkoituksessa. Valesivujen kautta saamillaan tiedoilla rikolliset olivat aktivoineet käyttöönsä pankin mobiilisovelluksen ja sovellusta käyttäen tehneet mm. oikeudettomia tilisiirtoja. Asiassa saadun selvityksen perusteella ja erityisesti pankin lähettämän pankin mobiilisovelluksen käyttöönoton edellyttämän vahvistuskoodin sisältäneen tekstiviestin sisältö huomioiden Pankkilautakunta katsoi asiakkaan syöttäneen pankin tekstiviestitse lähettämän koodin verkkosivuille mahdollisesti lukematta viestin sisältöä tai ainakin sen sisältöä menettelyssään huomioimatta ja asiakkaan menettelyn tämän johdosta osoittaneen maksupalvelulaissa tarkoitettu törkeää huolimattomuutta eikä lautakunta siten suosittanut asiassa hyvitystä.

Nyt käsiteltävänä olevassa tapauksessa pankin A mobiilisovelluksen käyttöönottotapa eroaa edellä mainitusta tapauksesta siinä, että sovelluksen käyttöönoton yhteydessä tunnistautuminen on tapahtunut toisen pankin eli pankin B tunnuksin, minkä jälkeen sovelluksen käyttöönotto on edellyttänyt asiakkaan pankilta A tekstiviestitse saamaa koodia.

Pankkilautakunta katsoo, että mikäli em. tapauksessa pankin mobiilisovelluksen käyttöönotto olisi tapahtunut nyt käsiteltävänä olevan tapauksen tavoin toisen pankin pankkitunnuksin tunnistautuen ja pankin tekstiviestitse lähettämää koodia käyttäen, olisi asiakkaan myös siinä tapauksessa katsottu menetelleen maksupalvelulaissa tarkoitetulla tavalla törkeän huolimattomasti. Asiakkaan menettelyn varomattomuutta olisi tuolloin korostanut se, että asiakas olisi kirjautumistilanteessa ensin käyttänyt yhden pankkinsa tunnuksia ja sen jälkeen saanut toiselta pankiltaan vahvistuskoodin sisältäneen tekstiviestin kiinnittämättä huomiota tähän huomiota. Huomioitava myös olisi, että nyt käsiteltävänä olevassa tapauksessa pankin mobiilisovelluksen aktivointikoodin sisältänyt tekstiviesti on sisällöltään vielä em. tapauksen vastaavaan viestiin verrattuna huomattavasti informatiivisempi ja pankki tekstiviestissään selvästi kertoo, mihin viestissä ollutta koodia käytetään, ja varoittaa isoin kirjaimin huijauksista ja koodin antamisesta millekään verkkosivulle.

Nyt käsiteltävänä olevassa tapauksessa asiakas kuitenkin kiistää käyttäneensä pankkitunnuksiaan 21.1.2025 eikä hän muista saaneensa pankin tekstiviestiä tai käyttäneensä siinä ollutta koodia.

Pankkilautakunta katsoo, ettei sen ole asiassa saadun selvityksen perusteella mahdollista arvioida, ovatko rikolliset voineet onnistua tunnistautumaan asiakkaan pankin B tunnuksin pankin A suuntaan pankin A sovelluksessa ja erityisesti onko rikollisille päätynyt ja tapahtuneen pankin A mobiilisovelluksen aktivoimisen edellyttämä vahvistuskoodi voinut päätyä asiakkaalta tekijöille muulla tavoin kuin asiakkaan omin aktiivisin toimin esimerkiksi rikollisten luomilla valesivuilla.

Asiakkaan kiistäessä itse käyttäneensä pankkitunnuksiaan tapahtuma-aikaan tai luovuttaneensa niitä ja puhelintaan jonkun toisen käyttöön Pankkilautakunta katsoo tapahtumien kulun jäävän asiassa esitetyn selvityksen perusteella olennaisilta osin epäselväksi. Pankkilautakunnan ei ole saadun selvityksen perusteella mahdollista luotettavasti arvioida, mitä tapauksessa on todennäköisimmin tapahtunut ja miten oikeudettomien maksutapahtumien toteuttamisen edellyttämät pankkitunnus- ja aktivointikooditiedot ovat voineet päätyä rikollisten tietoon, saati sitä, mikä on asiakkaan mahdollisesti huolimattoman menettelyn myötävaikutus tapahtumien kulkuun.

Pankin menettelystä

Asiakas on tapauksessa vedonnut myös siihen, ettei pankin A tunnistautumisprosessi olisi ollut pankin mobiilisovellusta käyttöönotettaessa riittävän vahva, ja siihen, että pankin petosten seurantajärjestelmien olisi tullut havaita ja estää poikkeukselliset siirrot.

Pankkilautakunta katsoo, että menettely, jolla tässä tapauksessa on otettu käyttöön asiakkaan olemassa olevan pankin A verkkopankkitunnuksia koskevan sopimuksen mukainen pankin A mobiilisovellus vahvaa sähköistä tunnistamista ja pankin tekstiviestitse lähettämää aktivointikoodia käyttäen, täyttää sääntelyn edellyttämät vaatimukset.

Maksutapahtumien estämisen osalta lautakunta toteaa, että maksupalvelusääntelyn perusteella pankeilla on oltava käytössään maksutapahtumien valvontamekanismit, joiden avulla ne voivat havaita oikeudettomat ja petolliset maksutapahtumat. Pankkilautakunta on ratkaisukäytännössään jo vakiintuneesti todennut, ettei tällä velvollisuudella kuitenkaan ole suoraa vaikutusta pankin ja asiakkaan väliseen vastuunjakoon maksuvälineen oikeudettoman käytön osalta. Pankkilautakunta katsoo siten, että pankki ei ole velvollinen korvaamaan asiakkaalle aiheutunutta vahinkoa yksinomaan sillä perusteella, ettei se ole estänyt ko. oikeudettomia tilisiirtoja niiden tekohetkellä.

Lopputulos

Pankkilautakunta katsoo, että menettely pankin A mobiilisovellusta käyttöönotettaessa täyttää sääntelyn edellyttämät vaatimukset ja ettei pankki ole velvollinen korvaamaan asiakkaalle aiheutunutta vahinkoa myöskään sillä perusteella, ettei se ole estänyt ko. oikeudettomia tilisiirtoja niiden tekohetkellä. Näin ollen ratkaisevaa asiakkaan ja pankin välisen vastuunjaon kannalta on asiakkaan menettelyn arviointi maksupalvelulain vastuunjakosäännösten mukaisesti.

Pankkilautakunta katsoo, että tapauksessa esitetyn selvityksen perusteella tapahtumien kulku jää olennaisilta osin epäselväksi eikä lautakunta näin ollen pysty käytettävissään olevin keinoin luotettavasti ratkaisemaan asiakkaan ja pankin välisen vastuunjaon kannalta ratkaisevaa kysymystä siitä, onko asiakkaan pankkitunnusten oikeudeton käyttö johtunut asiakkaan huolimattomuudesta ja onko asiakkaan mahdollinen huolimattomuus törkeää.

Keskeisen tapahtumainkulun jäädessä edellä todetuin tavoin epäselväksi Pankkilautakunta päättää, ettei se anna ratkaisusuositusta tässä tapauksessa.

Pankkilautakunta oli yksimielinen.

PANKKILAUTAKUNTA

Puheenjohtaja Sillanpää
Sihteeri Hidén

Jäsenet: Atrila, Piilo, Punakivi, Tervonen