Tapahtumatiedot

Asiakas on joutunut verkkourkinnan uhriksi kirjatuessaan ToriDiili-palveluun. Reklamoituja tilisiirtoja tehtiin 25.3.2025 sekä asiakkaan kahdelta omalta tililtä että hänen puolisonsa tililtä, johon asiakkaalla on ollut käyttöoikeus yhteensä 672 kappaletta ulkopuolelle. Summa on ollut yhteensä 61 531,77 euroa, mutta pankin onnistui palauttaa varoista 8 197,37 euroa takaisin asiakkaan tileille, jolloin vahingoksi jäänyt summa on 53 334,40 euroa.

Sovelluksen käyttöönotto on edellyttänyt tekijältään asiakkaan pankkitunnustietoja (käyttäjätunnus ja salasana) sekä pankin asiakkaalle klo 22.3.2025 15.54 lähettämässä tekstiviestissä ollutta aktivointikoodia. Em. tekstiviesti on ollut sisällöltään seuraavanlainen:

”Your [Pankki] Activation Code STOP - [Pankki] employee, or any genuine person, will never ask or request you to share it. Do not share this code on any websites, through any links, or with anyone except directly into the [Pankki] app for the purpose of activating your [Pankki]. If you are not currently in the process of activating your [Pankki] and receive this sms, it is likely a fraudulent attempt. Sharing this code with anyone can put you at risk of financial loss. The code to complete your [Pankki] activation is xxx;"

Tunnistussovelluksen aktivoinnin jälkeen pankki on lähettänyt asiakkaalle klo 15.57 vielä seuraavanlaisen viestin:

”Great news, you've successfully activated [pankki] ID. If you're not the one trying to activate [pankki] ID and you have received this message, please contact us immediately. SMSID:xxxxxx”

Asiakas soitti pankin sulkupalveluun 26.3.2025 aamulla huomattuaan tilinsä tyhjennetyn.

Asiakkaan valitus

Asiakas vaatii pankki korvaamaan vahingoksi jääneen summan 53 334,40 euroa kuluineen ja korkoineen. Huijarit ovat tehneet asiakkaan omilta sekä asiakkaan puolison tileiltä 25.3.2025 yhteensä 672 oikeudetonta tilisiirtoa. Asiakas on huomannut tapahtumat 26.3., jolloin hän on soittanut pankin sulkupalveluun ja pankkitunnukset sekä kortti suljettiin.

Asiakas on ollut myymässä Tori.fi -palvelun kautta tuotetta ja häneen on ottanut sähköpostitse yhteyttä ostajataho, joka on kertonut viestissä maksaneensa tuotteen hinnan nk. ToriDiiliin. Asiakas on 22.3. kello 14.27 vastannut ostajalle, ettei kaupanteko tällä tavoin onnistu, koska hänellä ei ole aktivoituna ToriDiili -palvelua. Asiakas on kiistänyt kirjautuneensa tuolloin mihinkään pankkitunnuksillaan. Asiakas on vasta myöhemmin klo 17.27 kirjautunut Toriin tarkoituksenaan selvittää ToriDiili -palvelun aktivoimista ja vasta tuolloin hän on käynyt chat -keskustelua ostajaksi tekeytyneen henkilön kanssa. Asiakas on myöhemmin FINElle kertonut, että ei ole lopulta suostunut ToriDiilin käyttöön. Asiakas pitää kuitenkin mahdollisena, että hän on käyttänyt pankkitunnuksiaan tietokoneellaan, joko huijaussivustolla em. sähköpostikeskustelun yhteydessä tai kirjautuakseen omaan verkkopankkiinsa palveluntarjoajan aidolla sivulla samana ajankohtana tai jo tätä aiemmin. Tässä yhteydessä on siten mahdollista, että hänen käyttäjätunnuksensa ja ns. pysyvä salasanansa ovat päätyneet rikollisen haltuun, joko tietokoneelle asennetun vakoiluohjelman tai valesivuston linkin kautta. Asiakas kuitenkin kiistää avanneensa pankin lähettämää tekstiviestiä, jossa on ollut pankin uuden tunnistussovelluksen aktivointikoodi, saati luovuttaneensa viestissä ollutta koodia kenellekään tai mihinkään. Asiakas on käyttänyt ja käyttää edelleen pankin asioinnissa tunnistautumiseen erillistä pankin antamaa tunnuslukulaitetta. Hän ei ole käyttänyt matkapuhelinsovellusta tai matkapuhelimeen asennettua pankin sovellusta. Siten tällaisen hänelle tuntemattomaan sovellukseen liittyvän viestin saapuminen on jo sinällään ollut omiaan herättämään epäilyksen ja jäänyt hänelle varmuudella myös asiassa mieleen.

Toiseksi viesti on ollut englanninkielinen, mikä olisi korostanut epäilystä viestin alkuperästä tai käyttötarkoituksesta ja kieli olisi ollut täysin epätavanomaista asiakkaan pankkiasioinnissa. Hänen käsityksensä mukaan em. aktivointikoodi on siten saatu rikollisen haltuun joko hänen matkapuhelimessaan olevalla haittaohjelmalla tai pankin lähetyspalvelimelta tai muulla oikeudettomalla tavalla.

Asiakas pitää mahdollisena, että huijari on vaihtanut puhelinnumeron, jolloin viestit voivat mennä suoraan huijarille. Hänen mukaan pankin tulisi suojella asiakkaidensa varoja ja sulkea asiakkaan tilit heti, kuin tilillä ilmenee epämääräistä toimintaa. Lisäksi pankin tulisi ilmoittaa tästä asiakkaalle sekä viestillä että sähköpostilla eikä tiliä saisi avata muutoin kuin asiakkaan soittamalla pankkiin, jolloin asiakas tunnistetaan tai vaihtoehtoisesti asiakas asioisi henkilökohtaisesti pankin konttorissa. Asiakas ihmettelee lisäksi, miten pankki voi sallia 672 tilisiirtoa yhden päivän aikana, kun asiakkaan omat tapahtumamäärät ovat keskimäärin kuukausitasolla 38–56 kappaletta. Asiakas on tehnyt aiemmin yksittäisiä ulkomaanmaksuja tilatessaan esim. osia radioon.

Asiakas on lisäksi pyytänyt pankkia toimittamaan 25.03.2025 päivän 672 tilisiirron täydet tapahtumalokit aikaleimoineen sekä kanava- ja vahvistuslaitekohtaiset tiedot. Sekä 22.03.–25.03.2025 väliseltä ajalta kirjautumis- ja laitelokit (IP/sijaintiarvio, laitesormenjälki, “iPhone”-laitteen yksilöinti). Lisäksi asiakas on vaatinut pankkia selittämään, miten pankin riskivalvonta toimi, kuten mitä hälytyksiä syntyi ja miksi tapahtumia ei rajoitettu/estetty (uusi laite + 672 siirtoa). Lisäksi hän on pyytänyt pankilta tietoa, muutettiinko asiakkaan asetuksia (puhelinnumero/kieli/ilmoitukset) ja milloin nämä mahdollisesti tehtiin.

Yhteenvetona asiakas toteaa, että koska hän ei itse ei koodin sisältävää viestiä avannut eikä siten ole voinut sitä edes luovuttaa edelleen, hän ei siten ole menetellyt asiassa maksupalvelulain 62 § tarkoitetuin tavoin huolimattomasti, saati törkeän huolimattomasti ja tämän vuoksi pankin tulee vastata maksuvälineen oikeudettomasta käytöstä.

Pankin vastine

Pankki kiistää asiakkaan korvausvaatimuksen.

Pankin käsitys tapahtumienkulusta

Pankki on selvityksessään todennut, että asiakkaan kertoman mukaan tapauksessa on ollut kyse Tori.fi -sivuston kautta alkaneesta huijauksesta. Asiakas on ollut 22.3.2025 myymässä laitetta ja saanut yhteydenoton henkilöltä, joka oli kiinnostunut ostamaan tuotteen. Potentiaalisena ostajana esiintynyt henkilö oli ottanut asiakkaaseen sähköpostitse yhteyttä ja kertonut maksaneensa summan laitteesta Toridiili -tilille. Asiakas oli ehdottanut asiassa meneteltävän eri tavalla, mutta lopulta asiassa oli toimittu ostajan ehdottamalla tavalla. Koska asiakkaalla ei itsellään ollut Toridiili-tiliä, hän oli kirjautunut Toridiilin sivulle ja ryhtynyt luomaan itselleen tiliä. Samaan aikaan asiakas oli käynyt keskustelua chatin kautta jonkun henkilön kanssa ja asiakkaalta oli pyydetty esimerkiksi PUCH-koodia. Asiakas oli käynyt tarkistamassa omista pankkitiedoistaan tuollaista koodia ja ilmoittanut kysyjälle, että koodia ei ole olemassa. Asiakas oli yrittänyt keskeyttää keskustelun ja toinen osapuoli oli maininnut, että asiassa ei ole ongelmaa. Toinen osapuoli oli kysynyt samalla, että onko jollain toisella henkilöllä ko. koodia. Asiakas oli sanonut, että ei ole kellään muullakaan tuollaista koodia. Jossain vaiheessa asiakas oli nähnyt sivustolla vilahtavan hänen S-pankkitilin tietojaan. Tässä yhteydessä asiakas oli ilmoittanut Danske Bankin tilinumeronsa.

Pankin kuvaus tapahtumista perustuen järjestelmälokitietoihin

Asiakas on kiistänyt antaneensa pankkitunnuksiaan Toridiili -sivustolle tai saaneensa linkkejä, joissa olisi pyydetty verkkopankkitunnuksia. Asiakas myös kiistää itse hyväksyneensä mitään maksuja. Pankin tekemän selvityksen perusteella asiakkaan puhelinnumeroon on lähetetty tunnistussovelluksen aktivointikoodi sovelluksen lataamista varten 22.3.2025 kello 15.54. Viestin sisältö on ollut seuraava:

 ”Your [pankin tunnistussovellus] Activation Code STOP - A [pankin nimi] employee, or any genuine person, will never ask or request you to share it. Do not share this code on any websites, through any links, or with anyone except directly into the [pankin tunnistussovellus] for the purpose of activating your [pankin tunnistussovellus].
If you are not currently in the process of activating your [pankin tunnistussovellus] and receive this sms, it is likely a fraudulent attempt. Sharing this code with anyone can put you at risk of financial loss. The code to complete your [pankin tunnistussovellus] activation is xxx;"

Tämän jälkeen 22.3.2025 kello 15.57 samaan puhelinnumeroon on lähetetty vahvistusviesti pankin tunnistussovelluksen onnistuneesta latauksesta, viestin sisältö on tällöin ollut seuraava:

”Great news, you've successfully activated [pankin tunnistussovellus]. If you're not the one trying to activate [pankin tunnistussovellus] and you have received this message, please contact us immediately. SMSID:xxxxxx”

Jotta huijari on voinut aktivoida tunnistussovelluksen omalle laitteelleen ja tehdä reklamoidut tilisiirrot, hänen on tullut saada tietoonsa verkkopankin käyttäjätunnuksen ja salasanan lisäksi asiakkaalle tekstiviestitse lähetetty aktivointikoodi. Pankin lokitietojen perusteella em. tekstiviestit (2 kpl) koskien tunnistussovelluksen aktivointia on onnistuneesti lähetetty asiakkaan puhelinnumeroon klo 15:54 (varoitusviesti) ja klo 15:57 (ilmoitus tunnistussovelluksen onnistuneesta latauksesta). Kaikki asiakkaan reklamoimat tilisiirrot on vahvistettu pankin tunnistussovelluksella, joka ollut ladattuna huijarin puhelimeen.

Asiakas on pyytänyt pankki toimittamaan tarkat lokitiedot tapahtumista. Pankki katsoo, ettei asiakkaan pyyntö tilisiirtojen täysien tapahtumalokien osalta (”aikaleimoineen sekä kanava- ja vahvistuslaitekohtaiset tietoineen”) ole tapauksen ratkaisun ja vastuunjaon kannalta relevanttia. Pankki on aikaisemmissa vastauksissa selvittänyt, kuinka huijari on tehnyt reklamoidut tilisiirrot ja mitä tietoja hän on tarvinnut ladatakseen tunnistussovelluksen omalle laitteelleen. Pankin selvityksen mukaan asiakkaan tiedoissa näkyy uusi ”iPhone”-niminen laite, joka on otettu käyttöön 22.03.2025 kello 15:57. Tämän uuden laitteen käyttöönotto täsmää asiakkaan vastaanottamien tekstiviestien lähetysaikoihin.

Syy miksi asiakas on vastaanottanut tunnistussovelluksen aktivointiin liittyvät tekstiviestit englanniksi, on se, että huijari on omalla laitteellaan valinnut sovelluksen kieleksi englannin. Pankki palvelee asiakkaita heidän valitsemallaan kielellä (suomi, ruotsi, englanti). Kun kyse on puhelimen sovelluksesta, jossa asiakas itse pystyy puhelimessaan kielen määrittämään, lähtee sovelluksesta myös viesti sillä kielellä, joka sovellukseen on valittu. Tähän pankki ei pysty vaikuttamaan. Mikäli siis asiakas vastaanottaa pankilta viestin eri kielellä kuin mistä on pankin kanssa sopinut, on pankin mukaan erittäin tärkeää keskeyttää asiointi ja varmistaa viestin sisältö sekä aiheellisuus. Etenkin silloin, jos viestin sisältö ei ole ymmärrettävissä. Tapauksessa huijari on valinnut kieleksi englannin, joten tunnistussovelluksen aktivointiin liittyvät tekstiviestit ovat menneet englanniksi.

Pankin käsitys asiakkaan toiminnasta

Pankin selvityksen perusteella asiakkaan reklamoimat tilisiirrot on hyväksytty vahvalla sähköisellä tunnistamisella. Pankin myöntämät pankkitunnukset ovat maksupalvelulain 8 §:ssä (Määritelmät) kohdassa 11 tarkoitettu, jonka käyttämisestä maksutoimeksiantoihin maksupalvelun käyttäjä ja palveluntarjoaja ovat sopineet. Maksupalvelulain 53 §:n (Maksuvälineestä huolehtiminen) 1–2 momentin mukaan Maksuvälineen haltijan on käytettävä maksuvälinettä sen myöntämistä ja käyttöä koskevien ehtojen mukaisesti. Erityisesti hänen on kohtuullisin toimenpitein huolehdittava maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista. Maksuvälineen myöntämistä ja käyttöä koskevat ehdot eivät saa olla perusteettomia, kohtuuttomia tai syrjiviä. Maksuvälineen haltijan velvollisuus huolehtia maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista alkaa, kun hän vastaanottaa ne.

Pankki on arvioinut asiakkaan menettelyä tilanteessa ja katsoo, että asiakkaan menettely kokonaisuutena osoittaa maksupalvelulaissa tarkoitettua törkeää huolimattomuutta. Törkeällä huolimattomuudella tarkoitetaan piittaamattomuutta pankkitunnusten turvallisuuden suhteen ja se ilmenee FINEn Pankkilautakunnan jo vakiintuneen ratkaisukäytännön perusteella muun muassa siten, että asiakas jättää huomioimatta pankin lähettämät varoitusviestit. Pankki katsoo asiakkaan sen vuoksi vastaavan täysimääräisesti maksuvälineensä oikeudettomasta käytöstä aiheutuneesta vahingosta.

Pankki on lisäksi todennut, että asiakkaan tileiltä on tehty ulkomaanmaksuja aiemminkin. FINElle toimitetussa selvityksessä vuodelta 2020 alkaen, on nähtävissä useita lähteneitä ulkomaanmaksuja. Lisäksi kaikki oikeudettomat tilisiirrot on tehty erillisinä yksittäisinä tilisiirtoina, summina on käytetty summia vaihdellen 81,55 euron siirrosta 200 euron yksittäiseen siirtoon. Yksittäisinä siirtoina oikeudettomat tilisiirrot eivät vaikuta poikkeavan pankin näkemyksen mukaan asiakkaan tyypillisestä maksukäyttäytymisestä, sillä tilisiirtojen summat eivät ole poikkeuksellisen suuria.

Pankki on lisäksi todennut, että pankissa käytetään useita erilaisia kontrolleja, rajoituksia ja järjestelmiä, joilla suojellaan asiakkaita petolliselta toiminnalta. Vaikka pankilla on tietty velvollisuus monitoroida maksutapahtumia, sillä ei ole kuitenkaan vaikutusta maksajan ja pankin väliseen vastuunjakoon oikeudettomien maksutapahtumien osalta. Tässä asiakkaan tapauksessa huijarilla on ollut tiedossaan asiakkaan verkkopankkitunnukset ja pankin tunnistussovellus tehdäkseen asiakkaan reklamoimat tilisiirrot.

Selvitykset

Valitusta koskevan osapuolten kirjelmöinnin lisäksi lautakunnalle on toimitettu seuraavat asiakirjat:
- Poliisin tutkintailmoitus 28.3.2025
- Listaus asiakkaan aiemmista omista ulkomaanmaksuista
- Asiakkaan toimittama lausunto ulkopuolisen näkemyksestä tekstiviestien luotettavuudesta.

Ratkaisusuositus

Kysymyksenasettelu

Asiakkaan ja pankin välisen vastuunjaon ratkaisemiseksi Pankkilautakunnan on arvioitava, voidaanko maksuvälineen oikeudettoman käytön katsoa johtuneen siitä, että asiakas on huolimattomuudestaan laiminlyönyt maksupalvelulain 53 § 1 momentin sekä sähköisen asioinnin ehtojen mukaisia velvollisuuksiaan, sekä minkä asteista asiakkaan mahdollinen huolimattomuus on.

Sovellettavat lainkohdat ja sopimusehdot

Maksupalvelulain 53 §:n (Maksuvälineestä huolehtiminen.) 1 momentin mukaan
Maksuvälineen haltijan on käytettävä maksuvälinettä sen myöntämistä ja käyttöä koskevien ehtojen mukaisesti. Erityisesti hänen on kohtuullisin toimenpitein huolehdittava maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista. Maksuvälineen myöntämistä ja käyttöä koskevat ehdot eivät saa olla perusteettomia, kohtuuttomia tai syrjiviä.

Lain 54 §:n (Katoamisilmoitus.) 1 momentin mukaan Maksuvälineen haltijan on ilman aiheetonta viivytystä ilmoitettava palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.

Lain 62 §:n (Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä.) mukaan
Maksupalvelun käyttäjä, joka on tehnyt maksuvälinettä koskevan sopimuksen palveluntarjoajan kanssa, vastaa kadonneen tai oikeudettomasti toisen haltuun joutuneen maksuvälineen käytöstä tai muusta maksuvälineen oikeudettomasta käytöstä vain, jos oikeudeton käyttö johtuu siitä, että hän tai muu maksuvälineen haltija on: 1) luovuttanut maksuvälineen sen käyttöön oikeudettomalle; 2) huolimattomuudesta laiminlyönyt 53 §:n 1 momentin mukaiset velvollisuutensa; taikka 3) laiminlyönyt ilman aiheetonta viivytystä ilmoittaa palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.
Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä 1 momentin 2 ja 3 kohdassa tarkoitetuissa tapauksissa on enintään 50 euroa. Tätä rajoitusta ei sovelleta, jos maksupalvelun käyttäjä tai muu maksuvälineen haltija on toiminut tahallisesti tai törkeän huolimattomasti.
Maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä: 1) siltä osin kuin maksuvälinettä on käytetty sen jälkeen, kun palveluntarjoajalle tai sen nimeämälle muulle taholle on ilmoitettu maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä; 2) jos palveluntarjoaja on laiminlyönyt huolehtia siitä, että maksuvälineen haltijalla on mahdollisuus tehdä milloin tahansa 1 kohdassa tarkoitettu ilmoitus; 3) jos maksunsaaja ei ole maksuvälinettä käytettäessä asianmukaisesti varmistunut maksajan oikeudesta käyttää maksuvälinettä; tai 4) jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.
Sen estämättä, mitä 3 momentissa säädetään, maksupalvelun käyttäjä on vastuussa maksuvälineen oikeudettomasta käytöstä, jos hän tai muu maksuvälineen haltija on tahallaan tehnyt väärän ilmoituksen tai toiminut muuten petollisesti.

Lain 85 c § (Tunnistaminen) mukaan
Palveluntarjoajan on käytettävä vahvaa tunnistamista, jos maksaja:
1)
käyttää maksutiliään tietoverkon välityksellä;
2)
käynnistää sähköisen maksutapahtuman;
3)
toteuttaa etäkanavan kautta toimen, johon voi liittyä väärinkäytöksen riski.
Jos maksaja käynnistää sähköisen maksutapahtuman etäviestimellä, palveluntarjoajan on käytettävä vahvaa tunnistamista, johon yhdistetään maksutapahtuman määrä ja maksunsaaja maksupalveluista sisämarkkinoilla, direktiivien 2002/65/EY, 2009/110/EY ja 2013/36/EU ja asetuksen (EU) N:o 1093/2010 muuttamisesta sekä direktiivin 2007/64/EY kumoamisesta annetun Euroopan parlamentin ja neuvoston direktiivin (EU) 2015/2366, jäljempänä maksupalveludirektiivi, 97 artiklan 2 kohdassa tarkoitetulla tavalla.
Palveluntarjoajan on riittävin turvatoimenpitein huolehdittava vahvassa tunnistamisessa käytettävien henkilökohtaisten turvatunnusten luottamuksellisuuden ja eheyden suojaamisesta.
Edellä 1 ja 2 momentissa tarkoitetun vahvan tunnistamisen sekä 3 momentissa tarkoitettujen turvatoimenpiteiden on täytettävä tarkemmat vaatimukset, joista säädetään maksupalveludirektiivin 98 artiklan nojalla annetuissa komission teknisissä sääntelystandardeissa.
Tämän pykälän mukaisesta velvollisuudesta vahvaan tunnistamiseen sekä henkilökohtaisten turvatunnusten luottamuksellisuuden ja eheyden suojaamiseen voidaan poiketa, jos maksupalveludirektiivin 98 artiklan nojalla annetuissa komission teknisissä sääntelystandardeissa niin säädetään.

Komission delegoidun asetuksen (EU) 2018/389 2 artiklan (Yleiset tunnistamisvaatimukset) mukaan

1
Maksupalveluntarjoajilla on oltava käytössään maksutapahtumien valvontamekanismit, joiden avulla ne voivat havaita oikeudettomat tai petolliset maksutapahtumat 1 artiklan a ja b alakohdassa tarkoitettujen turvatoimenpiteiden täytäntöön panemiseksi.
Näiden mekanismien on perustuttava maksutapahtumien analysointiin, jossa otetaan huomioon tekijät, jotka ovat ominaisia maksupalvelunkäyttäjälle henkilökohtaisten turvatunnusten normaaleissa käyttöolosuhteissa.

2
Maksupalveluntarjoajien on varmistettava, että maksutapahtumien valvontamekanismeissa otetaan huomioon ainakin kaikki seuraavat riskiperusteiset tekijät:
a) luettelot väärinkäytetyistä tai varastetuista tunnistamistekijöistä;
b) kunkin maksutapahtuman määrä;
c) tunnetut petosskenaariot maksupalvelujen tarjoamisessa;
d) merkit haittaohjelmatartunnasta tunnistamismenettelyn istuntojen aikana;
e) jos maksupalveluntarjoaja toimittaa pääsyn mahdollistavan laitteen tai ohjelmiston, maksupalvelunkäyttäjälle toimitetun, pääsyn mahdollistavan laitteen tai ohjelmiston käyttöloki ja kyseisen laitteen tai ohjelmiston poikkeava käyttö.

Pankin sähköisen asioinnin ehtojen kohdan (Sähköinen tunnistaminen ja sähköinen allekirjoitus) mukaan
Tunniste on luonnollisen henkilön sähköisen tunnistamisen ja sähköisen allekirjoittamisen väline.

Kohdan (Tunnisteen säilyttäminen ja katoamisvastuu) mukaan
Tunnisteet ovat henkilökohtaiset, eikä niitä saa luovuttaa kolmannelle tai toisten henkilöiden, sovellusten tai palveluiden käyttöön. Asiakas vastaa hallussaan olevien tunnistetietojen huolellisesta säilyttämisestä siten, että ne eivät joudu sivullisen tietoon. Pankki ei koskaan pyydä pankkitunnusten tietoja sähköpostilla tai muutoin, kun pankki ottaa asiakkaaseen tai käyttäjään yhteyttä. Tunnistetietoja ei koskaan saa antaa sähköpostilla tai puhelimella niitä kysyvälle, ei edes Pankille.

Asian arviointi

Tapahtumankulku

Pankki on tapauksessa esittänyt järjestelmätietoihinsa perustuvan selvityksen tapahtumista ja siitä, mitä tietoja rikollisilla on täytynyt olla, jotta he ovat voineet aktivoida omalle laitteelleen asiakkaan nimissä olevan uuden pankin tunnistussovelluksen, jolla riidanalaiset tapahtumat on vahvistettu. Pankkilautakunnalla ei ole syytä epäillä pankin esittämän pankin järjestelmätietoihin perustuvan selvityksen paikkansa pitävyyttä.

Pankkilautakunta katsoo tapauksessa selvitetyksi ja riidattomaksi, että asiakas on saanut ostajaksi tekeytyneeltä henkilöltä viestin, jossa olevan linkin kautta avautuneilla rikollisten luomilla valesivuilla asiakas on käyttänyt verkkopankkitunnuksiaan (käyttäjätunnus ja salasana) luullessaan vastaanottavansa ToriDiili-palvelun kautta lähetettyä maksua. Rikolliset ovat näin tietoonsa päätyneillä asiakkaan pankkitunnustiedoilla aloittaneet asiakkaan nimissä olevan uuden pankin tunnistussovelluksen käyttöönoton omalle laitteelleen. Tämän johdosta pankki on lähettänyt 22.3.2025 klo 15.54 asiakkaalle tunnistussovelluksen käyttöönoton edellyttämän vahvistuskoodin sisältäneen englanninkielisen tekstiviestin.

Myös em. koodin on täytynyt päätyä rikollisten tietoon. Asiakas on esittänyt haittaohjelman olevan mahdollinen selitys sille, miten koodi on voinut päätyä rikollisille, koska itse hän ei ole kertomansa mukaan koodia mihinkään syöttänyt. Asiakas ei kuitenkaan ole esittänyt selvitystä siitä, että hänen puhelimessaan olisi haittaohjelma taikka esittänyt näkemystään siitä, miten ja missä yhteydessä haittaohjelma hänen puhelimeensa olisi ladattu. Pankkilautakunta katsoo asiassa jääneen näyttämättä, että asiakkaan puhelimessa olisi ollut haittaohjelma.

Pankkilautakunta katsoo, ettei asiassa saadun selvityksen perusteella ole muuta mahdollisuutta kuin, että asiakas on itse syöttänyt koodin em. valesivuille tai antanut puhelimessaan hyväksyntänsä tekstiviestitse tulleen koodin syöttämiselle valesivuilla. Koodin saatuaan rikolliset ovat voineet aktivoida käyttöönsä asiakkaan nimissä olevan pankin tunnistusvälineen ja mobiilisovelluksen omalle laitteelleen.

Asiakkaan menettelyn arviointi

Pankkitunnusehdoissa nimenomaisesti kielletään verkkopankkitunnusten antaminen, jos linkki kirjautumissivulle on lähetetty sähköpostilla tai muutoin.

Pankkilautakunta katsoo, että asiakas on laiminlyönyt pankkitunnusehtojen mukaisia velvollisuuksiaan käyttäessään pankkitunnuksiaan viestissä olleen linkin kautta avautuneilla sivuilla. Lautakunta katsoo asiakkaan toiminnan osoittavan hänen vakavaa varomattomuuttansa.

Pankkilautakunta katsoo, että saatuaan tavanomaisesta pankkitunnuksilla tehtävästä tunnistautumis- tai kirjautumistilanteesta poikkeavalla tavalla pankin tunnistussovelluksen aktivointikoodin sisältäneen englanninkielisen tekstiviestin asiakkaan olisi tekstiviestin sisältö huomioiden tullut ymmärtää kyseenalaistaa asiointinsa asianmukaisuus ja jättää saamansa koodi laittamatta verkkosivuille. Lautakunta katsoo, että em. tekstiviestissä kerrotaan asianmukaisesti, mihin viestissä ollutta aktivointikoodia käytetään, ja toisaalta varoitetaan huijauksista. Mikäli asiakas olisi tuossa tilanteessa ottanut viestissä olleen ohjeen mukaisesti yhteyttä pankkiinsa ja tiedustellut menettelyn asianmukaisuutta, olisi tapauksessa asiakkaan pankkitunnusten oikeudettomasta käytöstä aiheutuneelta vahingolta voitu välttyä. Lautakunta katsoo myös, että vaikka asiakas ei olisi ymmärtänyt englanninkielisen tekstiviestin sisältöä ja siinä olleen koodin tarkoitusta, olisi hänen siinäkin tapauksessa tullut ymmärtää keskeyttää asiointinsa.

Asiakas on kiistänyt vastaanottaneensa em. tekstiviestiä, mutta hän on kuitenkin kertonut, että tämä em. viesti on löytynyt kopioituna hänen WhatsAppistaan, kun hän on lähettänyt sen saatuaan pojalleen käännettäväksi. Kuten Lautakunta on jo edellä katsonut, ettei asiassa saadun selvityksen perusteella ole muuta mahdollisuutta kuin että asiakas on viestin saanut ja on syöttänyt viestissä olleen koodin valesivuille. Asiakkaan kertoman perusteella kuitenkin epäselväksi jää, onko asiakas lukenut pankilta saamansa tekstiviestin sisältöä ja missä tarkoituksessa hän on ymmärtänyt käyttävänsä aktivointikoodia sitä valesivuille laittaessaan.

Aiemman ratkaisukäytäntönsä mukaisesti Pankkilautakunta katsoo huolelliselta pankkitunnustenhaltijalta edellytettäviin perusvaatimuksiin kuuluvan sen, että pankkitunnuksia käyttäessään hän lukee ja huomioi omassa toiminnassaan asiointinsa yhteydessä pankiltaan saamansa viestit. Tässä tapauksessa – asiakkaan syötettyä ensin pankkitunnustietojaan hänelle Toridiili-palveluun lähetetyn linkin kautta avautuneilla sivuilla – asiakkaan olisi tullut asiointinsa seuraavissa vaiheissa kiinnittää erityistä huomiota siihen, mitä pankki hänelle viestii ja mihin viestissä ollutta koodia on tarkoitus käyttää. Pankkilautakunta katsookin, että asiakkaan syötettyä linkin kautta avautuneille sivuille pankkitunnusten syöttämisen jälkeen vielä pankin tekstiviestitse lähettämän koodin mahdollisesti lukematta tekstiviestin sisältöä tai ainakin sen sisältöä huomioimatta on asiakkaan menettelyn kokonaisuutena katsottava osoittavan hänen suhtautuvan selvästi piittaamattomasti pankkitunnustensa hallintaan ja käyttöön liittyviin turvallisuusriskeihin sekä poikkeavan selvästi ja olennaisesti siitä, mitä maksuvälineen haltijan huolelliselta menettelyltä vaaditaan.

Näin ollen Pankkilautakunta katsoo asiakkaan menettelyn kokonaisuutena osoittavan maksupalvelulaissa tarkoitettua törkeää huolimattomuutta ja asiakkaan siten vastaavan lähtökohtaisesti asiakkaan ja pankin välisessä suhteessa täysimääräisesti maksuvälineensä oikeudettomasta käytöstä aiheutuneesta vahingosta.

Pankin menettelyn arviointi

Maksupalvelulain 85 c §:n mukaan palveluntarjoajan on käytettävä vahvaa tunnistamista muun muassa silloin, kun maksaja käyttää maksutiliään tietoverkon välityksellä tai käynnistää sähköisen maksutapahtuman. Lisäksi palveluntarjoajan on huolehdittava riittävin turvatoimenpitein vahvassa tunnistamisessa käytettävien henkilökohtaisten turvatunnusten luottamuksellisuuden ja eheyden suojaamisesta. Vahvan tunnistamisen ja siihen liittyvien turvatoimenpiteiden on täytettävä komission teknisissä sääntelystandardeissa (myöh. RTS) asetetut tarkemmat vaatimukset.

RTS:n 2 artiklan mukaan maksupalveluntarjoajilla on oltava käytössään maksutapahtumien valvontamekanismit, joiden avulla voidaan havaita oikeudettomat tai petolliset maksutapahtumat. Näiden mekanismien tulee perustua maksutapahtumien analysointiin siten, että arvioinnissa otetaan huomioon asiakkaan tavanomainen maksukäyttäytyminen ja henkilökohtaisten turvatunnusten normaalit käyttöolosuhteet. Artiklan 2 kohdassa säädetään tarkemmin niistä tekijöistä, jotka maksupalveluntarjoajien on otettava huomioon maksutapahtumien valvontamekanismeissa.

Maksuliikenteen monitorointi ja poikkeavan maksukäyttäytymisen tunnistaminen ovat keskeinen osa maksujärjestelmien turvallisuutta ja pankin operatiivisten riskien hallintaa. Mikäli pankin järjestelmät eivät kykene tunnistamaan asiakkaan tavanomaisesta maksukäyttäytymisestä olennaisesti poikkeavia maksutapahtumia tai reagoimaan niihin asianmukaisesti, on arvioitava, onko pankki laiminlyönyt RTS-sääntelyn mukaisia velvollisuuksiaan.

Pankkilautakunta on vakiintuneesti katsonut, ettei monitorointivelvollisuuksilla ole välitöntä vaikutusta pankin ja asiakkaan väliseen vastuunjakoon maksuvälineen oikeudettoman käytön osalta. Tällaiselle laiminlyönnille voidaan kuitenkin antaa merkitystä vastuunjakoa arvioitaessa erityisesti silloin, kun on ilmeistä, ettei pankki ole asianmukaisesti täyttänyt valvontavelvollisuuttaan.

Mikäli katsotaan, että maksutapahtumat ovat poikenneet asiakkaan tavanomaisesta maksukäyttäytymisestä merkittävästi, olisi asianmukaisesti toteutetun ja sääntelyyn perustuvan riskiperusteisen seurannan tullut havaita ne poikkeuksellisiksi ja johtaa lisävarmennustoimenpiteisiin tai maksujen estämiseen. Tällaisessa tilanteessa pankin laiminlyönnillä voi olla merkitystä arvioitaessa sen vastuuta asiassa oikeudettomien maksutapahtumien toteutumisesta.

Tässä tapauksessa, asiakkaan tileiltä on tehty yhden päivän aikana yhteensä 672 oikeudetonta maksutapahtumaa. Tapahtumien määrä ja tiheys ovat poikenneet olennaisesti asiakkaan tavanomaisesta maksukäyttäytymisestä, jossa tilitapahtumia on ollut keskimäärin noin 50 kuukaudessa ja ulkomaanmaksuja yhteensä 12 viiden vuoden aikana. Tässä tapauksessa varoja on siirretty lyhyessä ajassa useilta tileiltä, myös asiakkaan käyttölainatililtä, asiakkaan puolison tililtä sekä luottokortilta, ja tilit on käytännössä tyhjennetty kokonaan. Suurin osa varoista on siirretty ulkomaille, ja tapahtumiin on liittynyt myös uuden tunnistussovelluksen käyttöönotto, jolla kaikki em. tapahtumat ovat vahvistettu.

Asiakas on vedonnut siihen, että pankki on laiminlyönyt oman valvontavelvoitteensa jättäessään poikkeukselliset maksutapahtumat havaitsematta ja estämättä. Pankki on toimittamassaan selvityksessä vastaavasti vedonnut siihen, että reklamoidut yksittäiset tilisiirrot ovat olleet määriltään vähäisiä eivätkä sellaisinaan poikenneet asiakkaan tavanomaisesta maksukäyttäytymisestä, sekä siihen, että asiakas on tehnyt myös itse vuosittain joitakin ulkomaanmaksuja.

Pankkilautakunta katsoo, että maksujen kokonaisuus on poikennut selvästi asiakkaan aiemmasta maksukäyttäytymisestä. Ottaen huomioon, että vastaavanlaiset verkkourkintatapaukset ovat olleet yleisiä jo usean vuoden ajan ja että maksuliikenteen poikkeamien tunnistamiseen on kiinnitetty myös viranomaisohjauksessa huomiota, pankin olisi tullut kiinnittää erityistä huomiota tällaisen maksuliikenteen havaitsemiseen ja estämiseen. Pankkilautakunta katsoo, että pankin olisi tämän vuoksi tullut pankkipalveluiden tarjoajana ja väärinkäytösriskit asiakkaitaan paremmin tuntevana kiinnittää erityistä huomiota sellaisten tilanteiden tunnistamiseen ja estämiseen, joissa uudella tunnistussovelluksella vahvistetaan asiakkaan aiemmasta maksukäyttäytymisestä poikkeavia tapahtumia. Sitovan sääntelyn lisäksi Finanssivalvonta on jo vuonna 2024 suosittanut pankkeja kehittämään maksujen monitorointia siten, että ne voisivat entistä tarkemmin pysäyttää maksut, jotka poikkeavat merkittävästi asiakkaan aikaisemmasta maksuhistoriasta, esimerkiksi maksun suuruuden tai sen tahon mukaan, jolle asiakas on aikaisemmin lähettänyt maksuja.

Pankkilautakunta toteaa, että tässä kyseisessä tapauksessa arviointia ei voida perustaa yksinomaan yksittäisten maksutapahtumien suuruuteen. Vaikka yksittäiset oikeudettomat tilisiirrot ovat olleet määriltään verrattain pieniä, niiden lukumäärä, tiheys sekä maksunsaajat ovat poikenneet olennaisesti asiakkaan aiemmasta maksukäyttäytymisestä. Lisäksi tapahtumat ovat vahvistettu uudella tunnistussovelluksella.

Maksupalvelulain 85 c §:n mukaan voidaan katsoa, että tilanteessa, jossa pankin maksutapahtumien valvontamekanismit ovat tosiasiallisesti olleet olosuhteisiin nähden täysin toimimattomat tai monitorointi on ainakin epäonnistunut merkittävästi, maksupalvelulain 85 c §:n mukaista vahvaa tunnistamista ei ole toteutettu säännöksen edellyttämällä tavalla. Maksupalvelulain 85 c §:ssä vahvan tunnistamisen vaatimusta ei ole rajattu pelkästään tunnistamistekijöiden tekniseen käyttöön, vaan pykälässä edellytetään lisäksi, että vahva tunnistaminen ja siihen liittyvät turvatoimenpiteet täyttävät RTS:ssä asetetut tarkemmat vaatimukset. RTS:n 2 artiklan mukaan maksupalveluntarjoajalla on oltava käytössään maksutapahtumien valvontamekanismit, joiden avulla voidaan havaita oikeudettomat tai petolliset maksutapahtumat ja artiklassa on määritelty, mitä ainakin on otettava monitoroinnissa huomioon. Koska nämä valvontamekanismit ovat osa tarkempia vaatimuksia, joihin maksupalvelulain 85 c § nimenomaisesti viittaa, monitoroinnin täydellinen epäonnistuminen osoittaa, ettei vahvaa tunnistamista ole toteutettu sääntelyn edellyttämällä tavalla. 

Pankkilautakunnan arvion mukaan pankki on kokonaisuutena arvioiden laiminlyönyt maksutapahtumien riittävän monitoroinnin niin olennaisesti, ettei sen voida tässä tapauksessa katsoa täyttäneen maksupalvelulaista ja sitä täydentävästä sääntelystä johtuvia velvoitteitaan näiden tapahtumien edellyttämän vahvan tunnistamisen toteuttamiseksi. Näin ollen maksupalvelulain 62 §:n 3 momentin 4 kohdan perusteella asiakas ei vastaa maksuvälineen oikeudettomasta käytöstä.

Lopputulos

Edellä esitettyyn viitaten Pankkilautakunta suosittaa, että pankki korvaa asiakkaalle asiakkaan pankkitunnusten oikeudettomasta käytöstä aiheutuneen vahingon viivästyskorkoineen täysimääräisesti.

Pankkilautakunta oli yksimielinen.

PANKKILAUTAKUNTA

Puheenjohtaja Sillanpää                                     
Sihteeri Haapsaari

Jäsenet

Atrila
Piilo
Punakivi
Tervonen