Tapahtumatiedot

Kun asiakas on luullut tunnistautuvansa mobiilivarmenteella suomi.fi-palveluun, on hän tosiasiassa asioinut rikollisten luomilla valesivuilla, minkä seurauksena rikollinen on päässyt kirjautumaan asiakkaan operaattorin verkkopalveluun ja hakemaan rikollisten käytössä olleeseen liittymään uuden, asiakkaan henkilötunnukseen liitetyn mobiilivarmenteen.

Em. uutta mobiilivarmennetta käyttäen rikolliset ovat 12.6.2025 tunnistautuneet pankin A, jonka asiakas asiakas ei ole, palveluun ja hakeneet asiakkaan nimissä 15.000 euron luoton, jonka pankki A on maksanut hakijan ilmoittamalle tilille toisessa pankissa.

Asiakkaan valitus

Asiakas vaatii pankkia mitätöimään lainasopimuksen ja olemaan vaatimatta maksua lainasta sekä palauttamaan jo maksettu osuus lainasta takaisin asiakkaalle. Asiakas katsoo joutuneensa ilmeisen hyvin tehdyn teknisen huijauksen kohteeksi ja toimineensa kohtuullisesti, ei huolimattomasti.

8.7.2025 asiakas sai laskun pankista A ja huomasi nimissään nostetun lainaa 15.000 euroa 12.6.2025. Asiakas otti heti yhteyttä pankin asiakaspalveluun klo 12.24, kiisti ottaneensa lainan ja sai toimintaohjeet.

Asiakkaan oman pankin X pankkitunnukset suljettiin klo 13.14. Pankin X neuvosta asiakas asioi 8.7.2025 Verohallinnon ylläpitämässä positiivisessa luottorekisterissä ja tällöin hänelle kävi selväksi, että hänen nimissään oli otettu 16.000 euron lainaa myös pankista B. Lisäksi hänen nimissään oli tilattu tuotteita Verkkokauppa.com:sta. Saatujen selvitysten mukaan asiakkaan tiedoilla on mahdollisesti pyritty nostamaan lainoja useista muistakin lainapalveluista. Asiakas oli ilman pankkitunnuksia ja mobiilivarmenteella hän kommunikoi seuraavat kaksi viikkoa, lähes päivittäin kummankin pankin kanssa heidän osoittamillaan alustoilla.

Asiakas on oma käsityksensä mukaan tullut huijatuksi tietämättään hyvin tehdylle huijaussivulle kuitenkin meneteltyään aivan kohtuullisesti. Asiakas ei ole henkilö, joka avaa tuntemattomia linkkejä tai antaisi tunnistetietojaan koskaan niitä pyydettäessä. Puhelimen avaukseen asiakas käyttää Face-ID:tä. Pääsykoodi ei ole edes puolison tai tyttären tiedossa. Laite ei ole ollut kateissa ja kulkee aina mukana.

29.7.2025 asiakas sai pankilta A päätöksen, etteivät hyvitä lainaa. Ensimmäistä kertaa asiakas sai tuolloin tietää, että laina-anomuksen tunnistautuminen oli tehty mobiilivarmenteella. SIM-kortin ja varmenteen asiakas vaihtoi pankkitunnisteet saatuaan. Petoksessa on käytetty mobiilivarmennetta, josta asiakas ei ole ollut tietoinen eikä hän ole voinut kuvitellakaan, että hänen nimissään on olemassa mobiilivarmenne jonkun toisen liittymässä ja puhelinlaitteessa.

Asiakkaan omaa mobiilivarmennetta on käytetty 12.6.2025 yhden kerran. Asiassa on saatu Telian mobiilivarmennerekisteristä selvitys, että asiakkaan omaan puhelinliittymään liitetyllä mobiilivarmenteella on luotu uusi mobiilivarmenne 12.6.2025 klo 18:54. Mitä ilmeisintä on, että tällä uudella mobiilivarmenteella on kirjauduttu pankkien sivuille ja tehty lainahakemuksia, koska asiakkaan mobiilivarmenteella niitä ei ole tehty. Lainahakemuksissa käytetty mobiilivarmenne ei siten ole ollut asiakkaan hallussa tai käytettävissä ollenkaan.

Uusi mobiilivarmenne ei ole asiakkaan hankkima, se ei ole ollut hänen puhelimessaan tai hänen nimiinsä rekisteröityyn liittymään liitetty eikä hän ole sitä käyttänyt. Uuden mobiilivarmenteen luomisesta ei ole tullut asiakkaalle minkäänlaista vahvistus- tai varoitusviestiä tai muutakaan tietoa missään vaiheessa.

Asiakas on tullut vasta tammikuussa 2026 tietoiseksi siitä, että hänen nimiinsä on rekisteröity toinen mobiilivarmenne, saatuaan tästä tiedon tunnistuspalveluntarjoajalta. Ennen tätä asiakas ei ole osannut kysyäkään, eikä asiakkaan tai muiden asian selvittelyyn osallistuneiden henkilöiden mieleen ole tullut, että henkilöllä voisi olla useita mobiilivarmenteita. Tämä ei ole myöskään mitenkään yleistä tietoa. Saati se, että uuden mobiilivarmenteen hankkiminen olisi mahdollista ilman, että mobiilivarmenteen hankkija fyysisesti asioi palvelupisteessä, jossa tunnistaudutaan.

Mobiilivarmenteen luominen

Asiakas kiistää luovuttaneensa mobiilivarmenteen käyttämiseen tarvittavia tietoja ulkopuoliselle. Asiakkaan puhelinta, jonka SIM-korttiin mobiilivarmenne on liitetty, ei ole varastettu missään vaiheessa. Asiakkaan mobiilivarmenteen tunnusluku (PIN-koodi) ei ole missään kirjoitettuna eikä hän ole sitä kenellekään luovuttanut. Mobiilivarmenteen PIN-koodi on myös eri kuin asiakkaan puhelimen pääsykoodi. Asiakas on myös huolehtinut siitä, että puhelimen sisäänpääsyyn käytetään ensisijaisesti kasvojen tunnistusta (face-ID) ja numeroilla kirjoitettava pääsykoodi on eri kuin muut puhelimessa käytettävät koodit (SIM-kortin pääsykoodi, mobiilivarmenteen PIN-koodi).

Tapahtuma-aikana asiakas on suomi.fi-rekisterilokista tarkastettuna kirjautunut 12.6.2025 klo 19:08 tunnuksillaan suomi.fi-palveluun tarkastaakseen kiinteistörekisteritietoja. Pankki B on hakenut asiakkaan tietoja positiivisesta luottotietorekisteristä klo 19:17 ja pankki A klo 19:30. Vaikuttaisi siten siltä, että rikolliset ovat pystyneet jollain tavoin ohjaamaan suomi.fi-tunnistautumisen omille sivuilleen ja sitä kautta urkkimaan tietoonsa asiakkaan tunnistautumistiedot ja/tai huijaussivusto on lähettänyt asiakkaalle tunnistautumiskoodin, jolla kuitenkin on todellisuudessa tunnistauduttu muulle kuin suomi.fi-sivustolla. Joka tapauksessa asiakas ei ole siirtynyt sivustolle käyttäen mitään hänelle sähköpostitse tai viestitse tullutta linkkiä, sillä hän ei ole tällaista saanut. Asiakkaalle ei ole missään vaiheessa tullut tietoon ennen tammikuuta 2026, että hänen nimissään on toinenkin mobiilivarmenne.

Yllä mainittu on pelkkää spekulaatiota siitä, miten asiakkaan tunnuksilla on saatu luotua uusi mobiilivarmenne. Myös asiakkaan aiempi spekulaatio siitä, että hänen tunnuksiaan olisi urkittu linjasaneerauksen yhteydessä on pelkkää arvailua, sillä asiakas on myös linjasaneerauksen yhteydessä huolehtinut tietoturvasta.

Tunnistusvälineen luovuttaminen ja säilyttäminen huolellisesti

Tunnistuslain 27 §:n 1 momentin 1 kohtaa koskevien lain esitöiden mukaan tunnistusvälineen luovutuksella tarkoitetaan säännöksessä vapaaehtoista hallinnan luovutusta, tapahtuipa se missä tarkoituksessa tahansa. Säännöksessä tarkoitetusta luovutuksesta on kysymys vain silloin, kun tunnistusvälineen haltija tietoisesti luovuttaa juuri välineen hallinnan toiselle. Asiakas ei ole luovuttanut tunnistamisvälinettään kenellekään vapaaehtoisesti. Asiassa ei siten ole kyse tunnistusvälineen vapaaehtoisesta luovuttamisesta. Näin ollen asiassa on tarkasteltava sitä, millä tavoin asiakas on käsitellyt tunnistusvälinettä.

Asiakas katsoo, että hän ei ole myöskään miltään osin toiminut huolimattomasti tunnistuslaissa tarkoitetulla tavalla ja siksi hän ei ole velvollinen maksamaan pankista nostettua lainaa.

Sähköisten tunnistautumisvälineiden käyttö ja asiakkaan toimenpiteet väärinkäytösten estämiseksi

Pankki väittää, että asiakasta on kehotettu sulkemaan kaikki sähköiset tunnistautumisvälineensä 8.7.2025, mutta että tämä on jatkanut mobiilivarmenteensa käyttämistä vielä kahden viikon ajan tämän jälkeen.

Oman pankkinsa pankin X neuvosta asiakas on sulkenut kaikki pankkitunnuksensa ja hakenut itsellensä omaehtoisen luottokiellon välittömästi 8.7.2025 kun on tullut tietoiseksi nimissään otetuista lainoista.

Ensimmäisen kerran asiakas on joka tapauksessa ylipäätänsä tullut tietoiseksi siitä, että tunnistautumisessa on käytetty hänen mobiilivarmennettaan vasta pankin reklamaatiovastauksen myötä 1.8.2025. Tätä ennen asiakas ei ole ollut tietoinen, että hänen nimiinsä rekisteröityä mobiilivarmennetta on käytetty tunnistautumiseen. Vaikka asiakas olisi sulkenut pankkitunnustensa lisäksi myös mobiilivarmenteensa joka on ollut liitettynä hänen omaan puhelinnumeroonsa, ei hänen nimissään luotua toista mobiilivarmennetta olisi välttämättä tullut suljetuksi, sillä asiakas ei ole ollut tästä tietoinen ennen kuin noin 6 kuukautta tapahtumien jälkeen. Muutenkaan lähes kuukausi sen jälkeen kun rikos on tapahtunut eikä uusia lainoja ole enää haettu 12.6.2025 jälkeen, näiden tunnusten sulkematta jättämisellä ei ole merkitystä asian arvioinnissa. Uusien lainojen hakeminen ei myöskään ole ollut mahdollista omaehtoisen luottokiellon vuoksi.

Ottaen huomioon, että asiakas on täsmällisesti toiminut oman pankkinsa neuvojen mukaan ja hakenut välittömästi omaehtoisen luottokiellon sekä sulkenut pankkitunnuksensa, on asiakas toiminut nimenomaan huolellisesti ja noudattanut saamiaan neuvoja. Selvää on, että asiakkaan toimenpiteiden ansiosta hänen nimissään ei ole enää pystytty nostamaan lainoja pankkien B ja A lainojen jälkeen, joihin hakemus on tehty jo 12.6.2025 ja joista asiakas on tullut tietoiseksi vasta 8.7.2025.

Riidatonta asiassa on, että asiakas ei ole itse tehnyt sopimusta pankin kanssa eikä siten ole sopimussuhteessa pankkiin, eikä myöskään luovuttanut vapaaehtoisesti tunnistusvälinettään ulkopuoliselle. 

OTT Mia Hoffrén on tuoreessa artikkelissaan arvioinut vastuuta tunnistusvälineen oikeudettomasta käytöstä laissa sääntelemättömissä tilanteissa. (Edilex sarja 2026/12, julkaistu 12.5.2026). Hoffrén toteaa artikkelin sivulla 19 "Näiden syiden vuoksi suhtaudun varauksellisesti siihen, että tunnistusvälineen haltija olisi ilman asiasta sopimista sopimusoikeudellisessa vastuussa tunnistusvälineensä väärinkäytöstä sellaiselle osapuolelle, jonka kanssa hän ei ole sopimussuhteessa." 

Asiassa ei siten ole kyse pelkästään tilanteesta, jossa tunnistusvälineen haltijan tunnuksia käytetään sellaisessa tilanteessa, jossa tunnistusvälineen haltijan varoja viedään tämän omalta tililtä pankkilaitoksesta, jossa tunnistusvälineen haltijalla on jo olemassa oleva sopimussuhde esimerkiksi hankkimalla rinnakkainen mobiilipankki rikollisen käyttöön, johon tunnistaudutaan uhrin omilla tunnuksilla. 

Mobiilivarmenteella tunnistautumisen ongelmallisuus

Mobiilivarmenne sisältää riskejä, jotka ovat olleet pankkien tiedossa. Näistä ongelmista ei kuitenkaan ole olleet tietoisia kuluttajat eivätkä mobiilivarmenteeseen liittyvät väärinkäytösmahdollisuudet ole yleistä tietoa. Kuluttajille ei ole missään kerrottu, että mobiilivarmenteen voi luoda asiakkaan nimissä useisiin liittymiin.

Mm. tietokirjailija ja tietoturva-asiantuntija Petteri Järvinen on kirjoittanut mobiilivarmenteen ongelmista useita kertoja useiden vuosien ajan. Asiakkaan asiamies on keskustellut asiasta pankin tietoturva-asiantuntijoiden kanssa ja pankit ovat mobiilivarmenteen tietoturvamekanismeista lausuttaessa tuoneet lainsäätäjän tietoon, että mobiilivarmenteella tunnistautuminen ja uuden mobiilivarmenteen luominen käyttäen toista mobiilivarmennetta (ns. ketjutus) ilman, että mobiilivarmenteen hankkijaa tunnistetaan fyysisesti esim. operaattorin palvelu pisteessä, mahdollistaa väärinkäytökset.

Erityisen ongelmallista on tietoturva-asiantuntijoiden mukaan, että alkuperäisen mobiilivarmenteen haltija ei saa mitään tietoa tai varoitusta uuden mobiilivarmenteen luomisesta. Tilanne on toisin, esimerkiksi asennettaessa uutta mobiilipankkia uudelle laitteelle, josta tulee lähtökohtaisesti varoitusviesti ja uuden mobiilipankin käyttöönottoa edeltää useita turvatekijöitä.

Pankit ovat olleet tietoisia mobiilivarmenteen väärinkäytösmahdollisuuksista ja siitä, että mobiilivarmenne voi olla toisen henkilön kuin hakijan/asiakkaan hallinnassa ilman, että oikea henkilö on siitä edes tietoinen.

Lainanantajan vastuu

Pankki on vastineessaan vedonnut ainoastaan siihen, että ennen lainan myöntämistä pankki on varmistunut siitä, että lainahakemus on tehty tunnistautumalla asiakkaan nimiin rekisteröidyllä mobiilivarmenteella. Mitään muita varmistus- tai tarkistusmekanismeja pankki ei edes väitä pyrkineensä käyttämään.

Ottaen erityisesti huomioon, että A) asiakkaalla ei ole aiempaa asiakassuhdetta pankkiin, B) hän on ollut lainasopimusta tehtäessä lähes 73-vuotias, ja C) tunnistautuminen on tehty etäviestimillä, pankilla on oltava muitakin keinoja varmistua lainanhakijan henkilöllisyydestä ja siitä, että nimenomaan asiakas on tehnyt hakemuksen. Erityisesti tähän tulee kiinnittää huomiota, koska pankeilla on ollut tieto mobiilivarmenteella tehtyjen tunnistautumisten haavoittuvuudesta.

Asiakkaalla ei ole ollut mahdollisuutta vaikuttaa millään tavalla lainahakemuksen sisältöön tai sen jättämiseen, koska hän ei ole ollut siitä tietoinen. Pankilla on siten selvästi paremmat mahdollisuudet varmistua lainahakemuksen tekijän henkilöllisyydestä ja lainahakemuksen oikeellisuudesta. Asiakas on vakuuttunut siitä, että myös pankki on ollut tietoinen siitä, että mobiilivarmenteita voidaan käyttää rikollisissa tarkoituksissa. Asiakkaan osalta olosuhteet ovat selvästi olleet sellaiset, että tunnistamisen luotettavuutta on ollut syytä epäillä. Lainahakemuksessa on ollut useita seikkoja, jotka olisivat antaneet aiheen epäillä tunnistamisen luotettavuutta:
A) 73 -vuotias henkilö, jolla on säännöllinen eläke, ei aikaisempia lainoja, saati muita pikalainoja, tuskin tarvitsee lainaa, jonka todellinen vuosikorko on lähes 14%.
B) Lainahakemuksessa on ilmoitettu lainaa haettavan "sähköajoneuvojen tai vähäpäästöisen hybridiajoneuvon hankintaan". Selvää on, että ajoneuvojen hankintaan myyjäliikkeet tarjoavat selvästi edullisempia lainoja. Myös kirjoitusasu "sähköajoneuvojen" (monikossa) on poikkeuksellinen ottaen lainanhakijan iän huomioon
C) Hakemuksessa ilmoitettu sähköpostiosoite ([email protected]) on yleisen elämänkokemuksen mukaan sellainen, jota iäkäs henkilö ei voi käyttää eikä edes itse muistaa
D) Puhelinnumero, joka hakemukseen on ilmoitettu, ei ole asiakkaan. Rekisteröidyn puhelinliittymän haltijan tarkastaminen on yksinkertaisesti tehtävissä.
E) Asiakas ei ole koskaan aiemmin ollut pankin asiakas.
F) tilinumero on jonkun muun kuin asiakkaan

Yllä mainittu puhelinnumero/-liittymä ei ole koskaan ollut asiakkaan nimiin rekisteröity. Mobiilivarmenteen käyttöönotto edellyttää, että varmenne on liitetty puhelinliittymään, joka on rekisteröity suomalaisen henkilötunnuksen omaavalla henkilölle. Pankilla on siten ollut mahdollisuus tarkastaa, erityisesti ottaen huomioon, että asiakas ei ole aiemmin ollut pankin asiakas, että annetut tiedot pitävät paikkansa muun muassa tarkistamalla se, onko annettu puhelinnumero asiakkaan vai täysin jonkun toisen henkilön nimiin rekisteröity. Tämä on riidattomasti jätetty kokonaan tekemättä.

Finanssiala Ry on jo 6.3.20251, eli ennen kuin maksunsaajan tarkastaminen on tullut pakolliseksi, kehottanut jäsenpankkejaan tarkastamaan maksunsaajan. Tili, jolle pankki on lainasumman siirtänyt, ei ole asiakkaan nimissä eikä pankki tai vastaanottava pankki ole tarkastanut maksunsaajaa. Asiakkaan käsityksen mukaan tälle ei olisi ollut estettä, mikäli pankki olisi edes pyrkinyt toimimaan huolellisesti ja tunnistamaan asiakkaan sekä transaktion oikeellisuuden.

Pankin mukaan lainahakemuksen käsittely on siirtynyt manuaaliseen käsittelyyn ja lainapäätös on tehty vasta hakemuksen jättämistä seuraavana päivänä 13.6.2025. Mikäli pankki olisi toiminut huolellisesti, olisi se allekirjoittaneen käsityksen mukaan pystynyt selvittämään, että asiakkaan positiivisen luottotietorekisterin merkintöjä oli 12.-13.6.2025 välisenä aikana, ennen kuin pankki on myöntänyt lainan, käynyt katsomassa pankin lisäksi 6 tai 7 muutakin pikalainoja myöntävää luottolaitosta. Ottaen huomioon yhtäkkisen pikalainantarjoajien kiinnostuksen asiakkaan luottotietoihin pankilla olisi tullut olla syytä epäillä tunnistamisen oikeellisuutta.

Asiakas on toimittanut positiivisesta luottotietorekisteristä otetun listauksen asiakkaan rekisterimerkintöihin tehdyistä kyselyistä. Asian selvittämisen yhteydessä asiakas on tehnyt GDPR:n mukaisia tietopyyntöjä niille luottolaitoksille, jotka ovat tehneet rekisterihakuja asiakkaan tietoihin positiivisesta luottotietorekisteristä. Pankilta Z saadun tiedon mukaan Z on pyrkinyt ottamaan yhteyttä hakemuksen tehneeseen tahoon ainakin sähköpostilla ja pyytänyt hakemuksen tehnyttä soittamaan ja vahvistamaan henkilöllisyytensä ennen luottopäätöksen tekemistä. Koska yhteydenottoihin ei ole vastattu, on Z hylännyt hakemuksen. Pankki A ei antamansa vastauksen mukaan ole tehnyt mitään tällaista tiedustelua tai pyrkinyt olemaan yhteydessä hakemuksessa ilmoitettuun puhelinnumeroon tai asiakkaaseen, jonka puhelinnumero on julkinen ja jonka nimisiä henkilöitä numeropalvelu löytää Suomesta kaksi. Mitä ilmeisimmin pankki ei ole myöskään ollut manuaalisen käsittelyn yhteydessä hakemuksessa ilmoitettuun puhelinnumeroon.

Muut pankit, jotka ovat rekisteritietohakuja tehneet, eivät ole saatujen vastausten perusteella säilyttäneet tietoja, koska eivät ole lainoja myöntäneet. Pankki A on antamansa tiedon mukaan hyväksynyt lainahakemuksen 13.6.2025 klo 13:07. Pankki B:ltä saadun tiedon mukaan B on hyväksynyt lainahakemuksen 13.6.2025 klo 8:49. Pankin myöntäessä lainan on siten juuri ennen lainahakemuksen hyväksymistä asiakkaan tiedoilla haettu ja myönnetty toinen pikalaina, määrältään 16.000 euroa. Asiakkaan käsityksen mukaan, mikäli pankki A olisi toiminut huolellisesti lainaa myöntäessään, olisi pankin tullut havaita, että hänelle on juuri myönnetty toinen pikalaina. Tällainen käyttäytyminen olisi erittäin poikkeuksellista.

Kokonaisuutena arvioiden, kun pankki on ollut tietoinen mahdollisuudesta käyttää mobiilivarmenteita väärin, hakemuksessa annetut tiedot sekä ottaen huomioon tapauksen yllä mainitut erityispiirteet, on selvää, että pankki on toiminut luottoa myöntäessään huolimattomasti.

Kuluttajansuojalain edellyttämien tietojen toimittamatta jättäminen

Kuluttajansuojalain 6 a luvussa on selvät säännökset siitä, mitä tietoja rahoituspalvelun tarjoajan on toimitettava kuluttajalle tarjotessaan rahoituspalveluita etämyyntinä (tiedonantovelvollisuus ennen sopimuksen tekemistä, 5 §). Näihin tietoihin liittyy muun muassa tieto peruuttamisoikeudesta ja oikeussuojakeinoista. On riidatonta, että asiakkaalle itselleen ei ole toimitettu näitä tietoja tai muitakaan kuluttajansuojalain edellyttämiä tietoja lainasta missään vaiheessa millään välineellä ennen lainan myöntämistä tai sen jälkeenkään.

YHTEENVETO

Asiakas katsoo edelleen toimineensa huolellisesti. Asian poliisitutkinta on kesken eikä ole tiedossa, miten rikolliset ovat onnistuneet luomaan toisen mobiilivarmenteen asiakkaan nimissä. Asiakas katsoo, että pankki on toiminut asiassa törkeän huolimattomasti ja jättäneensä pankille kuuluvat tarkastukset tekemättä, mikä on mahdollistanut rikoksen toteutumisen.

Pankin vastine

Asiakas on ollut yhteydessä pankkiin puhelimitse 8.7.2025 kysyäkseen käyttölainan laskusta, jonka hän on saanut. Hän on ilmoittanut, ettei ole hakenut kyseistä käyttölainaa. Pankki on neuvonut asiakasta sulkemaan kaikki sähköiset tunnistamisvälineensä, ottamaan yhteyttä omaan pankkiinsa sekä tekemään asiasta rikosilmoituksen.

Asiakas on kuitenkin jatkanut mobiilivarmenteen käyttöä, vaikka pankki on neuvonut häntä sulkemaan kaikki sähköiset tunnistusvälineensä. Asiakkaan mukaan hän käytti mobiilivarmennetta vielä kaksi viikkoa sen jälkeen, kun hän oli sulkenut verkkopankkitunnuksensa. Tämän jälkeen asiakas oli saanut uudet pankkitunnukset.

Asiakas on 10.7.2025 lähettänyt verkkopankkiviestin kautta pankille vahvistuksen tehdystä rikosilmoituksesta. Hän on kirjoittanut, että on tullut erehdytetyksi ilmeisen hyvin tehdylle huijaussivustolle tietämättään. Myöhemmin 28.7.2025 verkkopankkiviestissä asiakas totesi, että kyseinen kommentti oli ensimmäinen vaikutelma ja hän ei pysty yksilöimään miten tunnukset olisivat voineet joutua väärin käsiin.

Käyttölaina on haettu asiakkaan tiedoilla pankin sähköisessä hakemuskanavassa 12.6.2025 klo 19.29, ja hakemuksessa on käytetty vahvaa sähköistä tunnistusvälinettä, asiakkaan nimiin rekisteröityä mobiilivarmennetta. Koska luotto on haettu muulla kuin pankin myöntämällä tunnistusvälineellä, pankki ei pysty tarkemmin tarkistamaan kyseisen tunnistusvälineen lokitietoja.

Asiakkaan henkilöllisyys on luottoa haettaessa todennettu mobiilivarmenteella, joka täyttää lain vaatimukset vahvasta tunnistautumisesta. Pankki on siis luottosopimuksen tekemisen yhteydessä todentanut asiakkaan henkilöllisuuden lain edellyttämällä tavalla. Koska mobiilivarmenne täyttää ne vaatimukset, jotka laki asettaa vahvalle sähköiselle tunnistamiselle, tulee pankin voida luottaa mobiilivarmenteeseen tunnistusvälineenä. Tällaisessa tilanteessa pankilla ei ole erillistä velvollisuutta ryhtyä lisätoimenpiteisiin hakijan henkilöllisyyden varmistamiseksi, ellei riskiperusteinen arvio tai muut olosuhteet anna aihetta epäillä tunnistamisen luotettavuutta.

Tässä tapauksessa asiakkaan hakemuksella antamat tiedot sekä hakemuksen yhteydessä pankille toimitetut liitteet eivät antaneet toimihenkilölle aihetta epäillä hakemuksen aitoutta. Pankin käyttölainaa voivat hakea myös henkilöt, jotka eivät ole ennestään pankin asiakkaita, eikä hakijan ikä sellaisenaan ole kriteeri, joka poissulkisi lainan tarpeen tai hakemisen. Mikäli hakemus ja annetut tiedot kokonaisuutena arvioiden eivät anna aihetta epäillä väärinkäyttöä, ei pankilla ole syytä erikseen varmistaa, kuuluuko esimerkiksi hakemuksessa ilmoitettu puhelinnumero asiakkaalle. Pankilla ei ole ollut velvollisuutta, eikä pankilta ole kohtuudella voitu edellyttää erillisiin toimenpiteisiin ryhtymistä yhteystietojen oikeellisuuden varmistamiseksi.

Pankille on jäänyt epäselväksi, miten ulkopuolinen on päässyt käyttämään asiakkaan mobiilivarmennetta, mutta pankilla ei ole käyttölainahakemuksen hyväksymisvaiheessa ollut mitään syytä epäillä, ettei hakija olisi asiakas itse. Myönnetty luotto on maksettu hakemuksessa ilmoitetulle, toisen suomalaisen pankin tilinumerolle. Pankki on tehnyt maksusta palautuspyynnön, mutta rahoja ei ole saatu palautettua.

Pankki haluaa vielä erikseen huomauttaa, että suosituksessa maksunsaajan tarkistukselle, johon asiakas viittaa, on kyse FA:n jäsenpankkien yhdessä sopimasta kansallisesta tavasta tarkistaa yritysasiakkaiden pankeille lähettämien maksuaineistojen maksunsaajat. Suosituksella ei ole kehotettu pankkeja tarkistamaan pikamaksuasetuksen edellyttämällä tavalla SEPA-pikasiirtojen tai perinteisten SEPA-tilisiirtojen maksunsaaja jo ennen pikamaksuasetuksen voimaantuloa.

Pankin käsityksen mukaan mobiilivarmenteen tunnistaminen perustuu käyttäjän kaksivaiheiseen tunnistamiseen. Tämä tapahtuu asiakkaan omalla PIN-koodilla ja asiakkaan puhelimessa olevalla SIM-kortilla. Asiakkaan tunnistautuessa sivulla tulee hänen syöttää puhelinnumeronsa, jonka jälkeen asiakkaalle lähetetään tunnistuskoodi. Tämän yhteydessä hänen tulisi varmistaa, että tunnistuspyynnössä on sama tapahtumatunniste kuin palvelussa. Hyväksymisen jälkeen asiakkaan pitää vielä syöttää oma henkilökohtainen PIN-koodinsa. Asiakkaan on pitänyt antaa nämä edellä mainitut tiedot ulkopuoliselle, jotta hänen mobiilivarmennetta olisi voitu käyttää oikeudettomasti. Vaihtoehtoisesti asiakas on säilyttänyt matkapuhelimensa ja mobiilivarmenteen käyttöön tarvittavat tiedot tavalla, joka on sallinut ulkopuolisen käytön. Asiakkaan antaman selvitys kuitenkin tukee enemmän sitä, että asiakas itse on syöttänyt tai antanut tiedot ulkopuolisille.

Tunnistuslain mukaan tunnistusvälineen haltija vastaa sen oikeudettomasta käytöstä, jos hän on luovuttanut tunnistusvälineen toiselle, tunnistusvälineen katoaminen, joutuminen oikeudettomasti toisen haltuun tai oikeudeton käyttö johtuu hänen huolimattomuudestaan, joka ei ole lievää; tai jos hän on laiminlyönyt ilmoittaa tunnistuspalvelun tarjoajalle tai sen ilmoittamalle muulle taholle tunnistusvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä ilman aiheetonta viivytystä sen havaittuaan. Näillä perusteilla pankki toteaa, että asiakas vastaa täysimääräisesti hänelle myönnetystä käyttölainasta.

Asiakkaan mukaan hänen nimiinsä olisi 12.6.2025 luotu uusi mobiilivarmenne, jota olisi käytetty lainahakemuksen tekemiseen, ja että tämä mobiilivarmenne ei olisi missään vaiheessa ollut hänen hallussaan tai hänen liittymäänsä liitetty. Pankki toteaa, ettei pankilla ole teknistä tai sopimuksellista pääsyä mobiilivarmenteiden rekistereihin, eikä pankki näin ollen voi arvioida, onko asiakkaalle rekisteröity useampi mobiilivarmenne tai millä tavoin mahdollinen uusi varmenne olisi luotu. Pankin järjestelmän näkökulmasta voidaan kuitenkin todeta, että 12.6.2025 tehdyn luottosopimuksen osalta luottoa hakiessa tunnistauduttiin ja hakemus allekirjoitettiin vahvaa sähköistä tunnistautumista käyttäen, ja tunnistusväline on ollut asiakkaan nimiin rekisteröity mobiilivarmenne. Pankki korostaa vielä, että mobiilivarmenne täyttää ne vaatimukset, jotka laki asettaa vahvalle sähköiselle tunnistamiselle, eikä pankilla ole ollut mitään syytä epäillä asiakkaan vahvalla tunnistusvälineellä tehdyn tunnistautumisen aitoutta hakemushetkellä. Pankki on siis luottosopimuksen tekemisen yhteydessä todentanut hakijan henkilöllisyyden lain edellyttämällä tavalla.

Asiakas kiistää lausumassaan toimineensa huolimattomasti ja on vakuuttunut siitä, että toisin kuin hän on aiemmin spekuloinut pankille, hän ei ole itse antanut tunnuksiaan huijaussivustolle. Hän epäilee, että hänen tunnistustietonsa olisivat voineet päätyä sivulliselle esimerkiksi linjasaneerauksen yhteydessä. Pankki toteaa, että tunnistuslain mukainen arviointi ei perustu siihen, pystyykö asiakas esittämään tarkan tiedon, miten tunnistustiedot ovat joutuneet ulkopuoliselle, vaan siihen, onko tunnistusvälineen haltija huolehtinut välineestä ja siihen liittyvistä koodeista lain ja sopimusehtojen edellyttämällä tavalla. Mikäli joku ulkopuolinen on saanut käyttöönsä sekä asiakkaan mobiilivarmenteen, että sen PIN-koodin ilman, että asiakas on itse antanut näitä kolmannelle osapuolelle, asiakas ei ole säilyttänyt tunnistusvälinettään huolellisesti vaan tavalla, joka on mahdollistanut oikeudettoman käytön. Asiakkaan esittämät arviot siitä, että asiakkaan tunnistustietoja olisi mahdollisesti urkittu linjasaneerauksen yhteydessä, eivät muodosta sellaista näyttöä, joka kumoaisi asiakkaan huolellisuusvastuuta. Tilanteessa, jossa asiakkaan kotona on säännöllisesti ulkopuolisia henkilöitä — kuten linjasaneerauksen yhteydessä — todennäköisyydet sille, että sivulliset voisivat päästä tunnistusvälineeseen käsiksi, kasvavat. Tällöin huolellisesti toimivalta asiakkaalta voisi kohtuudella odottaa myös esimerkiksi mahdollisia tilanteen huomioivia turvajärjestelyitä tai vähintään sitä, että asiakas olisi kohtuullisin toimin pyrkinyt estämään välineen väärinkäytön ja tietoiseen varoivaisuuteen tunnistustietojen säilyttämisessä ja käytön seuraamisessa. Huolellisesti toimivan asiakkaan olisi pankin näkemyksen mukaan tullut huolehtia, että tunnistusvälinettä ja siihen liittyvää tunnuslukua samoin kuin muita tunnistamiseen tarvittavia yksilöiviä tietoja säilytetään varmasti erillään ja tavalla, joka ei mahdollista sivullisten pääsevän näihin käsiksi. Jos joku on päässyt tietoihin käsiksi linjasaneerauksen yhteydessä, näin ei ole tapahtunut.

Asiakas väittää lisäksi, ettei hän ollut tietoinen oikeudettomasta mobiilivarmenteen käytöstä ennen 29.7.2025 ja ettei pankin 8.7.2025 antamalla ohjeistuksella kaikkien sähköisten tunnistusvälineiden sulkemisesta ole merkitystä asiassa. Pankki toteaa, että asiakas on 8.7.2025 ollut yhteydessä pankkiin ja hänelle on annettu nimenomainen ohje sulkea kaikki sähköiset tunnistautumisvälineensä. Asiakkaan oman ilmoituksen mukaan hän on kuitenkin jatkanut mobiilivarmenteensa käyttöä vielä noin kahden viikon ajan ohjeistuksen vastaisesti. Arvioitaessa asiakkaan toimintaa tunnistusvälineiden säilyttämisen osalta kokonaisuutena, tulisi huomioida myös asiakkaan aktiiviset jatkotoimet ja asiakkaan pyrkiminen mahdollisten väärinkäytösten estämiseen. Se, että asiakas on tietoisesti, pankin nimenomaisen ohjeistuksen vastaisesti jatkanut tunnistusvälineidensä käyttöä, osoittaa pankin mielestä osaltaan, että asiakas ei ole toiminut tilanteessa siten kuin tunnistuslain mukainen huolellisuusvaatimus edellyttää. Pankin käsityksen mukaan asiakas on toiminut tilanteessa kokonaisuutena arvioiden ja kaikki esitetty huomioiden tavalla, joka osoittaa lievää suurempaa huolimattomuutta.

Pankki haluaa korostaa, että identiteettivarkauksien yhteydessä on mahdollista, että myös asiakkaan verkkopankkitunnukset tai muut tunnistusvälineet ovat joutuneet ulkopuolisen haltuun; riskit eivät siten koske ainoastaan mobiilivarmennetta. Toisin kuin asiakkaan asiamies lausumassaan antaa ymmärtää, sitä, että tunnistautumiseen on käytetty mobiilivarmennetta, ei voida katsoa seikaksi, jonka pitäisi suoraan saada pankki epäilemään tunnistautumisen luotettavuutta tai mahdollista väärinkäyttöä. Mobiilivarmenteen täyttäessä ne kriteerit, joita sääntely asettaa vahvalle sähköiselle tunnistamiselle ja mobiilivarmenteen ollessa osa virallista Suomen luottamusverkostoa, pankkien on lähtökohtaisesti voitava sekä luottaa mobiilivarmenteeseen tunnistusvälineenä, että siihen, että mobiilivarmenteella tunnistettu hakija on tunnusten oikea haltija, muuten koko luottamusverkoston toiminta vesittyy.

Asiakkaan asiamiehen viittaamassa OTT Mia Hoffrénin artikkelissa esitetyt johtopäätökset eivät pankin käsityksen mukaan ole sellaisenaan sovellettavissa nyt käsillä olevaan asiaan. Artikkelin tarkastelun kohteena ovat nimenomaan sellaiset väärinkäyttötilanteet, joissa ei ole kysymys maksupalvelulaissa tarkoitetusta maksupalvelusta tai kuluttajansuojalaissa tarkoitetusta luotosta ja joissa tunnistamiseen käytetty menetelmä ei täytä tunnistamislaissa tarkoitetulle vahvalle sähköiselle tunnistamiselle asetettuja vaatimuksia. Hoffrénin esittämä varauksellinen suhtautuminen koskee nimenomaan tällaisia tilanteita, joissa väärinkäyttö tapahtuu ulkopuolisen tahon tarjoamassa järjestelmässä, käyttäjät tunnistetaan vahvaa sähköistä tunnistamista heikommalla menetelmällä ja tunnistusvälineen haltijan vastuuta arvioidaan yleisten sopimus- ja vahingonkorvausoikeudellisten normien perusteella eikä erityissääntelyn nojalla.

Nyt esillä olevassa tapauksessa kyse on sen sijaan kuluttajansuojalaissa tarkoitetusta luotosta, ja luottosopimus on tehty käyttämällä vahvaa sähköistä tunnistamista. Tilanteen oikeudellinen arviointi perustuu siten nimenomaan erityissääntelyyn sekä sitä koskevaan oikeuskäytäntöön, eikä artikkelissa käsiteltyjä sääntelemättömiä tilanteita koskevia lähtökohtia voida sellaisenaan soveltaa.

Asiamiehen esiin tuoma erottelu siitä, ettei asiassa ole kyse asiakkaan jo olemassa olevaan tilisuhteeseen kohdistuvasta väärinkäytöstä, ei muuta tätä arviointia. Käsillä olevassa tapauksessa kyse on kuluttajaluotosta, joka on myönnetty, ja jota koskeva sopimus on tehty asiakkaan vahvaa sähköistä tunnistamista käyttäen, jolloin asian arviointi perustuu ennen kaikkea kuluttajansuojalain ja tunnistuslain erityissääntelyyn ja näitä koskevaan oikeuskäytäntöön.

Myöskään asiakkaan asiamiehen väite siitä, että asiassa olisi riidatonta, ettei asiakas ole sopimussuhteessa pankin kanssa, ei pidä paikkaansa. Se, vastaako asiakas luottosopimuksen mukaisesta velasta täysimääräisesti tilanteessa, jossa luottosopimus on tehty tunnistusvälineen oikeudettoman käytön seurauksena, on tästä erillinen kysymys.

Pankkilautakunnan lisäselvityspyyntö

1. Miten rikollisen asiointi ja luoton hakeminen pankin verkkopalvelussa on käytännössä edennyt?

Luotto on haettu pankin sähköisessä hakemuskanavassa 12.6.2025 klo 19.29 käyttämällä tunnistautumiseen asiakkaan nimiin rekisteröityä mobiilivarmennetta. Hakemus on siirtynyt manuaaliseen käsittelyyn, jossa toimihenkilö on tarkistanut hakemuksen tiedot, suorittanut asiakkaan luottokelpoisuuden arvioinnin ja myöntänyt tämän perusteella asiakkaalle luoton 13.6.2025.

2. Mitä tietoja tekijä on luottohakemuksessaan pankille ilmoittanut?

Tekijä on tunnistautumisen jälkeen syöttänyt luottohakemuksen käsittelyyn tarvittavat tiedot, jotka näkyvät täytetystä hakemuksesta. Hakemukseen on myös liitetty asiakkaan viimeisin verotuspäätös vuodelta 2024 sekä tuore ote maksetusta eläkkeestä Merimieskassasta toukokuulta 2025.

3. Miten pankki on luoton myöntämisen yhteydessä täyttänyt kuluttajansuojalain 7 luvun 14 ja 16 a §:ien mukaiset velvollisuutensa?

Pankilla on käytössä automatisoitu prosessi, jossa luottopäätösmoottori tarkistaa asiakkaan luottotiedot jo hakemusvaiheessa. Tarkistettavat luottotiedot käsittävät sekä negatiiviset luottotiedot eli Suomen Asiakastieto Oy:n rekisteristä saatavat maksuhäiriömerkinnät että positiivisesta luottotietorekisteristä saatavat positiiviset luottotiedot. Automaattisessa prosessissa asiakkaan luottokelpoisuutta ja maksukykyä arvioidaan näiden rekistereistä haettujen tietojen ja asiakkaan hakemuksessa ilmoittamien tietojen pohjalta. Asiakkaan luottohakemus voidaan hylätä suoraan automaattisen tietojenkäsittelyn seurauksena, esimerkiksi mikäli asiakkaalla on maksuhäiriömerkintä tai tehty arviointi muuten suoraan osoittaa, että asiakas ei todennäköisesti kykenisi täyttämään luottosopimuksen mukaisia velvoitteitaan. Jos sitä, kykeneekö kuluttaja täyttämään luottosopimuksen mukaiset velvoitteensa ei voida arvioida riittävällä tavalla automatisoidun prosessin pohjalta, siirretään hakemuksen käsittely manuaaliseen käsittelyyn.

Tässä tapauksessa hakemuksen käsittely siirtyi manuaaliseen käsittelyyn, jossa toimihenkilö tarkisti asiakkaan luottotiedot ja arvioi asiakkaan taloudellista tilannetta ja maksukykyä näiden sekä asiakkaan hakemuksessa ilmoittamien tietojen pohjalta.

Positiivisen luottotietorekisterin mukaan asiakkaalla oli ainoastaan 2 000 euron luottolimiitti, josta käytössä oli 2 euroa. Asiakkaan maksuvara ja luoton takaisinmaksumaksukyky arvioitiin kokonaisuutena katsottuna riittäväksi asiakkaan ilmoittamien ja positiivisesti luottotietorekisteristä saatujen asiakkaan tulojen määrän ja jatkuvuuden (eläke) sekä asiakkaan menojen, velkojen ja varojen perusteella, eikä kokonaisarvion perusteella luoton myöntämiselle katsottu olevan estettä.

Lainahakemuksessa lainan hakemiselle ilmoitettu syy "sähköajoneuvojen tai vähäpäästöisen hybridiajoneuvon hankintaan" on yksi pankin tarjoamista vakiovalinnoista. Se, että autoliikkeistä voi saada edullisempia tarjouksia ajoneuvojen hankintaan, ei ole peruste epäillä tunnistamisen luotettavuutta. Se, että luottokortin käyttöaste on pieni, ei osoita, että hakijalla ei voisi olla tarvetta erilliselle, jotain tiettyä hankintaa varten nostettavalle luotolle eikä se ole myöskään seikka, joka antaisi aihetta epäillä hakijan vahvan tunnistautumisen luotettavuutta.       

Hakemuksella annettuja tietoja verrattiin positiivisesta luottotietorekisteristä saatuihin tietoihin, eikä näissä ollut merkittäviä eroavaisuuksia. Tämän lisäksi hakija oli liittänyt hakemukseen tuoreet, vuoden 2024 verotustiedot sekä ajantasaisen eläkepäätöksen, jotka olivat niin ikään linjassa hakemuksesta sekä luottotietorekisteristä saatujen tietojen kanssa. Näin ollen pankki katsoi, että tällä oli riittävästi tietoja sen varmistamiseksi, että asiakkaan hakemuksella antamat tiedot olivat oikeita, ja asiakkaan taloudellista asemaa voitiin arvioida riittävällä tasolla ilman, että asiakkaalta tarvittiin lisätietoja.

Asiakas nostaa esille se, että huolellisesti toimivan pankin olisi tullut havaita ja huomioida pankin B 13.6.2025 kello 8:49 hyväksymä laina hyväksyessään asiakkaan nimissä tehdyn lainahakemuksen 13.6.2025 klo 13:07 ja se, että asiakkaan positiivisen luottotietorekisterin merkintöjä oli 12.-13.6.2025 välisenä aikana käynyt katsomassa useampi luottolaitos. Pankki haluaa huomauttaa, että näiden seikkojen huomioiminen ei ole ollut mahdollista, sillä pankilla ei ole ylipäätään ollut pääsyä kyseisiin tietoihin. Kyseisten seikkojen ei näin ollen voida mitenkään katsoa osoittavan, että pankki olisi toiminut huolimattomasti tai että pankin olisi tullut epäillä hakijan tunnistautumisen oikeellisuutta.

Pankit ja muut elinkeinonharjoittajat eivät näe muiden toimijoiden tekemiä hakuja positiivisesta luottorekisteristä, eikä myönnettyjä luottoja koskevia tai muita positiiviseen luottotietorekisteriin ilmoitettavia tietoja ole mahdollista saada rekisteristä reaaliaikaisesti. Ilmoitusvelvollisuuden piiriin kuuluvat tiedot on lain mukaan ilmoitettava positiiviseen luottotietorekisteriin viimeistään luottosopimuksen tekemistä seuraavana kalenteripäivänä. Asiakkaan nimissä nostettu pankin B laina ei ole näkynyt positiivisessa luottorekisterissä ja rekisteristä haetulla luottotietoraportilla siinä vaiheessa, kun asiakkaan lainahakemus oli pankissa käsittelyssä. Pankilla ei näin ollen ole ollut mahdollisuutta huomioida kyseistä lainaa pankin hakiessa positiivisesta luottotietorekisteristä tietoja asiakkaan luottokelpoisuuden arvioimiseksi. Tämän jälkeen pankilla ei ole ollut syytä tai ylipäätään lainmukaista perustetta hakea asiakkaan tietoja positiivisesta luottotietorekisteristä.

Pankki katsoi, että tehdyn luottokelpoisuuden arvioinnin perusteella asiakkaalle voitiin myöntää haettu luotto ja että kokonaisuutena katsottuna asiakas todennäköisesti täyttää luottosopimuksesta johtuvat velvoitteet luottosopimuksessa edelletyllä tavalla.

Selvitykset

Valitusta koskevan osapuolten kirjelmöinnin lisäksi lautakunnalle on toimitettu seuraavat asiakirjat:

- Käyttölainahakemus ja sopimus (kertaluotto)
- Merimieskassan todistus maksetuista eläkkeistä (12.6.2025)
- Verotuspäätös tuloverosta 2024
-Asiakkaan operaattoriltaan 9.1.2026 saama sähköposti, jossa kerrotaan, että asiakkaan henkilötunnukselle on avattu mobiilivarmenne kahteen eri liittymään ja että 12.6.2025 avattu mobiilivarmenne on tehty tunnistautumalla asiakkaan puhelinliittymään kytketyllä mobiilivarmenteella.
- Luotonantajien tilaamat luottotietorekisteriotteet positiivisesta luottotietorekisteristä

Ratkaisusuositus

Kysymyksenasettelu

Asiakkaan ja pankin välisen vastuunjaon ratkaisemiseksi Pankkilautakunnan on ensin arvioitava, vastaako asiakas rikollisten hänen tiedoin käyttöönsä saamasta mobiilivarmenteesta ylipäänsä, ja edelleen vastaako asiakas luotosta, jonka rikolliset ovat mobiilivarmenteella pankin A palveluun tunnistautuen asiakkaan nimissä hakeneet. Mikäli asiakas vastaa suhteessaan pankkiin A mobiilivarmenteen käytöstä ja nimissään haetusta luotosta, on lautakunnan edelleen arvioitava, voidaanko pankin katsoa laiminlyöneen velvollisuuksiaan luottoa myöntäessään ja luottoa pankin ulkopuolelle ja muulle kuin asiakkaalle maksaessaan sekä miten pankin mahdolliset laiminlyönnit vaikuttavat pankin oikeuteen periä rikollisten asiakkaan nimissä hakemaa luottoa asiakkaalta taikka antavat perusteen sovitella asiakkaan vastuuta.

Sovellettavat lainkohdat ja sopimusehdot

Vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annetun lain (tunnistuslaki) 2 § (Määritelmät.) mukaan
Tässä laissa tarkoitetaan:
[…]
6)tunnistusvälineen haltijalla luonnollista henkilöä ja oikeushenkilöä, jolle tunnistuspalvelun tarjoaja on sopimukseen perustuen antanut tunnistusvälineen;
[…]

Vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annetun lain (tunnistuslaki) 21 §:n (Tunnistusvälineen luovuttaminen hakijalle.) mukaan
Tunnistusvälineen tarjoajan on luovutettava tunnistusväline sen hakijalle siten kuin sopimuksessa on sovittu. Tunnistuspalvelun tarjoajan on varmistettava, ettei tunnistusväline joudu oikeudettomasti toisen haltuun välinettä luovutettaessa siten, että sähköisen tunnistamisen varmuustasoasetuksen liitteen kohdassa 2.2.2 vähintään korotetulle varmuustasolle säädetyt vaatimukset täyttyvät.

Lain 23 §:n (Tunnistusvälineen haltijan velvollisuudet.) mukaan
Tunnistusvälineen haltijan on käytettävä tunnistusvälinettä sopimuksen ehtojen mukaisesti. Haltijan on säilytettävä tunnistusvälinettä huolellisesti. Haltijan velvollisuus huolehtia tunnistusvälineestä alkaa, kun hän on vastaanottanut sen.
Tunnistusvälineen haltija ei saa luovuttaa välinettä toisen käyttöön.

Lain 25 §:n (Tunnistusvälineen peruuttamista tai käytön estämistä koskeva ilmoitus.) 1 momentin mukaan
Tunnistusvälineen haltijan on ilmoitettava tunnistusvälineen tarjoajalle tai tämän nimeämälle muulle taholle tunnistusvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä ilman aiheetonta viivytystä havaittuaan asian.

Lain 27 §:n (Tunnistusvälineen haltijan tunnistusvälineen oikeudetonta käyttöä koskevat vastuunrajoitukset.) mukaan
Tunnistusvälineen haltija vastaa tunnistusvälineen oikeudettomasta käytöstä vain, jos:
1) hän on luovuttanut tunnistusvälineen toiselle;
2) tunnistusvälineen katoaminen, joutuminen oikeudettomasti toisen haltuun tai oikeudeton käyttö johtuu hänen huolimattomuudestaan, joka ei ole lievää; tai
3) hän on laiminlyönyt ilmoittaa tunnistuspalvelun tarjoajalle tai sen ilmoittamalle muulle taholle tunnistusvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä ilman aiheetonta viivytystä sen havaittuaan.
Tunnistusvälineen haltija ei kuitenkaan vastaa tunnistusvälineen oikeudettomasta käytöstä:
1) siltä osin kuin tunnistusvälinettä on käytetty sen jälkeen, kun hän on ilmoittanut tunnistuspalvelun tarjoajalle tunnistusvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä;
2) jos tunnistusvälineen haltija ei ole voinut tehdä ilmoitusta välineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä ilman aiheetonta viivytystä sen havaittuaan sen johdosta, että tunnistuspalvelun tarjoaja on laiminlyönyt 25 §:n 2 momentissa tarkoitetun velvollisuutensa huolehtia siitä, että tunnistusvälineen haltijalla on milloin tahansa mahdollisuus tehdä kyseinen ilmoitus; tai
3) tunnistuspalvelua käyttävä palveluntarjoaja on laiminlyönyt 18 §:n 4 momentin tai 25 §:n 5 momentin mukaisen velvollisuutensa tarkastaa tunnistusvälineeseen liittyvän käyttörajoituksen olemassaolon tai tiedon välineen käytön estämisestä tai sulkemisesta.

Asian arviointi

Tapahtumienkulku

Pankkilautakunta katsoo asiassa selvitetyksi, että kun asiakas on käsityksensä mukaan ollut tunnistautumassa mobiilivarmennetta käyttäen suomi.fi-palveluun, on hän tosiasiassa asioinut rikollisten luomilla valesivuilla, minkä seurauksena rikollinen on päässyt kirjautumaan asiakkaan operaattorin palveluun ja hakemaan rikollisten käytössä olleeseen liittymään uuden, asiakkaan henkilötunnukseen liitetyn mobiilivarmenteen.  Edelleen lautakunta katsoo selvitetyksi, että rikolliset ovat tässä yhteydessä päässeet tunnistautumaan asiakkaan nimissä operaattorin palveluun ja hakemaan käytössään olleeseen puhelinliittymään kytketyn uuden, asiakkaan henkilötunnukseen liitetyn mobiilivarmenteen.  Tätä mobiilivarmennetta käyttäen rikolliset ovat tunnistautuneet asiakkaan nimissä pankin A palveluun ja hakeneet A:n nimissä luoton, jonka pankki A on maksanut toisessa pankissa olleelle rikollisten luottohakemuksessa ilmoittamalle tilille.

Selvyyden vuoksi Pankkilautakunta kiinnittää huomiota siihen, että asiakas on em. valesivuilla käyttänyt tunnistautumistarkoituksessa tunnistusvälineenä omaan puhelinliittymäänsä liitettyä mobiilivarmennetta. Rikolliset eivät kuitenkaan ole asiakkaan liittymään kytkettyä mobiilivarmennetta käyttäen tunnistautuneet pankin A palveluun vaan operaattorin palveluun, jossa he ovat avanneet käytössään olleeseen puhelinliittymään kytketyn uuden mobiilivarmenteen asiakkaan tiedoin. Edelleen selvyyden vuoksi lautakunta toteaa, että mobiilivarmenne kytketään aina yhteen tiettyyn puhelinnumeroon. Vaikka yhdellä henkilöllä on mahdollista olla useampi mobiilivarmenne ja myös samalta operaattorilta, edellyttää kukin mobiilivarmenne erillistä sopimusta ja kukin mobiilivarmenne on siten erillinen tunnistuslaissa tarkoitettu tunnistusväline. Rikollisten asiakkaan nimissä pankin A suuntaan tunnistautumisen tapahduttua asiakkaan nimissä haettua uutta mobiilivarmennetta käyttäen, on asiassa asiakkaan ja pankin välisen vastuunjaon kannalta ratkaisevaa, vastaako asiakas tapahtuneesta uuden mobiilivarmenteen oikeudettomasta käytöstä tunnistuslaissa säännellyn perusteella.

Pankkilautakunta katsoo asiassa riidattomaksi, että asiakas ei ole saanut haltuunsa tai käyttöönsä rikollisten hänen tiedoin operaattorilta hakemaa ja käyttöönsä saamaa uutta mobiilivarmennetta eikä asiakas ole ollut tietoinen kyseisestä mobiilivarmenteesta ennen kuin hän sai tästä tiedon operaattoriltaan tammikuussa 2026.

Pankkilautakunta toteaa, että tunnistuslain 21 § mukaan tunnistuspalvelun tarjoajan on varmistettava, ettei tunnistusväline joudu oikeudettomasti toisen haltuun välinettä hakijalle luovutettaessa, ja lain säätämiseen johtaneen hallituksen esityksen (HE 36/2009) mukaan tunnistuspalvelun tarjoaja kantaa riskin, joka aiheutuu tunnistusvälineen lähettämisestä. Vastaavasti tunnistuslain 23 §:n mukaan tunnistusvälineen haltijan vastuu tunnistusvälineestä ja velvollisuus huolehtia tunnistusvälineestä alkaa, kun hän on vastaanottanut sen.

Tässä tapauksessa rikollisten käyttöönsä saama mobiilivarmenne on tunnistuslaissa tarkoitettu tunnistusväline ja asiakas laissa tarkoitettu tunnistusvälineen haltija, joka ei kuitenkaan ole vastaanottanut hänen nimissään tehtyyn uuteen mobiilivarmennetta koskevaan sopimukseen perustuvaa uutta tunnistusvälinettä. Näin ollen hänen vastuunsa kyseisestä tunnistusvälineestä ei tunnistuslain 23 §:n perusteella ole alkanut eikä hän myöskään vastaa kyseisen tunnistusvälineen oikeudettomasta käytöstä. Asiakas ei siten myöskään vastaa kyseistä uutta mobiilivarmennetta oikeudetta käyttäen hänen nimissään pankista A haetusta luotosta.

Lopputulos

Pankkilautakunta suosittaa pankkia luopumaan saatavan perinnästä ja palauttamaan asiakkaalle asiakkaan kyseiseen luottoon mahdollisesti tekemät suoritukset.

Pankkilautakunta oli yksimielinen.

PANKKILAUTAKUNTA

Puheenjohtaja  Sillanpää                                     
Sihteeri Hidén

Jäsenet:

Atrila
Piilo
Punakivi
Tervonen