Tapahtumatiedot
Asiakas on ollut 6.7.2025 hakeutumassa pankin verkkopalveluun, kun hän on päätynyt rikollisten luomille pankin verkkosivuilta näyttäville sivuille, joilla hän on käyttänyt pankkitunnuksiaan kirjautuakseen verkkopankkiinsa.
Rikolliset ovat asiakkaan verkkopankkitunnuksia ja pankin asiakkaalle 6.7.2025 klo 17.02 lähettämässä tekstiviestissä ollutta vahvistuskoodia käyttäen ladanneet ja aktivoineet omalle laitteelleen asiakkaan nimissä olleen pankin tunnistussovelluksen. Turvallisuussyistä pankin tunnistussovellus on sen käyttöönoton jälkeen asetettu lukittuun tilaan, mistä pankki on ilmoittanut asiakkaalle tekstiviestitse klo 17.03. Tämän jälkeen asiakkaan verkkopankkiin on kirjauduttu asiakkaan turvalukukorttia ja pankin asiakkaalle klo 17.04 lähettämässä palveluun sisään kirjautumista koskevassa tekstiviestissä ollutta koodia käyttäen, ja verkkopankissa pankin tunnistussovelluksen lukitus on avattu klo 17.06.
Pankin toimittamien lokitietojen mukaan em. pankin tunnistussovellusta käyttäen on asiakkaan operaattorin palveluun kirjauduttu 10.7.2026 klo 16.56. Operaattorin palvelussa on haettu asiakkaan SIM-kortin vaihtoa eSIM-kortiksi. Tämän jälkeen klo 18.26 ovat rikolliset kirjautuneet asiakkaan verkkopankkiin tunnistussovelluksella tunnistautuen ja tehneet tunnistussovelluksella vahvistaen asiakkaan tililtä tilisiirtoja yhteensä 34.898 eurosta arvosta. Näistä varoista 13.478 euroa on ollut asiakkaan varoja ja 21.420 euroa muiden henkilöiden varoja, jotka rikolliset olivat siirtäneet asiakkaan tilille.
Asiakkaan valitus
Asiakkaan erityinen haavoittuvuus ja vähäinen osaaminen digitaalisessa asioinnissa
Asiakas on 60-vuotias, koulutukseltaan kodinhoitaja ja ollut työkyvyttömyyseläkkeellä jo pitkään. Asiakas hankki ensimmäiset verkkopankkitunnuksensa vasta toukokuussa 2025, koska yhteiskunnan palvelut edellyttävät verkkotunnuksia. Asiakkaalla ei ole aiempaa kokemusta tietokoneista tai verkkopankkien käytöstä, eikä hän ole asioinut juuri lainkaan verkossa. Huolimatta siitä, että asiakas on kuullut huijauksista uutisista, hän ei ymmärtänyt kesällä 2025 tulevansa huijatuksi. Asiakas toimi saamiensa ohjeiden mukaan, koska uskoi asioivansa omassa pankissaan. Näin ollen asiakkaan toimintaan ei hänen mielestään voida pitää törkeänä huolimattomuutena.
Pankin laiminlyönti asiakasohjeistuksessa ja riskienhallinnassa
Asiakas näkee pankin toimineen osaltaan väärin, huolimattomasti ja välinpitämättömästi asiakkaan rahojen suhteen ja laiminlyöneen velvollisuuksiaan.
Kun asiakas haki pankista verkkopankkitunnukset toukokuussa 2025, ei hän saanut lainkaan ohjausta tai varoituksia verkkohuijauksista, vaikka pankin virkailijan olisi pitänyt ymmärtää asiakkaan kokemattomuus. Asiakas ei saanut tietoa mobiilipankista, turvallisuuskäytännöistä tai siitä, miten huijarit toimivat.
Lisäksi asiakas pyysi pankkivirkailijalta, että hänen tililleen asetettaisiin 500 euron nostoraja. Tätä pyyntöä ei otettu vakavasti eikä nostorajaa asetettu. Asiakkaan avopuoliso voi todistaa keskustelun sisällön. Asiakas uskoo, että nostoraja olisi voinut estää ainakin osan varojen katoamisesta.
Asiakas ihmettelee myös, miksei pankkiin ollut rakennettu turvamekanismeja, jotka olisivat havainneet poikkeukselliset ulkomaille suuntautuvat siirrot tai suuret nostot. Tilille siirrettiin huomattava summa rahaa ja rahaa siirrettiin sieltä pois ja poliisin mukaan raha siirtyi nimenomaan ulkomaille. Ulkomaille asiakas ei ole itse siirtänyt rahoja eikä ulkomailta ole koskaan siirretty asiakkaan tilille mitään. Asiakas on myös pienituloinen ihminen, joten tilille tai sieltä pois ei ole myöskään siirretty tuollaisia rahasummia.
Pankilla on velvollisuus reagoida asiakkaan tilillä tapahtuviin outoihin siirtoihin ja pankin hälytysmekanismien olisi pitänyt toimia. Tällaiset siirrot olisi voitu automaattisesti jäädyttää tai tarkistaa ennen hyväksymistä, jolloin edes osa rahoista olisi ollut turvassa. Asiakkaan mielestä pankin toiminta tässä asiassa on ollut erittäin puutteellista, ja pankki on ollut kykenemätön turvaamaan asiakkaan rahoja siten kuin heidän kuuluisi tehdä. Pankin tulee tuntea asiakkaansa, joten asia on tässä merkityksellinen. Asiakas on ollut kyseisen pankkiryhmän asiakas aina.
Pankki siirtää vastineessaan kaiken vastuun asiakkaalle. Asiakas näkee molempien osapuolien toimineen varomattomasti ja pankin jättäneen reagoimatta epäilyttäviin tilitapahtumiin siten kuin sen säädösten ja hyvien toimintakäytäntöjen mukaan tulisi toimia. Siksi vastuu on yhteinen ja asiakas vaatii pankkia korvaamaan ainakin osan menettämistään varoista. Asiakas toivoo pankin myös ottavan tästä opikseen ja muuttavan käytäntöjään niin, ettei vastaavaa järkyttävää asiaa enää pääse tapahtumaan muille asiakkaille.
Menetettyjen varojen merkitys ja kohtuullisuuden vaatimus
Asiakas huomasi 13.7.2025 pankkiautomaatilla, että tili oli tyhjä. Rahojen menetys on ollut valtava järkytys — kyse oli elinikäisistä säästöistä. Asiakas ei katso toimineensa törkeän huolimattomasti, vaan oman ymmärryksensä ja taitojensa mukaan. Pankin mukaan asiakas on toiminut "törkeän huolimattomasti", mutta asiakas katsoo, ettei tämä arvio vastaa asiakkaan olosuhteita, osaamistasoa tai pankin velvollisuutta tunnistaa asiakkaan erityistä tukea vaativa asema.
Pyyntö lautakunnalle
Asiakas pyytää lautakuntaa tutkimaan asian ja arvioimaan pankin vastuuta tilanteessa, jossa asiakas on toiminut kokemattomuuttaan ja pankki on laiminlyönyt huolellisuusvelvoitteensa asiakasohjeistuksessa ja riskienhallinnassa.
Asiakas ymmärtää toimineensa väärin luovuttaessaan pankkitunnukset huijarin käyttöön, mutta hän teki sen hyvässä uskossa luullen koko ajan toimivansa pankin kanssa. Asiakas painottaa sitä, että pankki ei lainkaan varoittanut asiakasta tällaisista huijareista antaessaan pankkitunnukset eikä antanut muutakaan asiaan liittyvää opastusta, vaikka virkailija tiesi, ettei asiakkaalla ollut lainkaan kokemusta digitaalisesta asioinnista, hän ei käytä edes sähköpostia. Tämän vuoksi asiakas ei katso toimineensa törkeän huolimattomasti.
Asiakas pitää kohtuullisena, että pankki korvaa ainakin osan asiakkaan varoista. Kyse ei ole pelkästä yksittäisestä virheestä vaan järjestelmällisestä puutteesta asiakasohjeistuksessa ja riskienhallinnassa — erityisesti kun huomioidaan asiakkaan erityisasema. Lisäksi asiakas katsoo pankin toimineen huolimattomasti, koska se ei kiinnittänyt riittävää huomiota asiakkaan tilillä tapahtuvaan täysin poikkeukselliseen rahojen liikutteluun ja maksamiseen ulkomaisille tileille eikä keskeyttänyt toimintaa.
Pankin vastine
Tapahtumien kulku ja vastuu maksuista
Asiakkaan verkkopankkitunnusten lokitietojen perusteella näyttää ilmeiseltä, että käyttäjätunnus, salasana ja turvalukukortin koodi on kalasteltu asiakkaalta 6.7.2025 tapahtuneen kirjautumisen tai sen yrityksen yhteydessä. Kalastelu tapahtuu tyypillisesti huijaussivuston kautta, johon joudutaan huijarin tekstiviestillä tai sähköpostilla lähettämän linkin tai hakukoneen kautta. Poliisin 15.7.2025 julkaiseman tiedotteen mukaan heillä on Pohjanmaan alueella tutkinnassa useita törkeitä pankkihuijauksia. Tämä tapaus sopii ajankohtaan ja huijarien käyttämiin tekotapoihin; esimerkiksi pankkitunnusten kalasteluun hakukoneoptimoinnin avulla.
Huijari on käyttänyt kalastelemiaan käyttäjätunnusta, salasanaa ja turvalukukortin koodia pankin tunnuslukusovelluksen asentamiseen. Tunnuslukusovelluksen asentamisesta on tullut seuraava vahvistusviesti tekstiviestinä 6.7.2025 klo 17.02 asiakkaan puhelinnumeroon:
"Tietoturvailmoitus. Olet aktivoimassa [pankin tunnuslukusovellus]-sovellusta uudessa laitteessa. Aktivointi onnistuu viestin lopussa olevalla koodilla. Koodia käytetään vain [pankin tunnuslukusovelluksen] aktivointiin. VARO HUIJAUKSIA! Huomaathan että koodia ei tule koskaan syöttää millekään verkkosivulle tai antaa ulkopuoliselle. Jos et ole tekemässä aktivointia itse ota välittömästi yhteyttä [pankkiin] tai sulkupalveluumme p. 020 333. Tarkista viesti-id: xxxxx. Vahvista [pankin tunnuslukusovellus] -sovelluksen aktivointi koodilla: xxxxxxx. [pankki]".
Pankin tunnuslukusovelluksen aktivointi ei ole onnistunut ilman, että huijari on saanut tietoonsa viestissä olevaa, asiakkaalle hänen puhelimeensa lähetettyä aktivointikoodin. Sovelluksen aktivoinnin jälkeen asiakkaalle on vielä tullut seuraava tekstiviesti 6.7.2025 klo 17.03:
"[Pankin tunnuslukusovellus] on aktivoitu, mutta vielä lukittu-tilassa. Kirjaudu avaintunnuskortilla verkkopankkiin ja vapauta [pankin tunnuslukusovelluksen] kohdasta Oma nimi, Muuta tunnuslukusovelluksen asetuksia. Klikkaa lukittu-kohtaan ja vahvista. Jos et ole itse tekemässä tätä aktivointia, soita heti pankkiisi tai sulkupalveluun 020333".
Tunnuslukusovelluksen lukituksen poistaminen onnistuu vain verkkopankissa. Lokitietojen perusteella huijarit ovat kirjautuneet asiakkaan verkkopankkiin. Verkkopankkiin kirjautumiseen huijari on käyttäjätunnuksen ja salasanan lisäksi tarvinnut turvalukukortin koodin sekä tekstiviestillä lähetetyn vahvistuskoodin. Vahvistuskoodi on lähetetty asiakkaalle tekstiviestillä 6.7.2025 klo 17.04. Asiakkaan syötettyä vahvistuskoodin huijaussivustolle, ovat huijarit päässeet hänen verkkopankkiinsa ja poistaneet tunnuslukusovelluksen lukituksen klo 17.06.
Näiden vaiheiden jälkeen huijareilla on ollut asiakkaan verkkopankin käyttäjätunnus ja tunnuslukusovellus, joiden avulla hän on voinut kirjautua vahvasti tunnistautuneena esimerkiksi teleoperaattorin palveluihin ja saada vireille SIM-kortin vaihdon eSIM-kortiksi. Tämä vaihto on huijarin näkökulmasta tarpeellinen, koska muulla tavoin hän ei voi saada haltuunsa verkkopankin maksamisen yhteydessä asiakkaan puhelinnumeroon lähettämiä lisävahvistusviestejä turvalukuineen. Asiakas on kertonut, että hänelle on tullut eSIM:n vaihtoon liittyviä tekstiviestejä. Tämän jälkeen huijari on tehnyt asiakkaan tililtä 10.7.2025 maksut yhteensä 34.898 euroa, josta 13.478 euroa on ollut asiakkaan varoja ja 21.420 euroa muiden henkilöiden varoja, jotka huijarit ovat siirtäneet asiakkaan tilille. eSIM-kortin vaihdon jälkeen verkkopankin näiden maksujen tai kirjautumisen yhteydessä lähettämät vahvistustekstiviesti eivät ole todennäköisesti enää tulleet asiakkaan tietoon.
Pankin tunnuslukusovelluksen käyttöönottoon on tarvittu henkilökohtaiset verkkopankkitunnukset eli verkkopankin käyttäjätunnus, salasana ja ainakin yksi satunnaisesti valittu turvalukukortin tunnusluku sekä tekstiviestillä asiakkaallemme lähetetty vahvistuskoodi. Tunnuslukusovelluksen aktivoinnista pankki on lähettänyt teille vielä erillisen tekstiviestin. Tunnuslukusovellus on aktivoitu lukittuna ja sen lukituksen poisto on vaatinut kirjautumisen verkkopankkiin, johon on tarvittu henkilökohtaiset verkkopankkitunnukset eli verkkopankin käyttäjätunnus, salasana ja ainakin yksi satunnaisesti valittu turvalukukortin tunnusluku sekä tekstiviestillä asiakkaallemme lähetetty vahvistuskoodi.
Pankin tunnuslukusovelluksen käyttöönotto ja aktivointi on suunniteltu ja toteutettu siten, ettei se voi tapahtua ilman asiakkaan hyväksyntää. Tämän vuoksi käyttöönottoon liittyvissä tekstiviesteissä kerrotaan selkeästi mitä sovellusta ollaan asentamassa, mihin viestissä olevaa vahvistuskoodia käytetään, varoitetaan huijauksista ja koodin syöttämisestä verkkosivustolle.
Pankki katsoo, että koska asiakas on luovuttanut pankkitunnustietonsa ohella pankin tekstiviestitse pankin tunnuslukusovelluksen aktivoinnissa tarvittavan koodin lukematta huolellisesti pankin lähettämien tekstiviestien sisältöä ja reagoimatta niihin asianmukaisesti, on asiakkaan menettelyn kokonaisuutena katsottava poikkeavan selvästi ja olennaisesti siitä, mitä maksuvälineen haltijan huolelliselta menettelyltä vaaditaan ja kokonaisuutena arvioiden se osoittaa maksupalvelulaissa tarkoitettua törkeää huolimattomuutta. Tällöin vastuu maksuvälineen oikeudettomasta käytöstä aiheutuneesta vahingosta on kokonaisuudessaan asiakkaalla.
Asiakkaan erityinen haavoittuvuus ja vähäinen osaaminen digitaalisessa asioinnissa
Asiakas kertoo, että hän 60-vuotias, koulutukseltaan kodinhoitaja ja ollut työkyvyttömyyseläkkeellä jo pitkään. Hän kertoo hankkineensa ensimmäiset verkkopankkitunnukset toukokuussa 2025, eikä hänellä ole aiempaa kokemusta tietokoneista tai verkkopankkien käytöstä tai verkkoasioinnista.
Pankki katsoo, ettei asiakkaan esiin tuomissa seikoista ilmene mitään sellaista, että hän olisi erityisasemassa: hän ei ole erityisen iäkäs ja pankin käsityksen mukaan täysin oikeustoimikelpoinen. Hänellä on ollut oikeus saada ja pankilla käytännössä velvollisuus antaa hänelle verkkopankkitunnukset, eikä asiakkaan mahdollinen kokemattomuus tietokoneista tai verkkoasioinnista vaikuta tähän. Henkilöasiakkaiden pankkitunnuksilla käytettävien palveluiden yleisten ehtojen mukaan asiakas on sitoutunut säilyttämään pankkitunnuksia huolellisesti ja varmistamaan, etteivät ne joudu ulkopuolisten haltuun.
Asiakkaalle toimitetut tekstiviestit ovat olleet sisällöltään informatiivisia ja huolelliselle pankkitunnusten käyttäjälle ei pitäisi jäädä epäselväksi, mihin tarkoitukseen vahvistuskoodeja käytetään, vaikka hänellä ei olisi kokemusta tietokoneista tai verkkoasioinnista. Tekstiviestillä toimitetussa aktivointikoodissa ilmoitetaan selkeästi mihin koodia käytetään ja varoitetaan huijauksesta sekä kielletään syöttämästä aktivointikoodia verkkosivuille. Viestin kiellosta ja huijauksista varoittamisesta huolimatta asiakas on syöttänyt aktivointikoodin verkkosivuille tai antanut ulkopuoliselle.
FINEn vakiintuneen ratkaisukäytännön (FINE-75893-L5T1C0, FINE-73775-K9H2Y9) perusteella, huolellisesti toimivan maksupalvelunkäyttäjän vastuulla on lukea jokainen pankilta vastaanotettu turvallisuusviesti ja keskeyttää toimenpiteensä, mikäli hän ei tunnista viestin mukaista toimintaa. Asiakkaan olisi siis pitänyt tekstiviestien perusteella ymmärtää olla luovuttamatta tekstiviestillä toimitettuja koodeja verkkosivuille tai ulkopuolisille ja olla yhteydessä pankkiin.
Pankin laiminlyönti asiakasohjauksessa ja riskienhallinnassa
Asiakas kertoo, ettei hän olisi saanut verkkopankkisopimuksen tekemisen yhteydessä toukokuussa 2025 ohjausta tai varoituksia verkkohuijauksista. Verkkopankkitunnusten antamisen yhteydessä pankki kertoo asiakkaalle vähintään niiden henkilökohtaisesta luonteesta, kiellosta luovuttaa tunnuksia kenelläkään, varoittaa hakukoneiden käyttämisestä kirjautumissivun hakemiseen sekä siitä, että huijarit kalastelevat tunnuksia monin eri keinoin niin puhelimitse kuin verkossakin.
Huijarien tekotavat muuttuvat ja kehittyvät koko ajan. Tämän vuoksi verkkopankkisopimuksen tekohetkellä on mahdotonta antaa asiakkaalle täydellistä luetteloa erilaisista tekotavoista. Pankki katsoo myös, ettei vastuu asiakkaan verkkoasiointiin liittyvästä osaamisesta voi olla pankilla, koska pankki ei voi esimerkiksi asiakkaan kokemattomuuden vuoksi kieltäytyä verkkopankkitunnusten antamisesta.
Lisäksi esimerkiksi verkkopankin kirjautumissivulla, jota asiakas on käyttänyt, on seuraava teksti: ”Huijausyrityksiä [pankin] nimissä. [Pankin] nimissä on liikkeellä huijaussivustoja. Kirjaudu verkkopankkiin aina pankin omilta sivuilta tai kirjoittamalla osoite itse selaimen osoitekenttään, älä koskaan sähköpostin linkin tai hakukoneen kautta. Tarkastathan aina osoitekentän ennen kirjautumista verkkopankkiin. Olethan valppaana verkossa: pankki ei koskaan lähetä sähköpostiviestejä tai tekstiviestejä, joissa pyydetään kirjautumaan verkkopankkiin linkin kautta tai pyydetään lähettämään henkilökohtaisia tietoja, kuten verkkopankkitunnukset, maksukortin tiedot tai henkilötunnus. Lue lisää huijausyrityksistä.” Linkistä aukeavalla sivustolla pankki kertoo lisää turvallisesta verkkoasioinnista sekä myös 16 erilaisesta huijaustavasta. Erilaiset pankkitunnushuijaukset ovat olleet laajasti esillä eri medioissa. Lisäksi pankin tunnuslukusovelluksen aktivointiin liittyvässä vahvistusviestissä varoitetaan erikseen: VARO HUIJAUKSIA. Myös asiakas itse kertoo yhteydenottolomakkeen liitteessä kuulleensa huijauksista. Hänen on näin ollen katsottava olleen tietoinen huijauksista, vaikka hän ei omalle kohdalleen osunutta huijausta tunnistanutkaan.
Asiakas kertoo pyytäneensä pankkivirkailijalta, että hänen tililleen asetettaisiin 500 euron nostoraja, mitä ei kuitenkaan olisi tehty. Asiakas uskoo, että nostoraja olisi voinut estää ainakin osan varojen katoamisesta. Yleensä nostorajalla tarkoitetaan nostoautomaatin käteisnostorajaa ja asiakas onkin allekirjoittanut 6.5.2025 korttisopimuksen, jossa nostot automaatilta vuorokaudessa -raja on 500 euroa. Samassa yhteydessä hän on allekirjoittanut verkkopankkisopimuksen, jossa yksittäisen verkkopankkimaksun yläraja on 20.000 euroa.
Todennäköisesti asiakkaan reklamaatiossa muistelema nostoraja liittyykin juuri automaattinostoihin. Kuitenkaan mahdollinen matalampi verkkopankkimaksujen ylärajakaan ei olisi estänyt huijarien toimintaa sen jälkeen, kun he ovat saaneet tunnuslukusovelluksen käyttöönsä ja onnistuneet vaihtamaan asiakkaan SIM-kortin eSIM-kortiksi. Huijarien tekemät siirrot asiakkaan tililtä olisivat edelleen olleet mahdollisia. Huijarien olisi vain pitänyt tehdä niitä maksurajan puitteissa useampia.
Asiakas ihmettelee, miksei pankkiin ole rakennettu turvamekanismeja, jotka olisivat havainneet hänen tililtään tapahtuvat poikkeukselliset ulkomaille suuntautuvat siirrot tai suuret nostot. Pankilla on käytössä maksutapahtumien valvontamekanismeja, joiden avulla pankki voi havaita oikeudettomia ja petollisia maksutapahtumia. Lisäksi pankki voi jälkikäteen pyytää asiakkaalta selvityksiä hänen maksuliikenteeseensä sopimattomasti tilisiirroista, mihin asiakaskin asiakkaan tuntemisen osalta viittaa. Valitettavasti nämäkään toimenpiteet eivät estä huijarien toimintaa täysin, eikä näillä valvontamekanismeilla ole vaikutusta maksuvälineen oikeudettomaan käyttöön liittyvään vastuunjakoon pankin ja asiakkaan välillä. Tämän todetaan myös esimerkiksi ratkaisussa FINE-052407.
Menetettyjen varojen merkitys ja kohtuullisuuden vaatimus
Pankki ymmärtää asiakkaan järkytyksen hänen tultuaan huijatuksi. Se, että pankki katsoo asiakaan toimineen törkeän huolimattomasti, liittyy maksupalvelulain mukaiseen määrittelyyn ja siihen, että FINEn vakiintuneen ratkaisukäytännön perusteella, huolellisesti toimivan maksupalvelunkäyttäjän vastuulla on lukea jokainen pankilta vastaanotettu turvallisuusviesti ja keskeyttää toimenpiteensä, mikäli hän ei tunnista viestin mukaista toimintaa. Tässä tapauksessa asiakas ei ole näin toiminut.
Pankin näkemyksen mukaan asiakkaan olosuhteet tai osaamistaso, eivät ole sellaiset, että hän olisi erityistä tukea vaativassa asemassa tai, että tällä asemalla edes olisi vaikutusta vastuun jakautumista arvioitaessa, huomioiden asiakkaan laiminlyönti turvallisuus- ja vahvistusviestin lukemisessa.
Pankki on pahoillaan siitä, että asiakas on joutunut huijauksen kohteeksi, mutta pankin käsityksen mukaan tapauksessa, asiakkaan olosuhteissa tai pankin toiminnassa ei ole mitään sellaista, jonka vuoksi pankki olisi asiassa osittainkaan korvausvelvollinen.
Selvitykset
Valitusta koskevan osapuolten kirjelmöinnin lisäksi lautakunnalle on toimitettu seuraavat asiakirjat:
- Pankkitunnuksilla käytettävien palveluiden yleiset ehdot
- Lokitiedot 1.7.-11.7.2025
Ratkaisusuositus
Kysymyksenasettelu
Asiakkaan ja pankin välisen vastuunjaon ratkaisemiseksi Pankkilautakunnan on arvioitava, voidaanko asiakkaan pankkitunnusten oikeudettoman käytön katsoa johtuneen siitä, että asiakas on huolimattomuudestaan laiminlyönyt lain 53 § 1 momentin mukaisia velvollisuuksiaan, sekä minkä asteista asiakkaan mahdollinen huolimattomuus on. Lisäksi lautakunnan on arvioitava, vastaako pankki aiheutuneesta vahingosta sillä perusteella, ettei se ole estänyt ko. maksutapahtumia.
Sovellettavat lainkohdat ja sopimusehdot
Maksupalvelulain 53 §:n (Maksuvälineestä huolehtiminen.) 1-2 momentin mukaan
Maksuvälineen haltijan on käytettävä maksuvälinettä sen myöntämistä ja käyttöä koskevien ehtojen mukaisesti. Erityisesti hänen on kohtuullisin toimenpitein huolehdittava maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista. Maksuvälineen myöntämistä ja käyttöä koskevat ehdot eivät saa olla perusteettomia, kohtuuttomia tai syrjiviä.
Maksuvälineen haltijan velvollisuus huolehtia maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista alkaa, kun hän vastaanottaa ne.
Lain 54 §:n (Katoamisilmoitus.) 1 momentin mukaan
Maksuvälineen haltijan on ilman aiheetonta viivytystä ilmoitettava palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.
Lain 62 §:n (Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä.) mukaan
Maksupalvelun käyttäjä, joka on tehnyt maksuvälinettä koskevan sopimuksen palveluntarjoajan kanssa, vastaa kadonneen tai oikeudettomasti toisen haltuun joutuneen maksuvälineen käytöstä tai muusta maksuvälineen oikeudettomasta käytöstä vain, jos oikeudeton käyttö johtuu siitä, että hän tai muu maksuvälineen haltija on:
1) luovuttanut maksuvälineen sen käyttöön oikeudettomalle;
2) huolimattomuudesta laiminlyönyt 53 §:n 1 momentin mukaiset velvollisuutensa; taikka
3) laiminlyönyt ilman aiheetonta viivytystä ilmoittaa palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.
Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä 1 momentin 2 ja 3 kohdassa tarkoitetuissa tapauksissa on enintään 50 euroa. Tätä rajoitusta ei sovelleta, jos maksupalvelun käyttäjä tai muu maksuvälineen haltija on toiminut tahallisesti tai törkeän huolimattomasti.
Maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä:
1) siltä osin kuin maksuvälinettä on käytetty sen jälkeen, kun palveluntarjoajalle tai sen nimeämälle muulle taholle on ilmoitettu maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä;
2) jos palveluntarjoaja on laiminlyönyt huolehtia siitä, että maksuvälineen haltijalla on mahdollisuus tehdä milloin tahansa 1 kohdassa tarkoitettu ilmoitus;
3) jos maksunsaaja ei ole maksuvälinettä käytettäessä asianmukaisesti varmistunut maksajan oikeudesta käyttää maksuvälinettä; tai
4) jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.
Sen estämättä, mitä 3 momentissa säädetään, maksupalvelun käyttäjä on vastuussa maksuvälineen oikeudettomasta käytöstä, jos hän tai muu maksuvälineen haltija on tahallaan tehnyt väärän ilmoituksen tai toiminut muuten petollisesti.
Maksupalvelulain 63 §:n (Palveluntarjoajan vastuu oikeudettomasta maksutapahtumasta.) 1 momentin mukaan
Jos maksutapahtuma on toteutettu oikeudettomasti eikä 62 §:stä muuta johdu, palveluntarjoajan, jonka asiakkaan varoja on käytetty maksutapahtuman toteuttamiseen, on välittömästi ja viimeistään seuraavana työpäivänä siitä, kun se havaitsi maksutapahtuman tai sille ilmoitettiin maksutapahtumasta, palautettava maksutapahtuman rahamäärä asiakkaalleen tai palautettava tämän maksutili siihen tilaan, jossa se olisi ollut ilman veloitusta.
Pankin Henkilöasiakkaiden pankkitunnuksilla käytettävien palveluiden yleisten ehtojen (pankkitunnusehdot) kohta, joka koskee asiakkaan vastuuta pankkitunnusten käyttämisestä verkkopalveluissa, vastaa maksupalvelulain 62 §:n kuluttajan hyväksi pakottavia säännöksiä.
Pankkitunnusehtojen Soveltamisala -kohdan mukaan
Asiakas sitoutuu noudattamaan näiden yleisten ehtojen lisäksi palvelussa julkaistuja kulloinkin voimassa olevia käyttöehtoja sekä käyttö-, turvallisuus-, aikataulu- ja muita ohjeita. Asiakas hyväksyy käyttöehdot ja ohjeet itseään sitoviksi ryhtyessään käyttämään palvelua tai pankkitunnuksia. […]
Pankkitunnusehtojen Pankkitunnusten myöntäminen ja käyttäminen verkkopalveluissa -kohdan mukaan
[…] Pankki antaa tai toimittaa asiakkaalle henkilökohtaiset tunnukset, joiden avulla asiakas tunnistautuu verkkopalvelussa edellytetyllä tavalla. Tunnusten käyttäminen vastaa asiakkaan tunnistamista henkilöllisyyden osoittavasta asiakirjasta. Tunnuksilla avattua palveluyhteyttä ei saa antaa kenenkään muun käytettäväksi. […]
Pankkitunnusehtojen Pankkitunnusten säilyttäminen -kohdan mukaan
Asiakkaalle luovutetut pankkitunnukset ovat henkilökohtaiset eikä niitä saa luovuttaa sivullisen tietoon. Tunnuksia ei saa luovuttaa kenellekään toiselle henkilölle, ei edes perheenjäsenelle. Jos asiakas antaa tunnuksensa kolmannelle, asiakas vastaa tämän hänen nimissään tekemistä toimista.
Pankkitunnuksilla ei saa tunnistautua palveluihin, joita tarjoaa tai jossa määräysvaltaa käyttää kansainvälisten pakotteiden kohteena oleva taho.
Pankkitunnuksia ei saa myöskään käyttää lain tai hyvän tavan vastaisiin tarkoituksiin.
Yritys- tai yhteisöasiakkaalle luovutetut Pankkitunnukset ovat asiakaskohtaisia.
Asiakas sitoutuu säilyttämään pankkitunnukset huolellisesti ja tunnusten osat erillään toisistaan siten, ettei kenelläkään ole mahdollisuutta saada niitä tietoonsa tai käyttää niitä. Pankkitunnusten kaikkia osia ei saa säilyttää samassa säilytyspaikassa, kuten lompakossa tai käsilaukussa.
Asiakkaan on varmistettava säännöllisesti, että tunnukset ovat tallessa. Pankkitunnuksia ei saa luovuttaa sähköpostilla, tekstiviestillä, sovelluksessa, kertoa puhelimessa eikä säilyttää koneella, jossa havaittu haittaohjelma.
Pankkitunnusehtojen Ilmoitus pankkitunnusten katoamisesta tai joutumisesta sivullisen haltuun tai tietoon -kohdan mukaan
Jos tunnukset ovat kadonneet tai ne ovat joutuneet tai asiakas epäilee niiden joutuneen sivullisen haltuun tai tietoon, on asiakkaan ilmoitettava tästä pankille välittömästi. Ilmoitus on tehtävä silloinkin, kun vain osa tunnuksista on kadonnut tai joutunut sivullisen haltuun tai tietoon. […]
Asian arviointi
Tapahtumienkulku
Pankkilautakunta katsoo asiassa saadun kokonaisselvityksen perusteella, että kun asiakkaan tarkoituksena 6.7.2025 on ollut mennä tietokoneellaan verkkopankkiinsa, on hän asiaa huomaamatta ja hakukoneen kautta päätynyt pankin verkkosivuilta näyttävälle valesivustolle, jolla hän on käyttänyt verkkopankkitunnuksiaan kirjautuakseen verkkopankkiinsa. Tavanomaiseen verkkopankkiin kirjautumisen tapaan asiakas on käyttänyt verkkopankkiin kirjautuakseen käyttäjätunnustaan, salasanaansa ja valesivuilla kirjautumista varten pyydettyä turvalukukortin tunnuslukua sekä pankin asiakkaan puhelinnumeroon tekstiviestitse lähettämässä tekstiviestissä ollutta vahvistuskoodia.
Rikolliset ovat näin tietoonsa päätyneillä asiakkaan pankkitunnustiedoilla aloittaneet asiakkaan nimissä olevan pankin tunnistussovelluksen asentamisen omalle laitteelleen. Uuden tunnistussovelluksen asentamisen aloittamisen johdosta pankki on lähettänyt asiakkaalle 6.7.2025 klo 17.02 sovelluksensa käyttöönottoa koskevan vahvistuskoodin sisältäneen tekstiviestin:
"Tietoturvailmoitus. Olet aktivoimassa [pankin tunnuslukusovellus]-sovellusta uudessa laitteessa. Aktivointi onnistuu viestin lopussa olevalla koodilla. Koodia käytetään vain [pankin tunnuslukusovelluksen] aktivointiin. VARO HUIJAUKSIA! Huomaathan että koodia ei tule koskaan syöttää millekään verkkosivulle tai antaa ulkopuoliselle. Jos et ole tekemässä aktivointia itse ota välittömästi yhteyttä [pankkiin] tai sulkupalveluumme p. 020 333. Tarkista viesti-id: xxxxx. Vahvista [pankin tunnuslukusovellus] -sovelluksen aktivointi koodilla: xxxxxxx. [pankki]".
Pankkilautakunta katsoo saadun selvityksen perusteella, että myös em. tekstiviestissä olleen vahvistuskoodin on täytynyt päätyä rikollisten tietoon ja tämä on tapahtunut siten, että asiakas on syöttänyt koodin em. valesivuille. Vahvistuskoodin saatuaan rikolliset ovat voineet aktivoida käyttöönsä asiakkaan nimissä olevan pankin tunnistussovelluksen omalle laitteelleen. Tämän seurauksena pankki on lähettänyt asiakkaalle vielä seuraavan tekstiviesti klo 17.03:
"[Pankin tunnuslukusovellus] on aktivoitu, mutta vielä lukittu-tilassa. Kirjaudu avaintunnuskortilla verkkopankkiin ja vapauta [pankin tunnuslukusovelluksen] kohdasta Oma nimi, Muuta tunnuslukusovelluksen asetuksia. Klikkaa lukittu-kohtaan ja vahvista. Jos et ole itse tekemässä tätä aktivointia, soita heti pankkiisi tai sulkupalveluun 020333".
Asiakkaan verkkopankkiin on tämän jälkeen kirjauduttu ja tämä on edellyttänyt asiakkaan turvalukukortin käyttöä sekä pankin asiakkaalle klo 17.04 lähettämässä tekstiviestissä ollut koodia:
”Viesti-id xxxxxx. Vahvista sisäänkirjaus palveluun. Vahvista vahvistuskoodilla xxxxxx. [pankki]”
Pankkilautakunta katsoo, että myös viimeksi mainitussa tekstiviestissä ollut ja verkkopankkiin kirjautumisen mahdollistanut vahvistuskoodi on päätynyt rikollisten tietoon siten, että asiakas on syöttänyt koodin rikollisten luomille valesivuille. Asiakkaan verkkopankissa rikolliset ovat poistaneet laitteelleen käyttöönsä ottaman pankin tunnistussovelluksen lukituksen klo 17.06.
Neljä päivää myöhemmin 10.7.2026 on pankin toimittamien lokitietojen mukaan tunnistussovellusta käyttäen kirjauduttu asiakkaan operaattorin palveluun klo 16.56 ja asiakas on saadun selvityksen mukaan ennen riidanalaisia maksutapahtumia saanut operaattoriltaan SIM-kortin vaihtoon liittyviä tekstiviestejä. Pankkilautakunta katsoo todennäköiseksi, että rikolliset ovat operaattorin palvelussa hakeneet asiakkaan nimissä sim-kortin vaihtoa eSIM-korttiin. eSIM-kortin aktivoimisen seurauksena asiakkaan puhelinliittymä on lakannut toimimasta asiakkaan puhelimessa, ja asiakkaan numeroon lähetetyt viestit ovat menneet rikollisten käytössä olevaan laitteeseen, jolla eSIM-kortti aktivoitiin.
Rikolliset ovat 10.7.2025 klo 18.36 kirjautuneet asiakkaan verkkopankkiin tunnistussovelluksella vahvistaen ja tehneet tunnistussovelluksella vahvistaen asiakkaan tililtä tilisiirtoja yhteensä 34.898 eurosta arvosta. Näistä varoista 13.478 euroa on ollut asiakkaan varoja ja 21.420 euroa muiden henkilöiden varoja, jotka rikolliset olivat siirtäneet asiakkaan tilille. Pankki on maksujen yhteydessä lähettänyt asiakkaan puhelinnumeroon klo 18:38 maksujen lisävahvistamista koskevan tekstiviestin, jonka lautakunta katsoo menneen rikollisten käytössä olevaan laitteeseen.
Asiakkaan menettelyn arviointi
Pankkitunnusehtojen mukaan pankki antaa tai toimittaa asiakkaalle henkilökohtaiset tunnukset, joiden avulla asiakas tunnistautuu verkkopalvelussa edellytetyllä tavalla. Ehdoissa asiakas sitoutuu noudattamaan yleisten sopimusehtojen lisäksi palvelussa julkaistuja kulloinkin voimassa olevia käyttöehtoja sekä käyttö-, turvallisuus-, aikataulu- ja muita ohjeita, ja asiakas hyväksyy käyttöehdot ja ohjeet itseään sitoviksi ryhtyessään käyttämään palvelua tai pankkitunnuksia.
Pankkitunnusehdoissa ei kielletä hakukoneen käyttämistä verkkopankkiin hakeutumisessa taikka muutoinkaan tarkemmin määritellä, kuinka asiakkaan olisi toimittava pankin verkkopalveluun hakeutuessaan taikka niille kirjautuessaan. Lautakunnalle ei ole myöskään toimitettu muita asiakasta velvoittavia käyttö- tai turvallisuusohjeita, ja lautakunta katsoo asiassa jääneen näyttämättä, että pankki olisi esim. pankkitunnuksista sovittaessa varoittanut asiakastaan tämänkaltaisesta verkkourkinnasta. Pankkilautakunta katsoo tämän lisäksi, ettei yleiseen tietämykseen tapahtuma-aikana voida katsoa kuuluneen tietoa siitä, että pankkien verkkopalveluihin taikka viranomaisten tunnistautumista edellyttäviin palveluihin hakeutuminen hakukoneita käyttäen sisältäisi erityisiä turvallisuusriskejä tai ylipäänsä siitä, että rikolliset voivat saada rikollisiin tarkoituksiin luotuja verkkosivujaan hakukoneiden hakutuloksiin. Pankkilautakunta katsoo siten, ettei asiakas ole huolimattomuudestaan laiminlyönyt maksupalvelulain tai pankkitunnusehtojen mukaisia velvollisuuksiaan hakeutuessaan hakukoneen avulla verkkopankkiin ja käyttäessään pankkitunnuksiaan näkemänsä ja käsittämänsä mukaisesti tunnusten tavanomaisessa käyttötarkoituksessa kirjautuakseen pankin verkkopalveluun.
Pankkilautakunta kuitenkin katsoo, että saatuaan tavanomaisesta pankkitunnuksilla tehtävästä verkkopankkiin kirjautumista koskevasta tilanteesta poikkeavalla tavalla 6.7.2025 klo 17.02 pankin tunnistussovelluksen käyttöönoton edellyttämän vahvistuskoodin sisältäneen tekstiviestin asiakkaan olisi erityisesti tekstiviestin sisältö huomioiden tullut ymmärtää kyseenalaistaa asiointinsa asianmukaisuus ja tullut jättää saamansa koodi laittamatta verkkosivuilla sille varattuun sarakkeeseen. Mikäli asiakas olisi toiminut viestissä olleen ohjeistuksen mukaisesti ja ottanut yhteyttä pankkiinsa tiedustellakseen menettelyn asianmukaisuutta, olisi tapauksessa asiakkaan pankkitunnusten oikeudettomasta käytöstä aiheutuneelta vahingolta voitu välttyä.
Pankkilautakunta katsoo pankin asiakkaalle lähettämän em. tekstiviestin olleen sisällöltään yksityiskohtainen ja informatiivinen, ja siinä ohjeistetun asianmukaisella tarkkuudella, mihin viestissä ollutta koodia käytetään, ja toisaalta ohjeistetun ottamaan yhteyttä pankin asiakaspalveluun, jos ei ole itse tekemässä sovelluksen käyttöönottoa mobiililaitteessa. Viestissä myös varoitetaan isoin kirjaimin huijauksista ja kielletään syöttämästä koodia millekään verkkosivulle. Asiakkaan kertoman perusteella on jäänyt epäselväksi, onko hän lukenut pankilta saamansa tekstiviestin sisältöä, ja jos on, niin miksi hän ymmärtänyt tekstiviestin liittyneen hänen omaan asiointiinsa ja syöttänyt viestissä olleen koodin verkkosivuille viestissä olleen ohjeistuksen vastaisesti.
Edelleen Pankkilautakunta kiinnittää huomiota siihen, että pankin tunnistussovelluksen käyttäminen on vielä em. viestissä olleen koodin lisäksi edellyttänyt sovelluksen turvallisuussyistä asetetun lukituksen avaamista ja pankki on lähettänyt asiakkaalle klo 17.03 asiaa koskevan tekstiviestin, jossa kerrotaan pankin mobiilisovelluksen käyttöönotosta ja sen olemisesta lukitussa tilassa. Asiakkaan kertoman perusteella on tämänkin viestin osalta jäänyt epäselväksi, onko asiakas lukenut saamansa tekstiviestin sisältöä, ja jos on, niin miksi hän on ymmärtänyt viestin liittyneen omaan asiointiin eikä ole viestissä olleen kehotuksen mukaisesti soittanut pankkiin tai sulkupalveluun. Joka tapauksessa asiakas on saadun selvityksen mukaan pian em. viestin jälkeen saanut pankilta klo 17.04 uuden verkkopankkiin kirjautumista koskevan viestin, jossa olleen vahvistuskoodin asiakas on syöttänyt valesivuille, minkä seurauksena rikolliset ovat päässeet asiakkaan verkkopankkiin avaamaan pankin tunnistussovelluksen lukituksen.
Pankkilautakunta on ratkaisukäytännössään katsonut huolelliselta pankkitunnustenhaltijalta edellytettäviin perusvaatimuksiin kuuluvan sen, että pankkitunnuksia käyttäessään hän lukee ja huomioi omassa toiminnassaan asiointinsa yhteydessä pankiltaan saamansa viestit. Tässä tapauksessa saadun selvityksen perusteella ja erityisesti pankin lähettämien pankin tunnistussovelluksen käyttöönoton edellyttämän vahvistuskoodin sisältäneen tekstiviestin sekä tunnistussovelluksen lukittu-tilasta kertovan tekstiviestin yksityiskohtaiset sisällöt huomioiden Pankkilautakunta katsoo asiakkaan menettelyn osoittavan hänen suhtautuvan selvästi piittaamattomasti myös maksuvälineenä käytettävien pankkitunnustensa hallintaan ja käyttöön liittyviin turvallisuusriskeihin sekä poikkeavan selvästi ja olennaisesti siitä, mitä pankkitunnustenhaltijan huolelliselta menettelyltä vaaditaan. Näin ollen Pankkilautakunta katsoo asiakkaan menettelyn osoittavan maksupalvelulaissa tarkoitettu törkeää huolimattomuutta ja asiakkaan siten vastaavan täysimääräisesti pankkitunnustensa oikeudettomasta käytöstä aiheutuneesta vahingosta asiakkaan ja pankin välisessä suhteessa.
Pankin menettely
Asiakas on vedonnut tapauksessa myös siihen, että pankin turvamekanismien olisi pitänyt havaita poikkeukselliset ulkomaille suuntautuvat siirrot ja estää ne. Tältä osin FINE toteaa, että maksupalvelusääntelyn perusteella pankeilla on oltava käytössään maksutapahtumien valvontamekanismit, joiden avulla ne voivat havaita oikeudettomat ja petolliset maksutapahtumat. Ottaen huomioon saadun kokonaisselvityksen FINE kuitenkin katsoo, ettei pankin valvontamekanismien voida tässä tapauksessa katsoa pettäneen tavalla, joka vaikuttaisi asiakkaan ja pankin väliseen vastuunjakoon asiassa.
Lopputulos
Edellä esitettyyn viitaten Pankkilautakunta ei suosita asiassa hyvitystä.
Pankkilautakunta oli yksimielinen.
PANKKILAUTAKUNTA
Puheenjohtaja Sillanpää
Sihteeri Hidén
Jäsenet
Atrila
Piilo
Punakivi
Tervonen