Tapahtumatiedot

Asiakas on joutunut huijauksen uhriksi, kun hänelle on soitettu 28.5.2025 klo 15.25 pankin nimissä. Tämän seurauksena ulkopuolinen on päässyt kirjautumaan asiakkaan verkkopankkiin. Verkkopankissa ulkopuolinen on tehnyt asiakkaan käyttötililtä 30.000 euron siirron yritystilille, jonka käyttöoikeus asiakkaalla on. Asiakkaan käyttötilille on nostettu ulkopuolisen asiakkaan nimissä hakema 29.700 euron Tarkkaluotto ja käyttötililtä on siirretty 39.000 euroa em. yritystilille. Yritystililtä on tehty kaksi tilisiirtoa ulkopuolisille yhteisarvoltaan 70.500 euroa (31.000 euroa klo 15.42 ja 39.500 euroa klo 15.54). Verkkopankkiin kirjautuminen ja kaikki edellä mainitut tapahtumat on vahvistettu asiakkaan käytössä olleella pankin tunnistussovelluksella. Luotosta sopimisen ja asiakkaan käyttötililtä yritystilille tehtyjen siirtojen kohdalla pankki on edellyttänyt lisäksi pankin asiakkaalle tekstiviestitse lähettämien vahvistuskoodien syöttämistä tunnistussovellukseen.

Pankki on lukinnut asiakkaan käyttäjätunnukset turvallisuussyistä 28.5.2025 klo 20.33.

Asiakkaan valitus

Asiakas vaatii pankkia korvaamaan hänelle tililtään ilman suostumusta siirretyt 70.500,00 euroa.

Taustaa

Asiakkaalle on 28.5.2025 soitettu yksityisestä numerosta ja kerrottu, että hänen tiedoillaan on yritetty hakea eri pohjoismaista lainoja. Puhelussa asiakkaalle on luotu kiireen tunne ja kerrottu, että hänen tileilleen pitäisi tehdä deaktivointi, jotta lainojen hakeminen ei onnistuisi. Asiakas on puhelussa saamansa ohjeistuksen mukaan kirjautunut puhelimeensa asennettuun pankin sovellukseen. Puhelun aikana asiakkaalle on tullut pankilta kolme ruotsin kielistä tekstiviestiä, joita asiakas ei ole ymmärtänyt, mutta joissa olleet vahvistuskoodit asiakas on kertonut puhelimen aikana, koska on ollut siinä käsityksessä, että koodit liittyvät tilien deaktivointiin.

Puhelun aikana asiakkaan käyttötililtä on siirretty ensin yritystilille, johon asiakkaalla on käyttöoikeus, 30.000 euroa, tämän jälkeen käyttötilille on nostettu 29.700 euron Tarkkaluotto, jonka jälkeen käyttötililtä on vielä siirretty yritystilille 39.000 euroa. Näistä edellä mainituista tapahtumista asiakkaalle on tullut pankista yllä mainitut vahvistusviestit, joissa olevat koodit asiakas on puhelun aikana kertonut. Lopuksi yritystililtä on siirretty yhteensä 70.500 euroa saajille X ja Y.

Asiakas on vielä saman päivän aikana ollessaan maksamassa laskua nettipankissa huomannut, että hänen tililtään on lähtenyt rahaa 70.500 euron edestä, jonka jälkeen asiakas on välittömästi soittanut pankin sulkupalveluun. Asiakas on tehnyt asiasta rikosilmoituksen.

Pankki on ilmoittanut, että se ei korvaa asiakkaalle 70.500 euroa, koska pankki on katsonut asiakkaan antaneen tapahtumille maksupalvelulain 38 §:n mukaisen suostumuksensa, eikä tapahtumat siten ole maksupalvelulain mukaisesti oikeudettomia.

Asiakas ei ole puhelun aikana kertonut soittajalle muuta kuin yllä mainitut kolme vahvistuskoodia ja kirjautunut puhelun aluksi pankin sovellukseen matkapuhelimellaan. Asiakas ei ole antanut ainakaan viimeisille kahdelle tilisiirrolle yritystililtään maksupalvelulain 38 §:ssä tarkoitettua suostumusta, joten tilisiirtoja on pidettävä oikeudettomina ja pankki on velvollinen palauttamaan asiakkaalle 70.500 euroa.

Suostumuksesta

Asiakas ei ole itse luonut maksutapahtumia, vaan hänelle soittaneet rikolliset. Asiakas on ilmoittanut vahvistuskoodit puhelimessa ainoastaan omien tiliensä välisissä siirroissa ja lainan nostamisessa hänen käyttötililleen, eikä hän siten itse ole syöttänyt vahvistuskoodeja mihinkään, joten asiakas ei ole maksuja hyväksynyt. Asiakas on luullut vahvistuskoodien liittyvän tilien deaktivointiin, eikä hän ole ymmärtänyt viestejä, koska ne ovat tulleet ruotsin kielellä, jota asiakas ei osaa. Yritystililtä tehdystä kahdesta tilisiirrosta ei edes ole tullut vahvistusviestiä, eikä asiakas ole siten mitenkään luonut tai vahvistanut näitä tilisiirtoja.

Vastaavanlainen suostumusta koskeva asia on ollut kyseessä Finen ratkaisusuosituksessa FINE-042462 (2022) ja Itä-Suomen hovioikeuden tuomiossa asiassa S 24/214. Näissä on ollut kyse samasta tapahtumasta ja sekä Fine että hovioikeus ovat katsoneet, että suostumusta ei ole annettu.

Maksupalvelulain 72.3 §:n mukaan se seikka, että palveluntarjoaja voi näyttää, että suostumus maksutapahtuman toteuttamiseen on annettu maksuvälineellä, ei välttämättä yksin riitä osoittamaan, että maksuvälineen haltija on antanut suostumuksensa maksutapahtuman toteuttamiseen.

Pankin toimittamien lokitietojen perusteella vaikuttaa, että asiakkaan puhelinta olisi käytetty maksujen ja lainannoston vahvistamiseen pankin tunnistusvälineellä. Asiakas ei kuitenkaan itse muista, että olisi pankin sovellusta käyttänyt saamansa puhelun aikana kuin puhelun alussa. Vaikka katsottaisiin, että asiakas olisi itse maksut tunnistusvälineellä vahvistanut, ei hän menettelynsä ole kuitenkaan ollut törkeän huolimatonta, kun otetaan huomioon, että hän on luullut olevansa tekemässä tilin deaktivointia, jotta lainojen hakeminen ei onnistuisi, eikä hän ole maksuja itse ainakaan luonut ja pankki tulisi velvoittaa palauttamaan asiakkaalle hänen vaatimansa summa vähennettynä 50 eurolla.

Asiakas toteaa syöttäneensä pankkisovelluksensa koodin ainoastaan yhden kerran hänelle tulleen puhelun aikana. Tällöinkin koodi on syötetty asiakkaan puhelimessa olleeseen pankkisovellukseen. Jos tapahtumat on vahvistettu tunnistusvälineellä, ei asiakas tätä ole ainakaan itse tehnyt, eikä puhelin ole mainittuna aika ollut muiden henkilöiden käytössä. Pankin tulisi toimittaa lokitiedot, joista olisi myös asiakkaan todennettavissa, että tunnistusvälinettä on käytetty kaikkien tapahtumien hyväksymiseen, eikä asia olisi vain pankin väitteen varassa.

Lopuksi asiakas toteaa, että hänen menettelynsä ei ole ollut törkeän huolimatonta ainakaan siltä osin, kun rahaa on siirretty hänen yritystileiltään ulkopuolisille tileille, koska näihin ei ole liittynyt lisävahvistuskoodeja, jotka asiakas olisi luovuttanut ulkopuolisille.

Yllä mainituin perustein asiakas ei ole antanut suostumusta maksutapahtumille yritystililtään ja maksutapahtumat ovat siten oikeudettomia ja pankki on velvollinen palauttamaan asiakkaalle maksutapahtumien rahamäärän eli 70.500 euroa.

Pankin vastine

Selvitys tapahtuneesta

Asiakkaan verkkopankkiin kirjautuminen on vahvistettu asiakkaan pankin tunnistussovelluksella 28.5.2025 klo 15.34. Vahvistustapahtuman teksti on ollut ruotsiksi ”Du håller på att logga in i [pankki]-nättjänsten med dina koder”. Pankin selvityksen mukaan asiakkaan käyttötililtä on 28.5.2025 siirretty 30.000 euroa yritystilille, johon asiakkaalla on käyttöoikeus. Tämän jälkeen käyttötilille on nostettu 29.700 euron Tarkkaluotto, jonka hakemustiedot vastaavat pankin asiakastiedoista todennettavia tietoja, luottotiedot on tarkistettu luoton myöntämisen yhteydessä. Tililtä on siirretty vielä 39.000 euroa yritystilille, jolta on tehty yhteensä 70.500 euroa siirrot seuraavin tiedoin:

Pvm.            28.05.2025 klo 15:42
Summa        31 000.00 euroa
Saajan nimi X
Saajan tili    FIxx xxxx xxxx xxxx xx

Pvm.            28.05.2025 klo 15:54
Summa        39 500.00 euroa
Saajan nimi Y
Saajan tili    FIxx xxxx xxxx xxxx xx

Pankki on lähettänyt 28.5.2025 asiakkaan tunnuksiin liitettyyn puhelinnumeroon turvallisuussyistä kolme tekstiviestiä:

28.5.2025 klo 15.38.44

Du vill i vår tjänst betala 30 000,00 EUR på kontot FIxx xxxx xxxx xxxx xx. Kontrollera uppgifterna och bekräfta med koden 2859 i mobilappen. [pankki]

28.5.2025 klo 15.46.01

LÄS NOGA! Du håller på att ingå ett kreditavtal om en [pankki] Exaktkredit på 29 700 €. Fortsätt endast om du har gjort ansökan själv. Om du inte själv har ansökt om krediten, meddela detta genast till [pankki] Spärrtjänsten. SE UPP FOR BEDRAGERIER! Ge eller mata inte in koden någon annanstans än [pankki]:s egen mobilapp [pankki]-mobilen. Godkänn avtalet med koden 2431 i [pankki]-mobilen. [pankki]

28.5.2025 klo 15.47.51

Du vill i vår tjänst betala 39 000,00 EUR på kontot FIxx xxxx xxxx xxxx xx. Kontrollera uppgifterna och bekräfta med koden 8680 i mobilappen. [pankki]

Tapahtumien tekijällä on siis täytynyt olla tiedossaan asiakkaan pankkitunnusten kaikki osat eli käyttäjätunnus, salasana, tunnistussovellus sekä asiakkaan puhelinnumeroon lähetettyjen lisävahvistusviestien sisältämät lisävahvistuskoodit. Tapahtumat on vahvistettu asiakkaan omalla tunnistussovelluksella, joka on ollut asiakkaan käytössä 19.4.2024 lähtien. Pankki on toimittanut lokiedot, joista ilmenee, miten asiakkaan tunnistusvälinettä on käytetty 28.5.2025.

Selvennyksenä vielä, kahdesta yritystililtä ulkopuolisille klo 15.42 ja klo 15.54 tehdyistä maksuista ei tosiaan ole mennyt erillistä tekstiviestiä asiakkaalle, mutta ne on vahvistettu asiakkaan omalla tunnistusvälineellä. Tämä itsessään on vahva sähköinen vahvistus, vaikka lisävahvistusta tekstiviestien muodossa ei ole tehty. Pankki on toimittanut havainnekuvan siitä, miltä yritystililtä vahvistaminen on näyttänyt pankin mobiilisovelluksessa. Lisäksi pankki on toimittanut referenssikuvat siitä, miltä Tarkkaluottosopimuksen vahvistusnäkymä tapahtumien aikaan on näyttänyt.

Asian arviointi

Pankki viittaa maksupalvelulain 38, 53 ja 62 §:in sekä pankin tunnus- ja digisopimusehtoihin.

Pankki on useaan otteeseen varoittanut asiakkaitaan erilaisista tietojenkalasteluista ja huijauksista. Pankki katsoo, että yleisen tietämyksen ja pankin antamien varoitusten perusteella asiakkaan tulisi olla tietoinen tunnusten turvallisesta ja huolellisesta käytöstä ja säilyttämisestä. Pankki on aina korostanut, ettei tunnuksen osia saa luovuttaa ulkopuolisille, ei edes perheenjäsenille. Pankki on korostanut sitä, ettei pankki tai poliisi kysy tunnuksia puhelimessa, vaan näin toimii ainoastaan rikollinen.

Väärinkäytösten ehkäisemiseksi pankki on aktiivisesti varoittanut asiakkaitaan verkkopalvelutunnusten kalastelukampanjoista muun muassa [pankki].fi:n tiedotteilla, muun muassa 21.03.2025, 31.01.2025, 20.12.2024, 19.12.2024, 30.10.2024 ja 26.09.2024. Pankki korostaa kaikessa viestinnässään sekä sopimuksen tekovaiheessa, että tunnukset ovat henkilökohtaiset, eikä niitä saa luovuttaa kenellekään. Sopimuksen tekemisen yhteydessä asiakkaalle on sopimuksen sekä ehtojen lisäksi annettu Tärkeää tietoa tunnuksista -asiakirja, jossa on annettu yksinkertaiset turvallisuusohjeet tunnusten käyttämisestä.

Tapauksessa tileiltä tehdyt siirrot ja luoton nosto ovat vahvistettu asiakkaan tunnistussovelluksella. Osan tapahtumista vahvistamiseksi pankki on lähettänyt asiakkaan tunnuksiin liitettyyn puhelinnumeroon tekstiviestejä.

Tapahtumat on tehty [pankki].fi-palvelussa ja vahvistettu asiakkaan tunnistusvälineellä, joka on ollut hänellä käytössä 19.4.2024 klo 10.44 lähtien. Mikään asiakkaan kertomuksessa ei viittaa siihen, että ulkopuolisella olisi ollut tapahtumien aikaan pääsy asiakkaan fyysiselle laitteelle, jolle tunnistusväline on ollut liitettynä. Koska tapahtumat on vahvistettu tunnistusvälineellä, tunnistusvälineen PIN-koodi on tullut syöttää onnistuneesti yhteensä kuusi kertaa aikavälillä 15.34–15.54.

Jotta tapahtumat on voitu laittaa liikkeelle (luoda maksut ja hakea luottoa), on ne tehneellä täytynyt olla hallussaan asiakkaan käyttäjätunnus. Asiakas on vahvistanut tunnistusvälineellä ulkopuolisen pääsyn verkkopankkiinsa. Jotta tapahtumat ovat toteutuneet (luotto nostettu tilille ja maksut lähteneet tileiltä), on asiakkaan täytynyt syöttää pankin mobiilisovellukseensa oman tunnistusvälineensä PIN-koodi kaikkien tapahtumien osalta. Lisäksi siirrot yritystilille ja luoton nosto ovat vaatineet sen, että asiakkaan pankin mobiilisovellukseen on syötetty tekstiviesteillä lähetetyt lisävahvistuskoodit.

Luoton nosto sekä omien tilien väliset siirrot ovat vahvistettu lisävahvistuskoodeilla, asiakkaan tunnistussovelluksella toistamiseen. Vahvistusviestit ovat sisältäneet tiedot maksujen ja luoton summista, maksujen saajan tilinumerosta sekä lisävahvistuskoodeista. Viesteissä on selvästi kerrottu, että asiakas on suorittamassa kyseisiä tapahtumia.

Tekstiviestit ovat olleet ruotsinkieliset ulkopuolisen tahon laitteen kieliasetuksen perusteella. Myös viestien kielen olisi tullut herättää asiakkaan epäilys, koska se on poikennut normaalista asiointikielestä. Pankki tekee asiakasviestintää käyttäen asiakkaan asiointikieltä, josta syystä asiakkaan on helppo havaita poikkeava tapahtuma, jos viesti saapuu vieraalla kielellä. Mikäli asiakas ei ole ymmärtänyt kieltä ja viestien sisältöä, ei viesteissä pyydettyjä lisävahvistuskoodeja olisi tullut käyttää. Pankkilautakunta on ratkaisukäytännössään katsonut, tavanomaisesti käytetystä asiointikielestä poikkeavalla kielellä tulleiden viestien osalta, että mikäli asiakas ei ymmärrä mihin pankin tekstiviestitse toimittama koodi on tarkoitettu, tulisi asiakkaan huolellisesti toimiessaan keskeyttää asiointinsa.

Asiakas on itse hyväksynyt tileiltä tehdyt siirrot sekä luoton noston, ja pankki katsoo ensisijaisesti, että asiakas on antanut maksupalvelulain 38 §:n mukaisen suostumuksensa maksutapahtumien toteuttamiselle ja etteivät reklamoidut tapahtumat ole maksupalvelulain mukaisesti oikeudettomia, eikä pankki näin ollen ole vastuussa aiheutuneesta vahingosta. Pankki ei ole asiassa toiminut petollisesti, ja suostumus pankille on annettu lain ja pankin sopimusehtojen mukaisesti, joten pankki on voinut luottaa tapahtumille annettuun suostumukseen. Toissijaisesti, tapaukseen liittyvät yksityiskohdat ja kokonaisarviointi huomioon ottaen, pankki katsoo asiakkaan toimineen maksupalvelulaissa tarkoitetulla tavalla törkeän huolimattomasti.

Selvitykset

Valitusta koskevan osapuolten kirjelmöinnin lisäksi lautakunnalle on toimitettu seuraavat asiakirjat:
- Pankin tunnuksen ja digisopimuksen ehdot
- Tutkintailmoitus (Ilmoitusaika 30.5.2025 klo 11.00)
- Havainnekuva siitä, maksun vahvistamista koskeva vahvistuspyyntö pankin mobiilisovelluksessa näyttää
- Havainnekuva siitä, maksun vahvistamista koskeva vahvistuspyyntö pankin mobiilisovelluksessa näyttää
- Asiakkaan tunnnistussovelluksen vahvistustapahtumat 28.5.2025

Ratkaisusuositus

Kysymyksenasettelu

Asiakkaan ja pankin välisen vastuunjaon ratkaisemiseksi Pankkilautakunnan on ensin ratkaistava, voidaanko asiakkaan katsoa antaneen maksupalvelulain 38 §:ssä tarkoitetun suostumuksensa ko. maksutapahtumille vai onko maksutapahtumia pidettävä oikeudettomina. Mikäli tapauksessa katsotaan olevan kyse maksuvälineen oikeudettomasta käytöstä, on Pankkilautakunnan arvioitava, voidaanko maksuvälineen oikeudettoman käytön katsoa johtuneen siitä, että asiakas on huolimattomuudestaan laiminlyönyt lain 53 §:n 1 momentin sekä pankkitunnusehtojen mukaisia velvollisuuksiaan, sekä minkä asteista asiakkaan mahdollinen huolimattomuus on.

Sovellettavat lainkohdat ja sopimusehdot

Maksupalvelulain 38 §:n (Maksajan suostumus maksutapahtuman toteuttamiseen.) 1 momentin mukaan

Maksutapahtuma saadaan toteuttaa vain maksajan suostumuksella. Maksutapahtumaa pidetään oikeudettomana, jollei maksaja ole antanut siihen suostumustaan sovitulla tavalla.

Maksupalvelulain 53 §:n (Maksuvälineestä huolehtiminen.) 1-2 momentin mukaan

Maksuvälineen haltijan on käytettävä maksuvälinettä sen myöntämistä ja käyttöä koskevien ehtojen mukaisesti. Erityisesti hänen on kohtuullisin toimenpitein huolehdittava maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista. Maksuvälineen myöntämistä ja käyttöä koskevat ehdot eivät saa olla perusteettomia, kohtuuttomia tai syrjiviä.
Maksuvälineen haltijan velvollisuus huolehtia maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista alkaa, kun hän vastaanottaa ne.

Lain 54 §:n (Katoamisilmoitus.) 1 momentin mukaan

Maksuvälineen haltijan on ilman aiheetonta viivytystä ilmoitettava palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.

Lain 62 §:n (Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä.) mukaan

Maksupalvelun käyttäjä, joka on tehnyt maksuvälinettä koskevan sopimuksen palveluntarjoajan kanssa, vastaa kadonneen tai oikeudettomasti toisen haltuun joutuneen maksuvälineen käytöstä tai muusta maksuvälineen oikeudettomasta käytöstä vain, jos oikeudeton käyttö johtuu siitä, että hän tai muu maksuvälineen haltija on:
1) luovuttanut maksuvälineen sen käyttöön oikeudettomalle;
2) huolimattomuudesta laiminlyönyt 53 §:n 1 momentin mukaiset velvollisuutensa; taikka
3) laiminlyönyt ilman aiheetonta viivytystä ilmoittaa palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.
Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä 1 momentin 2 ja 3 kohdassa tarkoitetuissa tapauksissa on enintään 50 euroa. Tätä rajoitusta ei sovelleta, jos maksupalvelun käyttäjä tai muu maksuvälineen haltija on toiminut tahallisesti tai törkeän huolimattomasti.
Maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä:
1) siltä osin kuin maksuvälinettä on käytetty sen jälkeen, kun palveluntarjoajalle tai sen nimeämälle muulle taholle on ilmoitettu maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä;
2) jos palveluntarjoaja on laiminlyönyt huolehtia siitä, että maksuvälineen haltijalla on mahdollisuus tehdä milloin tahansa 1 kohdassa tarkoitettu ilmoitus;
3) jos maksunsaaja ei ole maksuvälinettä käytettäessä asianmukaisesti varmistunut maksajan oikeudesta käyttää maksuvälinettä; tai
4) jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.
Sen estämättä, mitä 3 momentissa säädetään, maksupalvelun käyttäjä on vastuussa maksuvälineen oikeudettomasta käytöstä, jos hän tai muu maksuvälineen haltija on tahallaan tehnyt väärän ilmoituksen tai toiminut muuten petollisesti.

Maksupalvelulain 63 §:n (Palveluntarjoajan vastuu oikeudettomasta maksutapahtumasta.) 1 momentin mukaan 

Jos maksutapahtuma on toteutettu oikeudettomasti eikä 62 §:stä muuta johdu, palveluntarjoajan, jonka asiakkaan varoja on käytetty maksutapahtuman toteuttamiseen, on välittömästi ja viimeistään seuraavana työpäivänä siitä, kun se havaitsi maksutapahtuman tai sille ilmoitettiin maksutapahtumasta, palautettava maksutapahtuman rahamäärä asiakkaalleen tai palautettava tämän maksutili siihen tilaan, jossa se olisi ollut ilman veloitusta.

Pankin tunnus- ja digisopimuksen ehtojen (jäljempänä pankkitunnusehdot) kohta, joka koskee kuluttaja-asiakkaan vastuuta tunnusten oikeudettomasta käytöstä maksuvälineenä, vastaa maksupalvelulain 62 §:n kuluttajan hyväksi pakottavia säännöksiä.

Pankkitunnusehtojen Tunnusten säilyttämistä ja sallitun käytön rajoitukset -kohdan mukaan

Henkilöasiakkaalle luovutetut Tunnukset ovat henkilökohtaiset. Tunnuksia ei saa luovuttaa kenellekään toiselle henkilölle, ei edes samaan perheeseen kuuluvalle, eikä erilliselle sovellukselle tai palvelulle, ellei sovellus tai palvelu ole [pankin] hyväksymä. [Pankin] hyväksymät sovellukset ja palvelut ovat nähtävillä osoitteessa [pankki].fi. Jos asiakas antaa Tunnuksensa kolmannelle, asiakas vastaa kolmannen hänen nimissään tekemistä toimista.
[…]
Tunnuksia tai osaa niistä ei koskaan saa:
- kertoa suullisesti niitä puhelimitse tai muulla tavalla kysyvälle ulkopuoliselle taholle. Soittaessaan [pankin] puhelinpalveluun asiakas näppäilee Tunnukset puhelimeen. Palveluntarjoaja tai muut [pankkiryhmän] yritykset eivät koskaan soita asiakkaalle ja pyydä kertomaan tai näppäilemään Tunnuksia;
- luovuttaa tekstiviestillä, sähköpostilla tai muun sovelluksen kautta tulleen pyynnön perusteella muille kuin [pankin] hyväksymille palveluille ja sovelluksille;
- käyttää kirjautumiseen [pankki]-verkkopalveluihin, jos linkki kirjautumissivulle on lähetetty Asiakkaalle sähköpostilla tai muulla sähköisellä tavalla.
Käyttäjätunnuksen ja salasanan sisältävä kalvo on hävitettävä eikä käyttäjätunnusta tai salasanaa saa kirjoittaa tai tallentaa muistiin helposti tunnistettavaan muotoon. Jos Tunnukset on luovutettu sähköisesti, Asiakkaan tulee itse suojata tunnukset ja varmistua siitä, etteivät näytöllä olevat tiedot näy ulkopuolisille ja että tiedot eivät jää ulkopuolisten saataville.
Tunnuksia on säilytettävä huolellisesti ja erillään toisistaan siten, ettei kenelläkään, ei edes samaan perheeseen kuuluvalla tai niiden käyttöön oikeudettomalla yrityksen työntekijällä ole mahdollisuutta saada niitä tietoonsa. Tunnusten osia ei saa säilyttää samassa säilytyspaikassa kotona, eikä esimerkiksi lompakossa tai käsilaukussa.
Asiakkaan on varmistettava olosuhteiden edellyttämällä tavalla säännöllisesti, että Tunnukset ovat tallessa.
Asiakkaan on [pankki]-verkkopalveluihin kirjautuessaan suojattava laite, esim. tietokone, puhelin tai erillinen näppäimistö, jolla Tunnuksia käytetään siten, ettei kenelläkään ole mahdollisuutta saada Tunnuksia tietoonsa
[…]

Pankin tunnus- ja digisopimusehtojen Ilmoitus Tunnusten katoamisesta tai joutumisesta sivullisen tietoon tai haltuun -kohdan mukaan

Asiakkaan on välittömästi ilmoitettava Palveluntarjoajalle Tunnusten katoamisesta tai niiden joutumisesta käyttöön oikeudettoman tietoon tai haltuun taikka jos asiakas epäilee niiden joutuneen käyttöön oikeudettoman tietoon tai haltuun. Ilmoitus on tehtävä myös siinä tapauksessa, että vain osa Tunnuksista on kadonnut tai joutunut käyttöön oikeudettoman tietoon tai haltuun.
[…]

Asian arviointi

Tapahtumienkulku

Pankki on tapauksessa esittänyt järjestelmätietoihinsa perustuvan selvityksen tapahtumista ja siitä, millä tavoin kyseessä olevat maksut on tehty ja vahvistettu. Pankkilautakunnalla ei ole syytä epäillä pankin esittämän pankin järjestelmätietoihin perustuvan selvityksen paikkansa pitävyyttä.

Pankkilautakunta katsoo tapauksessa selvitetyksi, että asiakas on tullut puhelimessa rikollisten harhaan johtamaksi ja luullessaan asioivansa pankkinsa kanssa hän on antanut puhelimessa suullisesti pankkitunnustensa käyttäjätunnuksen ja harhaanjohdettuna vahvistanut puhelimessaan olleella pankin tunnistusvälineellä rikollisten kirjautumisen verkkopankkiinsa. Verkkopankissa rikolliset ovat tehneet kyseessä olevan luottohakemuksen ja kaikkia kyseessä olevia siirtoja koskevat maksutoimeksiannot.

Pankin asiassa antamien selvitysten mukaan kyseessä olevia kahta, ulkopuolisille tehtyjä yhteisarvoltaan 70.500 euron tilisiirtoja koskevat rikollisten asiakkaan verkkopankissa luomat maksutoimeksiannot on vahvistettu asiakkaan omalla pankin tunnistusvälineellä. Vastaavasti rikollisten asiakkaan verkkopankissa tekemät asiakkaan käytössä olevien tilien väliset siirrot ja rikollisten hänen nimissään hakeman luoton luottosopimus on vahvistettu asiakkaan tunnistusvälineellä ja näiden tapahtumien kohdalla pankki on lisäksi edellyttänyt lisävahvistuksia, mikä on tarkoittanut pankin asiakkaalle lähettämissä tekstiviesteissä olleiden koodien syöttämistä pankin mobiilisovellukseen viesteissä olleiden ohjeiden mukaisesti.

Pankkilautakunnalla ei ole syytä epäillä pankin esittämän pankin järjestelmätietoihin perustuvan selvityksen paikkansa pitävyyttä. Lautakunta katsoo näin ollen asiakkaan vahvistaneen pankin tunnistusvälineellään rikollisten verkkopankissa luomat hänen käytössään olevien tilien väliset siirrot, rikollisten hänen nimissään hakeman luoton luottosopimuksen sekä rikollisten ulkomaille luomat maksutoimeksiannot. Asiakkaan käyttötililtä yritystilille tehtyjen verkkopankin sisäisten siirtojen ja luoton hakemisen kohdalla pankki on edellyttänyt lisävahvistuksia, jotka asiakas on suorittanut syöttämällä pankin tekstiviestitse lähettämät vahvistuskoodit viesteissä olleiden ohjeiden mukaisesti sovelluksessaan. 

Vaikka lisävahvistusta edellyttäneiden maksujen kohdalla pankin lähettämien lisävahvistusta koskevien tekstiviestien kieli on ollut ruotsi, kaikkien maksujen kohdalla pankin mobiilisovelluksen vahvistuspyynnöissä on ennen maksujen vahvistusten antamista näkynyt asiakkaan asiointikielellä suomeksi ja asianmukaisesti isolla "Maksun hyväksyntä" sekä mm. vahvistettavan maksun euromäärä ja maksunsaajan tilinumero tai saaja. Lisäksi vahvistuspyynnöissä on lukenut seuraavasti:

”Maksu välitetään maksunsaajalle yksinomaan kansainvälisen tilinumeron IBANin perusteella, vaikka maksaja olisi antanut sen isäksi muitakin tietoja maksutapahtuman toteuttamiseksi.
Jos epäilet väärinkäyttöä, hylkää pyyntö. Vahvista vain pyynnöt, jotka olet itse valinnut muussa palvelussa vahvistettavaksi [pankin tunnistusvälineellä].”

Pankkilautakunta on ratkaisukäytännössään vakiintuneesti katsonut, että tapauksissa, joissa rikoksen uhri on huijattuna tullut itse hyväksyneeksi riidanalaiset maksut esimerkiksi omassa puhelimessaan olevalla pankin mobiilisovelluksella ja sovelluksessa on ennen vahvistuksen antamista näkynyt vahvistettavan maksun tiedot, ei pankki ole velvollinen hyvittämään asiassa aiheutunutta vahinkoa asiakkaalle. Näissä tapauksissa on katsottu, että vaikka asiakas on antanut maksujen vahvistukset rikollisten harhaan johtamana, on hän kuitenkin itse antanut maksuille maksupalvelulain 38 §:ssä ja sovellettavissa ehdoissa tarkoitetun suostumuksensa, eivätkä kyseessä olevat maksutapahtumat tällöin ole maksupalvelulaissa tarkoitetulla tavalla oikeudettomia. Tämän vuoksi käsillä ei ole myöskään ollut perusteita pankin vastuulle maksuista asiakkaalle aiheutuneesta vahingosta.

Pankkilautakunta katsoo, että asiakas on antanut maksutapahtumille maksupalvelulain 38 §:ssä ja sovellettavissa ehdoissa tarkoitetun suostumuksensa maksutapahtumien toteuttamiseen. Vaikka asiakas on antanut em. vahvistukset maksuille tultuaan rikollisten harhaan johtamaksi, ei tällä ole merkitystä asiakkaan ja pankin välisessä suhteessa. Näin ollen lautakunta katsoo, etteivät kyseessä olevat maksutapahtumat ole maksupalvelulaissa tarkoitetulla tavalla oikeudettomia ja ettei käsillä siten ole perusteita pankin vastuulle korttimaksuista asiakkaalle aiheutuneesta vahingosta.

Lopputulos

Edellä esitettyyn viitaten Pankkilautakunta ei suosita asiassa hyvitystä.

Pankkilautakunta oli yksimielinen

PANKKILAUTAKUNTA

Puheenjohtaja Sillanpää
Sihteeri Hidén

Jäsenet:
Atrila
Ketola
Punakivi
Tervonen