Tapahtumatiedot

Asiakas on joutunut rikollisen toteuttaman tietojenkalastelun kohteeksi myydessään tuotetta Facebook Marketplace -palvelussa.

Asiakkaan pankkitunnuksilla ja pankin asiakkaalle lähettämässä tekstiviestissä olleella koodilla on aktivoitu käyttöön pankin tunnistussovellus uudelle laitteelle 25.9.2025 klo 19.36.01.

Em. tunnistussovellusta käyttäen asiakkaan tililtä on tehty oikeudettomia korttimaksuja 26.9.2025 klo 09.43–10.00.

Asiakkaan valitus

Asiakas vaatii pankkia palauttamaan luvattomasti veloitetut 5008,01 euroa kokonaisuudessaan viivästyskorkoineen. Lisäksi asiakas vaatii pankkia maksamaan 500 euroa korvauksia vaivannäöstä, kun hän ei pystynyt maksamaan kulujaan huijauksen jälkeen.

25.–26.9.2025 asiakkaan tileiltä, luottotililtä ja alaikäisten lasten tileiltä tehtiin useita luvattomia tilisiirtoja yhteensä 5008,01 euron edestä. Asiakas ei ole itse hyväksynyt kyseisiä maksutapahtumia eikä ollut tietoinen niiden toteuttamisesta. Pankki on ilmoittanut, että tapahtumat on tehty vahvalla tunnistautumisella ja että aktivointikoodi on lähetetty asiakkaan puhelinnumeroon. Asiakas ei ole kuitenkaan vastaanottanut mitään varoitusviestiä eikä ole tietoisesti hyväksynyt uusia tunnistautumisia tai maksutapahtumia.

Pankki väittää, että vahva tunnistautuminen osoittaa tapahtumien hyväksynnän. Tämä ei asiakkaan näkemyksen mukaan pidä paikkaansa. EU:n maksupalveludirektiivin (PSD2) 74 artiklan ja maksupalvelulain 63 §:n mukaan vahva tunnistautuminen ei yksin riitä osoittamaan, että asiakas on antanut suostumuksen maksutapahtumaan.

Maksupalvelulain 62 §:n mukaan asiakkaan vastuu on korkeintaan 50 euroa, kun asiakas ei ole toiminut törkeän huolimattomasti. EU:n maksupalveludirektiivin artiklat 73 ja 74 tukevat tätä tulkintaa. Pankin tulee pystyä osoittamaan, että asiakas on ymmärtänyt ja nimenomaisesti hyväksynyt tapahtumat.

Lisäksi pankki väittää lähettäneensä varoitusviestin mahdollisesta huijauksesta, mutta asiakas ei ole saanut kyseistä viestiä. Pankki tai operaattori ei voi teknisesti todistaa, että asiakas olisi vastaanottanut tai lukenut kyseisen viestin – vain, että viesti on ehkä lähetetty. Näin ollen asiakas ei ole voinut havaita huijausta tai estää tapahtumia. Puhelinoperaattorin kirjallisen vastauksen mukaan operaattori ei voi asiakkaalle selvittää yksittäisten tekstiviestien perillemenoa eikä vahvistaa, onko yksittäinen pankin lähettämä tekstiviesti toimitettu asiakkaan puhelimeen. Näin ollen asiakkaalla ei ole mahdollisuutta hankkia operaattorilta näyttöä siitä, ovatko pankin väittämät tekstiviestit tosiasiallisesti saapuneet hänen puhelimeensa.

Asiakas epäilee, että joku ulkopuolinen on saanut asiakkaan puhelinnumeron haltuunsa ja kuitannut tunnistussovelluksen käytön. Asiakkaan näkemyksen mukaan vastuuta ei voi siirtää asiakkaalle, koska hän ei saanut tai huomannut varoitusviestiä huijauksesta. Tämä on asiakkaan näkemyksen mukaan tärkeä puolustuskohta, jonka FINE on aiemmissa ratkaisuissa hyväksynyt (esim. FINE-046277 ja FINE-053122).

Lisäksi pankilla on ollut tietoteknisiä ongelmia tekstiviestien kanssa 25.9.-3.10.2025, koska asiakas ei saanut myöskään tekstiviestejä uudesta salasanasta vieraillessaan pankin konttorissa 1.10.2025, vaikka pankki monta kertaa yritti, kun hänen piti uusia verkkopankkitunnukset ja salasana. Sama toistui 2–3 päivää myöhemmin.

Pankin palveluneuvoja on vahvistanut sähköpostitse, että asiakkaan käydessä konttorissa 1.10.2025 uusien verkkopankkitunnusten vuoksi pankin verkkopankkitunnusten hallinnointijärjestelmässä oli tilapäinen tekninen häiriö. Tämän vuoksi verkkopankkisopimuksen lisävahvistus- tai lukkiutuneen verkkopankkisopimuksen avauspalveluun liittyvää rekisteröintitekstiviestiä ei saatu lähetettyä järjestelmästä asiakkaan käynnin aikana. Kyseinen tieto herättää asiakkaan mielestä perustellun kysymyksen pankin tekstiviestipalvelun toimivuudesta tapahtuma-aikana.

Pankki on perustellut asiakkaan vastuuta sillä, että pankin tunnistussovelluksen aktivointikoodi on lähetetty asiakkaan puhelinnumeroon ja että tämän perusteella uusi tunnistussovellus on voitu aktivoida. Asiakas on kuitenkin kertonut, ettei saanut huijaustapahtuman aikana pankin väittämiä varoitusviestejä. Lisäksi myöhemmässä konttorilla asioinnissa pankki itse havaitsi tilanteen, jossa pankin lähettämää rekisteröintitekstiviestiä ei saatu toimitettua lainkaan teknisen häiriön vuoksi.

Asiakas ei väitä, että tämä yksin osoittaisi syyskuun tapahtumien kulun, mutta katsoo sen olevan olennainen tieto, joka saattaa vaikuttaa arvioon pankin tekstiviestijärjestelmän luotettavuudesta sekä siihen, kuinka varmana voidaan pitää pankin väitettä kaikkien viestien normaalista toimituksesta tapahtuma-ajankohtana. Lisäksi asiakas huomauttaa, että hän ei saanut kyseistä rekisteröintitekstiviestiä myöhemminkään, vaan sai verkkopankkitunnukset käyttöön myöhemmin tunnistautumalla toisen pankin tunnuksilla.  

Pankki näyttää katsovan menettelyn olleen törkeän huolimatonta. Asiakas pitää johtopäätöstä törkeästä huolimattomuudesta kyseenalaisena käytettävissä oleva näyttö huomioon ottaen. Asiakas pitää arviota erittäin ankarana. Asiakas ei ole tietoisesti luovuttanut pankkitunnuksia rikollisille eikä pyrkinyt kiertämään pankin turvamenettelyjä. Hän on ollut huijauksen kohteena ja toiminut siinä uskossa, että asioi asianmukaisesti. Huijauksen havaittuaan hän ryhtyi välittömästi selvittämään asiaa, sulki verkkopankkitunnuksensa ja teki rikosilmoituksen poliisille, mikä osoittaa, että hän on itse pitänyt tapahtumia rikoksena eikä hyväksyminään pankkitoimina.

Asiakas katsoo, ettei asiassa ole osoitettu sellaisia seikkoja, joiden perusteella hänen toimintansa täyttäisi maksupalvelulain 63 §:ssä tarkoitetun törkeän huolimattomuuden tunnusmerkit. Lisäksi Euroopan parlamentin ja neuvoston maksupalveludirektiivin (EU) 2015/2366 74 artiklan mukaisesti vahva tunnistautuminen ei yksinään ratkaise asiakkaan vastuuta, vaan kokonaisarvioinnissa on ratkaisevaa myös asiakkaan menettely ja siitä esitetty näyttö.

Asiakas on näkemyksensä mukaan toiminut huolellisesti eikä ole antanut suostumustaan maksutapahtumiin ja on tehnyt välittömästi 26.9. rikosilmoituksen poliisille havaittuaan tapahtuneen. Asiakas ei ole missään vaiheessa kertonut aktivoineensa tunnistussovellusta tai hyväksyneensä sen käyttöönottoa.  Asiakas ei ole ymmärtänyt aktivoivansa rikollisten laitetta käyttöön eikä ole saanut riittävää, tehokasta varoitusta pankilta ennen tilien tyhjentämistä.

Pankki tekee teknisestä tapahtumaketjusta johtopäätöksen, jonka mukaan aktivointikoodin on täytynyt tulla asiakkaan tietoon ja edelleen rikoksentekijän tietoon. Asiakas kiistää, että pankin esittämä tekninen tapahtumaketju yksin oikeuttaisi tämän johtopäätöksen. Pankki katsoo, ettei asiakas ole esittänyt teknisesti uskottavaa vaihtoehtoista tapahtumainkulkua. Asiakas katsoo, ettei asiakkaalta voida edellyttää pankin järjestelmiä koskevaa teknistä analyysiä. Asiakas on näkemyksensä mukaan toimittanut kaiken kohtuudella saatavissa olevan lisäselvityksen, mukaan lukien pankin työntekijän kirjallisen selvityksen tekstiviestijärjestelmän teknisestä häiriöstä sekä puhelinoperaattorin kirjallisen vastauksen.

Asiakas katsoo, että pankin esittämä selvitys osoittaa, miten pankin mukaan tapahtumat ovat teknisesti edenneet, mutta se ei yksin riitä osoittamaan, että asiakkaan toiminta olisi ollut maksupalvelulaissa tarkoitetulla tavalla törkeän huolimatonta.

Pankin vastine

Tapauksen tausta

Asiakas on joutunut rikollisen toteuttaman tietojenkalastelun kohteeksi myydessään tuotetta Facebook Marketplace -palvelussa. Asiakkaan kertoman mukaan ostajana esiintynyt henkilö ohjasi hänet Postin palvelulta näyttäneelle verkkosivustolle, jossa asiakkaan tuli tunnistautua sekä syöttää henkilötietojaan maksun vastaanottamiseksi. Asiakas on ilmoittanut antaneensa sivustolle maksukorttinsa tiedot, mutta kiistää luovuttaneensa verkkopankkitunnuksiaan.

Tapahtumainkulku

Pankin lokitietojen mukaan asiakkaan verkkopankkitunnuksilla on rekisteröity pankin tunnistussovellus uuteen mobiililaitteeseen 25.9.2025 klo 19.36.01. Asiakkaalle on lähetetty tästä kaksi ilmoitusta hänen asiakastietoihinsa tallennettuun puhelinnumeroon.

Ensimmäinen viesti:

”LUE TARKASTI! Pankkitunnuksillasi ollaan ottamassa käyttöön [pankin tunnistus] -sovellus puhelimella tai tabletilla. VARO HUIJAUKSIA! Älä anna koodia kenellekään tai millekään verkkosivulle, koska silloin rikollinen voi saada haltuunsa pankkitunnuksesi. Jos et ole itse tekemässä käyttöönottoa, sulje verkkopankkitunnuksesi välittömästi soittamalla [XXX XXX] (24/7). Jos olet itse ottamassa sovellusta käyttöön, tarkasta viesti-ID Z2E2Q ja syötä vahvistuskoodi 446961 [pankin tunnistus] -sovellukseen. Terveisin [pankki]”

Toinen viesti:

”VAROITUS! Pankkitunnuksellasi on otettu [pankin tunnistus] -sovellus käyttöön mobiililaitteelle. Jos et itse tehnyt käyttöönottoa, rikollinen on voinut saada pankkitunnuksesi käyttöönsä. Soita siinä tapauksessa välittömästi sulkupalveluun [XXX XXX] (24/7)”

Asiakas on vahvistanut pankille, että hänen puhelimensa ja liittymänsä on toiminut normaalisti, mutta epäilee, että pankin viestitoiminnot eivät ole toimineet tarvittavalla tavalla. Asiakas kertoo, että ei ole saanut yllä mainittuja viestejä. Tunnistussovelluksen rekisteröinti edellyttää kuitenkin verkkopankkitunnusten lisäksi tekstiviestillä lähetetyn vahvistuskoodin, joten petoksentekijän on täytynyt saada tämä haltuunsa. Tunnistussovelluksella petoksentekijä on päässyt kirjautumaan asiakkaan verkkopankkiin.

Oikeudettomat korttimaksut on tämän jälkeen vahvistettu kyseisellä tunnistussovelluksella 26.9.2025 klo 09.43–10.00. Asiakkaan Visa Credit/Debit -kortin Debit-puolelle on tehty neljä oikeudetonta verkko-ostoa, yhteisarvoltaan 5,334.15 euroa.

Tunnistussovelluksen käyttöönotto on teknisesti mahdollista ainoastaan, mikäli rekisteröintiprosessissa käytetään asiakkaan verkkopankkitunnuksia sekä asiakkaan puhelinnumeroon tekstiviestitse toimitettua aktivointikoodia. Pankin lokitietojen mukaan kyseiset tekstiviestit on lähetetty asiakkaan asiakastiedoissa olevaan puhelinnumeroon.

Asiakkaan väite tekstiviestien vastaanottamatta jäämisestä

Asiakas viittaa lausumassaan asiakaspalvelutilanteeseen, joka on tapahtunut pankin konttorissa 1.10.2025 eli huijaustapahtuman jälkeisenä ajankohtana. Asiakkaan asiointihetkellä on ollut käynnissä tilapäinen tekninen häiriö, minkä johdosta verkkopankkisopimuksen lisävahvistus- tai lukkiutuneen verkkopankkisopimuksen avauspalveluun liittyviä rekisteröintitekstiviestiä ei ole saatu lähetettyä pankin palvelusopimusjärjestelmästä. Selvityksen perusteella kyseinen häiriö ei koskenut tunnistussovelluksen käyttöönottoa eikä osoita, että 25.9.2025 toteutetussa rekisteröinnissä olisi ollut vastaavaa teknistä ongelmaa.

Pankin näkemyksen mukaan kyseinen häiriö ei rinnastu asiakkaan huijaustapauksen mahdollistaneeseen tunnistussovelluksen aktivointiin. Kyseisessä tapauksessa sovelluksen aktivointi on edellyttänyt tekstiviestin vastaanottamista, eikä järjestelmäteknisestä häiriöstä johtunut tekstiviestin lähettämättä jääminen osoita, ettei tekstiviestiä tai sen sisältämää tunnistussovelluksen aktivointikoodia olisi ollut mahdollista aikaisemmin asiakkaan toimesta vastaanottaa. Pankin näkemyksen mukaan huijaustapahtuma on nimenomaisesti mahdollistunut tekstiviestin vastaanottamisen takia, eikä kyseinen häiriö ei ole ajallisesti eikä syy-yhteyden osalta liitännäinen asiakkaan huijaustapaukseen.

Pankin käytettävissä olevien lokitietojen perusteella aktivointiviestit on lähetetty asiakkaan puhelinnumeroon. Vaikka pankki ei voi jälkikäteen todentaa, onko asiakas itse lukenut viestit, osoittaa toteutunut tapahtumaketju sen, että tunnistussovelluksen käyttöönotossa välttämätön aktivointikoodi on tullut rikoksentekijän tietoon. Ilman kyseistä koodia sovelluksen käyttöönotto ei olisi ollut teknisesti mahdollista.

Vaihtoehtoisen tapahtumainkulun arviointi

Asiakas on rikosilmoituksessaan ilmoittanut, ettei ole luovuttanut verkkopankkitunnuksiaan ulkopuoliselle taholle. Samanaikaisesti pankin lokitiedot osoittavat, että asiakkaan verkkopankkitunnuksilla on rekisteröity uusi tunnistussovellus rikollisen käyttöön.

Pankin käytettävissä oleva selvitys osoittaa seuraavan tapahtumaketjun:

• asiakkaan verkkopankkitunnuksia on käytetty tunnistussovelluksen käyttöönottoon,
• asiakkaan puhelinnumeroon toimitettu aktivointikoodi on syötetty käyttöönoton yhteydessä,
• tunnistussovellus on rekisteröity uudelle mobiililaitteelle, ja
• oikeudettomat maksutapahtumat on vahvistettu kyseisellä sovelluksella.

Asiakas ei ole esittänyt teknisesti uskottavaa vaihtoehtoista selitystä sille, miten nämä toimenpiteet olisivat voineet toteutua ilman, että rikoksentekijä on saanut käyttöönsä asiakkaan tunnistetietoja sekä aktivointiprosessissa tarvittavan vahvistuskoodin. Pankin näkemyksen mukaan käytettävissä oleva selvitys tukee sitä, että rikoksentekijä on saanut nämä tiedot asiakkaan asioidessa huijaussivustolla.

Pankin oikeudellinen arviointi

Maksupalvelulain 53 §:n mukaan maksuvälineen haltijan tulee käyttää maksuvälinettä ja siihen liittyviä tunnistetietoja sopimusehtojen mukaisesti sekä huolehtia niistä kohtuullisin toimenpitein.

Pankin henkilöasiakkaiden pankkitunnuksia koskevien ehtojen mukaan asiakas vastaa tunnusten oikeudettomasta käytöstä muun muassa silloin, kun tunnusten joutuminen ulkopuolisen haltuun on seurausta asiakkaan huolimattomuudesta tai asiakas on luovuttanut tunnukset oikeudettomalle taholle. Lisäksi korttiehtojen mukaan asiakas vastaa oikeudettomasta käytöstä täysimääräisesti tilanteissa, joissa hän on toiminut tahallisesti tai törkeän huolimattomasti.

Pankin arvio asiakkaan menettelystä

Asiakas on oman kertomuksensa mukaan syöttänyt maksukorttinsa tiedot verkkosivustolle tarkoituksenaan vastaanottaa maksu myymästään tuotteesta. Lisäksi tapahtumaketju on edellyttänyt asiakkaan verkkopankkitunnusten käyttöä sekä tunnistussovelluksen käyttöönoton mahdollistaneen aktivointikoodin päätymistä rikoksentekijän tietoon.

Pankki katsoo, että maksun vastaanottaminen ei tavanomaisessa tilanteessa edellytä maksukortin tietojen eikä verkkopankkitunnusten syöttämistä ostajan lähettämän linkin kautta. Asiakkaan olisi tullut ymmärtää, ettei maksun vastaanotto edellytä tällaisia toimenpiteitä ja että kyseisten tietojen syöttämiseen liittyi ilmeinen väärinkäytön riski.

Kun otetaan huomioon asiakkaan luovuttamien tietojen laajuus, tunnistusvälineen käyttöönottoon liittynyt tapahtumaketju sekä oikeudettomien maksutapahtumien toteuttaminen välittömästi tämän jälkeen, pankki katsoo asiakkaan menettelyn kokonaisuutena arvioiden osoittavan maksupalvelulaissa tarkoitettua törkeää huolimattomuutta.

Pankin johtopäätös

Pankin käytettävissä olevien loki- ja tapahtumatietojen perusteella oikeudettomat maksutapahtumat ovat mahdollistuneet sen jälkeen, kun rikoksentekijä on saanut käyttöönsä asiakkaan tunnistetietoja ja rekisteröinyt tunnistussovelluksen omalle laitteelleen. Käytettävissä oleva selvitys ei osoita pankin järjestelmissä sellaista virhettä tai häiriötä, joka olisi mahdollistanut väärinkäytön tai siirtänyt vastuuta pankille.

Pankki katsoo, että asiakkaan menettely täyttää törkeän huolimattomuuden tunnusmerkit ja että vastuu oikeudettomista maksutapahtumista jää asiakkaalle maksupalvelulain sekä pankin sopimusehtojen mukaisesti.

Selvitykset

Tapausta koskevan osapuolten kirjelmöinnin lisäksi lautakunnalle on toimitettu seuraavat asiakirjat:

• Rikosilmoitus / tutkintapyyntö 26.9.2025
• Kuvakaappauksia asiakkaan keskustelusta huijarin kanssa
• Kuvakaappaus maksun vahvistus -näkymästä valesivuilla
• Kuvakaappauksia asiakkaan tilitapahtumista
• Pankin palveluneuvojan sähköpostiviesti teknisestä häiriöstä 25.6.2026
• Puhelinoperaattorin sähköpostiviesti 26.6.2026
• Pankin henkilöasiakkaan pankkitunnuksilla käytettävien palveluiden yleiset ehdot 1.5.2025
• Pankin korttiehdot 1.6.2023

Ratkaisusuositus

Kysymyksenasettelu

Asiakkaan ja pankin välisen vastuunjaon ratkaisemiseksi Pankkilautakunnan on arvioitava, voidaanko maksuvälineen oikeudettoman käytön katsoa johtuneen siitä, että asiakas on huolimattomuudestaan laiminlyönyt maksupalvelulain 53 §:n 1 momentin mukaisia velvollisuuksiaan, sekä minkä asteista asiakkaan mahdollinen huolimattomuus on ollut.

Sovellettavat lainkohdat ja sopimusehdot

Maksupalvelulain (290/2010) 53 §:n 1 momentin mukaan

Maksuvälineen haltijan on käytettävä maksuvälinettä sen myöntämistä ja käyttöä koskevien ehtojen mukaisesti. Erityisesti hänen on kohtuullisin toimenpitein huolehdittava maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista. Maksuvälineen myöntämistä ja käyttöä koskevat ehdot eivät saa olla perusteettomia, kohtuuttomia tai syrjiviä.

Maksupalvelulain 62 §:n mukaan

Maksupalvelun käyttäjä, joka on tehnyt maksuvälinettä koskevan sopimuksen palveluntarjoajan kanssa, vastaa kadonneen tai oikeudettomasti toisen haltuun joutuneen maksuvälineen käytöstä tai muusta maksuvälineen oikeudettomasta käytöstä vain, jos oikeudeton käyttö johtuu siitä, että hän tai muu maksuvälineen haltija on:
1) luovuttanut maksuvälineen sen käyttöön oikeudettomalle;
2) huolimattomuudesta laiminlyönyt 53 §:n 1 momentin mukaiset velvollisuutensa; taikka
3) laiminlyönyt ilman aiheetonta viivytystä ilmoittaa palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.
Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä 1 momentin 2 ja 3 kohdassa tarkoitetuissa tapauksissa on enintään 50 euroa. Tätä rajoitusta ei sovelleta, jos maksupalvelun käyttäjä tai muu maksuvälineen haltija on toiminut tahallisesti tai törkeän huolimattomasti.

Maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä:
1) siltä osin kuin maksuvälinettä on käytetty sen jälkeen, kun palveluntarjoajalle tai sen nimeämälle muulle taholle on ilmoitettu maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä;
2) jos palveluntarjoaja on laiminlyönyt huolehtia siitä, että maksuvälineen haltijalla on mahdollisuus tehdä milloin tahansa 1 kohdassa tarkoitettu ilmoitus;
3) jos maksunsaaja ei ole maksuvälinettä käytettäessä asianmukaisesti varmistunut maksajan oikeudesta käyttää maksuvälinettä; tai
4) jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.

Sen estämättä, mitä 3 momentissa säädetään, maksupalvelun käyttäjä on vastuussa maksuvälineen oikeudettomasta käytöstä, jos hän tai muu maksuvälineen haltija on tahallaan tehnyt väärän ilmoituksen tai toiminut muuten petollisesti.

Maksupalvelulain 63 §:n 1 momentin mukaan

Jos maksutapahtuma on toteutettu oikeudettomasti eikä 62 §:stä muuta johdu, palveluntarjoajan, jonka asiakkaan varoja on käytetty maksutapahtuman toteuttamiseen, on välittömästi ja viimeistään seuraavana työpäivänä siitä, kun se havaitsi maksutapahtuman tai sille ilmoitettiin maksutapahtumasta, palautettava maksutapahtuman rahamäärä asiakkaalleen tai palautettava tämän maksutili siihen tilaan, jossa se olisi ollut ilman veloitusta.

Pankin henkilöasiakkaan pankkitunnuksilla käytettävien palveluiden yleisten ehtojen (pankkitunnusehdot) Asiakkaan vastuu pankkitunnusten käyttämisestä verkkopalveluissa -kohdan mukaan

Asiakas vastaa pankkitunnusten oikeudettomasta käytöstä, jos
1. asiakas on luovuttanut tunnukset niiden käyttöön oikeudettomalle
2. tunnusten katoaminen, joutuminen oikeudettomasti toisen haltuun tai oikeudeton käyttö johtuu asiakkaan huolimattomuudesta tai
3. asiakas ei ole ilmoittanut ehtojen mukaisesti pankille tunnusten katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä ilman aiheetonta viivytystä sen havaittuaan ja välittömästi sen jälkeen, kun asiakkaan olisi pitänyt havaita tunnusten oikeudeton käyttö.

Asiakas vastaa pankkitunnusten oikeudettomasta käytöstä aiheutuneesta vahingosta täysimääräisesti, jos asiakas on luovuttanut tunnukset niiden käyttöön oikeudettomalle.

Pankin korttiehtojen Kortinhaltijan ja Tilinomistajan vastuu Kortin väärinkäytöstä -kohdan mukaan

Tilinomistaja tai Kortinhaltija vastaa kuitenkin Kortin käytöstä täysimääräisesti, jos joku heistä on toiminut tahallisesti tai törkeän huolimattomasti.

Asian arviointi

Pankki on tapauksessa esittänyt järjestelmätietoihinsa perustuvan selvityksen tapahtumista ja siitä, mitä tietoja rikollisilla on täytynyt olla, jotta he ovat voineet aktivoida omalle laitteelleen asiakkaan nimissä olevan uuden pankin tunnistussovelluksen, jota käyttäen ko. korttimaksut on vahvistettu. Pankkilautakunnalla ei ole syytä epäillä pankin esittämän pankin järjestelmätietoihin perustuvan selvityksen paikkansa pitävyyttä.

Asiakas on kertonut pankille joutuneensa rikollisen toteuttaman tietojenkalastelun kohteeksi myydessään tuotetta Facebook Marketplace -palvelussa. Asiakkaan kertoman mukaan ostajana esiintynyt henkilö ohjasi hänet Postin palvelulta näyttäneelle verkkosivustolle, jossa asiakkaan tuli tunnistautua sekä syöttää henkilötietojaan maksun vastaanottamiseksi. Asiakas on ilmoittanut antaneensa sivustolle maksukorttinsa tiedot, mutta kiistää luovuttaneensa verkkopankkitunnuksiaan.

Pankkilautakunta katsoo tapauksessa saadun kokonaisselvityksen perusteella, että asiakas on päätynyt rikollisten luomille valesivuille, joilla hän on käyttänyt verkkopankkitunnuksiaan kirjautumis- tai tunnistautumistarkoituksessa eli hän on syöttänyt valesivuille pankkitunnuksensa. Rikolliset ovat näin tietoonsa päätyneillä asiakkaan pankkitunnustiedoilla aloittaneet asiakkaan nimissä olevan uuden pankin tunnistussovelluksen käyttöönoton omalle laitteelleen. Tämän johdosta pankki on lähettänyt asiakkaalle pankin tunnistussovelluksen aktivoinnin edellyttämän vahvistuskoodin sisältäneen tekstiviestin.

Asiakas on kiistänyt saaneensa pankin lähettämää vahvistuskoodin sisältänyttä tekstiviestiä. Asiakas epäilee, että joku ulkopuolinen on saanut asiakkaan puhelinnumeron haltuunsa.

Asiakkaan kertoman mukaan hän on yrittänyt saada puhelinoperaattoriltaan tietoa saapuneista tekstiviesteistä, mutta operaattori ei voi asiakkaalle selvittää yksittäisten tekstiviestien perillemenoa eikä vahvistaa, onko yksittäinen pankin lähettämä tekstiviesti toimitettu asiakkaan puhelimeen.

Pankkilautakunta katsoo kuitenkin, ettei asiassa saadun selvityksen perusteella ole muuta mahdollisuutta kuin että asiakas on syöttänyt myös tekstiviestitse saamansa koodin em. valesivuille. Koodin saatuaan rikolliset ovat voineet aktivoida käyttöönsä asiakkaan nimissä olevan pankin tunnistussovelluksen omalle laitteelleen ja sovellusta käyttäen vahvistaa ko. korttimaksut.

Asiakkaan menettelyn arviointi

Maksupalvelulain 53 §:n mukaan maksuvälineen haltijan on käytettävä maksuvälinettä sen myöntämistä ja käyttöä koskevien ehtojen mukaisesti. Erityisesti hänen on kohtuullisin toimenpitein huolehdittava maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista. Pankin pankkitunnusehtojen mukaan asiakas vastaa pankkitunnusten oikeudettomasta käytöstä, jos asiakas on luovuttanut tunnukset niiden käyttöön oikeudettomalle.

Asiakkaan tunnistauduttua pankkitunnuksillaan ja syötettyä henkilötietojaan ja maksukorttinsa tiedot maksun vastaanottamista varten hänelle entuudestaan tuntemattoman henkilön lähettämän linkin kautta avautuneilla sivuilla Pankkilautakunta katsoo asiakkaan huolimattomuudestaan laiminlyöneen maksupalvelulain 53 §:n sekä pankkitunnusehtojen mukaisia velvollisuuksiaan. Lautakunta katsoo asiakkaan menettelyn pankkitunnusten syöttämisen johdosta osoittavan hänen vakavaa varomattomuuttaan.

Pankkilautakunta katsoo, että saatuaan tavanomaisesta pankkitunnuksilla tehtävästä tunnistautumis- tai kirjautumistilanteesta poikkeavalla tavalla pankin tunnistussovelluksen vahvistuskoodin sisältäneen tekstiviestin asiakkaan olisi tullut - erityisesti viestin sisältö huomioiden - ymmärtää kyseenalaistaa saamansa yhteydenoton asianmukaisuus ja tarkoitus, ja jättää saamansa koodi laittamatta verkkosivuille. Lautakunta katsoo, että em. tekstiviestissä kerrotaan asianmukaisesti, mihin viestissä ollutta vahvistuskoodia käytetään, ja toisaalta varoitetaan huijauksista. Mikäli asiakas olisi tuossa tilanteessa ottanut viestissä olleen ohjeen mukaisesti yhteyttä pankkiinsa ja tiedustellut menettelyn asianmukaisuutta, olisi tapauksessa asiakkaan pankkitunnusten oikeudettomasta käytöstä aiheutuneelta vahingolta voitu välttyä. 

Asiakas on kiistänyt saaneensa vahvistuskoodin sisältänyttä tekstiviestiä, mutta lautakunta on jo edellä katsonut, ettei asiassa saadun selvityksen perusteella ole muuta mahdollisuutta kuin että asiakas on syöttänyt viestissä olleen koodin valesivuille. Kyseistä tekstiviestissä ollutta vahvistuskoodia on käytetty uuden pankin tunnistussovelluksen aktivointiin. Asiakas ei ole myöskään esittänyt näyttöä vaihtoehtoisesta tapahtumainkulusta sen osalta, miten vahvistuskoodi on päätynyt ulkopuolisille.

Asiakas on myös viitannut ratkaisuihin FINE-046277 ja FINE-053122. Selvyyden vuoksi Pankkilautakunta toteaa, että FINEn ratkaisutietokannasta ei löydy ratkaisuja kyseisillä asianumeroilla.

Aiemman ratkaisukäytäntönsä mukaisesti Pankkilautakunta katsoo huolelliselta pankkitunnustenhaltijalta edellytettäviin perusvaatimuksiin kuuluvan sen, että pankkitunnuksia käyttäessään hän lukee ja huomioi omassa toiminnassaan asiointinsa yhteydessä pankiltaan saamansa viestit. Tässä tapauksessa – asiakkaan syötettyä ensin pankkitunnustietojaan hänelle lähetetyn linkin kautta avautuneilla sivuilla – asiakkaan olisi tullut asiointinsa seuraavissa vaiheissa kiinnittää erityistä huomiota siihen, mitä pankki hänelle viestii ja mihin viestissä ollutta koodia on tarkoitus käyttää. Pankkilautakunta katsookin, että asiakkaan syötettyä linkin kautta avautuneille sivuille pankkitunnusten syöttämisen jälkeen vielä pankin tekstiviestitse lähettämän koodin mahdollisesti lukematta tekstiviestin sisältöä tai ainakin sen sisältöä huomioimatta on asiakkaan menettelyn kokonaisuutena katsottava osoittavan hänen suhtautuvan selvästi piittaamattomasti pankkitunnustensa hallintaan ja käyttöön liittyviin turvallisuusriskeihin sekä poikkeavan selvästi ja olennaisesti siitä, mitä maksuvälineen haltijan huolelliselta menettelyltä vaaditaan. Näin ollen Pankkilautakunta katsoo asiakkaan menettelyn kokonaisuutena osoittavan maksupalvelulaissa tarkoitettua törkeää huolimattomuutta.

Pankin järjestelmähäiriön vaikutus

Asiakas on tapauksessa vedonnut myös siihen, että pankin tekstiviestipalvelun ei ehkä olisi toiminut oikein tapahtuma-aikana. Asiakas on toimittanut Pankkilautakunnalle sähköpostiviestin, jossa pankin palveluneuvoja on vahvistanut, että asiakkaan käydessä konttorissa 1.10.2025 uusien verkkopankkitunnusten vuoksi pankin verkkopankkitunnusten hallinnointijärjestelmässä oli tilapäinen tekninen häiriö. Tämän vuoksi verkkopankkisopimuksen lisävahvistus- tai lukkiutuneen verkkopankkisopimuksen avauspalveluun liittyvää rekisteröintitekstiviestiä ei saatu lähetettyä järjestelmästä asiakkaan käynnin aikana.

Pankin selvityksen perusteella kyseinen häiriö ei koskenut tunnistussovelluksen käyttöönottoa eikä osoita, että 25.9.2025 toteutetussa rekisteröinnissä olisi ollut vastaavaa teknistä ongelmaa.

Pankkilautakunnalla ei ole syytä epäillä pankin esittämän pankin järjestelmätietoihin perustuvan selvityksen paikkansa pitävyyttä. Pankkilautakunta katsoo, että pankin järjestelmissä 1.10.2025 olleella häiriöllä ei ole vaikutusta nyt käsiteltävänä olevan asian arviointiin.

Lopputulos

Pankkilautakunta katsoo asiakkaan pankkitunnusten oikeudettoman käytön johtuneen siitä, että asiakas on huolimattomuudestaan laiminlyönyt maksupalvelulain 53 §:n 1 momentin mukaisia velvollisuuksiaan. Ottaen huomioon pankkitunnusten syöttämisen linkin kautta avautuneille sivuille sekä pankin tekstiviestitse lähettämän vahvistuskoodin syöttämisen em. sivustolle tekstiviestin sisältöä ymmärtämättä, lautakunta katsoo asiakkaan menettelyn kokonaisuutena arvioiden osoittavan maksupalvelulaissa tarkoitettua törkeää huolimattomuutta. Näin ollen asiakkaan ja pankin välisessä suhteessa asiakas vastaa täysimääräisesti maksuvälineensä oikeudettomasta käytöstä aiheutuneesta vahingosta.

Edellä esitettyyn viitaten Pankkilautakunta ei suosita asiassa hyvitystä.

Pankkilautakunta oli yksimielinen.

PANKKILAUTAKUNTA

Puheenjohtaja Sillanpää
Sihteeri Pöntinen

Jäsenet:
Atrila
Piilo
Punakivi
Tervonen