FINE-81277-W0L1C9

Tapahtumatiedot

Asiakas on ollut 13.8.2025 hakeutumassa verkossa Omakanta-palveluun, kun hän on päätynyt rikollisten luomille valesivuille ja käyttänyt siellä pankkitunnuksiaan tunnistautuakseen palveluun. Asiakkaan puhelimessa olleeseen pankin tunnistussovellukseen on tullut seuraavanlainen vahvistuspyyntö:

"Hyväksyntä [pankki] ID:n käyttöönottoon uudessa laitteessa
[Pankki] ID ei ole enää rekisteröity ja käytettävissä tällä laitteella hyväksynnän jälkeen Jos et ole itse pyytänyt laitteen vaihtoa, niin hylkää pyyntö ja ota välittömästi yhteyttä [pankkiin]"

Pankin tunnistussovellus on aktivoitunut käytettäväksi rikollisten laitteella 13.8.2025 klo 18:43. Samanaikaisesti pankki on lähettänyt asiakkaalle seuraavanlaisen englanninkielisen tekstiviestin:

Great news, you've successfully activated [pankki] ID.
If you're not the one trying to activate [pankki] ID and you have received this message, please contact us immediately.
Kind regards,[pankki]

Asiakkaan pankkitunnustietoja oikeudetta käyttäen ja em. pankin tunnistussovelluksella vahvistaen rikolliset ovat tehneet asiakkaan tileiltä 14.8.2025 klo 22.48 - 15.8.2025 klo 04.19 välisenä aikana yhteensä 135.700,00 euron vahingon aiheuttaneet tilisiirrot. Asiakkaan verkkopankkitunnukset suljettiin 15.8.2025 klo 16.21.

Asiakkaan valitus

Asiakas pyytää, että Fine suosittaa pankkia korvaamaan asiakkaan menetykset, yhteensä 135.700 euroa täysimääräisesti, lukuun ottamatta 50 euron omavastuuosuutta.

Tapahtumat kootusti

Asiakas on pian 84-vuotias eläkeläinen. Hän oli 13.8.2025 ryhtynyt kirjautumaan OmaKantaan tabletillaan. Asiakas oli kirjautunut OmaKantaan samalla tavalla kuin aina, eli hän oli kirjoittanut OmaKannan osoitteen selaimen osoiteriville. Sivusto oli näyttänyt samanlaiselle kuin aina ja asiakas oli painanut kirjautumiseen vievää painiketta. Kirjautumissivulle aukeni tuttu valikko tunnistautumisvaihtoehtoja ja asiakas valitsi pankin. Asiakas syötti käyttäjätunnuksensa ja salasanansa auenneeseen tunnistautumisikkunaan ja lähetti normaalisti tunnistamispyynnön pankin ID-sovellukseen.

Asiakas käyttää pankin ID-sovelluksessa kasvojen tunnistusta, eli Face-ID:tä. Sovelluksen aktivoituessa Face-ID -ominaisuus aktivoitui, tunnisti asiakkaan ja asiakkaan liu'utettua hyväksymispalkkia oikealle, sovellus hyväksyi kirjautumisen.

Pankki on vastauksessaan asiakkaan reklamaation väittänyt, että ID-sovelluksessa olisi näkynyt teksti, joka olisi ilmoittanut uuden pankin ID-sovelluksen aktivoimisesta, mutta Face-ID:n aktivoituessa mahdollinen tällainen teksti on peittynyt vähintään osittain Face-ID -näkymän alle.

Kun asiaa on selvitetty asiakkaan sukulaisten toimesta, on havaittu asiakkaan internetselaimen historiasta, että kirjautuminen oli tapahtunut kello 18.42. Tapahtumapäivänä yöllä asiakas huomasi saaneensa klo 18.43 pankilta puhelimeensa englanninkielisen tekstiviestin. Asiakas ei reagoinut viestin, koska piti sitä roskapostina.

Kaksi päivää myöhemmin, 15.8.2025 hieman ennen klo 16 asiakas sai soiton pankilta ja puhelussa virkailija tiedusteli, että onko asiakas maksamassa osakeyhtiönsä tililtä 19.000 euron suoritusta ulkomaille. Puhelun aikana ilmeni, että asiakkaan tileiltä oli siirretty rahaa 76.000 euroa, 38 kertaa 2.000 euroa. Virkailija ilmoitti sulkevansa asiakkaan tilit. Asiakkaalle kerrottiin 18.8.2025 tapaamisessa konttorissa, että asiakkaan tileiltä oli kaikkineen siirretty rahaa 135.700 euroa.

Asiakkaalle on sittemmin ilmennyt, että hän oli jotenkin päätynyt huijaussivustolle ja sitä kautta hänen pankkitunnuksensa oli onnistuttu anastamaan ja luvattomat siirrot suorittamaan. Asiakas ei ole antanut suostumustaan siirroille.

Pankin vastuusta

Pankkeja velvoittaa laaja lainsäädäntö ja pankkien on tunnettava asiakkaansa. Pankkien on selvitettävä asiakkaittensa varallisuuden lähde, tilillä liikkuvien rahojen keskimääräinen euromäärä ja pankkien on rahanpesun estämistä koskevan lainsäädännön nojalla seurattava asiakkaittensa toimintaa. Pankin on seurattava asiakkaittensa tililiikennettä ja puututtava sellaisiin tilitapahtumiin, jotka poikkeavat asiakkaan normaalista maksukäyttäytymisestä. Pankki ei ole selittänyt, miten on mahdollista, että asiakkaan pankkitilit on usean päivän aikana käytännössä tyhjennetty ulkomaille ilman, että pankki on havainnut asiaa tai puuttunut asiaan. Asiakkaan luotollinen tili oli tyhjennetty luottorajaan asti.

Asiakas ei tee maksuja ulkomaille, ei ole tehnyt vuosikausiin. Asiakas ei ylipäänsä tee suuria, tuhansien eurojen maksuja eikä käytä private banking-tilinsä luotto-ominaisuutta tyhjäksi. Erittäin poikkeuksellinen liikenne tileillä on kestänyt lähes kaksi päivää, eikä yksikään pankin järjestelmä ollut varoittanut ennen kuin huijarit olivat yrittäneet ryhtyä tyhjentämään asiakkaan yritystiliä.

Mikäli rahat ovat päätyneet eteenpäin kotimaan maksuina Paytrailin kautta, kuten pankki esittää, asiakas on aiempaakin enemmän hämillään siitä, että rahoja ei ole saatu palautettua. Tietojenvaihto kotimaisten pankkien ja maksupalveluntarjoajien välillä lienee kuitenkin nopeaa ja saumatonta, ja lienee varsin vähällä vaivalla selvitettävissä kunkin maksunsaajatahon pankki ja sitä myöten sen tahon henkilöllisyys, jolle varoja on Paytrailin kautta päätynyt.

Asiakkaalla oli ollut myös niin sanottu turvatili käytössään. Hän oli mieltänyt tilin olevan tavallista tiliä turvallisempi vaihtoehto. Pankin sivujen mukaan turvatiliksi nimetty tili on todellisuudessa korollinen säästötili. On harhaanjohtavaa pankilta nimetä korollinen säästötili turvatiliksi, mikä antaa erityisesti iäkkäille asiakkaille mielikuvan siitä, että asiakkaan rahat ovat tavallista tiliä paremmassa turvassa, mikä ei pidä paikkansa.

Asiakas kokee, että pankki ohittaa asiassa täysin oman vastuunsa. Asiakas on luovuttanut varallisuutensa ja yrityksensä varallisuuden pankin hallinoitavaksi. Pankki ei ole täyttänyt sitä koskevan sääntelyn mukaisia velvoitteita asiakkaansa tuntemista, kun pankki ei ole seurannut sääntelyn vaatimalla huolellisuudella asiakkaan tilien rahaliikennettä ja puuttunut ajoissa tileillä tapahtuneeseen rikolliseen toimintaan.

Pankki on myös lähettänyt asiakkaalle tilanteessa tulleen ainoan tekstiviestin englannin kielellä, vaikka englanti ei ole asiakkaan asiointikieli tai äidinkieli.

Todettakoon, että asiakkaan tapauksen jälkeen pankki on sittemmin vaihtanut tapaa, jolla uuden ID-sovelluksen voi asentaa uudelle laitteelle, eli asiakkaan tapaus tai mahdollisesti rykelmä samankaltaisia tapauksia on saanut pankin huomaamaan järjestelmäpuutteen.

On toki selvää, että pankin vastuu ja vastuun laiminlyönti on arvioitava erikseen asiakkaan toiminnasta, mutta sitä ei voi ohittaa asiassa. Ei ole niin, että vain asiakkaan toiminnalla on merkitystä vastuunjaon kannalta ja pankin toiminnalla tai laiminlyönneillä ei olisi arvioinnissa lainkaan merkitystä.

Asiakkaan oma toiminta ja huolellisuus

Asiakkaan toimintaa ei voida katsoa laissa ja Finen käytännössä tarkoitetulla tavalla törkeän huolimattomaksi. Maksupalveludirektiivin (2015/2366/EU) johdanto-osassa todetaan, että maksupalvelun käyttäjän huolimattomuuden tai törkeän huolimattomuuden arvioimisessa olisi otettava huomioon kaikki olosuhteet. Törkeään huolimattomuuteen kuuluu merkittävä määrä piittaamattomuutta. KKO:n ratkaisukäytännössä törkeänä huolimattomuutena on pidetty sellaista toimintaa, joka on ollut lähellä tahallista menettelyä. Tahallisessa menettelyssä toiminnan seurauksia pidetään varmana tai niihin suhtaudutaan täysin välinpitämättömästi ja sellaisesta ei ole asiakkaan tapauksessa kysymys.

Asiakkaan toiminnassa ei ole mitään sellaista, joka olisi katsottavissa piittaamattomaksi, saati merkittäväksi piittaamattomuudeksi tai tahallisuudeksi. Asiakas on hakeutunut OmaKantaan selaimen osoiteriville osoitteen kirjoittamalla, ei esimerkiksi hakukoneen kautta — joskin hakukoneenkaan kautta vahvaa tunnistautumista vaativaan palveluun hakeutumista ei ole Finen käytännössä pidetty huolimattomana toimintana. Asiakas ei ole hakeutunut sivuille sähköpostilla tai muutoin saamansa linkin kautta eikä kukaan ole kysynyt häneltä tietoja viestillä, sähköpostilla tai puhelimella.

Asiakkaan näkökulmasta asiointitilanne oli tavanomainen, eikä hän havainnut poikkeuksia. Asiakas ei olisi kirjautunut, jos olisi huomannut sivuston ulkoasussa tai kirjautumisen polussa jotain poikkeuksellista. Hänelle kirjautumissivu näytti tutulle.

Asiakas on noudattanut pankin ohjeita eikä hän ole luovuttanut tunnuksiaan. Asiakas on todennäköisesti päätynyt hyvin tehdyille huijaussivustolle, vaikka hän ei ole seurannut mitään linkkejä eikä käyttänyt hakukonetta.

Kirjautumispainikkeesta aukeni asiakkaan havaintojen mukaan normaalin näköinen valikko, josta sai valittua haluamansa vahvan tunnistautumisen tavan, ja asiakas valitsi pankin. Valinnan jälkeen aukesi tavanomaisen näköinen pankin kirjautumissivu, johon syötetään käyttäjätunnus ja salasana. Näiden syöttämisen jälkeen sivusto aukeni seuraavaan kirjautumisvaiheeseen, jossa sivusto ilmoittaa lähettävänsä tunnistuspyynnön pankin ID-sovellukseen.

Asiakkaalla on ollut tapahtumahetkellä käytössä pankin tunnistussovellus kasvojentunnuksella. Tapahtuma-aikana kasvojentunnistusnäkymä on auennut siten, että se on osittain peittänyt sovelluksen niin sanotun etusivun ja mahdollisen varoitustekstin, eli asiakas ei ole havainnut mahdollista varoitustekstiä toisen ID-sovelluksen asentamisesta. Asiakas avasi pankin ID-sovelluksen tunnistuspyynnön lähetettyään ja liu'utti hyväksymispalkkia oikealle. Sovelluksen niin sanottu etusivu jäi tässä vaiheessa vähintään osittain piiloon, kun kasvojentunnistusnäkymä aukeni sen päälle, eikä asiakas sen vuoksi ollut havainnut mahdollista selitetekstiä sovelluksessa. Mahdollinen teksti ei enää näkynyt siinä vaiheessa, kun kasvojentunnistus oli valmis. Asiakas ei ole toiminut piittaamattomasti missään vaiheessa kirjautumisprosessia.

Asiakkaan sukulaiset ovat tehneet pankin tunnistussovelluksen testiasennuksia tapahtuman jälkeen sekä myöhemmin ja havainneet, että ainakin 9.10.2025 alkaen sovellus on voitu asentaa uuteen laitteeseen vain vaihtuva QR-koodi vanhalla laitteella lukemalla tai kuusinumeroisella pin-koodilla, joka tulee tekstiviestitse puhelimeen. Aikaisemmin, eli asiakkaan tilanteessa elokuussa 2025, sovellus on voitu asentaa myös vanhan sovelluksen kasvojentunnistusominaisuutta käyttämällä.

Uusi malli edellyttää uuden ja vanhan laitteen läheisyyttä, mikäli tunnistustavaksi valitaan pankin tunnistussovellus, kun uuden laitteen QR-koodi on luettava vanhan laitteen sovelluksella. Asiakkaalle tämä näyttäytyy siten, että ID-sovelluksen asennuksessa on huomattu tietoturvapuute, joka on korjattu.

Finen käytännössä on katsottu, että asiakkaan tulee lähtökohtaisesti perehtyä pankin viesteihin. Fine on kuitenkin katsonut, että viesteihin ei tarvitse perehtyä välittömästi, eli ei ole edellytetty henkilöiden olevan jatkuvasti puhelimen äärellä. Fine on edelleen useassa ratkaisussaan, kuten ratkaisuissa FINE-059980 ja FINE-068/227 kritisoinut pankkien lähettämien viestien, erityisesti tekstiviestien sisällön informaatioarvoa.

Asiakkaan tapauksessa pankilta tulleen viestin informaatioarvon puute on varsin ilmeinen. Viestistä ei ilmene, että pankin tunnistussovellus olisi juuri aktivoitu ja ladattu toiselle laitteelle, eikä viestistä ilmene, että tunnistussovellus on nyt lakannut toimimasta asiakkaan nykyisellä laitteella. Viestistä ei ilmene, että jollekin toiselle laitteelle ladattu sovellus korvaa asiakkaan nykyisen sovelluksen, eikä viestistä ilmene, että toisella laitteella pystytään nyt vahvistamaan asiakkaan maksuja. Viestissä ei ole myöskään puhelinnumeroa, johon olla yhteydessä, mikäli tilanne näin vaatisi. Pankin viestinnän puutteellisuus ja epäinformatiivisuus ei ole asiakkaan syyksi lankeava seikka.

Asiakas kyllä havaitsi tekstiviestin myöhemmin samana iltana sen saavuttua, mutta koska viesti oli englanninkielinen, asiakkaan asiointikieli on suomi ja kaikki pankin aiemmat viestit ovat saapuneet asiakkaalle suomen kielellä, hän piti sitä roskapostina. On yleisesti tiedossa, että huijausviestit ovat yleensä joko englanniksi tai huonolla suomen kielellä ja ne voivat saapua samaan viestiketjuun oikean lähettäjän viestien sekaan. Viesti ei myöskään sisältänyt mitään tunnuskoodia, joten asiakkaan tilanne ei vertaannu esimerkiksi Finen ratkaisuihin, joissa asiakas oli syöttänyt englanniksi saapuneessa viestissä olleen tunnuskoodin huijaussivustolle. Pankilta ei saapunut mitään muita viestejä tapahtumaan liittyen.

Asiakas ei ole mieltänyt viestin tulleen aidosti pankilta, joten hänellä ei ole ollut syytä tarkistaa asiaa pankilta. Hän ei myöskään ole mieltänyt viestin asiayhteyttä aiempaan OmaKanta-kirjautumiseen, sillä hän huomasi viestin vasta tuntien päästä, ja viesti oli eri kielellä kuin hänen asiointikielensä pankin kanssa on ollut. Finen ratkaisukäytännössä ei ole edellytetty, että asiakas olisi pankkiasioinnin jälkeen tai asioinnin yhteydessä jatkuvasti puhelimensa äärellä.

Pankki on vastineessaan viitannut Finen ratkaisukäytännön tapauksiin, jossa asiakas on saanut jonkin koodin pankin vieraskielisten viestien mukana ja käyttänyt kyseistä koodia. Tapaukset eivät sovellu asiakkaan tilanteeseen, sillä hän ei ole saanut viestissä mitään koodia tai linkkiä.

Pankin vastineesta on ymmärrettävissä, että pankki kritisoi asiakkaan toimintaa niiltä osin, kun hän ei ole kirjautunut verkkopankkiinsa 14.-15.8.2025 välisenä aikana ja huomannut luvattomia siirtoja, ja että asiakas ei ole vastannut 14.8.2025 pankin lähettämään sähköpostiin. Asiakas on 84-vuotias eläkeläinen, jolla oli ennen tapahtumaa varsin hyvä taloudellinen tilanne tileillään. Hänen ei ole tarvinnut käydä tarkistelemassa tiliensä saldoa säännöllisesti. Pankki ei sähköisen asioinnin ehdoissaan myöskään edellytä tällaista toimintaa asiakkaalta. Asiakas ei myöskään tarkastele sähköpostiaan päivittäin, jos hän ei odota viestiä. Asiakas ei odottanut pankin viestiä, koska hänellä ei ollut mitään syytä odottaa sellaista. Hän ei tiennyt, että hänen pankkitunnuksensa olivat päätyneet huijareiden haltuun 13.8.2025. Hän huomasi pankin sähköpostin 15.8.2025, jonka jälkeen kortit saatiin suljettua. Asiakas ei ole tapahtuneen jälkeen toiminut huolimattomasti, vaan hän on heti ollut yhteydessä pankkiin huomattuaan heidän sähköpostinsa 15.8.2025.

Asiakas ei ole toiminut piittaamattomasti, saati törkeän huolimattomasti missään vaiheessa. Pankki tulee suosittaa korvaamaan asiakkaan menetykset omavastuuta lukuun ottamatta.

Pankin vastine

Pankki kiistää asiakkaan korvausvaatimuksen.

Reklamoidut tilisiirrot on tehty 14.8.2025 klo 22.48-15.8.2025 klo 04.19 välisenä aikana vastaanottajalle Paytrail Oyj ja ovat yhteensä 135.700 euroa. Asiakkaan tilisiirrot on hyväksytty vahvalla sähköisellä tunnistamisella. Pankin myöntämät pankkitunnukset ovat maksupalvelulain 8 §:ssä (Määritelmät) kohdassa 11 tarkoitettu maksuväline. Pankki viittaa maksupalvelulain 53 §:än ja pankin sähköisen asioinnin ehtoihin.

Pankin selvityksen perusteella asiakkaan tiedoissa näkyy uusi iPhone-niminen laite, joka on otettu käyttöön 13.8.2025 kello 18:43. Pankin ID-sovelluksen käyttöönotto uudella laitteella tapahtuu seuraavasti: Kun sovellus on ladattu laitteelle sovelluskaupasta, tunnistautumiseen valitaan joko pankin pankkitunnukset tai muut suomalaiset pankkitunnukset. Sovellukseen syötetään pankkitunnusten käyttäjätunnus ja salasana. Tämän jälkeen valitaan haluttu tunnistustapa; joko SMS, pankin ID toisessa puhelimessa tai tunnuslukulaite. Kun näistä tunnistustavoista valitaan pankin ID-sovellus toisessa laitteessa, tulee pankin ID-sovellus olla aktiivisena toisessa laitteessa.

Asiakas on oikeassa siinä, että pankin ID-sovelluksen aktivointiin on myöhemmin syksyllä 2025 lisätty edellytys QR-koodin lukemisesta asiakkaan vanhalla ID-laitteella. Tämä ei kuitenkaan liity mitenkään kasvojentunnistuksen käyttöön tai asiakkaan tapaukseen, vaan on osa pankin tekemää yleistä kehitystyötä pankin asiakkaita suojelevien kontrollien lisäämiseksi.

Kun huijari on valinnut tunnistustavaksi pankin ID-sovelluksen toisessa (eli asiakkaan omassa) laitteessa, asiakkaan omalla pankin ID-tunnistusnäytöllä on aktivoinnin yhteydessä näkynyt seuraava teksti:

Tämän jälkeen asiakkaalle on lähetetty 13.8.2025 klo 18:43 tekstiviesti, joka on sisältänyt tiedon onnistuneesta pankin ID-sovelluksen latauksesta:

"Great news, you've successfully activated [pankki] ID. If you're not the one trying to activate [pankki] ID and you have received this message, please contact us immediately. SMSID:xxxxxx"

Asiakkaan omalla pankin ID-tunnistusnäytöllä on siis näkynyt tieto, että asiakas on hyväksymässä pankin ID:n käyttöönoton uudessa laitteessa. Mikäli asiakas ei ole itse ollut ottamassa pankin ID-sovellusta käyttöön uudella laitteella, häntä on pyydetty hylkäämään pyyntö ja olemaan välittömästi yhteydessä pankkiin. Tätä on seurannut asiakkaan omaan puhelinnumeroon lähetetty viesti pankin ID-sovelluksen onnistuneesta käyttöönotosta toisella laitteella.

Asiakas kertoo, että hänellä on ollut tapahtumahetkellä käytössä pankin ID-sovellus kasvojentunnistuksella, eli sovelluksella eri kirjautumistapahtumia hyväksyessä puhelimen kamera on aktivoitunut ja tunnistanut asiakkaan kasvot. Hän väittää lisäksi, että tapahtuma-aikana kasvojentunnistusnäkymä on auennut siten, että se on osittain peittänyt sovelluksen niin sanotun etusivun ja mahdollisen varoitustekstin, eli hän ei ole havainnut mahdollista varoitustekstiä toisen ID-sovelluksen asentamisesta.

Pankin ID-sovelluksen kasvojentunnistus ainoastaan avaa sovelluksen, mutta ei itsessään hyväksy mitään. Kasvojentunnistuksesta ei pankin ID:Ile kirjautuessa tule koko näytön peittävää pop-uppia, eli se ei peitä varoitustekstejä. Varoitustekstit näkyvät näytöllä, jossa pyyntö hyväksytään liukupainikkeella, ja tähän päästäkseen on pitänyt jo käyttää kasvojentunnistusta. Näytön ylälaidassa näkyy hetkellisesti kasvojentunnistuksen "OK" symboli, mutta se poistuu näytöltä nopeasti (n. sekunnissa) eikä se peitä koko näyttöä. Kun uusi laite on hyväksytty, antaa ID-sovellus vielä varoitusilmoituksen, jossa kerrotaan, että pankin ID on otettu käyttöön uudella laitteella. Lisäksi asiakkaalle on lähetetty uuden pankin ID-sovelluksen aktivoimisesta ilmoitus tekstiviestillä.

Pankin ID-sovelluksen tarkoitus on nimenomaan tapahtumien hyväksyminen, mikä on asiakkaan tiedossa. Sovelluksessa näkyvä viesti ilmaisee yksiselitteisesti, että asiakasta pyydetään hyväksymään ID-sovelluksen käyttöönotto uudessa laitteessa. Viesti ei jätä tulkinnanvaraa sen suhteen, mitä toimenpidettä asiakas on liukupainikkeella hyväksymässä. Lisäksi sovelluksessa näkyvä teksti ilmoittaa nimenomaisesti, että hyväksyntä johtaa sovelluksen poistumiseen käytöstä asiakkaan omalla laitteella. Nämä kaksi ilmaisua yhdessä kertovat selkeästi ja yksiselitteisesti, että toiselle laitteelle ladattu sovellus korvaa asiakkaan nykyisen sovelluksen. Hyväksyntä sovelluksen käyttöönottoon uudessa laitteessa ei voi tarkoittaa mitään muuta kuin sitä, että sovellusta tullaan käyttämään kyseisessä uudessa laitteessa hyväksynnän jälkeen. Koska asiakas ei ole itse tarkoittanut päättää ID:n käyttöä omalla laitteellaan, on ilmeistä, ettei hän ole lukenut sovelluksen varoitustekstejä riittävällä huolellisuudella ennen toimenpiteen hyväksymistä.

Asiakkaan tulee ymmärtää, että ID-sovelluksella voidaan tunnistautumisen lisäksi hyväksyä maksuja, jolloin sovelluksen käyttöönotto uudessa laitteessa merkitsee väistämättä myös sitä, että kyseisellä laitteella voidaan vahvistaa asiakkaan maksuja. Tämä on pankkitunnusten perusluonteeseen kuuluva ominaisuus, josta asiakkaan voidaan edellyttää olevan tietoinen. Joka tapauksessa sovelluksessa näkyvä nimenomainen varoitus on sanamuodoltaan yksiselitteinen kehotus olla hyväksymättä pyyntöä tilanteessa, jossa asiakas ei ole itse käynnistänyt laitteen vaihtoa. Varoitusteksti on suunniteltu nimenomaan estämään tämänkaltaiset väärinkäytöstilanteet, ja sen noudattaminen olisi estänyt vahingon syntymisen. Pankki katsoo, että asiakas on laiminlyönyt velvollisuutensa tutustua huolellisesti hyväksymänsä toimenpiteen sisältöön, vaikka sovelluksen varoitustekstit ovat olleet selkeitä ja yksiselitteisiä.

Asiakkaalle tekstiviestitse lähetetty ilmoitus onnistuneesta pankin ID-sovelluksen latauksesta on ollut englannin kielellä, koska huijarin laitteessa sovelluksen kieleksi oli valittu englanti. Kun kyse on puhelimen sovelluksesta, jossa asiakas itse pystyy puhelimessaan kielen määrittämään, lähtee sovelluksesta myös tekstiviesti sillä kielellä, mikä sovellukseen on valittu.

Mikäli asiakas vastaanottaa pankilta viestin eri kielellä kuin mistä on pankin kanssa sopinut, on erittäin tärkeää keskeyttää asiointi ja varmistaa viestin sisältö sekä aiheellisuus. Viestissä on pyydetty asiakasta olemaan välittömästi yhteydessä pankkiin, mikäli hän ei ole ollut aktivoimassa pankin ID-sovellusta. Asiakas ei kertomansa mukaan reagoinut viestiin, koska piti sitä roskapostina. Pankin näkemyksen mukaan juuri tämän havainnon olisi kuitenkin pitänyt johtaa päinvastaiseen toimintaan kuin viestin sivuuttamiseen.

Pankin lähettämä tekstiviesti pankin ID-sovelluksen onnistuneesta latauksesta on lähetetty samaan viestiketjuun aikaisempien suomenkielisten viestien kanssa pankin tiedossa olleeseen asiakkaan puhelinnumeroon, koska kyseessä on ollut asiakkaan henkilökohtaisilla pankkitunnuksilla ja hänen tiedoilla tehty pankin ID-sovelluksen lataus uudelle laitteelle. Pankki katsoo, että mikäli asiakas vastaanottaa pankilta omasta asiointikielestä poikkeavasti englanninkielisen tekstiviestin, olisi tämän nimenomaan pitänyt herättää epäily siitä, että jotain poikkeavaa on tapahtumassa. Englanninkielisen viestin osalta pankki viittaa myös Pankkilautakunnan ratkaisukäytäntöön koskien sovitusta ja tavanomaisesti käytetystä asiointikielestä poikkeavalla kielellä tulleisiin viesteihin. Lautakunta on ratkaisukäytännössään katsonut, että mikäli asiakas ei kielimuurin vuoksi ymmärrä tai voi olla varma, mihin esimerkiksi pankin tekstiviestitse toimittama koodi on tarkoitettu, tulisi hänen huolellisesti toimiessaan keskeyttää asiointinsa ja olla esimerkiksi yhteydessä pankkiinsa varmistuakseen menettelyn tarkoituksesta ja asianmukaisuudesta. Mikäli asiakas olisi toiminut viestissä olleiden ohjeiden mukaisesti ja ottanut yhteyttä pankkiinsa tiedustellakseen menettelyn asianmukaisuutta, olisi tapauksessa pankkitunnusten oikeudettomasta käytöstä aiheutuneelta vahingolta voitu välttyä.

Pankki viittaa maksupalvelulain 54 §:n 1 momenttiin. Huijaustapaukset ovat käyneet ilmi, kun pankki on ollut yhteydessä asiakkaaseen yritystilin maksutapahtumiin liittyen. Asiakkaan henkilökohtaiselta tililtä tehtyjen siirtojen lisäksi huijarit yrittivät tehdä asiakkaan yrityksen tililtä 10,00 EUR tilisiirtoa, joka kuitenkin pysähtyi manuaaliseen maksuntarkistukseen ja asiakkaaseen oltiin yhteydessä sähköpostitse asiakkaan osoitteeseen maksun tarkoituksen vahvistamiseksi 14.8.2025. Asiakas ei vastannut maksuntarkistusviestiin.

Seuraavana päivänä, 15.8.2025, huijarit yrittivät tehdä yrityksen tililtä pikasiirtoa 19.850,00 euroa, joka kuitenkin hylkääntyi, sillä saajan pankkiin ei voi lähettää kotimaan pikasiirtoja. Pikasiirron hylkäyksestä lähetettiin 15.8.2025 klo 12.15 Clearing-tiimistä asiakkaalle sähköposti, johon asiakas vastasi klo 15.30 kertomalla, ettei tunnista siirtoa. Tämän jälkeen huijaustapahtumat tulivat ilmi. Asiakkaan verkkopankkitunnukset suljettiin 15.8.2025 klo 16.21. Myös asiakkaan maksukortit suljettiin klo 16.32, klo 16.32 sekä klo 16.33.

Asiakkaan vastineessa puhutaan siitä, että pankki ole havainnut lukuisia ulkomaanmaksuja. Tämän osalta pankki haluaa selventää, että asiakkaan huijaustapauksessa kaikki reklamoidut tilisiirrot ovat kotimaanmaksuja. Kyse ei siis ole ulkomaanmaksuista lukuisille saajille. Reklamoidut tilisiirrot ovat 1.700-2.000 euron yksittäissiirtoja Paytrailin tilille. Kun huijaustapaus kävi ilmi, pankki teki huijauksen yhteydessä läpimenneistä maksuista 15.8.2025 palautuspyynnöt, joiden myötä asiakkaalle onnistuttiin palauttamaan 2.000 euroa. Loput varoista eivät olleet enää palautettavissa.

Asiakkaan puolelta on myös kyseenalaistettu pankin kontrollien toimivuus ja asiakkaan rahaliikenteen seuranta sääntelyn edellyttämällä tavalla. Pankissa käytetään useita erilaisia kontrolleja, rajoituksia ja järjestelmiä, joilla suojellaan asiakkaita petolliselta toiminnalta. Tämän tarkemmin pankki ei valitettavasti voi avata riskienhallinnallisia menetelmiään. Maksupalvelusääntelyn perusteella pankeilla on oltava käytössään maksutapahtumien valvontamekanismit, joiden avulla ne voivat havaita oikeudettomat ja petolliset maksutapahtumat. Pankki viittaa Pankkilautakunnan vakiintuneeseen ratkaisukäytäntöön, jossa on jo vakiintuneesti todettu, ettei tällä velvollisuudella kuitenkaan ole suoraa vaikutusta pankin ja asiakkaan väliseen vastuunjakoon maksuvälineen oikeudettoman käytön osalta. Lautakunta on ratkaisukäytännössään katsonut, että pankki ei ole velvollinen korvaamaan asiakkaalle aiheutunutta vahinkoa yksinomaan sillä perusteella, ettei se ole estänyt ko. oikeudettomia tilisiirtoja niiden tekohetkellä.

Jotta huijari on päässyt tekemään asiakkaan reklamoimat tilisiirrot, asiakkaan on tullut luovuttaa henkilökohtaiset verkkopankkitunnuksensa (käyttäjätunnus ja salasana) huijareille. Pankin ID-sovelluksen aktivoiminen huijarin laitteella on lisäksi hyväksytty asiakkaan omalla laitteella olevalla pankin ID-sovelluksella. Asiakas on hyväksynyt pankin ID-sovelluksen aktivoinnin uudessa laitteessa, vaikka hänen omalla laitteellaan on näkynyt varoitus. Asiakas on jättänyt reagoimatta pankilta saapuneeseen englanninkieliseen tekstiviestiin pankin ID:n onnistuneesta aktivoinnista, jossa asiakasta kehotettiin olemaan välittömästi yhteydessä pankkiin, mikäli hän ei itse ollut aktivoimassa sovellusta. Asiakkaan vastineen mukaan hän piti viestiä "roskapostina/huijausyrityksenä", mutta ei ottanut yhteyttä pankkiin asian varmistamiseksi, vaikka viesti koski hänen pankkitunnuksiaan ja saapui samaan viestiketjuun pankin aiempien viestien kanssa. Pankki pitää merkittävänä sitä, ettei asiakas ollut pankkiin yhteydessä saatuaan omasta asiointikielestään poikkeavalla kielellä lähetetyn varoitusviestin.

Asiakas ei ollut itse pankkiin yhteydessä 13.8.2025-15.8.2025 välisenä aikana, vaan huijaustapahtumat tulivat lopulta ilmi pankin ollessa yhteydessä asiakkaaseen.

Pankki on arvioinut asiakkaan menettelyä tilanteessa ja edellä esitettyjen seikkojen perusteella pankki katsoo, että asiakkaan menettely kokonaisuutena osoittaa maksupalvelulaissa tarkoitettua törkeää huolimattomuutta. Pankki katsoo asiakkaan sen vuoksi vastaavan täysimääräisesti maksuvälineensä oikeudettomasta käytöstä aiheutuneesta vahingosta.

Selvitykset

Valitusta koskevan osapuolten kirjelmöinnin lisäksi lautakunnalle on toimitettu mm. seuraavat asiakirjat:
- Tiliote
- Asiakkaan kuvaus kuvakaappauksin pankin tunnistussovelluksen aktivointimenettelystä ja siihen tehdystä muutoksesta.

Ratkaisusuositus

Kysymyksenasettelu

Asiakkaan ja pankin välisen vastuunjaon ratkaisemiseksi Pankkilautakunnan on arvioitava, onko asiakkaan pankkitunnusten oikeudeton käyttö johtunut siitä, että asiakas on huolimattomuudestaan laiminlyönyt lain 53 § 1 momentin mukaisia velvollisuuksiaan, sekä minkä asteista asiakkaan mahdollinen huolimattomuus on ollut. Siinä tapauksessa, että vastuu rikollisista maksutapahtumista olisi jäämässä asiakkaalle, asiassa tulee vielä arvioitavaksi, vastaako pankki asiakkaalle oikeudettomista maksuista aiheutuneesta vahingosta sillä perusteella, että pankki olisi laiminlyönyt velvollisuuksiaan havaita ja estää petolliset maksut.

Sovellettavat lainkohdat ja sopimusehdot

Maksupalvelulain 53 §:n 1 momentin mukaan

Maksuvälineen haltijan on käytettävä maksuvälinettä sen myöntämistä ja käyttöä koskevien ehtojen mukaisesti. Erityisesti hänen on kohtuullisin toimenpitein huolehdittava maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista. Maksuvälineen myöntämistä ja käyttöä koskevat ehdot eivät saa olla perusteettomia, kohtuuttomia tai syrjiviä.

Maksupalvelulain 62 §:n mukaan

Maksupalvelun käyttäjä, joka on tehnyt maksuvälinettä koskevan sopimuksen palveluntarjoajan kanssa, vastaa kadonneen tai oikeudettomasti toisen haltuun joutuneen maksuvälineen käytöstä tai muusta maksuvälineen oikeudettomasta käytöstä vain, jos oikeudeton käyttö johtuu siitä, että hän tai muu maksuvälineen haltija on:
1) luovuttanut maksuvälineen sen käyttöön oikeudettomalle;
2) huolimattomuudesta laiminlyönyt 53 §:n 1 momentin mukaiset velvollisuutensa; taikka
3) laiminlyönyt ilman aiheetonta viivytystä ilmoittaa palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.
Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä 1 momentin 2 ja 3 kohdassa tarkoitetuissa tapauksissa on enintään 50 euroa. Tätä rajoitusta ei sovelleta, jos maksupalvelun käyttäjä tai muu maksuvälineen haltija on toiminut tahallisesti tai törkeän huolimattomasti.
Maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä:
1) siltä osin kuin maksuvälinettä on käytetty sen jälkeen, kun palveluntarjoajalle tai sen nimeämälle muulle taholle on ilmoitettu maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä;
2) jos palveluntarjoaja on laiminlyönyt huolehtia siitä, että maksuvälineen haltijalla on mahdollisuus tehdä milloin tahansa 1 kohdassa tarkoitettu ilmoitus;
3) jos maksunsaaja ei ole maksuvälinettä käytettäessä asianmukaisesti varmistunut maksajan oikeudesta käyttää maksuvälinettä; tai
4) jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.
Sen estämättä, mitä 3 momentissa säädetään, maksupalvelun käyttäjä on vastuussa maksuvälineen oikeudettomasta käytöstä, jos hän tai muu maksuvälineen haltija on tahallaan tehnyt väärän ilmoituksen tai toiminut muuten petollisesti.

Maksupalvelulain 63 §:n 1 momentin mukaan

Jos maksutapahtuma on toteutettu oikeudettomasti eikä 62 §:stä muuta johdu, palveluntarjoajan, jonka asiakkaan varoja on käytetty maksutapahtuman toteuttamiseen, on välittömästi ja viimeistään seuraavana työpäivänä siitä, kun se havaitsi maksutapahtuman tai sille ilmoitettiin maksutapahtumasta, palautettava maksutapahtuman rahamäärä asiakkaalleen tai palautettava tämän maksutili siihen tilaan, jossa se olisi ollut ilman veloitusta.

Pankin Sähköisen asioinnin ehtojen (pankkitunnusehdot) kohta, joka koskee kuluttaja-asiaan vastuuta pankkitunnusten käytöstä maksuvälineenä, vastaa maksupalvelulain 62 §:n kuluttajan hyväksi pakottavia säännöksiä.

Pankkitunnusehtojen Sähköinen tunnistaminen ja sähköinen allekirjoitus -kohdan mukaan

[…] Tunniste on luonnollisen henkilön sähköisen tunnistamisen ja sähköisen allekirjoittamisen väline. […]

Pankkitunnusehtojen Tunnisteen säilyttäminen ja katoamisvastuu -kohdan mukaan

Tunnisteet ovat henkilökohtaiset, eikä niitä saa luovuttaa kolmannelle tai toisten henkilöiden, sovellusten tai palveluiden käyttöön. […]
Asiakas ja käyttäjä sitoutuvat säilyttämän Pankin hyväksymät tunnisteet niiden käyttöohjeiden mukaan huolellisesti niin, ettei sivullisen ole mahdollista saada niitä tietoonsa tai käyttää niitä.
[…]
Asiakas vastaa hallussaan olevien tunnistetietojen huolellisesta säilyttämisestä siten, että ne eivät joudu sivullisen tietoon. Pankki ei koskaan pyydä pankkitunnusten tietoja sähköpostilla tai muutoin, kun pankki ottaa asiakkaaseen tai käyttäjään yhteyttä. Tunnistetietoja ei koskaan saa antaa sähköpostilla tai puhelimella niitä kysyvälle, ei edes Pankille.
Asiakkaan tai käyttäjän on heti ilmoitettava Pankille, jos hän tietää tai epäilee, että pankkitunnusten salainen salasana, tunnistussovelluksella varustettu puhelin tai muu mobiililaite, tunnuslukulaite, pikatunnistuksella varustettu puhelin tai muu vastaava tunnistetietoa, jota voi käyttää väärin, on joutunut sivullisen tietoon tai haltuun.
[…]

Asian arviointi

Tapahtumienkulku

Pankki on tapauksessa esittänyt teknisen selvityksen tapahtumista ja siitä, mitä asiakkaan nimissä olevan pankin tunnistussovelluksen käyttöönotto rikollisten laitteelle on edellyttänyt. Pankkilautakunnalla ei ole syytä epäillä pankin esittämän, pankin järjestelmätietoihin perustuvan selvityksen paikkansapitävyyttä.

Pankkilautakunta katsoo asiassa riidattomaksi, että kun asiakkaan tarkoituksena 13.8.2025 on ollut mennä Omakannan verkkosivuille, on hän päätynyt huomaamattaan rikollisten luomille valesivuille ja käyttänyt siellä pankkitunnuksiaan tunnistautuakseen viranomaisen palveluun. Valesivujen kautta saamillaan asiakkaan pankkitunnusten käyttäjätunnusta ja salasanaa käyttäen rikolliset ovat aloittaneet omalle laitteelleen lataamansa pankin tunnistussovelluksen käyttöönoton. Pankki on tämän johdosta lähettänyt asiakkaan puhelimessa olevaan pankin tunnistussovellukseen vahvistuspyynnön:

"Hyväksyntä [pankki] ID:n käyttöönottoon uudessa laitteessa
[pankki] ID ei ole enää rekisteröity ja käytettävissä tällä laitteella hyväksynnän jälkeen
Jos et ole itse pyytänyt laitteen vaihtoa, niin hylkää pyyntö ja ota välittömästi yhteyttä [pankkiin]"

Asiakas on hyväksynyt yo. vahvistuspyynnön tunnistussovelluksessaan, minkä seurauksena pankin tunnistussovellus on aktivoitunut rikollisten laitteella, ja pankki on tämän johdosta lähettänyt asiakkaalle klo 18:43 sovelluksen aktivoimisesta kertovan tekstiviestin:

Great news, you've successfully activated [pankki] ID.
If you're not the one trying to activate [pankki] ID and you have received this message, please contact us immediately.
Kind regards,[pankki]

Em. pankin tunnistussovellusta oikeudetta käyttäen rikolliset ovat tehneet ja vahvistaneet 14.8.2025 klo 22.48 - 15.8.2025 klo 04.19 välisenä aikana riidanalaiset yhteensä 135.700,00 euron vahingon aiheuttaneet tilisiirrot ennen asiakkaan verkkopankkitunnusten sulkemista 15.8.2025 klo 16.21.

Asiakkaan menettelyn arviointi

Pankkilautakunta katsoo asiassa saadun selvityksen perusteella, että asiakas on päätynyt rikollisten luomille viranomaisen verkkosivuilta näyttäville valesivuille todennäköisesti hakukoneen käyttämisen seurauksena.

Pankkitunnusehtojen mukaan asiakas sitoutuu säilyttämään tunnuksia niiden käyttöohjeiden mukaan huolellisesti niin, ettei sivullisen ole mahdollista saada niitä tietoonsa tai käyttää niitä. Ehdoissa ei kuitenkaan määritellä, kuinka asiakkaan olisi toimittava ulkopuolisen palveluntarjoajan sähköisiin palveluihin hakeututuessaan taikka käyttäessään niillä pankkitunnuksiaan tunnistautuakseen. Pankkilautakunta katsoo tämän lisäksi, ettei erilaisten verkkohuijausten yleistymisestä ja eri tahojen lisääntyneestä huijauksia koskevasta tiedottamisesta huolimatta yleiseen tietämykseen tapahtuma-aikana voida katsoa kuuluneen tietoa siitä, että pankkien verkkopalveluihin taikka viranomaisten tunnistautumista edellyttäviin palveluihin hakeutuminen hakukoneita käyttäen sisältäisi erityisiä turvallisuusriskejä tai ylipäänsä siitä, että rikolliset voivat saada rikollisiin tarkoituksiin luotuja verkkosivujaan hakukoneiden hakutuloksiin.

Pankkilautakunta katsookin, ettei asiakkaan voida asiassa saadun selvityksen perusteella katsoa huolimattomuudestaan laiminlyöneen maksupalvelulain tai pankkitunnusehtojen mukaisia velvollisuuksiaan hakeutuessaan viranomaisen verkkopalveluun ja käyttäessään siellä pankkitunnuksiaan näkemänsä ja käsittämänsä mukaisesti tunnusten tavanomaisessa ja niitä koskevien ehtojen mukaisessa käyttötarkoituksessa tunnistautuakseen viranomaisen palveluun.

Pankkilautakunta kuitenkin katsoo, että saatuaan tavanomaisesta tunnistautumistilanteesta poikkeavalla tavalla pankin tunnistussovellukseensa vahvistuspyynnön, joka on koskenut pankin tunnistussovelluksen käyttöönottoa uudessa laitteessa, asiakkaan olisi tullut kyseenalaistaa asiointinsa asianmukaisuus, ja jättää vahvistuspyyntö vahvistamatta. Mikäli asiakas olisi tuossa vaiheessa vahvistuspyynnössä olleen kehotuksen mukaisesti hylännyt vahvistuspyynnön ja ottanut yhteyttä pankkiin, olisi tapauksessa asiakkaan pankkitunnusten oikeudettomasta käytöstä aiheutuneelta vahingolta voitu välttyä. Näin ollen Pankkilautakunta katsoo asiakkaan huolimattomuudestaan laiminlyöneen maksupalvelulain 53 §:n 1 momentin ja pankkitunnusehtojen mukaisia velvollisuuksiaan huomattavaa varomattomuutta osoittavalla tavalla.

Pankkilautakunta on ratkaisukäytännössään katsonut huolelliselta pankkitunnustenhaltijalta edellytettäviin perusvaatimuksiin kuuluvan sen, että pankkitunnuksia käyttäessään hän lukee ja huomioi omassa toiminnassaan asiointinsa yhteydessä pankiltaan saamansa viestit ja vahvistuspyynnöt. Pankin vastuulla puolestaan on, että pankin asiakkaalle lähettämät viestit ja vahvistuspyynnöt ovat sisällöltään ymmärrettäviä siten, ettei huolelliselle pankkitunnustenhaltijalle pitäisi jäädä epäselväksi, missä tarkoituksessa esimerkiksi pankin viestissä ollutta koodia käytetään tai mitä häntä pyydetään pankin tunnistussovelluksella vahvistamaan.

Pankkilautakunta kiinnittääkin tässä tapauksessa erityistä huomiota pankin asiakkaalle lähettämän pankin tunnistussovelluksen vahvistuspyynnön suppeaan muotoiluun ja vähäiseen informaatioarvoon.

Tapahtuma-aikaan tämänkaltaiset verkkourkintatapaukset, joissa rikolliset uhreilta valesivujen kautta saamin tiedoin saavat käyttöönsä uhrin nimissä olevan pankin mobiilisovelluksen, olivat jo usean vuoden ajan olleet yleisiä, ja pankin olisi erityisesti tämän johdosta - pankkipalveluiden palveluntarjoajana ja väärinkäytöstilanteiden riskit asiakkaitaan paremmin tuntien - tullut parantaa tämänkaltaisissa tapauksissa usein ratkaisevassa asemassa olevien aktivointikoodi-tekstiviestiensä tai tunnistussovelluksensa vahvistuspyyntöjen sisältöä.

Edelleen lautakunta katsoo pankin mahdollisimman hyvän, asiakkaansa suuntaan tapahtuvan viestinnän merkityksen tällaisessa tapauksessa korostuvan uuden tunnistussovelluksen aktivoinnin/käyttöönoton vahvistamisen tapahtuessa pankin tunnistussovelluksessa sen sijaan, että sovelluksen aktivointi tehtäisiin pankin tekstiviestitse lähettämällä aktivointikoodilla. Tekstiviestitse lähetettävän aktivointikoodin tilanteessa toimenpide edellyttää asiakkaalta kuitenkin tunnistussovelluksella tehtävään vahvistamiseen verrattuna aktiivisempia toimia, joiden yhteydessä mahdollisen verkkourkinnan uhrilla on suurempi todennäköisyys huomata ristiriita pyydettyjen toimien ja käsittämänsä asioinnin välillä. Tunnistussovelluksessa annetun vahvistamisen jälkeen asiakkaan ei ole myöskään heti tapahtuneen jälkeen ja mahdollisen erehdyksensä havaittuaan mahdollista tarkistaa sovelluksesta, mitä tuli vahvistaneeksi, toisin kuin tilanteessa, jossa olisi erehtynyt syöttämään tekstiviestitse saamansa aktivointikoodin virheellisesti verkkosivuille.

Edellä todetusta huolimatta pankin ko. vahvistuspyyntö on tässä tapauksessa ollut suppea ja informaatioarvoltaan heikko, eikä pankki vahvistuspyynnössään varoita väärinkäytöksistä tai riskeistä pankkitunnusten väärinkäytön ja erehdyksessä tehdyn vahvistuksen seurausten suhteen. Pankki ei vahvistuspyynnössä myöskään mainitse, millä laitteella tai miten nimetylle laitteelle sovellusta ollaan ottamassa käyttöön, mikä voisi herättää tämänkaltaisen verkkourkinnan kohteeksi joutuneen pankin asiakkaan huomion. Vahvistuspyyntö ei lautakunnan käsityksen mukaan myöskään pituudeltaan olennaisesti poikkea vahvistuspyynnöstä, jonka pankki esittää sovelluksen käyttäjälle tämän tunnistautuessa ulkopuolisen palveluntarjoajan palveluun. Nämä huomattavat puutteet pankin tunnistussovelluksen vahvistuspyynnössä kohottavat olennaisesti riskiä sille, että pankin asiakas käyttäessään pankkitunnuksiaan rutiininomaisesti tavanomaisessa kirjautumis-/tunnistautumistilanteessa - mutta tosiasiassa rikollisten luomilla valesivuilla - ei huomaa pankilta saamansa vahvistuspyynnön eroavan tavanomaisesta kirjautumista koskevasta vahvistuspyynnöstä.

Pankkilautakunta katsookin tässä tapauksessa ilmeiseksi, että ollessaan käsityksensä mukaisesti kirjautumassa viranomaisen palveluun asiakas on sekoittanut pankiltaan tunnistussovellukseen saamansa vahvistuspyynnön tavanomaiseen tunnistautumista koskevaan vahvistuspyyntöön. Vaikka lautakunta katsookin tämän olleen seurausta siitä, että asiakas ei ole huolelliselta pankkitunnustenhaltijalta edellytettävällä tavalla tutustunut vahvistuspyynnön sisältöön, lautakunta pitää tunnistussovellukseen tulleen vahvistuspyynnön puutteet huomioon ottaen ymmärrettävänä, että ollessaan käsityksensä mukaisesti tunnistautumassa ulkopuolisen palveluun asiakkaan huomio ei rutiininomaisessa tunnistautumistilanteessa ole kiinnittynyt tunnistussovellukseensa tulleen vahvistuspyynnön tarkkaan sanalliseen sisältöön antaessaan sovelluksen pyytämän vahvistuksen.

Pankki on lähettänyt asiakkaalle 13.8.2025 klo 18:43 sovelluksen käyttöönoton jälkeen sovelluksen käyttöönotosta kertovan tekstiviestin, jossa pankki kertoo sovelluksen aktivoimisesta ja myös kehottaa ottamaan yhteyttä mahdollisimman pian, jos ei ole itse aktivoimassa sovellusta. Tätä pankin toimintatapaa lähettää tunnistussovelluksen käyttöönotosta kertova tekstiviesti Pankkilautakunta pitää hyvänä ja osaltaan väärinkäytöstilanteissa aiheutuvilta vahingoilta ehkäisevänä vaikkakin tuossa vaiheessa tunnistussovellus saattaa jo olla ulkopuolisen käytössä ja pankin tekstiviesti saattaa myös jäädä asiakkaan huomaamatta, ja merkittävämmän ehkäisevän vaikutuksen voi siten katsoa olevan sovelluksen aktivointia/käyttöönottoa koskevan vahvistuspyynnön asianmukaisella ja informatiivisella sisällöllä.

Asiakkaan kertoman mukaan hän on havainnut em. tekstiviestin vasta kyseisen päivän iltana/yönä eikä hän osannut yhdistää sitä aiempaan verkkoasiointiinsa. Koska viesti oli englanninkielinen ja asiakas on tietoinen rikollisten mahdollisuudesta väärentää tekstiviestin lähettäjätieto, on asiakas pitänyt viestiä roskapostina ja jättänyt siihen reagoimatta.

Asiassa saadun selvityksen perusteella Pankkilautakunta pitää uskottavana, että asiakas ei ole huomannut em. tekstiviestiä verkossa tapahtuneen asiointinsa yhteydessä tilanteessa, jossa hän ei ole myöskään osannut odottaa saavansa tekstiviestiä. Koska tapauksessa oikeudettomat maksutapahtumat ovat alkaneet vasta seuraavan päivänä 14.8.2025 klo 22.48, olisi asiassa aiheutuneelta vahingolta voitu välttyä, mikäli asiakas olisi ymmärtänyt ottaa yhteyttä pankkiinsa tekstiviestin huomattuaan edeltävänä iltana/yönä. Asiakkaan asiassa kertoman perusteella lautakunta katsoo kuitenkin ymmärrettäväksi, että hän ei ole osannut yhdistää tekstiviestiä aiemmin tapahtuneeseen verkkoasiointiinsa ja on uskonut englanninkielisen viestin olleen roskaviesti ja jättänyt siihen siten reagoimatta.

Tässä arviossaan lautakunta kiinnittää huomiota siihen, että pankki ei tässä tekstiviestissäkään selvästi varoita asiakastaan riskeistä pankkitunnusten väärinkäytön ja mahdollisesti erehdyksessä tapahtuneen tunnistussovelluksen aktivoimisen seurausten suhteen. Pankki ei ilmoita viestissään myöskään, mihin numeroon asiakkaan olisi oltava yhteydessä jos ei ole ollut aktivoimassa sovellusta itselleen, minkä voi katsoa olevan olennainen tieto tämänkaltaisessa tapauksessa aiheutuvan väärinkäytön mahdollisimman nopean estämisen kannalta.

Kokonaisarviona Pankkiautakunta kuitenkin katsoo, että tekstiviestin huomattuaan asiakkaan olisi tullut huolellisesti toimiessaan ymmärtää ottaa yhteyttä pankkiinsa varmistaakseen tekstiviestin tarkoituksen. Tältä osin, asiakkaan jätettyä reagoimatta viestiin lautakunta katsoo asiakkaan menettelyn osoittavan hänen lievää huolimattomuuttaan.

Yhteenvetona Pankkilautakunta katsoo asiakkaan huolimattomuudestaan ja selvää varomattomuutta osoittavalla tavalla laiminlyöneen maksupalvelulain 53 §:n 1 momentin ja pankkitunnusehtojen mukaisia velvollisuuksiaan vahvistettuaan tunnistautumistilanteessa pankin asiakkaan tunnistussovellukseen lähettämän tunnistussovelluksen käyttöönottoa uudessa laitteessa koskevan vahvistuspyynnön huomioimatta vahvistuspyynnön tarkkaa sisältöä ja jätettyään reagoimatta pankilta tulleeseen sovelluksen aktivoimisesta kertoneeseen englanninkieliseen tekstiviestiin. Ottaen kuitenkin huomioon erityisesti pankin vahvistuspyynnön heikon informaatioarvon sekä sen, ettei asiakas ole tunnistautumistilanteessa ymmärrettävistä syistä huomannut vahvistuspyynnön eronneen tavanomaisesta tunnistautumista koskevasta vahvistuspyynnöstä, ja asiakas on samoin ymmärrettävistä syistä jättänyt pankin informaatioarvoltaan puutteelliseen ja englanninkieliseen tekstiviestiin reagoimatta, lautakunta katsoo, ettei asiakkaan menettely kokonaisuutena osoita selvää piittaamattomuutta pankkitunnusten hallintaan ja käyttöön liittyviin turvallisuusriskeihin eikä siten myöskään maksupalvelulaissa tarkoitettua törkeää huolimattomuutta. Näin ollen asiakkaan vastuu pankkitunnusten oikeudettomasta käytöstä rajoittuu 50 euroon.

Pankin menettelystä

Asiakas on vedonnut tapauksessa myös siihen, että pankki ei ole seurannut sääntelyn edellyttämällä tavalla asiakkaan rahaliikennettä ja puuttunut ajoissa tileillä tapahtuneeseen rikolliseen toimintaan. Pankkilautakunta toteaa, että vastuun asiassa aiheutuneesta vahingosta jäädessä edellä esitetyin perustein pankin vastuulle ei asiassa ole tarpeen arvioida pankin menettelyä petollisten maksutapahtumien valvonnan ja estämisen suhteen.

Lopputulos

Pankkilautakunta suosittaa, että pankki ottaa vastatakseen pankkitunnusten oikeudettomasta käytöstä aiheutuneen vahingon siltä osin kuin se ylittää 50 euroa.

Pankkilautakunta oli yksimielinen.

PANKKILAUTAKUNTA

Puheenjohtaja Sillanpää
Sihteeri Hidén

Jäsenet:
Atrila
Piilo
Punakivi
Tervonen

Haku