Uppgifter om händelseförloppet

Kunden blev 25.2.2025 uppringd av brottslingar i bankens namn. Till följd av det kunde brottslingarna kl. 16.52 logga in i kundens nätbank. Detta förutsatte kundens nätbankskoder, dvs. användarkod, lösenord samt engångskod. Sms-meddelandet som banken skickade till kundens telefonnummer kl. 16.51:
"Du loggar in med [bankens] koder. Mata in bekräftelsekoden 036149 i det reserverade fältet. Händelse-ID: NX-95”.

I nätbanken ansökte brottslingarna om höjning av kundens kortkredit. Ansökan bekräftades med en kod som banken skickade till kunden kl. 17.04:
"Du häller på att ändra ditt betalkorts kreditgräns. Vänligen mata in bekräftelsekoden A-803482 i rätt fält i nätbanken".

Kl. 17.48 överfördes från kundens sparkonto 5 000 respektive 10 000 euro till kundens brukskonto. I samband med överföringarna krävde banken inte stark autentisering. Efter det överfördes från brukskontot 5 028 euro till Spanien. Denna girering till utomstående bekräftades kl. 17.53 med en kod som banken hade skickat till kunden via textmeddelande:
"Du häller på och bekräftar 1 betalning (Spanien, 5028,00 EUR). Vänligen mata in bekräftelsekoden A-660190 i rätt fält i nätbanken".

En annan girering på 5 028 euro från kundens brukskonto till samma spanska konto bekräftades kl. 17.57 med en kod som banken hade skickat till kunden via textmeddelande:
"Du häller på och bekräftar 1 betalning (Spanien, 5028,00 EUR). Vänligen mata in bekräftelsekoden A-196302 i rätt fält i nätbanken".

Kl. 18.13 överfördes från kundens sparkonto 551,00 euro till kundens brukskonto. I samband med överföringen krävde banken inte stark autentisering. Därefter skapades en 4 288 euro stor girering från brukskontot till en utomstående, men den betalningen bekräftades inte.

Efter detta gjordes ytterligare fyra försök att logga in i kundens nätbank och banken skickade textmeddelanden till kunden om bekräftelse av inloggning i nätbanken kl. 18.40, 18.41, 18.45 och 18.49, men ingen inloggning företogs.

Kunden ringde spärrtjänsten och hennes bankkoder och kort spärrades samma kväll, 25.2.2025 kl. 21.27.

Kundens yrkanden hos FINE

Kunden yrkar att banken ska ersätta den förlust om 10 056 euro som uppkommit till följd av ett professionellt genomfört bedrägeri. Vid en helhetsbedömning av omständigheterna kan kundens handlande inte anses uppfylla den höga tröskel som krävs för grov oaktsamhet.

Händelseförlopp

Kunden är äldre (f. 1947) och digitalt oerfaren. Hon använder nätbanken 2-3 gånger per månad enbart för att betala räkningar. Kunden blev den 25 februari kontaktad per telefon av en man som utgav sig för att ringa från banken, och uttsattes för ett proffsigt telefonbedrägeri. Han talade svenska, uppträdde mycket professionellt och trevligt och skapade en akut hotbild. Han förklarade att någon hade köpt med kundens kort i Power för 300€ och att ett lån tagits i hennes namn. Detta hade han kunnat stoppa, men nu försökte någon föra över pengar från hennes konto till utlandet. Han uppgav att detta kunde stoppas om hon omedelbart samarbetade.

Kunden befann sig vid tillfället på en kryssning, var stressad och orolig, och samtalet bröts flera gånger. Bedragaren ringde upp henne igen vid upprepade tillfällen och skapade en stark känsla av brådska och rädsla. I tron att hon samarbetade med banken och förhindrade ett pågående brott lämnade hon ut sina bankkoder. Bedragaren hjälpte henne och förklarade vad hon behöver göra för att han ska få det han behöver. Kunden agerade alltså inte självständigt utan under aktiv instruktion från en person som hon uppfattade som bankens representant.

Bedragaren genomförde först tre transaktioner, sammanlagt 15.500 euro från hennes sparkonto till brukskontot, och tog därefter sammanlagt cirka 10.000 euro från hennes brukskonto i två omgångar.

Hon förstod inte att hon blivit lurad förrän hon senare talade med sin dotter, som slog larm. Detta visar att hon subjektivt uppfattade situationen som legitim fram till dess. Så snart kunden förstod att något kunde vara fel, ca 4h senare, försökte hon logga in i nätbanken var den redan låst. Hon ringde banken och spärrade sitt kort, men banken gjorde inget annat för att hjälpa henne i detta skede. Hon fick tid till banken först två dygn senare, och detta först efter anhörigas förfrågan om tider och också först då fick hon klart besked om hur mycket pengar som försvunnit. Polisanmälan gjordes genast följande dag efter händelsen.

Om grov oaktsamhet

Kunden agerade inte uppsåtligen och inte heller grovt oaktsamt. Hon var utsatt för ett professionellt bedrägeri där gärningsmannen:
· utgav sig för att vara bankanställd,
· talade svenska,
· skapade en akut hotbild (pågående överföring till utlandet) samt hjälpte henne digitalt.
· utnyttjade hennes ålder och den stressande situationen att hon var på resa.
Hon handlade i tron att hon skyddade sina pengar och samarbetade med banken. Detta är ett typiskt fall av s.k. social manipulation, där Bankklagonämnden i sin praxis har konstaterat att särskilt äldre personer inte automatiskt ska anses ha handlat grovt oaktsamt. Kundens begränsade digitala förmåga är konkret och påvisbar. Hon klarade exempelvis inte själv av att öppna bankens svar i nätbanken eller öppna FINE:s meddelande om rätten att höras ytterligare en gång. Detta illustrerar hennes faktiska digitala kompetensnivå. Det är därför inte realistiskt att bedöma hennes agerande utifrån en norm som förutsätter hög digital förståelse eller vana vid avancerade säkerhetsmoment.

Under händelsen mottog kunden sammanlagt fem sms-meddelanden, samtidigt som hon var i ett pågående telefonsamtal med den person hon trodde var bankanställd. (Efter samtalet ytterligare fyra sms). Att i denna situation - under stark stress och tidspress - kräva att en 77-årig digitalt oerfaren person ska avbryta samtalet, navigera mellan telefon och sms, analysera varje meddelande korrekt, ifrågasätta instruktionerna från den person hon tror representerar banken, är inte realistiskt.

Social manipulation bygger just på att skapa kognitiv stress och ett starkt "sense of urgency". Bedömningen av grov oaktsamhet kan inte göras isolerat utifrån sms-texternas objektiva formulering, utan måste ske i ljuset av den pågående manipulationen. Att en äldre kund under dessa omständigheter vilseleds innebär inte ett klart och allvarligt åsidosättande av säkerhetsföreskrifterna. I social engineering -situationer är det normalt att offret tolkar bekräftelsen i linje med bedragarens förklaring.

Banken försöker lägga över ansvaret på kunden för att hon inte ringde snabbare då hon mottagit flera meddelanden om inloggning men inte reagerade. Men hon insåg först efter ca. 4 timmar att något var fel, hon försökte logga in, nätbanken var redan låst och hon ringde banken samma kväll. Det är inte fråga om ett utdraget dröjsmål eller passivitet.

För att fullt ansvar ska åläggas kunden krävs enligt 62 § 2 mom. i lagen om betalningstjänster att kunden agerat grovt oaktsamt. Grov oaktsamhet förutsätter ett beteende som markant avviker från normalt aktsamt handlande. I detta fall kunden utsattes för professionell social manipulation, hon handlade i tron att hon skyddade sina medel, hon saknar avancerad digital kompetens och hon kontaktade banken samma kväll när misstanke uppstod.

Hennes handlande kan inte anses uppfylla den höga tröskel som krävs för grov oaktsamhet.

Bankens bristande övervakningsskyldighet

Även om bankkoder lämnats ut har banken enligt betalningstjänstlagen en skyldighet att övervaka och ingripa vid avvikande eller misstänkta transaktioner. I detta fall fanns flera tydliga varningssignaler; inom cirka två timmar skedde följande:
· En äldre kund
· Flera inloggningar i nätbanken
· Transaktioner som inte motsvarar kundens normala beteende
· Två större interna överföringar från sparkonto till brukskonto (sammanlagt 15 500 €)
· Två utlandsbetalningar om cirka 5 000 € vardera i relativt snabb följd
· Mottagare som avviker från tidigare betalningsmönster
· Försök att höja kreditkortets kreditgräns
· Upprepade inloggningsförsök
Detta är ett synnerligen intensivt och avvikande aktivitetsmönster.

Kunden använder nätbanken 2-3 gånger per månad enbart för att betala räkningar och hon genomför inte större utlandsbetalningar, större kapitalförflyttningar, kreditgränshöjningar eller frekventa inloggningar. För en kund som normalt loggar in några gånger per månad för att betala räkningar är detta beteende extremt atypiskt. Kombinationen av hög ålder, låg digital aktivitet och plötslig intensiv inloggningsfrekvens.

Kunden har varit kund hos samma bank i flera årtionden. Banken borde därför ha god kännedom om hennes normala kontoanvändning och haft särskilt goda förutsättningar att identifiera dessa transaktioner som ovanliga. Trots typiska riskindikatorer i bankernas bedrägeriövervakning (stora belopp, utlandsbetalningar, kreditgränshöjningsförsök) fördröjdes inga betalningar, ingen manuell kontroll genomfördes och ingen direktkontakt togs med kunden.

Banken har haft en lång kundrelation och god kännedom om hennes användningsprofil och detta är exakt den typ av transaktionsmönster som bankernas fraud-system är designade att upptäcka. Det är därför svårt att förstå varför dessa tydliga avvikelser inte ledde till någon förebyggande åtgärd.

Banken har också en skyldighet att agera snabbt när kunden larmar men vidtog inga skyndsamma återkravsåtgärder när kunden omedelbart meddelade bedrägeri. Banken skickade begärande om återkallande först följande morgon.

Kunden anser därför att banken har brustit i sin övervaknings- och omsorgsplikt. Trots lång kundrelation vidtogs inga skyddsåtgärder som kontakt, fördröjning eller extraverificiering.

Slutsats och yrkande

Sammantaget visar ärendet att:
- Kunden blivit utsatt för ett kvalificerat bedrägeri genom social manipulation.
- Transaktionerna var extremt avvikande i förhållande till hennes normala beteende och banken har reagerat inte på flera tydliga riskindikatorer.
- Kundens handlande under den konkreta situationen inte kan anses grovt oaktsam.
Kunden begär därför att Bankklagonämnden rekommenderar att banken ersätter förlusten.

Tjänsteleverantörens bemötande

Banken bestrider i sin helhet kundens ersättningskrav. Enligt bankens uppfattning ska ansvaret för de förluster som orsakats av obehöriga betalningstransaktioner, i enlighet med 62 § 2 momentet i lagen om betalningstjänster, bäras av kunden, eftersom denne vid användningen av betalningsinstrumentet har agerat grovt oaktsamt.

Bankens beskrivning av händelseförloppet

Kunden har i sin utredningsbegäran uppgett att hon den 25.2.2025 omkring kl. 17 fick ett samtal från ett okänt nummer. En man som presenterade sig som bankens anställd X berättade att någon hade försökt ta lån i kundens namn och att dessa medel skulle överföras till ett konto i banken B. Han uppgav även att elektronik hade köpts från Power, vilket kunden skulle betala, samt att en betalning på 5 000 euro var på väg från kontot till Spanien.

X sade sig vilja hjälpa kunden i ärendet och bad henne att lämna olika bankuppgifter för detta ändamål. Kunden gav då all information som krävdes för att använda hennes nätbankskoder. Ungefär fyra timmar efter händelsen började kunden misstänka att hon blivit lurad.

Enligt bankens logguppgifter har inloggning i kundens nätbank skett kl. 16.52 genom användning av kundens personliga användarkod, lösenord samt engångskod som skickades till kundens telefonnummer kl. 16.51. I sms-meddelandet stod följande:
"Du loggar in med [bankens] koder. Mata in bekräftelsekoden 036149 i det reserverade fältet. Händelse-ID: NX-95".

Därefter ansöktes det om en höjning av kundens kreditkortsgräns. KI. 17.04 mottog kunden ett sms till sitt telefonnummer:
"Du häller på att ändra ditt betalkorts kreditgräns. Vänligen mata in bekräftelsekoden A¬803482 i rätt fält i nätbanken".

Ansökan bekräftades, men kredithöjningen beviljades inte av banken. Under samma inloggningssession gjordes kl. 17.48 en egen överföring på 5 000 euro från kundens sparkonto -897 till kundens brukskonto -819, och därefter direkt en överföring på 10 000 euro från samma sparkonto till samma brukskonto. Därefter skapades en betalning på 5 028 euro från konto -819 till ett spanskt konto ESxxxxxxxxxxxxxxx med meddelandet "Loan repayment osvaldo". Kunden mottog ett bekräftelsesms till sitt telefonnummer:
"Du häller på och bekräftar 1 betalning (Spanien, 5028,00 EUR). Vänligen mata in bekräftelsekoden A-660190 i rätt fält i nätbanken".

Betalningen bekräftades kl. 17.53 med bekräftelsekoden. En följande betalning skapades kl. 17.56, till ett belopp om 5 028 euro, från samma konto till det spanska kontot med meddelandet "Loan repayment 2". Kunden mottog ytterligare ett bekräftelsesms:
"Du häller på och bekräftar 1 betalning (Spanien, 5028,00 EUR). Vänligen mata in bekräftelsekoden A-196302 i rätt fält i nätbanken".
Betalningen bekräftades kl 17.57 med bekräftelsekoden.

KI. 18.13 gjordes en egen överföring på 551 euro från konto -897 till konto 0819. KI. 18.27 skapades en betalning på 4 228 euro med meddelandet "Loan repayment 3". Denna betalning bekräftades inte.

Kunden hade 2949,44 euro till förfogande på sitt brukskonto -819 före de egna överföringarna gjordes från sparkontot -897 till brukskontot. Inloggningen till nätbanken har krävt stark identifiering men själva överföringen mellan kundens egna konton har, i den redan starkt identifierade sessionen, lyckats med ett godkännande. Överföringen mellan kundens egna konton har inte orsakat någon skada åt kunden och har därför inte krävt en tilläggsbekräftelse. Alla utgående betalningar har dock gjorts starkt identifierade och de har krävt en tilläggsbekräftelse. Ifall kunden inte hade gett bekräftelsekoderna hade brottslingarna inte kunnat logga in i nätbanken för att göra överföringarna, inte heller hade betalningar ut från banken varit möjliga att göra.

KI. 18.40 gjordes ett nytt försök att logga in i nätbanken, varvid kunden mottog ett sms:
"Du loggar in med [bankens] koder. Mata in bekräftelsekoden 662868 i det reserverade fältet. Händelse-ID: IP23"
Eftersom inloggningen misslyckades skickades ett nytt sms kl. 18.41:
"Du loggar in med [bankens] koder. Mata in bekräftelsekoden 263722 i det reserverade fältet. Händelse-ID: IP23"
Efter ytterligare misslyckade inloggningsförsök påbörjades en ny nätbankssession kl. 18.45. Kunden mottog då följande meddelande:
"Du loggar in med [bankens] koder. Mata in bekräftelsekoden 004254 i det reserverade fältet. Händelse-ID: YS78"
Inloggningen misslyckades och ett nytt meddelande skickades kl. 18.49:
"Du loggar in med [bankens] koder. Mata in bekräftelsekoden 791469 i det reserverade fältet. Händelse-ID: YS78"
Kunden mottog flera meddelanden men reagerade inte på deras innehåll. Hon bekräftade inte inloggningsbegäran efter kl. 18.4O men kontaktade spärrtjänsten först cirka tre timmar senare, varefter nätbanken låstes kl. 21.27 och kortet spärrades.

Följande morgon skickade banken omedelbart begäranden om återkallande av betalningarna. Kort därefter kontaktade kunden kundtjänsten. Hon erbjöds en tid på banken den 28.2. men valde att göra ett spontant besök den 27.2. Vid detta tillfälle hade kundens kort och nätbankskoder redan spärrats och banken hade skickat begäranden om återbetalning till betalningarnas mottagarbanker. Banken fick nekande svar på båda begärandena.

Bankens svar beträffande kundens ersättningsyrkande

Kunden framförde att banken borde ha förhindrat betalningarna med hänvisning till att de avvek från hennes normala betalningsmönster. Såsom FINE har konstaterat i sin avgörandepraxis (se till exempel FINE-71529-W1F8J0 eller FINE-75893-L5T1C0) ska banker enligt regleringen om betaltjänster ha övervakningsmekanismer för betalningstransaktioner i syfte att upptäcka obehöriga och bedrägliga betalningar. Denna skyldighet har dock inte någon direkt inverkan på ansvarsfördelningen mellan banken och kunden beträffande obehörig användning av betalningsinstrumentet. Bankens övervakning av betalningar är förenlig med gällande reglering. Övervakningen av betalningar påverkar således inte ansvarsfördelningen mellan banken och kunden när det gäller obehörig användning av betalningsinstrument. Ett säkert användande av tjänsterna förutsätter även att kunderna följer avtalsvillkoren och givna anvisningar.

I detta fall har kunden förutom sin användarkod och sitt personliga lösenord även gett ett flertal bekräftelsekoder till en utomstående person. Trots att kunden har blivit vilseledd av personen som uppgav sig vara anställd av banken, så borde kunden noggrant ha läst de meddelanden som skickades med bekräftelsekoder. Ifall kunden hade gjort det hade utomstående personer inte kunnat göra de gireringar som gjordes med bekräftelsekoderna. Kunden har även fått flera meddelanden för inloggning utan att kunden själv skulle ha försökt logga in någonstans. I det här skedet har kunden haft en skyldighet att genast kontakta bankens spärrtjänst. Om kunden hade gjort det utan dröjsmål kunde genomförandet av de obehöriga betalningarna stoppats.

Kunden hänvisar till kundens ålder samt begränsade kunskaper att hantera digitala tjänster. För att förhindra att kunden blir utsatt för liknande bedrägerier i framtiden rekommenderar banken att kunden befullmäktigar en betrodd person att sköta bankärendena för hennes räkning, eller att en intressebevakare eller intressebefullmäktigad utses för att säkerställa en korrekt hantering av hennes ekonomiska angelägenheter.

Banken informerar fortlöpande sina kunder om förekommande bedrägerimetoder och betonar i samtliga informationskanaler att nätbankskoder och engångskoder aldrig får lämnas ut per telefon. Banken har också informerat om att banken aldrig ringer kunden och ber denne ge uppgifter om nätbankskoder per telefon, samt uppmanat kunderna att genast ringa spärrtjänsten om något misstänksamt händer. I det aktuella fallet har kunden trots dessa upprepade varningar lämnat ut sina koder utan att ta del av innehållet i de meddelanden som banken skickat. Banken konstaterar att om kunden hade avbrutit samtalet och självständigt kontaktat banken eller spärrtjänsten, hade de obehöriga betalningarna kunnat förhindras.

Banken bedömer att kundens agerande uppfyller kriterierna för grov vårdslöshet. Kunden har i telefonsamtal med en för henne okänd person överlåtit omfattande inloggnings- och verifieringsuppgifter, trots att hon under händelseförloppet mottagit flera sms-meddelanden avseende inloggningar, ändring av kreditgränsen och godkännanden av betalningar. Banken anser att försummelsen att läsa innehållet i meddelandena, överlåtandet av uppgifterna till utomstående samt försummelsen att genast kontakta spärrtjänsten uppfyller kriterierna för grov vårdslöshet. Även om kunden enligt uppgift har begränsad digital kompetens, anser banken att hon haft en skyldighet att noggrant läsa de mottagna meddelandena innan hon vidarebefordrade engångskoderna, då dessa utgör centrala säkerhetselement i identifieringen av kunden.

Banken har inte rätt att ensidigt fördröja eller neka genomförandet av betalningar som kunden själv godkänt i enlighet med gällande betalningsvillkor. Bankens övervakningsskyldighet förändrar inte den lagstadgade ansvarsfördelningen mellan bank och kund vid denna typ av betalningsbedrägerier. Kunden kontaktade spärrtjänsten omkring kl. 21.30, vid en tidpunkt då bankens kundtjänst är stängd, och då är det inte möjligt att omedelbart göra returneringsbegäran på transaktioner till mottagarbankerna. Returneringsbegäran sändes följaktligen följande morgon. Sannolikheten att återfå pengar då de redan har nått mottagarbanken är liten eftersom pengarna oftast redan har förts vidare från mottagarkontot.

Banken beklagar att kunden har blivit utsatt för ett bedrägeri. Mot bakgrund av omständigheterna, de åtgärder som vidtagits samt gällande lagstiftning gör banken dock gällande, att kunden genom sitt handlande har möjliggjort de obehöriga transaktionerna på ett sätt som uppfyller kraven för grov vårdslöshet. Banken anser därför att den inte är ersättningsskyldig för den uppkomna förlusten.

Med hänvisning till de grunder som anförts i punkt 3 ovan anser banken att kunden i enlighet med 62 § 2 mom. i betaltjänstlagen genom grovt vårdslöst handlande och i strid med villkoren för nätbanksavtalet genom sitt eget agerande har möjliggjort för en utomstående nätkriminell att få tillgång till hennes nätbankstjänster och därigenom möjliggjort de obehöriga betalningar som gjorts från kundens konto.

Banken bestrider i sin helhet kundens ersättningskrav.

Utredningar

Utöver parternas skrivelser med anknytning till klagomålet har följande handlingar getts in till nämnden:
- Nätbanken allmänna avtalsvillkor
- Brottsanmälan
- Kontoutdrag 25.2.2025
- Beslut om att avsluta förundersökningen 8.12.2025

Beslutsrekommendation

Frågeställning

För att avgöra ansvarsfördelningen mellan kunden och banken behöver Banknämnden bedöma om den obehöriga användningen av bankkoderna kan anses vara en följd att kunden av vårdslöshet har försummat sina skyldigheter enligt 53 § 1 mom. i betaltjänstlagen och enligt villkoren för bankkoderna samt graden av kundens eventuella vårdslöshet. Vidare ska nämnden bedöma om ansvarsfördelningen mellan kunden och banken påverkas av att banken inte har krävt stark autentisering (dvs. identifiering) i samband med interna överföringar i nätbanken.

Tillämplig lagstiftning och villkor

I 8 § (Definitioner.) i betaltjänstlagen föreskrivs som följer
I denna lag avses med:
[…]
24) stark kundautentisering sådan elektronisk identifiering av betaltjänstanvändaren där autentiseringsuppgifternas konfidentialitet skyddas och där det används ett förfarande som grundar sig på minst två av följande tre alternativ som är fristående från varandra:
a)något som bara betaltjänstanvändaren vet,
b)något som bara betaltjänstanvändaren har,
c)en unik egenskap hos betaltjänstanvändaren, […]

I 38 § (Betalarens samtycke till att en betalningstransaktion genomförs) 1 mom. i betaltjänstlagen föreskrivs som följer:
En betalningstransaktion får genomföras endast om betalaren har gett sitt samtycke. En betalningstransaktion som betalaren inte har samtyckt till på avtalat sätt anses vara obehörig.

I 53 § 1 mom. i betaltjänstlagen föreskrivs som följer:
Innehavaren av ett betalningsinstrument ska använda detta i enlighet med villkoren för beviljande och användning. Innehavaren ska i synnerhet vidta skäliga åtgärder för att skydda betalningsinstrumentet och tillhörande personliga säkerhetsbehörighetsupgifter. Villkoren för beviljande och användning av betalningsinstrumentet får inte vara ogrundade, oskäliga eller diskriminerande.

I 54 § 1 mom. i betaltjänstlagen föreskrivs som följer:
Innehavaren av ett betalningsinstrument ska utan ogrundat dröjsmål efter upptäckten underrätta tjänsteleverantören eller någon annan som tjänsteleverantören utsett om att betalningsinstrumentet har förlorats, orättmätigt innehas av någon annan eller används obehörigen.

I 62 § i betaltjänstlagen föreskrivs som följer:
En betaltjänstanvändare som har ingått avtal om ett betalningsinstrument med en tjänsteleverantör ansvarar för användningen av ett betalningsinstrument som har förlorats eller orättmätigt innehas av någon annan eller för annan obehörig användning av betalningsinstrumentet endast om den obehöriga användningen beror på att betaltjänstanvändaren eller någon annan innehavare av betalningsinstrumentet
1) har överlåtit det till någon som inte är behörig att använda det,
2) av vårdslöshet har försummat sina skyldigheter enligt 53 § 1 mom., eller
3) har försummat att utan ogrundat dröjsmål efter upptäckten underrätta tjänsteleverantören eller någon annan som denne utsett om att betalningsinstrumentet har förlorats, orättmätigt innehas av någon annan eller används obehörigen.
I de fall som avses i 1 mom. 2 och 3 punkten är betaltjänstanvändarens an-svar för obehörig användning av betalningsinstrumentet högst 50 euro.
Denna begränsning tillämpas dock inte om betaltjänstanvändaren eller någon annan innehavare av betalningsinstrumentet har handlat avsiktligt eller grovt vårdslöst.
Betaltjänstanvändaren ansvarar inte för obehörig användning av betalningsinstrumentet
1) till den del som betalningsinstrumentet har använts efter att tjänsteleverantören eller någon annan som denne utsett har underrättats om att betalningsinstrumentet förlorats, orättmätigt innehas av någon annan eller används obehörigen,
2) om tjänsteleverantören har försummat att se till att en innehavare av ett betalningsinstrument har möjlighet att när som helst göra anmälan enligt 1 punkten,
3) om betalningsmottagaren vid användningen av betalningsinstrumentet inte vederbörligen har försäkrat sig om betalarens rätt att använda instrumentet, eller
4) om tjänsteleverantören inte har krävt stark kundautentisering av betalaren.

Trots 3 mom. är betaltjänstanvändaren ansvarig för obehörig användning av ett betalningsinstrument, om användaren eller någon annan innehavare av betalningsinstrumentet avsiktligt har lämnat en oriktig anmälan eller annars handlat bedrägligt.

I 63 § (Tjänsteleverantörens ansvar för obehöriga betalningstransaktioner) 1 mom. i betaltjänstlagen föreskrivs som följer:
Om en betalningstransaktion har genomförts obehörigen och om inte något annat följer av 62 § ska tjänsteleverantören till den kund vars medel har använts för att genomföra transaktionen omedelbart och senast följande bankdag efter det att tjänsteleverantören har noterat eller underrättats om trans-aktionen återbetala transaktionens belopp till kunden eller återställa det debiterade betalkontots kontoställning till vad den skulle ha varit om debiteringen inte hade ägt rum.

I 85 c § (Autentisering) i 1 och 5 mom. i betaltjänstlagen föreskrivs som följer
Tjänsteleverantören ska använda stark kundautentisering, om betalaren
1)använder sitt betalkonto via ett datanät,
2)initierar en elektronisk betalningstransaktion,
3)genomför en åtgärd på distans som kan innebära en risk för missbruk. […]
Avvikelse kan göras från skyldigheten i denna paragraf om att använda stark kundautentisering samt att skydda konfidentialitet och integritet i fråga om de personliga säkerhetsbehörighetsuppgifterna, om det föreskrivs så i kommissionens tekniska standarder för tillsyn som utfärdas med stöd av artikel 98 i betaltjänstdirektivet.

Den punkt i villkoren för bankkoderna som gäller konsumentkunders ansvar för obehörig användning av koder som betalningsinstrument motsvarar de tvingande bestämmelser till förmån för konsumenter som finns i 62 § i betaltjänstlagen.

I avsnittet Användning och förvaring av koderna i villkoren för bankkoderna sägs som följer:
Banken ger kunden personliga koder som hen använder för att identifiera sig enligt anvisningarna för tjänsten. Användningen av koderna motsvarar identifieringen av kunden från en identitets-handling.
[…]
När kunden använder koderna i bankens Nätbank eller i en annan tjänst som banken tillhandahåller enligt anvisningarna motsvarar detta kundens underskrift. Alla betalningar, uppdrag, ansökningar, avtal och övriga viljeförklaringar och meddelanden binder en kund som identifierat sig i tjänsten efter att dessa skickats till banken enligt anvisningarna i tjänsten.
[…]
Kunden får inte överlämna sina koder ens till en del till en annan person, inte ens en familjemedlem. Kunden får inte heller överlämna sina koder eller en del av dem till applikationer, webbplatser eller övriga tjänster som inte tillhör Nätbanken eller Identifieringstjänsten.
[…]
Kunden förbinder sig att förvara enskilda identifierare som hör till Nätbankskoderna separat från varandra och att sörja för att de inte råkar i händerna på utomstående eller att utomstående får del av dem. Samma skyldighet gäller även de applikationer eller certifikat som banken tillhandahåller och som anknyter till en av banken tillhandahållen informationssäkert tekniskt förfarande med vilket Nätbanken och övriga tjänster som banken tillhandahåller kan användas. Kunden ska när hen använder koderna i sin terminal skydda skärmen och tangentbordet så att ingen utomstående kan se och få del av koderna eller delar av dem. Banken har rätt att ge närmare anvisningar om förvaringen av koderna i avtalvsvillkoren som gäller övrigt tekniskt förfarande.
Kunden får inte uppge koderna eller delar av dem i telefon för någon som frågar efter dem muntligt och inte ge eller skicka dem på basen av en begäran som inkommit med sms, e-post eller annat kommunikationsmedel. Kunden kan identifiera sig utgående från givna anvisningar endast via telefonkontakt med bankens kundservice (tfn xxx xxx xxx) genom att använda koderna i sin terminal.
Enskilda identifierare som tillhör Nätbankskoderna får inte skrivas upp eller lagras i minnet i en lätt identifierbar form. Delar av koderna får inte förvaras tillsammans, såsom i samma förvaringsplats hemma eller exempelvis i plånboken eller handväskan. Kunden ska regelbundet säkerställa på ett sätt som förutsätts av omständigheterna att koderna inte förkommit. Om koderna har försvunnit eller om de har råkat eller kan ha råkat i händerna på utomstående eller om utomstående har fått eller kan ha fått del av dem, är kunden skyldig att omedelbart underrätta banken om detta. Anmälan om försvunnet certifikat eller försvunnen identifikation som utfärdats av någon annan än banken ska göras i enlighet med användarvillkoren för certifikatet eller identifikationen.
[…]
Kunden ska meddela om försvunna koder personligen eller per telefon till bankkontoret eller till den kundtjänst som banken meddelat under kontorets eller kundtjänstens öppettid eller till bankens spärrtjänst (telefon 020 333, från utlandet +358 20 333).
Kunden ansvarar dock alltid för obehörig användning av betalningsmedel om hen avsiktligt lämnat en oriktig anmälan eller handlat bedrägligt på annat sätt.
[…]

Bedömning

Händelseförloppet

Banknämnden anser att det i fallet har klarlagts att kunden 25.2.2025 har blivit vilseledd av brottslingar som ringt till henne. I tron att hon kommunicerade med sin bank överlämnade hon under telefonsamtalet muntligt sina bankkoder (användarnamn och lösenord) med vilka brottslingarna har börjat logga in i hennes nätbank. Till följd av detta har banken kl. 16.51 per textmeddelande sänt till kunden en bekräftelsekod för inloggning i nätbanken. Kunden har uppgett också denna kod muntligt i telefon, till följd av vilket brottslingarna har kunnat logga in i kundens nätbank.

I nätbanken har brottslingarna ansökt om höjning av kundens kortkredit. Ansökan bekräftades med en kod som banken kl. 17.04 skickade till kunden per textmeddelande:
"Du häller på att ändra ditt betalkorts kreditgräns. Vänligen mata in bekräftelsekoden A-803482 i rätt fält i nätbanken.”
Banknämnden anser att kunden bör ha överlämnat också denna kod muntligt per telefon. Banken har inte beviljat någon kredithöjning.

Brottslingarna överförde i kundens nätbank kl. 17.48 5 000 respektive 10ؘ 000 euro från kundens sparkonto till hennes brukskonto. Banken krävde inte stark autentisering i samband med överföringarna. Efter det skapade brottslingarna i nätbanken ett betalningsuppdrag som gällde en girering på 5 028 euro från kundens brukskonto till Spanien. Denna girering till en utomstående bekräftades kl. 17.53 med en kod som banken hade skickat till kunden via textmeddelande:
"Du häller på och bekräftar 1 betalning (Spanien, 5028,00 EUR). Vänligen mata in bekräftelsekoden A-660190 i rätt fält i nätbanken".
Banknämnden anser att kunden bör ha överlämnat också denna kod muntligt per telefon. Nämnden anser att detta upprepades i samband med en andra överföring av 5 028 euro från kundens brukskonto till Spanien kl. 17.57.

Från kundens sparkonto till hennes brukskonto gjordes ytterligare en överföring på 551,00 euro kl. 18.13. I samband med den krävde banken inte stark autentisering. Därefter skapades en 4 288 euro stor girering från brukskontot till en utomstående, men den betalningen bekräftades inte.

Efter detta gjordes ytterligare fyra försök att logga in i kundens nätbank och banken skickade bekräftelsetextmeddelanden till kunden om inloggning i nätbanken kl. 18.40, 18.41, 18.45 och 18.49, men ingen inloggning företogs.

Kunden ringde spärrtjänsten och hennes bankkoder och kort spärrades samma kväll, 25.2.2025 kl. 21.27.

Bedömning av kundens förfarande

I villkoren för bankkoderna sägs att kunden inte får överlämna sina koder ens till en del till en annan person, inte ens en familjemedlem. Enligt villkoren får kunden inte uppge koderna eller delar av dem i telefon för någon som frågar efter dem muntligt.

Banknämnden konstaterar att villkoren för bankkoderna entydigt förbjuder kunderna att överlämna sina koder till någon och att uppge dem muntligt för någon i telefon. Vidare anser nämnden att det när händelsen ägde rum redan var allmänt känt att bankkoderna som är avsedda att vara personliga aldrig ska överlämnas till eller uppges muntligt för någon, inte ens någon som t.ex. påstår sig vara bankanställd eller polis.

Banknämnden anser därför att kunden av vårdslöshet, på ett sätt som visar på allvarlig ovarsamhet, försummade sina skyldigheter enligt 53 § 1 mom. i betaltjänstlagen och enligt villkoren för bankkoderna när hon i telefon uppgav sina bankkodsuppgifter för en person som gav sig ut för att vara bankanställd.

Banknämnden anser vidare att kunden efter att hon från sin bank hade fått ett textmeddelande vars innehåll gällde ändring av betalkortets kreditgräns borde ha förstått att inte för någon uppge den bekräftelsekod som ingick i textmeddelandet. På motsvarande sätt borde kunden efter att hon fått textmeddelandet om bekräftelse av den första betalningen, med uppgifter om den betalning som bekräftelsen gällde, ha förstått att inte för någon uppge den kod för betalningsbekräftelse som ingick i textmeddelandet. Med beaktande av att textmeddelandet till kunden från banken var bankens sedvanliga utskick om betalningsbekräftelse som börjar med ord som handlar om betalning och där kunden kunde se det belopp som skulle bekräftas och det land dit betalningen var avsedd att sändas, anser nämnden att även om det under telefonsamtalet skulle ha påståtts muntligt att koden behövdes för någon annan åtgärd, borde kunden senast i det skedet ha förstått att avbryta kommunikationen och låta bli att uppge den begärda koden för uppringaren. Om kunden senast i det skedet hade kontaktat sin bank, t.ex. genom att själv ringa till den, för att fråga om tillvägagångssättet var korrekt, skulle den skada som den obehöriga användningen av kundens bankkoder orsakade ha kunnat undvikas.

Eftersom kunden utan att ifrågasätta saken uppgav sina bankkodsuppgifter muntligt i telefon och dessutom överlämnade de för bekräftelse av en höjning av kreditkortets kreditgräns och de för bekräftelse av gireringarna begärda koderna som banken hade skickat till henne per textmeddelande, anser Banknämnden att kundens förfarande som helhet visar på synnerligen allvarlig ovarsamhet från hennes sida. På basis av helhetsutredningen i ärendet och med beaktande av att det i textmeddelandena till kunden från banken om både ändring av kreditgränsen och bekräftelse av betalningarna tydligt berättades vilka åtgärder meddelandena och bekräftelsekoderna i dem gällde, anser nämnden att kundens förfarande som helhet visar på grov vårdslöshet som avses i betaltjänstlagen. Därmed ansvarar i princip kunden för den av gireringarna orsakade skadan i förhållandet mellan banken och kunden.

Obehöriga kontoöverföringar i nätbanken som gjorts utan stark autentisering

Regleringen om betaltjänster och stark autentisering tillåter att tjänsteleverantörer i vissa undantagssituationer avviker från kravet på stark autentisering. Banknämnden har i sin avgörandepraxis vedertaget ansett att även om regleringen tillåter att banken inte måste kräva stark autentisering vid överföring mellan egna konton, tar en bank som handlar på det sättet på sig ansvaret för risken för obehörig användning av betalningsinstrumentet. Vidare har nämnden i sin avgörandepraxis ansett att banken står för skadan, till den del interna överföringar i nätbanken som gjorts innan betalningar gått till utomstående har bidragit till skadans omfattning och banken har tillåtit att sådana obehöriga gireringar görs utan stark autentisering av betalaren.

I det aktuella fallet är det ostridigt att banken inte har krävt stark autentisering av betalaren i samband med de överföringar från kundens sparkonto till hennes brukskonto som brottslingarna gjorde i kundens nätbank. Överföringarna har gjorts obehörigen av brottslingarna och eftersom banken har tillåtit att de görs utan stark autentisering svarar banken för dem

Av de interna överföringarna i nätbanken företogs två, överföring av 5 000 respektive 10 000 euro till kundens brukskonto, innan två gireringar till ett sammanlagt värde av 10 056 euro från brukskontot till en utomstående i Spanien företogs. Enligt bankens utredning hade saldot på kundens brukskonto, från vilket beloppen till en utomstående överfördes, före de ovannämnda interna överföringarna varit 2 949,44 euro.

Vad de obehöriga gireringarna till utomstående beträffar har nämnden när den här ovan bedömt kundens förfarande ansett att kunden gått till väga grovt vårdslöst så som avses i betaltjänstlagen och att kunden därför i princip ansvarar för den genom betalningarna uppkomna skadan i förhållandet mellan kunden och banken. Banknämnden anser emellertid att de interna överföringar i nätbanken som gjorts innan betalningar gått till utomstående och den omständigheten att banken har tillåtit att sådana obehöriga gireringar görs utan stark autentisering har bidragit till skadans omfattning i ärendet. Saldot på kundens brukskonto före de interna överföringarna har varit 2 949,44 euro och således skulle det från kundens brukskonto ha kunnat överföras bara 2 949,44 euro till en utomstående, om inga obehöriga interna överföringar som banken ska stå för hade gjorts. Till denna del har de interna överföringarna inte ökat skadans storlek och därmed anser Banknämnden att banken ansvarar för den del av skadan i ärendet som överstiger 2 949,44 euro.

Angående bankens förfarande

Kunden har i fallet också hänvisat till att banken har en skyldighet att övervaka och ingripa vid avvikande transaktioner.

Banknämnden konstaterar att bankerna enligt regleringen om betaltjänster ska ha tillgång till sådana mekanismer för övervakning av betalningstransaktioner med vars hjälp de kan upptäcka transaktioner som är obehöriga och bedrägliga. Med beaktande av den erhållna utredningen som helhet anser Banknämnden ändå att bankens övervakningsmekanismer i detta fall inte kan anses ha brustit på ett sätt som skulle inverka på ansvarsfördelningen mellan kunden och banken i ärendet.

Slutledningar

Banknämnden anser att kunden förfarit grovt vårdslöst så som avses i betaltjänstlagen när hon i telefon muntligt uppgett alla sina bankkodsuppgifter som de omtvistade obehöriga gireringarna förutsatte och att hon därmed i princip svarar för den genom gireringarna orsakade skadan i förhållandet mellan banken och kunden. Vidare anser nämnden ändå att det totala skadebeloppet har påverkats av överföringarna i nätbanken från kundens sparkonto till kundens brukskonto. Eftersom banken har tillåtit att överföringarna gjorts utan stark autentisering och överföringarna är obehöriga ansvarar banken för dem och för den skada som uppkommit i ärendet till den del överföringarna har ökat det sammanlagda skadebeloppet.

Med hänvisning till vad som sägs ovan rekommenderar Banknämnden att banken gottskriver kundens sparkonto, från vilket de obehöriga gireringarna gjordes utan stark autentisering, med 7 106,56 euro. Detta belopp motsvarar den i ärendet uppkomna skadans storlek minskad med 2 949,44 euro, alltså de medel som fanns på kundens brukskonto före de interna överföringarna.

Beslutsrekommendationen antogs med rösterna 4–1. I givandet av beslutsrekommendationen deltog ordförande Sillanpää samt medlemmarna Atrila, Punakivi och Tervonen. Medlem Piilos avvikande mening medföljer som bilaga.

BANKNÄMNDEN

Ordförande Sillanpää
Sekreterare Hidén

Medlemmar: Atrila, Piilo, Punakivi, Tervonen

Medlem Piilos avvikande mening

Jag omfattar varken den motivering till beslutsrekommendationen eller de slutledningar som Banknämndens majoritet har uttryckt.

De lagbestämmelser som är relevanta i ärendet är 38 § i betaltjänstlagen (Betalarens samtycke till att en betalningstransaktion genomförs), 85 c § 1 och 5 mom. i betaltjänstlagen  (Autentisering), kapitel III artikel 15 i kommissionens delegerade förordning (EU) 2018/389 (Kreditöverföringar mellan konton som innehas av samma fysiska eller juridiska person), 62 § 3 mom. 4 punkten i betaltjänstlagen (Betaltjänstanvändares ansvar för obehörig användning av betalningsinstrument) samt 63 § 1 mom. i betaltjänstlagen (Tjänsteleverantörens ansvar för obehöriga betalningstransaktioner).

I fallet är det ostridigt att banken inte har krävt stark kundautentisering vid de överföringar mellan kundens egna konton som brottslingarna har gjort. Överföringarna har gjorts mellan kundens egna konton, det har alltså varit kunden som ägt alla konton. Efter överföringarna mellan de egna kontona har medlen fortfarande funnits på kundens eget konto och kunden har kunnat bestämma över dem. Den egentliga skadan för kunden har uppkommit när gireringar till en utomstående har gjorts från kundens konto. I det aktuella fallet har kunden bekräftat gireringarna till en utomstående genom att i telefon lämna ut till en utomstående de koder som hon fått per textmeddelande. På så sätt har hon handlat grovt vårdslöst, enligt betaltjänstlagen. Om kunden inte hade överlämnat bekräftelsekoderna till en utomstående skulle hon inte ha lidit skada. Överföringen mellan de egna kontona har inget orsakssamband med den egentliga skadan, och överföringen mellan de egna kontona har därmed inte orsakat kunden någon ersättningsgill skada.

Den skada som kunden lidit är inte en följd av den obehöriga överföringen mellan de egna kontona, utan av att kundens i betaltjänstlagen avsedda grova vårdslöshet i och med att hon till en utomstående överlämnade koderna som behövdes för att bekräfta betalningarna.

Slutledningar

Jag anser att de obehöriga överföringarna mellan kundens konton som gjorts utan stark autentisering inte har ett orsakssamband med den skada som kunden orsakat genom att hon varit grovt vårdslös så som avses i betaltjänstlagen.

På de grunder som konstateras ovan anser jag att banken inte ansvarar för den i ärendet uppkomna skadan till någon som helst del och att Banknämnden inte bör rekommendera banken att ersätta skadebeloppet minskat med 2 949,44 euro, alltså de medel som fanns på kundens brukskonto före de interna överföringarna.