Tapahtumatiedot

Kun asiakkaan tarkoituksena on ollut hakeutua sähköpostissa olleen linkin kautta OmaKanta-palveluun katsomaan verikokeensa tuloksia, on hän huomaamattaan päätynyt rikollisten luomille valesivuille ja käyttänyt siellä pankkitunnuksiaan kirjautumistarkoituksessa.

Rikolliset ovat asiakkaalta valesivujen kautta saamillaan tiedoilla aktivoineet 15.1.2026 klo 17.56 käyttöönsä omalle laitteelleen asiakkaan nimissä olevan pankin tunnistussovelluksen. Sovelluksen käyttöönotto on edellyttänyt asiakkaan verkkopankkitunnusten käyttäjätunnuksen, henkilökohtaisen salasanan ja pankin asiakkaalle klo 17.56 lähettämässä tekstiviestissä olleen aktivointikoodin. Em. tekstiviesti on ollut sisällöltään seuraavanlainen:

 ”Viimeistelläksesi [pankki] ID -tunnistussovelluksen käyttöönotto, käytä kertakäyttökoodia 376122. Koodi on voimassa 3 minuuttia."

Pankki on lähettänyt asiakkaalle sovelluksen käyttöönoton jälkeen klo 17.57 toisen tekstiviestin:

”[Pankki] ID tunnistussovellus on aktivoitu laitteessa Samsung. Jos et ole itse aktivoinut sovellusta, ole heti yhteydessä Sulkupalveluun +358 XX XXX."

Asiakkaan pankkitunnuksia ja em. sovellusta käyttäen rikolliset ovat kirjautuneet asiakkaan verkkopankkiin klo 18.04 ja puhelinoperaattorin palveluun klo 18.12 sekä 18.14 ja hakeneet asiakkaan nimissä eSIM-kortin. Tämän seurauksena asiakkaan puhelin on lakannut toimimasta ja siihen myöhemmin tekstiviestitse lähetetyt maksujen vahvistuskoodit ovat päätyneet rikollisten haltuun.

Rikolliset ovat luoneet useita maksutoimeksiantoja ulkomaille asiakkaan verkkopankissa. Nämä, yhteismäärältään 42 329 euron, tilisiirrot on vahvistettu asiakkaan numeroon lähetetyillä vahvistuskoodeilla 15.1.2026 klo 18.26–19.06. Em. maksuista palautuksina on saatu takaisin 14 000 euroa, ja oikeudettomista maksutapahtumista aiheutunut lopullinen vahinko on siten 28 329 euroa. Asiakkaan pankkitunnukset on suljettu 15.1.2026 klo 19.40.

Asiakkaan valitus

Asiakas vaatii pankilta 28 379 euroa.

Asiakas oli saanut soiton lääkäriltä 11.12.2025, joka ilmoitti hänelle verikokeen arvoja. Hän ei saanut kaikkia tuloksia puhelimitse ja jäi odottamaan, tulisiko vielä erikseen ilmoitus kanta.fi -sivulle missä olisi verikokeiden kaikki arvot. Asiakas sai sähköpostia OmaKannan nimissä 15.1.2026. Sähköpostissa oli monta eri liitettä, joita asiakas luuli verikokeensa tuloksiksi. Hän ei kuitenkaan niitä avannut vaan avasi linkin missä luki näytä viesti. Linkistä avautui kirjautumissivu, johon hän kirjautui pankin verkkopankkitunnuksilla sen ollessa ainoa tapa, millä hän pystyy kirjautumaan eri palveluihin. Kun hän sai pankin vahvistusviestin, hän vahvisti viestin niin kuin normaalisti, jonka jälkeen puhelimeen tuli useita eri sivustoja esille, ja hän ei pystynyt tekemään mitään, vaikka yritti poistaa sivustot jne. Hänestä vaikutti siltä, että joku muu käyttäisi hänen puhelintaan etänä. Muutama sekunti meni, jonka jälkeen hänen puhelimensa sammui ja kun hän välittömästi yritti käynnistää puhelimen, se ei käynnistynyt. Puhelin ilmoitti, että vahvista PUK-koodilla.

Asiakkaan puoliso kirjautui viiden-kymmenen minuutin päästä hänen puhelimellaan sisään pankin mobiilipalveluun ja huomasi, että kaikki rahat olivat hävinneet. Hän soitti heti pankin asiakaspalveluun, mutta kello oli silloin yli 18 ja asiakaspalvelu oli mennyt kiinni. Puoliso ei ole juurikaan käyttänyt google -palvelua, joten hänellä oli vaikeuksia löytää sulkupalvelunumero, joten hän yritti soittaa heidän pojalleen. Meni hetki ennen kuin poika vastasi. Kun he saivat pojan kiinni, hän lähetti mahdollisimman nopeasti sulkupalvelun numeron. Pojalla kesti hetki sen löytää se, koska hän oli paniikissa ja sekaisin kuultuaan tapahtuneesta. Soitettua sulkupalvelulle tilit suljettiin.

Poika lähti auttamaan vanhempiaan. Asiakkaan puhelin pyysi PUK-koodia. Poika soitti operaattorille ja asiakas sai veloituksetta PUK-koodin, mutta se ei auttanut saamaan puhelinta käynnistymää. Seuraavana päivänä operaattorin liikkeeseen mentyään asiakas sai kuulla, että SIM-kortti oli kaapattu etänä ja se täytyi vaihtaa. Vaihdoin jälkeen puhelin käynnistyi ja pankin loput tekstiviestit saapuivat. Niissä luki, että nyt on rekisteröity Samsung -laitteelle ja jos ei ole sinun laitteesi, ole heti yhteydessä sulkupalveluun. Asiakkaalla on Honor -puhelin. Tämän jälkeen asiakas meni poliisiasemalle tekemään rikosilmoituksen.

Pankin konttorilla katsottiin tilit, ja 10 000 ja 4 000 euron summat olivat siirtyneet tilille takaisin. Monta eri rahansiirtoa oli eri nimillä tehty. Asiakkaalle ja hänen puolisolleen tehtiin uudet käyttäjätunnukset ja tilattiin uudet pankkikortit. Asiakas teki reklamaation pankille ja sai vastauksen, ettei saa rahoja takaisin. Pankin mukaan asiakkaan olisi pitänyt tietää, että kyseessä on huijausviesti ja ymmärtää soittaa välittömästi sulkupalveluun. Sulkupalveluun ilmoittamisessa oli kestänyt pankin mukaan liian pitkään.

Asiakas ihmettelee, miksi pankki ei estänyt oikeudettomia siirtoja, jotka varas lähetti kaapatulla SIM-kortilla ja miten huijari pystyi lähettämään viestejä pankin numerosta. Vahvistuskoodi tuli samaan ketjuun, kun asiakkaalle aiemmin lähetetyt vahvistuskoodit pankista. Asiakas myös pohtii, onko pankilla vakuutus, joka korvaisi menetyksen. Asiakkaalla ja hänen puolisollaan on pieni eläke, varat tulisi palauttaa heille.

Pankki on laiminlyönyt velvollisuutensa asiakkaan suojaamisessa. Asiakas puolisoineen on ollut saman pankin asiakkaana yli 20 vuotta, eikä ole koskaan tehnyt tilisiirtoja ulkomaille. Pankin olisi tullut estää poikkeavat tapahtumat, kun niitä oli useampi. Tällaisessa tapauksessa pankin pitäisi pyytää erikseen lupaa asiakkaalta esimerkiksi soittamalla, että onko siirto aito ja oletko sellaista rahansiirtoa tekemässä. Pankin turvallisuustoimet ovat kevyitä.

Verkossa ilmoitetaan, että ko. pankilla on automaattiset turvaestot. Lainaten: "Huijausepäilyt: Jos pankki epäilee tilisiirron olevan peräisin huijauksesta, se voi estää maksun"

Asiakas kaipaa enemmän vastuuta myös puhelinoperaattoreilta. Elektronisen SIM-kortin saa aktivoitua liian helposti, varsinkin kun kaikki eivät edes tiedä, mikä eSIM-kortti on. Kun kyseessä oli puhelimen "etäkaappaus" ja asiakkaan puhelin sammutettiin "etänä", jotta hän ei pystynyt estämään huijaria/huijareita.

Kun pankin verkkopankkitunnuksilla kirjautuu muihin palveluihin, asiakkaan saamassa vahvistusviestissä ei kerrota, mihin palveluun hän on tarkalleen ottaen kirjautumassa. Tällöin on mahdotonta erottaa aitoa ja valesivustoa toisistaan. Pankin konttoreita on karsittu paljon ja palveluita siirretty verkkoon asiakkaan digitaidoista riippumatta.

Asiakas ei nähnyt varoitusviestiä vielä 15.1, jossa oli tieto tunnistussovelluksen ja Samsung -laitteen käytössä. Kun asiakas antoi kertakäyttökoodin puhelimeen, tuli välittömästi useita pop up -sivustoja ja samalla puhelimen näyttö kirkastui ja tummeni ja muutaman sekunnin jälkeen puhelinnäyttö meni mustaksi ja sammui. Seuraavana päivänä eli 16.1 saapui vahvistusviesti puhelimeen, kun puhelinoperaattorin työntekijä sai puhelimen käynnistettyä. Asiakkaan asiamies näki tämän.

Tämä ei ole törkeä huolimattomuus, koska tässä tapauksessa kaikki vahvistusviestit ovat tulleet pankin kautta oikealla numerolla asiakkaalle. Lisäksi varoitusviesti näkyi vasta seuraavana päivänä eikä samana päivänä kuten pankki väittää. Asiakas odotti saavansa verikokeiden tuloksia, jonka takia luuli aidosti, että tämä kyseinen s-posti oli aito, koska oli myös useita liitteitä, mitä hän luuli verikokeiden tuloksiksi. Mistä asiakas voi tietää, onko kyseessä oikea vai valesivusto. Ja ennen kuin asiakas ymmärsi, että nyt on huijaus tehty, niin siinä meni hiukan aikaa, jonka jälkeen asiakkaan puoliso sitten tarkisti tilit ja tilit olivat jo silloin tyhjät.

Asiakas pyytää todisteita siitä, että pankki on ulkomaan pankeilta pyytänyt rahanpalautusta ja syyt miksi eivät voi palauttaa.

Pankin vastineen luettuaan asiakas uudelleen ilmoittaa kantanaan, että vahvistuskoodin annettua puhelin sekosi muutaman sekunnin, ja eri sivustoja tuli esille, ja myös ruutu välähti oudosti. Asiakas ei nähnyt toista viestiä (vahvistusviesti/varoitusviestiä). Kun muutama sekunti meni, puhelin sammui. Asiakas näki ainoastaan vahvistuskoodin, mutta ei toista pankin lähettämää viestiä.

Pankin vastine

Pankki kiistää kokonaisuudessaan asiakkaan korvausvaatimuksen.

Asiakkaan tililtä on siirretty yhteensä 42 329 euroa. Pankki on saanut palautettua 14 000 euroa asiakkaalle, joten kokonaismenetys on 28 329 euroa.

Pankin näkemyksen mukaan vastuu oikeudettomista maksutapahtumista johtuneista tappioista on maksupalvelulain 62 § 2 momentin mukaisesti asiakkaan, sillä tämä on toiminut maksuvälinettä käyttäessään törkeän huolimattomasti.

Pankin kuvaus tapahtumista perustuen järjestelmälokitietoihin:

Asiakas on vastaanottanut sähköpostin 15.1.2026 kello 17.46, jossa lähettäjä [email protected] on “Verkkosivusto Kanta-palvelun" nimissä lähettänyt useita liitteitä. Asiakas ei kertomansa mukaan avannut liitteitä, mutta klikkasi sivulla olevaa kohtaa, missä luki “näytä viesti”, jonka kautta hänelle avautui verkkopankin kirjautumissivu. Hän on syöttänyt sivulle käyttäjätunnuksensa sekä henkilökohtaisen salasanansa, jonka jälkeen hän on saanut klo 17.56 SMS-viestin numeroonsa:

 ”Viimeistelläksesi [pankki] ID -tunnistussovelluksen käyttöönotto, käytä kertakäyttökoodia 376122. Koodi on voimassa 3 minuuttia."

Asiakas sai klo 17.57 vahvistuksen laitteen aktivoimisesta uudelle laitteelle: ”[Pankki] ID tunnistussovellus on aktivoitu laitteessa Samsung. Jos et ole itse aktivoinut sovellusta, ole heti yhteydessä Sulkupalveluun +358 XX XXX."

Kyseiset viestit ovat tavoittaneet asiakkaan, mutta hän ei ole reagoinut niiden sisältöön, vaan on syöttänyt vahvistuskoodin, vaikka siinä selkeästi lukee, että vahvistusviesti koskee pankin tunnistussovelluksen käyttöönottoa. Hän ei myöskään reagoinut viestiin, missä luki, että sovellus on aktivoitu laitteessa Samsung, kun asiakkaalla itsellään on Huawei-puhelin käytössä.

Pankin lokitiedoista käy ilmi, että asiakkaan verkkopankkitunnuksilla on pankin tunnistussovelluksen käyttöönoton jälkeen kirjauduttu verkkopankkiin klo 18.04 ja puhelinoperaattorin palveluun kello 18.12 sekä 18.14. Pankilla ei ole omilla lokeillaan tietoja kolmannen osapuolten palveluissa tehdyistä mahdollisista toimista. Tiedot kolmannen osapuolen palveluissa tehdyistä toimista tulee pyytää kultakin palveluntuottajalta itseltään. Oletettavasti huijari on vahvasti tunnistautuneena pystynyt tilaamaan puhelinoperaattorin palvelussa eSIM-kortin, jonka avulla on mahdollista lukea tekstiviestejä, jotka lähetetään tiettyyn numeroon. Tämän avulla huijarit ovat todennäköisesti saaneet pääsyn asiakkaan tekstiviesteihin ja näin ollen myös maksujen vahvistamiseen tarvittaviin vahvistuskoodeihin. Pankin tunnistussovelluksen aktivointiviesti on kuitenkin joka tapauksessa tullut asiakkaan puhelimeen, koska tunnusten käyttö puhelinoperaattorin palvelussa on tapahtunut vasta tämän jälkeen. Pankki on luetteloinut vastaukseensa 15.1.2026 klo 18.04 tehdyt maksut, jotka on suoritettu verkkopankissa tunnistautumalla tunnistussovelluksella.

Asiakkaan verkkopankki on lukittu 15.1.2026 klo 19.40 pankin toimesta ja asiakkaalle on lähetetty SMS-viesti, missä on ilmoitettu, että hänen tilinkäyttövälineensä on lukittu varotoimena. Asiakas on soittanut sulkupalveluun vasta myöhemmin illalla klo 20.34. Pankki teki maksuista palautuspyynnöt 16.1.2026. Kahdesta maksusta tuli hyväksyntä palautuspyyntöön ja pankki sai näin palautettua yhteensä 14 000 euroa asiakkaalle.

Pankin käsitys tapahtumien kulusta sekä asiakkaan toiminnasta, jonka seurauksena asiakkaan tililtä on tehty oikeudettomia maksuja:

Asiakas on yrittänyt kirjautua pankin verkkopankkitunnuksillaan Kanta-palvelun sähköpostitse saaneensa linkin kautta, kun hän on ollut aikeissa avata viesti, jonka hän oletti liittyvän odottamiinsa terveystuloksiin. Asiakas ei reagoinut viestin lähettäjään, joka tässä tapauksessa oli [email protected], ei Kanta-palvelu. Asiakas on syöttänyt väärennetylle sivustolle verkkopankkisopimuksen käyttäjätunnuksen, henkilökohtaisen salasanan sekä tekstiviestillä tulleen uuden pankin tunnistussovelluksen käyttöönoton mahdollistaneen aktivointikoodin, jolloin ulkopuolinen taho on annettujen tietojen perusteella pystynyt ottamaan käyttöön omalle laitteelleen asiakkaan nimiin pankin sovelluksen. Asiakas on antanut itse kaikki tarvittavat tiedot ko. sivustolle mukaan lukien tekstiviestillä tulleen aktivointikoodin, jonka yhteydessä on ilmoitettu, mitä tarkoitusta varten koodi on lähetetty. Kyseisen tekstiviestin sisältö ei vastannut niiden viestien sisältöä, joita asiakkaat saavat kirjautuessaan kolmannen osapuolen palveluun, kuten Kanta-palveluun. Ulkopuolisen henkilön tekemän pankin tunnistussovelluksen aktivoinnin jälkeen asiakkaalle on tullut vielä vahvistus- ja varoitustekstiviesti, jossa on selkeästi kerrottu sovelluksen aktivoinnista ja annettu kehotus ottaa välittömästi yhteyttä sulkupalveluun, mikäli asiakas ei itse ole tehnyt uuden sovelluksen aktivointia. Asiakkaan väärennetylle sivustolle antamilla tunnistetiedoilla ulkopuolinen toimija on ottanut käyttöön pankin tunnistussovelluksen, eli vahvan sähköisen tunnistusvälineen, jonka avulla on myöhemmin kirjauduttu sekä kolmannen osapuolen palveluun, että asiakkaan ko. pankin verkkopankkiin. Ulkopuolinen henkilö on teleoperaattoripalvelussa ottanut käyttöön asiakkaan puhelinliittymään eSIM-kortin, jolloin tämä on myös saanut pääsyn asiakkaalle lähetettyyn oikeudettomien maksujen tekstiviestivahvistuspyyntöön eSIM/SIM-kortin vaihdon jälkeen. Vaikka rikolliset mahdollisesti ovat saaneet käyttöönsä eSIM-kortin, tämä on tapahtunut vasta sen jälkeen, kun asiakas on mahdollistanut pankin tunnistussovelluksen käyttöönoton.

Asiakas on selvityspyynnössään vahvistanut, että hän sai pankin tunnistussovelluksen vahvistuskoodin sekä vahvistusviestin ennen kuin puhelin lakkasi toimimasta. Oletettavasti puhelin on lakannut toimimasta noin klo 18.15, kun operaattorin palveluun on kirjauduttu sisään toisen kerran. Lisäksi tulee huomioida, että sekä pankki, poliisi ja muut viranomaiset sekä muut rahoitustoimijat ja eri mediat ovat toistuvasti nostaneet esiin varoitukset väärennetyille sivuille päätymisen riskeistä esim. sähköpostiviesteissä tulleita linkkejä käyttämällä, sekä tarpeesta lukea pankin lähettämien tekstiviestisisältö tarkasti ennen vahvistusten rekisteröimistä.

Pankin näkemyksen mukaan asiakas on toiminut törkeän huolimattomasti sekä verkkopankkiehtojen kohdan vastaisesti syöttäessään verkkopankin käyttäjätunnuksen ja henkilökohtaisen salasanan yrittäessään kirjautua pankkitunnisteilla linkin kautta esille tulleelle väärennetylle sivustolle. Asiakas on lisäksi toiminut törkeän huolimattomasti syöttäessään samalle sivustolle tekstiviestillä saamansa pankin aktivointikoodin, vaikka tekstiviestissä on nimenomaan kerrottu sen liittyvän pankin tunnistussovelluksen aktivointiin. Asiakas on myös jättänyt huomioitta pankintunnistussovelluksen aktivoinnin jälkeen saamansa vahvistus- ja varoitussähköpostiviestin, jossa asiakasta on kehotettu välittömästi toimimaan, mikäli ei itse ole aktivoinut ko. sovellusta. Huolellisesti toimivan asiakkaan olisi pitänyt lukea viestit tarkasti ja olisi pitänyt jättää syöttämättä ne sivustolle. Asiakas ei ole noudattanut verkkopankkiehtojen sekä maksupalvelulain 53 § 1 momentin mukaista velvollisuuttaan käyttää maksuvälinettä ehtojen mukaisesti. Asiakas ei ole toiminut huolellisesti, vaan on jättänyt huomioimatta tekstiviestien sisällöt. Mikäli asiakas olisi huomioinut ensimmäisen tekstiviestin sisällön ja jättänyt syöttämättä vahvistuskoodin, ei pankin tunnistussovelluksen käyttöönotto ulkopuolisen toimesta olisi onnistunut. Asiakkaalla olisi myös toisen varoitustekstiviestin vastaanottamisen jälkeen ollut riittävästi aikaa reagoida ja soittaa sulkupalveluun, jolloin maksujen toteuttaminen olisi ehditty estää ja verkkopankki sulkea.

Asiakas on esittänyt, että pankin olisi tullut estää maksut sillä perusteella, että ne poikkesivat hänen tavanomaisesta maksukäyttäytymisestään. Kuten FINE on ratkaisukäytännössään todennut (ks. esimerkiksi FINE-71529-W1F8J0 tai FINE-75893-L5T1C0), maksupalvelusääntelyn mukaan pankeilla tulee olla maksutapahtumien valvontamekanismeja luvattomien ja vilpillisten maksujen havaitsemiseksi. Tällä velvollisuudella ei kuitenkaan ole suoraa vaikutusta vastuunjakoon pankin ja asiakkaan välillä maksuvälineen luvattoman käytön osalta. Pankin maksujen valvonta on voimassa olevan sääntelyn mukaista. Maksujen valvonta ei siten vaikuta pankin ja asiakkaan väliseen vastuunjakoon maksuvälineen luvattoman käytön tilanteissa. Palveluiden turvallinen käyttö edellyttää lisäksi, että asiakkaat noudattavat sopimusehtoja ja annettuja ohjeita. Asiakas luuli avaavansa viestin, joka liittyi hänen omiin terveystietoihinsa, ja käyttäneensä tässä yhteydessä verkkopankkitunnuksiaan tunnistautumiseen. Pankin konttoriverkoston laajuudella ei ole ollut merkitystä asiassa, vaan asiakkaan puuttuva huolellisuus sähköisten tunnistusvälineiden käytössä.

Pankki katsoo asiakkaan maksupalvelulain 62 § 2 momentin mukaisesti toimineen törkeän huolimattomasti ja verkkopankkisopimusehtojen vastaisesti. Asiakas on omalla toiminnallaan mahdollistanut ulkopuolisen verkkorikollisen pääsyn hänen verkkopankkipalveluihinsa, ja puhelinliittymäänsä ja siten mahdollistanut asiakkaan tililtä tehdyt oikeudettomat maksut. 

Asiakkaan edustaja on lisävastineessa kirjoittanut asiakkaan saaneen pankilta vahvistusviestin sovelluksen aktivoinnista vasta seuraavana päivänä. Asiakas on kuitenkin itse helmikuussa annetussa selvityspyynnössään vahvistanut saaneensa kaksi viestiä puhelimeensa ennen puhelimen sammumista: vahvistuskoodin sekä vahvistusviestin. “Sen jälkeen tuli [pankin] vahvistuskoodi ja kun sen laitoin niin [pankin] numerosta tuli vahvistusviesti ja puhelin alkoi välittömästi sen jälkeen välähtämään ja erilaisia sivuja pomppasi esille muutaman sekunnin jonka jälkeen puhelin sammui ja kun yritin käynnistää puhelin niin Pin koodi oli lukittu ja vaati Puk koodin.” Tämä vastaa myös pankin muissa vastaavissa tapauksissa havaitsemia tilanteita, joissa asiakkaan nimiin on avattu eSim, asiakas on vastaanottanut vahvistuskoodin ja vahvistusviestin ennen kuin puhelimen toiminta on lakannut. Pankin käsityksen mukaan asiakkaan olisi pitänyt reagoida tähän yllättävään tilanteeseen nopeammin, erityisesti huomioiden sen, että hänelle tuli pankilta tällaista viestintää tilanteessa, jossa hän luuli ainoastaan kirjautuneensa kolmannen palveluntarjoajan palveluun. Pankki varoittaa jatkuvasti asiakkaita riskeistä joutumisesta valesivustolle tilanteissa, jossa asiakas saa linkin tekstiviestillä tai sähköpostilla. Mikäli asiakas kuitenkin lukisi pankin lähettämät viestit ennen kuin käyttäisi niissä olleita kertatunnuksia tunnistautumiseen, valesivustolle päätymisestä ei lähtökohtaisesti seuraisi asiakkaalle mitään vahinkoa.

Huolelliselta toimivalta asiakkaalta edellytetään, että tämä lukee tarkasti viestien sisällön. Asiakkaan edustaja kyseenalaistaa myös sitä, miten asiakkaan tililtä voitiin tehdä useampi maksu ja myös ulkomaille, vaikka asiakas ei normaalisti tee ulkomaanmaksuja. Pankilla ei ole mahdollisuutta estää ulkomaille suuntautuvia maksuja yksinomaan sillä perusteella, ettei asiakas tai hänen puolisonsa ole aiemmin tehnyt ulkomaanmaksuja. Pelkkä maksuhistorian puuttuminen ei siten muodosta perustetta maksujen estämiselle. Varojen palauttaminen vastaanottavan pankin kautta on käytännössä harvoin mahdollista. Tämä johtuu siitä, että varat eivät useimmiten ole enää vastaanottajan tilillä siinä vaiheessa, kun palautuspyyntö saapuu käsiteltäväksi. Kaikista maksuista on tehty palautuspyynnöt, kahdesta maksusta pankki sai varat palautettua, muut ovat joko hylätty (neljä maksua) tai sitten pankin pyyntöön ei ole vastattu useista yrityksistä huolimatta (viisi maksua).

Pankin tietoon ei ole aikaisemmin tullut tapauksia, jossa asiakkaiden puhelimet olisivat lakanneet toimimasta asiakkaan kuvaamalla tavalla. Varoitus/vahvistusviesti on joka tapauksessa tullut perille asiakkaalle ennen kuin puhelin on sammunut ja asiakkaan olisi pitänyt reagoida tilanteeseen ottamalla yhteyttä pankkiin tai sulkupalveluun. Riidatonta on myös edelleen se, että asiakas sai ensimmäisen viestin ja että asiakas luovutti siinä olleen vahvistuskoodin rikollisille. Pankin käsitys asiakkaan huolimattomuuden tasosta ei ole muuttunut, vaikka asiakas haluaa lisäkirjelmällään muuttaa aikaisemmin annettua kuvausta tapahtumista.

Selvitykset

Osapuolten välisen kirjeenvaihdon lisäksi lautakunnalle on toimitettu seuraavat asiakirjat:
- Soveltuvat pankkitunnusehdot, voimassa 12.6.2019.
- Kuvia asiakkaan saamasta Kanta.fi-nimissä tulleesta viestistä.
- Kirjallinen vahvistus rikosilmoituksen vastaanottamisesta.

Ratkaisusuositus 

Kysymyksenasettelu

Asiakkaan ja pankin välisen vastuunjaon ratkaisemiseksi Pankkilautakunnan on arvioitava, voidaanko asiakkaan maksuvälineen oikeudettoman käytön katsoa johtuneen siitä, että asiakas on huolimattomuudestaan laiminlyönyt maksupalvelulain 53 §:n 1 momentin mukaisia velvollisuuksiaan, sekä minkä asteista asiakkaan mahdollinen huolimattomuus on ollut.

Sovellettavat lainkohdat ja sopimusehdot

Maksupalvelulain 53 §:n 1 momentin mukaan 

Maksuvälineen haltijan on käytettävä maksuvälinettä sen myöntämistä ja käyttöä koskevien ehtojen mukaisesti. Erityisesti hänen on kohtuullisin toimenpitein huolehdittava maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista. Maksuvälineen myöntämistä ja käyttöä koskevat ehdot eivät saa olla perusteettomia, kohtuuttomia tai syrjiviä. 

Maksupalvelulain 62 §:n mukaan 

Maksupalvelun käyttäjä, joka on tehnyt maksuvälinettä koskevan sopimuksen palveluntarjoajan kanssa, vastaa kadonneen tai oikeudettomasti toisen haltuun joutuneen maksuvälineen käytöstä tai muusta maksuvälineen oikeudettomasta käytöstä vain, jos oikeudeton käyttö johtuu siitä, että hän tai muu maksuvälineen haltija on: 
1) luovuttanut maksuvälineen sen käyttöön oikeudettomalle; 
2) huolimattomuudesta laiminlyönyt 53 §:n 1 momentin mukaiset velvollisuutensa; taikka 
3) laiminlyönyt ilman aiheetonta viivytystä ilmoittaa palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä. 
Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä 1 momentin 2 ja 3 kohdassa tarkoitetuissa tapauksissa on enintään 50 euroa. Tätä rajoitusta ei sovelleta, jos maksupalvelun käyttäjä tai muu maksuvälineen haltija on toiminut tahallisesti tai törkeän huolimattomasti. 
Maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä: 
1) siltä osin kuin maksuvälinettä on käytetty sen jälkeen, kun palveluntarjoajalle tai sen nimeämälle muulle taholle on ilmoitettu maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä; 
2) jos palveluntarjoaja on laiminlyönyt huolehtia siitä, että maksuvälineen haltijalla on mahdollisuus tehdä milloin tahansa 1 kohdassa tarkoitettu ilmoitus; 
3) jos maksunsaaja ei ole maksuvälinettä käytettäessä asianmukaisesti varmistunut maksajan oikeudesta käyttää maksuvälinettä; tai 
4) jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista. 
Sen estämättä, mitä 3 momentissa säädetään, maksupalvelun käyttäjä on vastuussa maksuvälineen oikeudettomasta käytöstä, jos hän tai muu maksuvälineen haltija on tahallaan tehnyt väärän ilmoituksen tai toiminut muuten petollisesti. 

Maksupalvelulain 63 §:n 1 momentin mukaan  

Jos maksutapahtuma on toteutettu oikeudettomasti eikä 62 §:stä muuta johdu, palveluntarjoajan, jonka asiakkaan varoja on käytetty maksutapahtuman toteuttamiseen, on välittömästi ja viimeistään seuraavana työpäivänä siitä, kun se havaitsi maksutapahtuman tai sille ilmoitettiin maksutapahtumasta, palautettava maksutapahtuman rahamäärä asiakkaalleen tai palautettava tämän maksutili siihen tilaan, jossa se olisi ollut ilman veloitusta. 

Pankin verkkopankkia ja verkkopankkitunnusten käyttöä sekä tunnistuspalvelua koskevien yleisten ehtojen (pankkitunnusehdot) Tunnusten käyttäminen ja säilyttäminen -kohdan mukaan  

[…]
Asiakas ei saa luovuttaa tunnuksiaan osaksikaan toiselle henkilölle, ei edes samaan perheeseen kuuluvalle henkilölle. Asiakas ei myöskään saa antaa tunnuksiaan tai niiden osaa Verkkopankin tai Tunnistuspalvelun ulkopuolisille sovelluksille, verkkosivustoille tai muille palveluille. 
[…] 
Asiakas sitoutuu säilyttämään Verkkopankkitunnuksiin kuuluvat yksittäiset tunnisteet erillään toisistaan ja huolehtimaan siitä, että ne eivät joudu sivullisen haltuun tai tietoon. Sama velvoite koskee myös niitä pankin tarjoamia sovelluksia tai varmenteita, jotka liittyvät pankin tarjoamaan tietoturvalliseen tekniseen menetelmään, jolla voidaan käyttää Verkkopankkia ja muita pankin tarjoamia palveluja. Asiakkaan on käyttäessään tunnuksia päätelaitteessaan suojattava näyttö ja näppäimistö siten, ettei sivullisen ole mahdollista nähdä ja saada tietoonsa tunnuksia tai niiden osia. Pankilla on oikeus antaa tarkempia ohjeita tunnusten säilyttämisestä muuta teknistä menetelmää koskevissa sopimusehdoissa.
Asiakas ei saa ilmaista tunnuksia tai niiden osaa puhelimessa suullisesti niitä kysyvälle eikä antaa tai lähettää niitä tekstiviestillä, sähköpostilla tai muulla viestivälineellä saapuneen pyynnön perusteella. Ainoastaan puhelinyhteydellä pankin asiakaspalveluun (p. xxx xxx xxx) asiakas voi tunnistautua annettujen ohjeiden mukaan käyttämällä tunnuksia päätelaitteessaan. 
Verkkopankkitunnuksiin kuuluvia yksittäisiä tunnisteita ei saa kirjoittaa tai tallettaa muistiin helposti tunnistettavassa muodossa. Tunnusten osia ei saa säilyttää yhdessä, kuten samassa säilytyspaikassa kotona, tai esimerkiksi lompakossa tai käsilaukussa. Asiakkaan on varmistettava olosuhteiden edellyttämällä tavalla säännöllisesti, että tunnukset ovat tallessa. Jos tunnukset ovat kadonneet tai ne ovat joutuneet tai ovat saattaneet joutua sivullisen haltuun tai tietoon, asiakas on velvollinen ilmoittamaan tästä välittömästi pankille. Muun kuin pankin myöntämän varmenteen tai tunnisteen katoamisilmoitus on tehtävä varmennetta tai tunnistetta koskevien käyttöehtojen mukaisesti. 
[…] 
Asiakkaan on tehtävä katoamisilmoitus henkilökohtaisesti tai puhelimitse pankin konttoriin tai pankin ilmoittamaan asiakaspalveluun näiden aukioloaikoina taikka pankin sulkupalveluun (puhelinnumero xxx xxx tai ulkomailta +358 xx xxx). […]

Pankkitunnusehtojen Tunnistuspalvelun käyttäminen -kohdan mukaan 

Jos pankin ja asiakkaan välillä on sovittu Tunnistuspalvelun käytöstä, asiakas voi tunnistautua pankin tarjoamilla tunnuksilla Ulkopuolisen palveluntarjoajan tai Luottamusverkostoon kuuluvan toimijan sähköisissä palveluissa.
[…] 

Asian arviointi 

Tapahtumakulku

Pankkilautakunta katsoo asiassa riidattomaksi, että kun asiakkaan tarkoituksena on ollut mennä OmaKannan verkkosivuille saamassaan sähköpostissa olleen linkin kautta, on hän päätynyt rikollisten luomille valesivuille, joilla hän on käyttänyt verkkopankkitunnuksiaan kirjautuakseen OmaKantaan. 

Rikolliset ovat valesivujen kautta tietoonsa saamiaan asiakkaan pankkitunnuksia oikeudetta käyttäen aloittaneet pankin tunnistussovelluksen asentamisen omalle laitteelleen, ja pankki on tämän seurauksena lähettänyt asiakkaalle 15.1.2026 klo 17.56 tekstiviestitse tunnistussovelluksensa käyttöönoton edellyttämän koodin. Viesti on ollut seuraavanlainen:

”Viimeistelläksesi [pankki] ID -tunnistussovelluksen käyttöönotto, käytä kertakäyttökoodia 376122. Koodi on voimassa 3 minuuttia."  

Asiakas on laittanut myös tekstiviestitse saamansa koodin em. valesivuilla sitä varten varattuun sarakkeeseen.  

Em. koodin saatuaan rikolliset ovat voineet aktivoida käyttöönsä asiakkaan nimissä olevan pankin tunnistussovelluksen omalle laitteelleen, ja pankki on lähettänyt 15.1.2026 klo 17.57 asiakkaalle käyttöönotosta kertoneen tekstiviestin. Asiakas kiistää saaneensa em. viestiä ko. ajankohtana. Kun pankin tunnistussovelluksen aktivoinnista kertova viesti on lähetetty asiakkaalle välittömästi pankin tunnistussovelluksen käyttöönoton jälkeen, jolloin asiakkaan puhelimen olisi vielä annetun selvityksen perusteella tullut toimia normaalisti, Pankkilautakunta katsoo asiakkaan saaneen myös jälkimmäisen viestin tapahtumapäivänä.

Sovellusta käyttäen rikolliset ovat kirjautuneet asiakkaan puhelinoperaattorin palveluun klo 18.12 sekä 18.14, ja hakeneet asiakkaan nimissä eSim-kortin. Tämän seurauksena asiakkaan puhelin on lakannut toimimasta.

Rikolliset ovat kirjautuneet em. sovellusta käyttäen asiakkaan verkkopankkiin, ja tehneet siellä useita maksutoimeksiantoja ulkomaille. Tilisiirrot on vahvistettu asiakkaan numeroon lähetetyillä vahvistuskoodeilla 15.1.2026 klo 18.26–19.06. Asiassa on riidatonta, että vahvistuskoodit ovat päätyneet rikollisten haltuun eSIM:n välityksin.  

Pankki on havainnut poikkeukselliset tapahtumat ja lukinnut asiakkaan tunnukset 15.1.2026 klo 19.40. Asiakas on soittanut sulkupalveluun klo 20.34. Pankki on tehnyt maksuista palautuspyynnöt 16.1.2026. Em. maksuista palautuksina on saatu takaisin 14 000 euroa ja oikeudettomista maksutapahtumista aiheutunut lopullinen vahinko on siten 28 329 euroa.

Asiakkaan menettelyn arviointi 

Soveltuvien pankkitunnusehtojen mukaan asiakas voi tunnistautua pankin tarjoamilla tunnuksilla ulkopuolisen palveluntarjoajan sähköisissä palveluissa. Ehtojen mukaan asiakas sitoutuu huolehtimaan siitä, että tunnukset eivät joudu sivullisen haltuun tai tietoon, mutta ehdoissa ei kuitenkaan tarkemmin määritellä, kuinka asiakkaan olisi toimittava ulkopuolisen palveluntarjoajan sähköisiin palveluihin hakeututuessaan taikka niille tunnistautuessaan. Ehdoissa kielletään antamasta ja lähettämästä tunnuksia sähköisesti saapuneen pyynnön perusteella, mutta ehdoissa ei kielletä tunnusten käyttämistä sähköisesti saapuneen linkin kautta avautuneilla sivuilla.

Tässä tapauksessa asiakas on saanut sähköpostin OmaKantapalvelun nimissä. Lautakunnalle toimitetun aineiston perusteella sähköposti on suurelta osin ollut aidonnäköinen, mutta sen lähettäjätieto ja liitteet ovat poikenneet aidosta viestistä. Kun otetaan vielä huomioon pankin vetoama seikka verkkohuijauksia ja valesivuja koskeneista toistuvista varoituksista ja tiedotteista, jotka ovat lautakunnan näkemyksen mukaan lisänneet yleistä tietämystä verkkohuijauksista ja niistä vaaroista, jotka seuraavat, mikäli pankkitunnuksia käytetään sähköpostitse tulleen linkin kautta avautuvilla sivuilla, lautakunta katsoo, että huolelliselle pankkitunnusten haltijalle olisi todennäköisesti herännyt epäilys sähköpostiviestin asianmukaisuudesta.

Lautakunta kiinnittää kuitenkin huomiota siihen, että nykyään moninaiset yksityiset ja julkiset toimijat lähettävät asiakkailleen asiointia koskevia ja verkkotunnuksiltaan hyvinkin erilaisia linkkejä sisältäviä tekstiviestejä, mikä on tehnyt tämänkaltaisista yhteydenotoista arkipäiväisiä ja on osaltaan voinut vaikuttanut siihen, ettei huolellinenkaan pankin asiakas osaa aina kyseenalaistaa tämänkaltaisen viestinnän ja viestissä olevan linkin asianmukaisuutta. Kun tässä tapauksessa asiakas on odottanut viestiä OmaKanta-palvelusta ja saapuneessa viestissä olleesta linkistä on avautunut pankin tunnistautumissivuilta näyttävät sivut, joilla asiakas on käyttänyt pankkitunnuksiaan näkemänsä ja käsittämänsä perusteella niiden tavanomaisessa käyttötarkoituksessa tunnistautuakseen kolmannen osapuolen palveluun, Pankkilauta katsoo, ettei asiakkaan menettely tältä osin osoita kuitenkaan lievää suurempaa huolimattomuutta.

Saatuaan kirjautumisen yhteydessä tavanomaisesta verkkopankkiasioinnista poikkeavalla tavalla pankin tunnistussovelluksen aktivointikoodin sisältäneen tekstiviestin Pankkilautakunta katsoo, että asiakkaan olisi myös tämän tekstiviestin sisältö huomioiden tullut ymmärtää kyseenalaistaa verkkoasiointinsa asianmukaisuus ja jättää saamansa koodi laittamatta verkkosivuilla sille varattuun sarakkeeseen. Mikäli asiakas olisi tuossa vaiheessa esimerkiksi ottanut itse yhteyttä pankkiinsa tiedustellakseen menettelyn asianmukaisuutta, olisi tapauksessa asiakkaan pankkitunnusten oikeudettomasta käytöstä aiheutuneelta vahingolta voitu välttyä.

Pankkilautakunta on ratkaisukäytännössään katsonut huolelliselta pankkitunnustenhaltijalta edellytettäviin perusvaatimuksiin kuuluvan sen, että pankkitunnuksia käyttäessään hän lukee ja huomioi omassa toiminnassaan asiointinsa yhteydessä pankiltaan saamansa viestit. Pankin vastuulla puolestaan on, että pankin asiakkaalle lähettämät viestit ovat sisällöltään ymmärrettäviä siten, ettei esimerkiksi huolelliselle pankkitunnustenhaltijalle pitäisi jäädä epäselväksi, missä tarkoituksessa pankin viestissä ollutta koodia käytetään. 

Pankkilautakunta kiinnittääkin tässä tapauksessa erityistä huomiota pankin asiakkaalle lähettämän pankin tunnistussovelluksen aktivointikoodin sisältäneen tekstiviestin suppeaan muotoiluun ja vähäiseen informaatioarvoon.  

Tapahtuma-aikaan tämänkaltaiset verkkourkintatapaukset, joissa rikolliset uhreilta valesivujen kautta saamin tiedoin saavat käyttöönsä uhrin nimissä olevan pankin mobiilisovelluksen, olivat jo usean vuoden ajan olleet yleisiä, ja pankin olisi erityisesti tämän johdosta - pankkipalveluiden palveluntarjoajana ja väärinkäytöstilanteiden riskit asiakkaitaan paremmin tuntien - tullut parantaa tämänkaltaisissa tapauksissa usein ratkaisevassa asemassa olevien aktivointikoodi-tekstiviestiensä sisältöä. 

Tästä huolimatta pankki ei kyseisessä tekstiviestissään kerro, mihin asiakkaan tulisi syöttää viestissä oleva koodi, eikä kiellä koodin syöttämistä millekään verkkosivuille taikka varoita millään tavalla väärinkäytöksistä tai riskeistä pankkitunnusten ja viestissä olevan koodin käyttämisen suhteen. Tekstiviesti myös vastaa pituudeltaan tekstiviestiä, jonka pankki lähettää tunnustenhaltijalle tämän kirjautuessa pankin tai ulkopuolisen palveluntarjoajan palveluun, ja viestissä olevan koodin pituus myös vastaa kirjautumistilanteessa pankin lähettämää koodia. Nämä huomattavat puutteet pankin tunnistussovelluksen aktivointikoodin sisältävässä tekstiviestissä kohottavat olennaisesti riskiä sille, että pankin asiakas käyttäessään pankkitunnuksiaan rutiininomaisesti tavanomaisessa tunnistautumistilanteessa - mutta tosiasiassa rikollisten luomilla valesivuilla - ei huomaa pankilta saamansa viestin eroavan tavanomaisesta kirjautumista koskevasta viestistä. 

Pankkilautakunta katsoo tässä tapauksessa ilmeiseksi, että ollessaan käsityksensä mukaisesti kirjautumassa OmaKanta -palveluun asiakas on sekoittanut pankiltaan tekstiviestitse saamansa koodin tavanomaiseen pankin tekstiviestitse lähettämään tunnistautumista koskevaan koodiin. Ottaen huomioon, että tekstiviesti on ollut pituudeltaan tavanomaisen tunnistautumista koskevan viestin pituinen ja siinä ollut koodi on myös ollut saman pituinen kuin tunnistautuessa, lautakunta pitää ymmärrettävänä, että ollessaan käsityksensä mukaisesti tunnistautumassa viranomaisen palveluun asiakkaan huomio ei rutiininomaisessa tunnistautumistilanteessa ole kiinnittynyt tekstiviestin sanalliseen sisältöön hänen syöttäessään viestissä ollutta koodia aidoilta näyttäville valesivuille. 

Pankki on klo 17.57 lähettänyt asiakkaalle sovelluksen käyttöönotosta Samsung-laitteelle kertovan toisen tekstiviestin, jossa pankki myös kehottaa ottamaan heti yhteyttä sulkupalveluun, jos asiakas ei itse ole aktivoinut tunnistussovellusta. Tätä pankin toimintatapaa lähettää tunnistussovelluksen käyttöönotosta kertova tekstiviesti Pankkilautakunta pitää hyvänä ja osaltaan väärinkäytöstilanteissa aiheutuvilta vahingoilta ehkäisevänä vaikkakin tuossa vaiheessa tunnistussovellus saattaa jo olla ulkopuolisen käytössä ja jälkimmäinen pankin viesti saattaa myös jäädä asiakkaalta huomaamatta, ja merkittävämmän ehkäisevän vaikutuksen voi siten katsoa olevan sovelluksen aktivointikoodin sisältävän tekstiviestin asianmukaisella ja informatiivisella sisällöllä. 

Tavanomaisessa pankkitunnuksilla tehtävän tunnistautumisen yhteydessä pankki ei lähetä toista, esimerkiksi tunnistautumisen onnistumisesta kertovaa viestiä. Pankkilautakunta katsookin, että asiakkaan olisi myös pankin jälkimmäisen tekstiviestin johdosta tullut ymmärtää kyseenalaistaa verkkoasiointinsa asianmukaisuus, ja pyrkiä viestissä olleen ohjeen mukaisesti ottamaan heti yhteyttä sulkupalveluun. Tässä tapauksessa asiakas on soittanut sulkupalveluun klo 20.34 eli noin kahden ja puolen tunnin jälkeen. Oikeudettomat maksut on tehty jo klo 18.26–19.06. Toisin sanoen asiakkaan olisi tullut soittaa sulkupalveluun reilussa puolessa tunnissa, jotta vahingolta olisi vältytty, mutta asiakas on soittanut sulkupalveluun viiveellä.

Asiassa saadun selvityksen mukaan rikolliset ovat toimineet nopeasti ja pian sovelluksen käyttöönsä saatuaan tunnistautuneet operaattorin suuntaan sekä hakeneet ja aktivoineet asiakkaan tiedoin eSIM-kortin, minkä jälkeen asiakkaan oma puhelin on lakannut toimimasta. Rikolliset ovat jo tätä ennen kirjautuneet asiakkaan verkkopankkiin ja aloittaneet ripeästi myös maksutoimeksiantojen teon. Asiakas on kertomansa mukaan ryhtynyt välittömästi toimeen soittamalla puolisonsa kanssa pankin asiakaspalveluun ja sen ollessa suljettu, pyytänyt apua lapseltaan pankkitunnustensa sulkemisesta. Lapsen kiinni saamisessa ja sulkupalvelun numeron löytämisessä on kuitenkin kulunut aikaa.

Ottaen huomioon tilanteen yllättävyys, asiakkaan puhelimen toimimattomuus sekä rikollisten nopea toiminta Pankkilautakunta katsoo asiassa jäävän osoittamatta, että asiakas olisi tietoisesti tai palveluntarjoajan eduista piittaamatta viivytellyt katoamisilmoituksen teossa ja että asiakkaan toiminta tämän osalta, kerrotusta viiveestä huolimatta, osoittaisi tahallisuutta taikka törkeää huolimattomuutta.  

Yhteenvetona Pankkilautakunta katsoo asiakkaan pankkitunnusten oikeudettoman käytön johtuneen siitä, että asiakas on huolimattomuudestaan laiminlyönyt maksupalvelulain 53 §:n 1 momentin mukaisia velvollisuuksiaan vakavaa varomattomuutta osoittaen. Lautakunta kuitenkin katsoo, ettei asiakkaan menettely kokonaisuutena kuitenkaan osoita selvää piittaamattomuutta pankkitunnusten hallintaan ja käyttöön liittyviin turvallisuusriskeihin eikä siten myöskään maksupalvelulaissa tarkoitettua törkeää huolimattomuutta. Näin ollen asiakkaan vastuu pankkitunnusten oikeudettomasta käytöstä rajoittuu 50 euroon. 

Asian päättyessä asiakkaan hyväksi, lautakunnalla ei ole syytä käsitellä asiakkaan vetoamaa seikkaa pankin vastuusta koskien poikkeuksellisten maksutapahtumien estämistä.

Lopputulos 

Edellä esitettyyn viitaten Pankkilautakunta suosittaa, että pankki ottaa vastatakseen pankkitunnusten oikeudettomasta käytöstä aiheutuneen vahingon siltä osin kuin se ylittää 50 euroa. 

Pankkilautakunta oli yksimielinen. 

PANKKILAUTAKUNTA

Puheenjohtaja Sillanpää
Sihteeri Tykkä

Jäsenet:
Atrila
Punakivi
Tervonen
Piilo