Tapahtumatiedot

Asiakkaan verkkopankkitunnuksilla ja pankin asiakkaan puhelinnumeroon lähettämän tekstiviestin sisältämällä aktivointikoodilla on otettu käyttöön pankin ID-sovellus uudella laitteella 4.5.2024 kello 14.22. Pankki on lähettänyt asiakkaan numeroon tekstiviestin, joka on sisältänyt ID-sovelluksen aktivointikoodin 4.5.2024 kello 14.22:

 ”[Pankin nimi] ID -sovelluksen aktivointikoodi Jos et ole itse aktivoimassa [Pankin nimi] ID-sovellusta, ota heti yhteys [Pankin nimi]. Muistathan, että emme koskaan kysy sinulta aktivointikoodia puhelimitse tai viestillä. Älä kerro koodia kenellekään. Aktivointikoodisi on XXXXXX SMSID: XXXXXX."

Onnistuneesta ID-sovelluksen aktivoinnista kertova viesti on lähetetty 4.5.2024 kello 14.22:

 ”Great news, you've successfully activated [Pankin nimi] ID. If you're not the one trying to activate [Pankin nimi] ID and you have received this message, please contact us immediately. SMSID:XXXXXX”

Em. ID-sovellusta käyttäen asiakkaan tililtä on siirretty ulkopuolisten henkilöiden tileille 7.5.2024 yhteensä 29 196,60 euroa. Asiakas ei tiedä eikä poliisin esitutkinnassa ole pystytty selvittämään, miten asiakkaan verkkopankkitunnukset ja pankin asiakkaalle lähettämä aktivointikoodi ovat päätyneet rikoksentekijöille. Asiakas on ollut pankin sulkupalveluun yhteydessä 9.5.2024 klo 13.57, minkä seurauksena asiakkaan verkkopankkitunnukset on suljettu klo 14.07.

Asiakkaan vaatimukset

Asiakas vaatii pankilta 29 048,80 euroa.

Poliisin esitutkinta on tuonut esiin sen, että asiakkaan verkkopankkiin on 7.5.2024 kirjauduttu rikollisen toimijan IP-osoitteesta. Tämä IP-osoite kuuluu panamalaiselle Packethub S.A. -nimiselle yritykselle. Asiakkaan rahat ovat siirtyneet rahanpesuverkostoon, jossa on useita osapuolia, eikä asiakkaalla ole ollut mitään tekemistä heidän kanssaan. Poliisin raportti kuvaa yksityiskohtaisesti, kuinka varoja on nostettu käteiseksi useilta eri Otto-automaateilta Helsingissä eri päivinä, eri henkilöiden toimesta. Tämä vahvistaa, että kyseessä oli ennalta suunniteltu ja ammattimaisesti toteutettu petos, ei yksittäinen huijaus, johon asiakas olisi myötävaikuttanut. Esitutkinnassa poliisi ei ole esittänyt mitään näyttöä siitä, että asiakas olisi luovuttanut pankkitunnuksensa vapaaehtoisesti.

Asiakas ei pysty tarkasti selvittämään, miten hänen pankkitunnuksensa tai aktivointikoodinsa ovat päätyneet rikollisille. Asiakas ei ole luovuttanut pankkitunnuksia tai aktivointikoodia kenellekään, eikä ole klikannut huijauslinkkejä tai syöttänyt tietojaan mihinkään. Asiakas ei ole kirjautunut sisään mihinkään epäilyttävään palveluun tai verkkosivuun. Työn kautta asiakkaalla on hyvä tietämys tietosuojasta, tietoturvasta ja huijausmenetelmistä. Asiakas osaa tunnistaa ja välttää huijauslinkkejä. Tämän vuoksi on erittäin epätodennäköistä, että asiakas olisi huolimattomuuttaan aiheuttanut pankkitunnustietojensa joutumista rikoksille.

Asiakas on ollut vastapuolena olevan pankin asiakas 18 vuotta. Asiakas on aina ollut huolellinen pankkitunnustensa käytössä. Pitkäaikaisena asiakkaana asiakas tietää, miten tunnuksia tulee käyttää ja suojata. Poliisin esitutkinnassa ei ole myöskään pystytty selvittämään, miten tiedot ovat päätyneet rikollisille, eikä ole esitetty näyttöä siitä, että asiakas olisi toiminut huolimattomasti.

Asiakas on selvittänyt mahdollisuutta tehdä riippumaton forensiikkatutkimus puhelimestaan. Useat tietoturva-alan yritykset ovat kuitenkin kieltäytyneet tutkimuksesta, koska asia on poliisin esitutkinnassa. Tämän takia asiakkaalla ei ole mahdollisuutta hankkia teknistä lisäselvitystä/tutkimusta asiassa.

Aktivointi on tehty uudella laitteella eri IP-osoitteeelta ja heti tehty suuret tilisiirrot. Pankin järjestelmä olisi pitänyt tunnistaa tämä poikkeavana ja epäilyttävänä toimintana ja estää siirrot. Aktivoinnin jälkeen välittömästi tuhansia euroja on siirretty ilman lisävahvistusta. Pankin järjestelmä ei havainnut eikä estänyt tätä poikkeavaa toimintaa, mikä osoittaa puutteita pankin turvajärjestelmissä. Pankki ei voi syyttää asiakasta törkeästä huolimattomuudesta, kun sen omat toimet ovat olleet riittämättömät estämään ilmeisen poikkeavaa toimintaa. Pankki ei ole esittänyt minkäänlaista teknistä selvitystä siitä, että koodia ei olisi voitu siepata ilman asiakkaan myötävaikutusta.

Asia on edennyt syyteharkintaan. Alkurikoksen tekotapa on jäänyt epäselväksi ja syyteharkintaan on edennyt alkurikosta seurannut rahanpesu. Esitutkinnassa ei ole saatu selvyyttä siihen, miten asianomistajan rahoihin on päästy käsiksi ja saatu ne siirtymään pois hänen hallustaan/tililtään.

Asiakas on kertonut käyttäneensä pankkitunnuksiaan ennen oikeudettomia tilisiirtoja ainoastaan 5.5.2024 Tullin virallisessa verkkopalvelussa tullausilmoituksen tekemiseen. Asiakkaalla ei ole mitään syytä epäillä, että hän olisi asioinut muulla kuin Tullin virallisella verkkosivustolla, eikä asioinnissa ilmennyt mitään poikkeavaa. Asiakas kiistää kirjautuneensa mihinkään 4.5.2024 tai ennen sitä. 

Pankki viittaa siihen, että asiakas olisi luovuttanut verkkopankkitunnukset huijaussivustolle 4.5.2024 asioidessaan Tullin verkkopalvelussa. Tämä ei kuitenkaan vastaa tapahtumien aikajärjestystä.
Asiakas kirjautunut Tullin virallisessa verkkopalvelussa 5.5.2024.
Rikolliset ovat aktivoineet pankin ID:n uudella laitteella jo 4.5.2024. 
Tämän vuoksi Tullin verkkosivuilla 5.5.2024 tapahtuneella asioinnilla ei voi olla mitään yhteyttä aktivointiin 4.5.2024, koska rikolliset olivat jo aktivoineet sovelluksen omalle laitteelleen sitä ennen.

Poliisin esitutkinnassa selvitettiin laajasti rikoskokonaisuutta ja epäiltyjä henkilöitä. Poliisin johtopäätös on, että alkurikoksen tekotapa on jäänyt epäselväksi. Tutkinnassa ei pystytty selvittämään, millä tavalla pankkitunnukset tai pankin ID:n aktivointikoodi päätyivät rikollisten haltuun.
Poliisi on kohdellut asiakasta asiassa asianomistajana, ei epäiltynä. Poliisin tutkinta ei tue pankin väitettä siitä, että asiakas olisi itse luovuttanut tunnukset tai aktivointikoodin.

Pankin ID -sovelluksen aktivointiprosessiin liittyvät viestit tulivat eri kielillä. Aktivointikoodi saapui suomeksi, mutta onnistunutta aktivointia koskeva viesti tuli englanniksi. Asiakkaan asiointikieli on aina ollut suomi. Kielen vaihtumisen kesken aktivointiprosessin olisi pitänyt olla pankin järjestelmässä tunnistettava poikkeama. Pankin olisi pitänyt reagoida tähän ja estää epäilyttävä aktivointi. Pankki ei kuitenkaan reagoinut.

Asiakas on toimittanut valituksensa liitteenä pankin korvauspäätöksen, poliisin tutkintailmoituksen sekä kuvakaappauksia tekstiviesteistä.

Pankin vastaus

Pankki kiistää asiakkaan korvausvaatimuksen.

Oikeudettomat maksutapahtumat on toteutettu tilisiirtoina seuraavasti: Varat siirrettiin ensin asiakkaan säästötililtä tilille FIXXXXXXXXXXXXX kolmessa erässä: 19 200 euroa, 5 000 euroa ja 3 600 euroa, josta ne on siirretty eteenpäin seuraavasti:
07.05.2024, 19 200,10 EUR
07.05.2024, 4 998,25 EUR
07.05.2024, 4 998,25 EUR

Pankin selvityksen perusteella asiakkaan reklamoimat tapahtumat on hyväksytty vahvalla sähköisellä tunnistamisella. Myös säästötililtä käyttötilille siirretyt maksutapahtumat on hyväksytty asiakkaan pankkitunnusten sisältämällä käyttäjätunnuksella, salasanalla ja ID -tunnistussovelluksen vahvistuksella. Pankin myöntämät pankkitunnukset ovat maksupalvelulain 8 §:ssä (Määritelmät) kohdassa 11 tarkoitettu maksuväline.

Pankki vetoaa maksupalvelulain 53 §:ään (Maksuvälineestä huolehtiminen) sekä pankin tapahtumahetkellä voimassa olleiden sähköisen asioinnin ehtojen kohtaan koskien sähköistä tunnistamista ja sähköistä allekirjoitusta. Ehdon mukaan ”Tunniste on luonnollisen henkilön sähköisen tunnistamisen ja sähköisen allekirjoittamisen väline.” Pankki vetoaa myös ehtokohtaan koskien tunnisteen säilyttämistä ja katoamisvastuuta, jonka mukaan ”Tunnisteet ovat henkilökohtaiset, eikä niitä saa luovuttaa kolmannelle tai toisten henkilöiden, sovellusten tai palveluiden käyttöön. Asiakas vastaa hallussaan olevien tunnistetietojen huolellisesta säilyttämisestä siten, että ne eivät joudu sivullisen tietoon. Pankki ei koskaan pyydä pankkitunnusten tietoja sähköpostilla tai muutoin, kun pankki ottaa asiakkaaseen tai käyttäjään yhteyttä. Tunnistetietoja ei koskaan saa antaa sähköpostilla tai puhelimella niitä kysyvälle, ei edes Pankille. Asiakkaan tai käyttäjän on heti ilmoitettava Pankille, jos hän tietää tai epäilee, että pankkitunnusten salainen salasana, tunnistussovelluksella varustettu puhelin tai muu mobiililaite, tunnuslukulaite, pikatunnistuksella varustettu puhelin tai muu vastaava tunnistetieto, jota voi käyttää väärin, on joutunut sivullisen tietoon tai haltuun.”

Asiakas on ollut pankin sulkupalveluun yhteydessä vasta 9.5.2024 klo 13.57, jolloin asiakkaan verkkopankkitunnukset ja pankkikortit suljettiin. Asiakkaan korteilla ei havaittu tunnistamattomia tapahtumia. Asiakkaan kortti suljettiin 9.5.2024 klo 14.07. Verkkopankkitunnukset suljettiin 9.5.2024 klo 14.07.

Asiakas on kertonut asioineensa tilisiirtoja edeltävällä viikolla Tullin verkkosivuilla. Asiakas on todennäköisesti ensin luovuttanut verkkopankin käyttäjätunnuksen ja salasanan huijaussivustolle 4.5.2024. Tämän jälkeen hän on myös luovuttanut pankilta tekstiviestitse saamansa pankin tunnistussovelluksen aktivointikoodin. Kun rikollinen on saanut kaikki edellä mainitut tiedot haltuunsa ja päässyt aktivointikoodia käyttämällä lataamaan pankin ID-tunnistussovelluksen omalle laitteelleen, on hän voinut suorittaa asiakkaan tileiltä reklamoidut maksutapahtumat. Koska koodi on toimitettu vain asiakkaan puhelinnumeroon, on rikollisen täytynyt saada koodi jollain tavalla häneltä. Jotta ulkopuolinen on voinut aktivoida pankin ID -sovelluksen omalle laitteelleen, hänellä on tullut olla tiedossaan asiakkaan verkkopankin käyttäjätunnus, salasana sekä tekstiviestitse lähetetty pankin ID -sovelluksen aktivointikoodi. Ilman näitä kaikkia tietoja ei ole mahdollista ottaa pankin ID -sovellusta käyttöön uudella laitteella. Kaikki maksut on vahvistettu pankin tunnistussovelluksella ID:llä, joka on ollut ladattuna rikollisen puhelimeen. Järjestelmätiedoissa näkyy uusi ” iPhone iOS 17.3”-niminen laite, joka on otettu käyttöön 4.5.2024 kello 14.22. Pankin ID -sovelluksen aktivointi laitteelle on tehty tekstiviestivahvistuksella, mikä tarkoittaa sitä, että asiakas on hyväksynyt aktivoinnin antamalla aktivointikoodin.

Pankin järjestelmätietojen perusteella tekstiviestit on lähetetty asiakkaan numeroon seuraavasti: Aktivointikoodi 4.5.2024 kello 14.22:

 ”[Pankin] ID -sovelluksen aktivointikoodi Jos et ole itse aktivoimassa [Pankin] ID-sovellusta, ota heti yhteys [Pankkiin]. Muistathan, että emme koskaan kysy sinulta aktivointikoodia puhelimitse tai viestillä. Älä kerro koodia kenellekään. Aktivointikoodisi on XXXXXX SMSID: xxxxxx."

Onnistuneesta sovelluksen latauksesta kertova viesti on lähetetty 4.5.2024 kello 14.22:

 ”Great news, you've successfully activated [Pankki] ID. If you're not the one trying to activate [Pankki] ID and you have received this message, please contact us immediately. SMSID:xxxxxx”

Asiakas on itse toimittanut todisteena kyseiset viestit ja vahvistanut nähneensä ne. Kuitenkaan hän ei ole reagoinut kummankaan viestin sisältöön ja ottanut yhteyttä pankkiin, vaikka viestissä niin kehotetaan. Asiakkaan vastaanottamissa tekstiviesteissä on kerrottu, että koodi on pankin ID -sovelluksen aktivointia varten sekä nimenomaisesti varoitettu jakamasta tätä koodia kenellekään. Viestissä pyydetään myös asiakasta ottamaan välittömästi yhteys pankkiin, mikäli hän ei ole itse aktivoimassa pankin ID -tunnistussovellusta käyttöönsä. Jos asiakas olisi toiminut viestien edellyttämällä tavalla, pankkitunnukset olisi saatu suljettua eikä rikollinen olisi voinut vahvistaa tilisiirtoja, jolloin asiakkaalle ei olisi aiheutunut mitään vahinkoa.

Pankki vetoaa maksupalvelulain 62 §:ää ja katsoo, että asiakkaan menettely kokonaisuutena osoittaa maksupalvelulaissa tarkoitettua törkeää huolimattomuutta. Törkeällä huolimattomuudella tarkoitetaan piittaamattomuutta pankkitunnusten turvallisuuden suhteen ja se ilmenee FINEn Pankkilautakunnan jo vakiintuneen ratkaisukäytännön perusteella muun muassa siten, että asiakas jättää huomioimatta pankin lähettämät varoitusviestit. Pankki katsoo asiakkaan sen vuoksi vastaavan täysimääräisesti maksuvälineensä oikeudettomasta käytöstä aiheutuneesta vahingosta.

Pankki ei pysty selvittämään miten asiakas on käyttäytynyt ja missä vaiheessa hän on tosiasiassa paljastanut pankkitunnuksensa rikollisille, sillä se on voinut tapahtua jo paljon ennen pankin ID-sovelluksen aktivointia. Koska järjestelmätietojen perusteella sovellus on aktivoitu tekstiviestillä, joka on lähetetty asiakkaan puhelinnumeroon, ei ole muuta vaihtoehtoa, kuin että asiakas on itse aktivoinut sovelluksen. Tekstiviestissä käytetyn kielen osalta pankki toteaa, että kielivalinta määräytyy käytettävän laitteen kielivalinnan perusteella. FINEn vakiintuneen ratkaisukäytännön mukaan asiakas ei ole vapautunut vastuusta, vaikka pankin mobiilisovelluksen aktivointiviesti lähetetään kohdelaitteen kielivalinnan perusteella, joka poikkeaa asiakkaan tavanomaisesta asiointikielestä. Päinvastoin normaalista asiointikielestä poikkeavan kielisen viestin olisi nimenomaan pitänyt herättää epäily siitä, että jotain poikkeavaa on tapahtumassa. Asiakkaan olisi tullut huolellisesti toimiessaan ottaa yhteyttä pankkiin varmistaakseen menettelyn asianmukaisuuden (ks. esim. FINE-075294).

Sopimusehdot ja lainsäädäntö

Maksupalvelulain 53 §:n (Maksuvälineestä huolehtiminen.) 1 momentin mukaan
Maksuvälineen haltijan on käytettävä maksuvälinettä sen myöntämistä ja käyttöä koskevien ehtojen mukaisesti. Erityisesti hänen on kohtuullisin toimenpitein huolehdittava maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista. Maksuvälineen myöntämistä ja käyttöä koskevat ehdot eivät saa olla perusteettomia, kohtuuttomia tai syrjiviä.

Lain 54 §:n (Katoamisilmoitus.) 1 momentin mukaan
Maksuvälineen haltijan on ilman aiheetonta viivytystä ilmoitettava palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.

Lain 62 §:n (Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä.) mukaan
Maksupalvelun käyttäjä, joka on tehnyt maksuvälinettä koskevan sopimuksen palveluntarjoajan kanssa, vastaa kadonneen tai oikeudettomasti toisen haltuun joutuneen maksuvälineen käytöstä tai muusta maksuvälineen oikeudettomasta käytöstä vain, jos oikeudeton käyttö johtuu siitä, että hän tai muu maksuvälineen haltija on:
1) luovuttanut maksuvälineen sen käyttöön oikeudettomalle;
2) huolimattomuudesta laiminlyönyt 53 §:n 1 momentin mukaiset velvollisuutensa; taikka
3) laiminlyönyt ilman aiheetonta viivytystä ilmoittaa palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.

Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä 1 momentin 2 ja 3 kohdassa tarkoitetuissa tapauksissa on enintään 50 euroa. Tätä rajoitusta ei sovelleta, jos maksupalvelun käyttäjä tai muu maksuvälineen haltija on toiminut tahallisesti tai törkeän huolimattomasti.

Maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä:
1) siltä osin kuin maksuvälinettä on käytetty sen jälkeen, kun palveluntarjoajalle tai sen nimeämälle muulle taholle on ilmoitettu maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä;
2) jos palveluntarjoaja on laiminlyönyt huolehtia siitä, että maksuvälineen haltijalla on mahdollisuus tehdä milloin tahansa 1 kohdassa tarkoitettu ilmoitus;
3) jos maksunsaaja ei ole maksuvälinettä käytettäessä asianmukaisesti varmistunut maksajan oikeudesta käyttää maksuvälinettä; tai
4) jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.

Sen estämättä, mitä 3 momentissa säädetään, maksupalvelun käyttäjä on vastuussa maksuvälineen oikeudettomasta käytöstä, jos hän tai muu maksuvälineen haltija on tahallaan tehnyt väärän ilmoituksen tai toiminut muuten petollisesti.

Maksupalvelulain 63 §:n (Palveluntarjoajan vastuu oikeudettomasta maksutapahtumasta.) 1 momentin mukaan 
Jos maksutapahtuma on toteutettu oikeudettomasti eikä 62 §:stä muuta johdu, palveluntarjoajan, jonka asiakkaan varoja on käytetty maksutapahtuman toteuttamiseen, on välittömästi ja viimeistään seuraavana työpäivänä siitä, kun se havaitsi maksutapahtuman tai sille ilmoitettiin maksutapahtumasta, palautettava maksutapahtuman rahamäärä asiakkaalleen tai palautettava tämän maksutili siihen tilaan, jossa se olisi ollut ilman veloitusta.

1.1.2020 alkaen voimassa olleiden pankin sähköisen asioinnin ehtojen (pankkitunnusehdot) kohdan Sähköinen tunnistaminen ja sähköinen allekirjoitus mukaan
[…] Tunniste on luonnollisen henkilön sähköisen tunnistamisen ja sähköisen allekirjoittamisen väline. […]

Pankkitunnusehtojen Tunnisteen säilyttäminen ja katoamisvastuu -kohdan mukaan
Tunnisteet ovat henkilökohtaiset, eikä niitä saa luovuttaa kolmannelle tai toisten henkilöiden, sovellusten tai palveluiden käyttöön. […]
Asiakas ja käyttäjä sitoutuvat säilyttämän Pankin hyväksymät tunnisteet niiden käyttöohjeiden mukaan huolellisesti niin, ettei sivullisen ole mahdollista saada niitä tietoonsa tai käyttää niitä.
[…]
Asiakas vastaa hallussaan olevien tunnistetietojen huolellisesta säilyttämisestä siten, että ne eivät joudu sivullisen tietoon. Pankki ei koskaan pyydä pankkitunnusten tietoja sähköpostilla tai muutoin, kun pankki ottaa asiakkaaseen tai käyttäjään yhteyttä. Tunnistetietoja ei koskaan saa antaa sähköpostilla tai puhelimella niitä kysyvälle, ei edes Pankille.
Asiakkaan tai käyttäjän on heti ilmoitettava Pankille, jos hän tietää tai epäilee, että pankkitunnusten salainen salasana, tunnistussovelluksella varustettu puhelin tai muu mobiililaite, tunnuslukulaite, pikatunnistuksella varustettu puhelin tai muu vastaava tunnistetietoa, jota voi käyttää väärin, on joutunut sivullisen tietoon tai haltuun.
[…]

Ratkaisusuositus

Asiakkaan ja pankin välisen vastuunjaon ratkaisemiseksi FINEn on arvioitava, voidaanko pankkitunnusten oikeudettoman käytön katsoa johtuneen siitä, että asiakas on huolimattomuudestaan laiminlyönyt lain 53 § 1 momentin ja pankkitunnusehtojen mukaisia velvollisuuksiaan, sekä minkä asteista asiakkaan mahdollinen huolimattomuus on. Lisäksi FINEn on arvioitava, vastaako pankki aiheutuneesta vahingosta sillä perusteella, ettei se ole estänyt ko. maksutapahtumia.

Asiakkaan menettelyn arviointi
FINE toteaa vastuun pankkitunnusten huolellisesta säilyttämisestä ja käyttämisestä olevan maksupalvelulain sekä pankkitunnusehtojen mukaan tunnusten haltijalla. Tämä on luonnollista ottaen huomioon sen, että viime kädessä - riippumatta esimerkiksi tunnusten myöntäjän ohjeistuksesta tai niitä koskevien sopimusten ehdoista - ainoastaan tunnusten haltija voi vaikuttaa siihen, miten ja missä olosuhteissa hän tunnuksiaan säilyttää ja käyttää.

Tilanteissa, joissa maksuvälinettä on käytetty oikeudetta, on maksuvälineen haltijan ja maksuvälineen myöntäjän välisen vastuunjaon kannalta pääsääntöisesti ratkaisevaa se, kuinka huolellisesti maksuvälineen haltijan voidaan katsoa menetelleen maksuvälineensä suhteen. Jotta maksuvälineen haltijan huolellisuutta voitaisiin arvioida, on saatava selvitystä siitä, missä olosuhteissa ja millä tavoin hän on maksuvälinettään säilyttänyt ja käyttänyt ja miten se on päätynyt ulkopuolisen haltuun/tietoon/käyttöön. Parhaat mahdollisuudet selvityksen antamiseen on lähtökohtaisesti maksuvälineen haltijalla ja hänen vaatiessa maksuvälineen myöntäjää ottamaan vastuun maksuvälineen oikeudettomasta käytöstä, voidaan maksuvälineen haltijan edellyttää antavan oman selvityksensä tapahtumista ja omasta menettelystään. Tietoa tapahtumienkulun yksityiskohdista ei aina ole mahdollista saada eikä myös maksuvälineen haltijalta voida edellyttää, mutta hänen voidaan aina edellyttää antavan selvityksen tapahtumista ja omasta menettelystään.

Tässä tapauksessa pankki on esittänyt yksityiskohtaisen teknisen selvityksen tapahtumista ja siitä, mitä tietoja rikollisilla on täytynyt olla, jotta he ovat voineet aktivoida omalle laitteelleen asiakkaan nimissä olevan uuden pankin ID-sovelluksen, jolla riidanalaiset tapahtumat on vahvistettu. FINEllä ei ole syytä epäillä pankin esittämän selvityksen paikkansa pitävyyttä.

Asiakas ei ole asiassa esittänyt näkemystään siitä, miten tekijät olisivat voineet saada tietoonsa kaikki tapahtumien edellyttämät asiakkaan pankkitunnustiedot sekä pankin asiakkaalle lähettämässä tekstiviestissä olleen pankin ID-sovelluksen aktivointikoodin. Asiakirja-aineiston perusteella pankin lähettämät tekstiviestit ID-sovelluksen aktivoinnista ovat saapuneet asiakkaan puhelimeen. Asiakas on kiistänyt pankin oletuksen siitä, että asiakas olisi itse epähuomiossa syöttänyt pankkitunnuksensa ja aktivointikoodin valesivuille. Asiakas on kokonaisuudessaan kiistänyt oman myötävaikutuksensa tapahtumiin. Myöskään poliisin esitutkinnassa ei ole pystytty selvittämään, miten asiakkaan pankkitunnukset ja pankin lähettämä aktivointikoodi ovat päätyneet rikoksentekijöille.  

Yllä mainitun perusteella FINE katsoo tapahtumien kulun jäävän asiassa esitetyn selvityksen perusteella olennaisilta osin epäselväksi. FINEllä ei ole saadun selvityksen perusteella mahdollista luotettavasti arvioida, mitä tapauksessa on todennäköisimmin tapahtunut ja miten oikeudettomien maksutapahtumien toteuttamisen edellyttämät pankkitunnus- ja aktivointikooditiedot ovat voineet päätyä rikollisten tietoon saati sitä, mikä on asiakkaan mahdollisesti huolimattoman menettelyn myötävaikutus tapahtumien kulkuun.

Pankin menettelystä

Asiakas on tapauksessa vedonnut siihen, ettei pankin turvajärjestelmät ole estäneet poikkeuksellista ja epäilyttävää toimintaa.

Tämän osalta FINE toteaa, että maksupalvelusääntelyn perusteella pankeilla on oltava käytössään maksutapahtumien valvontamekanismit, joiden avulla ne voivat havaita oikeudettomat ja petolliset maksutapahtumat. Ottaen huomioon saadun kokonaisselvityksen FINE kuitenkin katsoo, ettei pankin valvontamekanismien voida tässä tapauksessa katsoa pettäneen tavalla, joka vaikuttaisi asiakkaan ja pankin väliseen vastuunjakoon asiassa.

Lopputulos

FINE katsoo, että pankki ei ole velvollinen korvaamaan asiakkaalle aiheutunutta vahinkoa yksinomaan sillä perusteella, ettei se ole estänyt ko. oikeudettomia tilisiirtoja niiden tekohetkellä. Näin ollen ratkaisevaa asiakkaan ja pankin välisen vastuunjaon kannalta on asiakkaan menettelyn arviointi maksupalvelulain vastuunjakosäännösten mukaisesti.

FINE katsoo, että tapauksessa esitetyn selvityksen perusteella tapahtumien kulku jää olennaisilta osin epäselväksi eikä FINE näin ollen pysty käytettävissään olevin keinoin luotettavasti ratkaisemaan asiakkaan ja pankin välisen vastuunjaon kannalta ratkaisevaa kysymystä siitä, onko asiakkaan pankkitunnusten oikeudeton käyttö johtunut asiakkaan huolimattomuudesta ja onko asiakkaan mahdollinen huolimattomuus törkeää.

Ohjesääntönsä mukaan FINE voi erityisestä syystä päättää, ettei se anna ratkaisusuositusta sen käsiteltäväksi saatetusta asiasta. Keskeisen tapahtumainkulun jäädessä edellä todetuin tavoin epäselväksi FINE päättää, ettei se anna ratkaisusuositusta tässä tapauksessa.

FINE Vakuutus- ja rahoitusneuvonta

Ratkaisija Hidén
Esittelijä Tykkä