Tapahtumatiedot
Asiakas on joutunut 17.–18.2.2026 sijoitushuijauksen uhriksi. Asiakkaaseen on ottanut puhelimitse yhteyttä sijoitusneuvojana esiintynyt henkilö. Asiakas on ohjattu antamaan etäyhteys tietokoneelleen AnyDesk-palvelun kautta. Etäyhteyden aikana asiakkaan verkkopankkiin on kirjauduttu ja verkkopankissa on tehty maksutoimenpiteitä.
Asiakas kirjautui verkkopankkiin 17.2.2026 käyttämällä henkilökohtaista käyttäjätunnustaan ja vahvisti sisäänkirjautumisen pankin tunnistussovelluksella. Verkkopankissa muutettiin tilisiirron enimmäismäärää, mikä vahvistettiin klo 16.31 asiakkaan puhelinnumeroon lähetetyssä tekstiviestissä olleella vahvistuskoodilla. Tekstiviesti oli seuraavanlainen:
“Olet muuttamassa tilisiirron enimmäismäärää. Ole hyvä ja syötä vahvistuskoodi AXXXXX verkkopankissa sille varattuun kenttään.”
“Vahvistat tiliesi välistä maksua, summa 53 083,08 EUR. Epäiletkö väärinkäytöstä, soita sulkupalveluun +358 20333. Vahv.koodi A-XXXXX”
Tilisiirto hyväksyttiin heti. Klo 16.43 tilisiirron enimmäismäärää muutettiin jälleen, ja asiakkaan numeroon lähetettiin seuraava tekstiviesti:
“Olet muuttamassa tilisiirron enimmäismäärää. Ole hyvä ja syötä vahvistuskoodi AXXXXX verkkopankissa sille varattuun kenttään.”
Klo 16.50 luotiin 49 500,00 euron maksu Alankomaihin, ja klo 16.51 asiakkaan numeroon lähetettiin tästä vahvistustekstiviesti:
“Olet vahvistamassa maksua (Alankomaat, 49 500,00 EUR). Ole hyvä ja syötä vahvistuskoodi A-XXXXX verkkopankissa sille varattuun kenttään.”
Maksu hyväksyttiin klo 16.53. Seuraavana päivänä 18.2.2026 asiakkaan verkkopankkiin kirjauduttiin uudelleen. Asiakkaan tililtä tehtiin ja vahvistettiin vastaavalla tavalla 5 000 euron tilisiirto Alankomaihin.
Maksut menivät ulkomaisille virtuaalisille IBAN-tileille, joiden maksunsaajan nimenä oli asiakkaan nimi. Maksujen yhteydessä tehty maksunsaajan nimen tarkistus antoi maksunsaajan nimen osalta osuman asiakkaan nimeen.
Asiakas oli 19.2.2026 yhteydessä pankkiin. Asiakkaan verkkopankki lukittiin samana aamuna klo 8.34. Pankki teki tämän jälkeen molemmista maksuista palautuspyynnöt. Palautuspyynnöt hylättiin, eikä varoja saatu palautettua asiakkaalle.
Asiakkaan valitus
Asiakas kertoo joutuneensa 17.–18.2.2026 sijoitushuijauksen uhriksi. Häneen oli ottanut odottamattoman puhelinyhteyden sijoitusneuvojana esiintynyt henkilö, minkä jälkeen hänet ohjattiin asentamaan AnyDesk-etäyhteysohjelma ”etäpalaverin ja tuen” nimissä. Etäyhteyden aikana huijari ohjasi asiakkaan kirjautumaan pankin verkkopankkiin ja tekemään kaksi SEPA Instant -maksua Alankomaihin: 17.2.2026 tehdyn 49 500 euron maksun ja 18.2.2026 tehdyn 5 000 euron maksun.
Asiakkaan mukaan maksut ohjautuivat hänen nimissään olleille virtuaalisille IBAN-tileille, jotka liittyivät ulkomaisiin maksupalveluntarjoajiin. Hän korostaa, että VoP-tarkistus (Verification of Payee) näytti täyden osuman hänen nimeensä, vaikka nimessä oli ä/ae-muodosta johtuva ero. Asiakas kertoo tehneensä maksut hyvässä uskossa luottaen pankin omaan petostorjuntatyökaluun sekä siihen, että maksunsaajatilejä oli tämän perusteella pidettävä hänen nimissään olevina ja siten hänen omina tileinään. Hänen käsityksensä mukaan se, ettei tileille ollut tehty hänen tai hänen puolestaan KYC-tarkistusta, viittaa synthetic identity fraud -tilanteeseen.
Asiakas katsoo, että kyseessä on Authorized Push Payment (APP) -petos, joka toteutettiin sosiaalisen manipuloinnin ja etäyhteyden avulla. Hänen mukaansa hän ei voinut vapaasti harkita maksuja huijarin ohjatessa tilannetta reaaliaikaisesti, eikä tällaisessa tilanteessa annettu suostumus täytä maksupalvelulaissa tarkoitettua vapaata ja tietoista suostumusta.
Asiakas vaatii pankkia hyvittämään molemmat maksut täysimääräisesti eli yhteensä 54 500 euroa APP-petoskorvauksena PSD3/PSR-säännösten mukaisesti. Hän katsoo, ettei pankki huomioinut riittävästi maksujen poikkeuksellisuutta: ne tehtiin etäyhteyden aikana, ne olivat suuria rajat ylittäviä pikamaksuja, asiakkaalla ei ollut vastaavaa aiempaa maksuhistoriaa ja tilisiirron enimmäismäärää oli nostettu juuri ennen maksuja. Asiakkaan mukaan pankin olisi tullut estää, viivästyttää tai muutoin varmistaa maksut tehokkaammin.
Asiakas kiistää toimineensa törkeän huolimattomasti. Hänen mukaansa pelkkä AnyDesk-etäyhteyden hyväksyminen ei osoita törkeää huolimattomuutta, kun tilanne esitettiin sijoitustapaamisena, VoP-tarkistus vahvisti maksunsaajan nimen ja asiakas on iäkäs eikä hänellä ole aiempaa kokemusta nykypäivän etäyhteysmenettelyistä. Asiakkaan mukaan vastuunjakoa on arvioitava kokonaisuutena.
Asiakas arvostelee myös pankin petostorjuntaa ja monitorointia. Hänen mukaansa pankin valvontajärjestelmien olisi tullut reagoida lyhyen ajan sisällä tehtyihin suuriin ulkomaanmaksuihin ja maksurajan korottamiseen. Asiakas katsoo, että lisävahvistus, viive tai soittopyyntö olisivat kuuluneet pankin petostorjunnan ytimeen ja että näillä seikoilla on merkitystä pankin vastuun arvioinnissa.
Asiakas pyytää Pankkilautakuntaa arvioimaan, onko pankki noudattanut velvollisuuksiaan petostorjunnassa, VoP-tarkistuksen hyödyntämisessä ja suurten pikamaksujen valvonnassa, onko asiakkaan menettelyä pidettävä törkeän huolimattomana sekä tuleeko pankin hyvittää hänelle aiheutunut vahinko kokonaan tai osittain.
Pankin vastine
Pankki kiistää asiakkaan vaatimuksen. Pankin näkemyksen mukaan asiakas on itse antanut maksupalvelulain 38 §:ssä tarkoitetun suostumuksensa riidanalaisille maksuille, eikä kyse ole ollut oikeudettomista maksutapahtumista. Pankki katsoo, että se on toteuttanut maksut asiakkaan verkkopankissa antamien ja pankille asianmukaisesti toimitettujen maksutoimeksiantojen perusteella. Maksutoimeksiantoja ei ole maksupalvelulain 40 §:n ja maksujenvälitysehtojen mukaan voitu enää peruuttaa sen jälkeen, kun pankki on vastaanottanut toimeksiannot ja aloittanut niiden toteuttamisen.
Pankki toteaa asiakkaan kirjautuneen verkkopankkiin vahvasti tunnistettuna henkilökohtaisella käyttäjätunnuksellaan ja pankin tunnistussovelluksella. Pankin mukaan maksujen hyväksynnät on lisäksi vahvistettu asiakkaan puhelimeen lähetetyissä tekstiviesteissä olleilla kertakäyttöisillä vahvistuskoodeilla. Pankki korostaa, että viestien sisältö on ollut selkeä ja että niissä on ilmoitettu, mitä toimenpidettä asiakas on ollut vahvistamassa. Pankin mukaan maksujen tekeminen ei olisi ollut mahdollista pelkän etäyhteyden perusteella ilman vahvistuskoodien käyttämistä.
Pankin mukaan se, että asiakas on myöhemmin saanut tietää maksujen liittyneen petolliseen sijoitustoimintaan tai että hän on toiminut virheellisen käsityksen vallassa maksujen tarkoituksesta, ei sellaisenaan merkitse sitä, ettei hän olisi antanut maksuille maksupalvelulaissa tarkoitettua suostumusta. Pankki ei jaa asiakkaan näkemystä siitä, että etäyhteyden käyttö poistaisi maksajan itse vahvistamien maksujen pätevyyden. Pankin mukaan maksupalvelulaissa ei ole säännöstä, jonka perusteella maksajan itse tunnistautuneena ja vahvistuskoodeilla hyväksymät maksut katsottaisiin oikeudettomiksi pelkästään sen vuoksi, että maksaja on ollut etäyhteydessä kolmanteen osapuoleen.
Pankki katsoo myös, että mikäli maksut katsottaisiin vastoin pankin näkemystä oikeudettomiksi, asiakas on joka tapauksessa toiminut maksuvälineensä turvalliseen käyttöön liittyvien velvoitteidensa osalta törkeän huolimattomasti. Pankin mukaan asiakkaan olisi tullut useassa vaiheessa kyseenalaistaa asioinnin luotettavuus. Pankki viittaa erityisesti siihen, että asiakas antoi tuntemattomalle taholle etäyhteyden laitteeseensa ja havaitsi tämän ohjaavan tietokoneen hiirtä, että yhteydenpito tapahtui epätyypillisesti WhatsApp-sovelluksen kautta, että yhteydenottoja tuli useista eri numeroista ja myös ilta-aikaan sekä että viestinnän kieliasu oli puutteellista. Pankin mukaan nämä seikat kokonaisuutena osoittavat, että asiakkaan olisi tullut ymmärtää asiointiin liittyvä merkittävä väärinkäytösriski ja pidättäytyä jatkotoimenpiteistä.
Pankki toteaa asiakkaan vedonneen VoP-tarkistukseen. Pankin mukaan tarkistuksessa ei kyseisenä ajankohtana ole ilmennyt ongelmia ja molemmissa maksuissa maksunsaajan tiedot ovat täsmänneet. Pankin käsityksen mukaan tämä on voinut johtua siitä, että rikolliset ovat avanneet asiakkaan nimissä tilejä vastaanottavien maksupalveluntarjoajien palveluihin, tai siitä, että asiakas on itse avannut ne. Pankilla ei ole näkyvyyttä siihen, miten vastaanottavien maksupalveluntarjoajien palveluissa on voitu avata tilejä ilman asiakkaan KYC-tarkistusta, ja pankin mukaan asiakkaan tulee selvittää tätä kyseisten palveluntarjoajien kanssa. Pankki katsoo, että sen maksunsaajantarkistus on toiminut pikamaksusääntelyn mukaisesti.
Pankki katsoo täyttäneensä maksupalvelulain 85 c §:ssä ja komission delegoidussa asetuksessa (EU) 2018/389 asetetut vahvan tunnistamisen vaatimukset. Pankin mukaan sillä on käytössään asetuksen 2 artiklan mukaiset maksutapahtumien valvontamekanismit, joiden avulla voidaan havaita oikeudettomia ja petollisia maksutapahtumia. Pankki toteaa kuitenkin, ettei se voi turvallisuussyistä avata tarkemmin monitoroinnissa käytettyjä menetelmiä tai riskitekijöitä. Pankin mukaan se seuraa viranomaisten antamia suosituksia ja kehittää jatkuvasti monitorointikyvykkyyksiään.
Pankki ei pidä ratkaisevana sitä, ettei asiakkaalla ole aiemmin ollut vastaavaa ulkomaanmaksuhistoriaa. Pankin mukaan asiakkaiden tilienkäyttö voi vaihdella huomattavasti, eikä aiemmin passiivisen tai pääosin kotimaan maksuja tehneen asiakkaan myöhempi ulkomaanmaksu sellaisenaan merkitse sitä, että pankin tulisi estää maksu. Pankin mukaan myöskään tilisiirron enimmäismäärän nostaminen ei ole poikkeuksellista, jos asiakkaalla on tarve tehdä yksittäinen suurempi maksu. Maksurajan muutos on pankin mukaan tehty vahvasti tunnistettuna.
Pankki korostaa lisäksi, ettei maksutapahtumien valvontamekanismeja koskevalla velvollisuudella ole sen käsityksen mukaan voimassa olevan sääntelyn perusteella suoraa vaikutusta pankin ja asiakkaan väliseen vastuunjakoon. Pankin mukaan vastuunjako oikeudettomista maksutapahtumista määräytyy maksupalvelulain 62 ja 63 §:n perusteella, eikä maksupalvelulain 85 c §:ssä tai komission delegoidussa asetuksessa (EU) 2018/389 säädetä pankin ja asiakkaan välisestä korvausvastuusta. Pankki katsoo, että tässä tapauksessa asiakkaan tunnistamiseen on käytetty vahvaa tunnistamista sääntelyn edellyttämällä tavalla, eikä pankilla näin ollen ole korvausvelvollisuutta asiakkaalle.
Pankki toteaa tehneensä asiakkaan yhteydenoton jälkeen palautuspyynnöt molemmista maksuista. Vastaanottava maksupalveluntarjoaja hylkäsi palautuspyynnöt NOAS-koodilla, joka pankin mukaan tarkoittaa, ettei vastaanottajalta ole määräajassa saatu vastausta pyyntöön palauttaa varoja.
Pankki katsoo, ettei sille ole syntynyt korvausvelvollisuutta, koska asiakas on itse hyväksynyt maksut vahvasti tunnistettuna ja joka tapauksessa mahdollistanut maksujen tekemisen törkeän huolimattomalla menettelyllään. Pankki kiistää asiakkaan korvausvaatimuksen kokonaisuudessaan.
Selvitykset
Valitusta koskevan osapuolten kirjelmöinnin lisäksi lautakunnalle on toimitettu seuraavat asiakirjat:
- Verkkopankin ja verkkopankkitunnusten käytön sekä tunnistuspalvelun yleiset sopimusehdot.
- Euromaksualueella välitettävien euromaksujen yleiset ehdot.
- Tosite asiakkaan reklamoimista tilitapahtumista.
- Asiakkaan sähköpostitse maksunsaajan pankille tekemät maksunpalautuspyynnöt.
- Asiakkaan poliisille 19.2.2026 tekemä tutkintailmoitus.
Ratkaisusuositus
Kysymyksenasettelu
Asiakkaan ja pankin välisen vastuunjaon ratkaisemiseksi Pankkilautakunnan on ensin ratkaistava, voidaanko asiakkaan katsoa antaneen maksupalvelulain 38 §:ssä tarkoitetun suostumuksensa ko. maksutapahtumille vai onko maksutapahtumia pidettävä oikeudettomina.
Mikäli tapauksessa katsotaan olevan kyse maksuvälineen oikeudettomasta käytöstä, on Pankkilautakunnan arvioitava, voidaanko maksuvälineen oikeudettoman käytön katsoa johtuneen siitä, että asiakas on huolimattomuudestaan laiminlyönyt lain 53 §:n 1 momentin sekä pankkitunnusehtojen mukaisia velvollisuuksiaan, sekä minkä asteista asiakkaan mahdollinen huolimattomuus on.
Lautakunnan on lisäksi arvioitava asiakkaan pankin maksutapahtumien monitoroinnista esittämien väitteiden merkitystä. Arvioinnissa on otettava huomioon, että monitorointia koskevien velvoitteiden mahdollinen laiminlyönti voi oikeudettomia maksutapahtumia koskevassa tilanteessa tulla huomioon otettavaksi erityisesti maksupalvelulain 62 §:n ja 85 c §:n perusteella. Mikäli tässä asiassa kuitenkin katsotaan, että asiakas on itse antanut maksuille maksupalvelulain 38 §:ssä tarkoitetun suostumuksensa, ei kyse ole maksupalvelulain 62 §:ssä tarkoitetusta maksuvälineen oikeudettomasta käytöstä. Tällöin lautakunnan arvioitavaksi jää, onko maksupalvelulaista tai sovellettavista sopimusehdoista johdettavissa perustetta pankin korvausvastuulle mahdollisen monitorointipuutteen perusteella.
Sovellettavat lainkohdat ja sopimusehdot
Maksupalvelulain (290/2010) 38 §:n (Maksajan suostumus maksutapahtuman toteuttamiseen) 1 momentin mukaan:
”Maksutapahtuma saadaan toteuttaa vain maksajan suostumuksella. Maksutapahtumaa pidetään oikeudettomana, jollei maksaja ole antanut siihen suostumustaan sovitulla tavalla.”
Lain 53 §:n (Maksuvälineestä huolehtiminen) 1 momentin mukaan:
”Maksuvälineen haltijan on käytettävä maksuvälinettä sen myöntämistä ja käyttöä koskevien ehtojen mukaisesti. Erityisesti hänen on kohtuullisin toimenpitein huolehdittava maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista. Maksuvälineen myöntämistä ja käyttöä koskevat ehdot eivät saa olla perusteettomia, kohtuuttomia tai syrjiviä.”
Lain 62 §:n (Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä) mukaan:
”Maksupalvelun käyttäjä, joka on tehnyt maksuvälinettä koskevan sopimuksen palveluntarjoajan kanssa, vastaa kadonneen tai oikeudettomasti toisen haltuun joutuneen maksuvälineen käytöstä tai muusta maksuvälineen oikeudettomasta käytöstä vain, jos oikeudeton käyttö johtuu siitä, että hän tai muu maksuvälineen haltija on: 1) luovuttanut maksuvälineen sen käyttöön oikeudettomalle; 2) huolimattomuudesta laiminlyönyt 53 §:n 1 momentin mukaiset velvollisuutensa; taikka 3) laiminlyönyt ilman aiheetonta viivytystä ilmoittaa palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.
Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä 1 momentin 2 ja 3 kohdassa tarkoitetuissa tapauksissa on enintään 50 euroa. Tätä rajoitusta ei sovelleta, jos maksupalvelun käyttäjä tai muu maksuvälineen haltija on toiminut tahallisesti tai törkeän huolimattomasti.
Maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä:
1) siltä osin kuin maksuvälinettä on käytetty sen jälkeen, kun palveluntarjoajalle tai sen nimeämälle muulle taholle on ilmoitettu maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä;
2) jos palveluntarjoaja on laiminlyönyt huolehtia siitä, että maksuvälineen haltijalla on mahdollisuus tehdä milloin tahansa 1 kohdassa tarkoitettu ilmoitus;
3) jos maksunsaaja ei ole maksuvälinettä käytettäessä asianmukaisesti varmistunut maksajan oikeudesta käyttää maksuvälinettä; tai
4) jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.
Sen estämättä, mitä 3 momentissa säädetään, maksupalvelun käyttäjä on vastuussa maksuvälineen oikeudettomasta käytöstä, jos hän tai muu maksuvälineen haltija on tahallaan tehnyt väärän ilmoituksen tai toiminut muuten petollisesti.”
Lain 85 c §:n (Tunnistaminen) mukaan:
”Palveluntarjoajan on käytettävä vahvaa tunnistamista, jos maksaja:
1) käyttää maksutiliään tietoverkon välityksellä;
2) käynnistää sähköisen maksutapahtuman;
3) toteuttaa etäkanavan kautta toimen, johon voi liittyä väärinkäytöksen riski.
Jos maksaja käynnistää sähköisen maksutapahtuman etäviestimellä, palveluntarjoajan on käytettävä vahvaa tunnistamista, johon yhdistetään maksutapahtuman määrä ja maksunsaaja maksupalveluista sisämarkkinoilla, direktiivien 2002/65/EY, 2009/110/EY ja 2013/36/EU ja asetuksen (EU) N:o 1093/2010 muuttamisesta sekä direktiivin 2007/64/EY kumoamisesta annetun Euroopan parlamentin ja neuvoston direktiivin (EU) 2015/2366, jäljempänä maksupalveludirektiivi, 97 artiklan 2 kohdassa tarkoitetulla tavalla.
Palveluntarjoajan on riittävin turvatoimenpitein huolehdittava vahvassa tunnistamisessa käytettävien henkilökohtaisten turvatunnusten luottamuksellisuuden ja eheyden suojaamisesta.
Edellä 1 ja 2 momentissa tarkoitetun vahvan tunnistamisen sekä 3 momentissa tarkoitettujen turvatoimenpiteiden on täytettävä tarkemmat vaatimukset, joista säädetään maksupalveludirektiivin 98 artiklan nojalla annetuissa komission teknisissä sääntelystandardeissa.
Tämän pykälän mukaisesta velvollisuudesta vahvaan tunnistamiseen sekä henkilökohtaisten turvatunnusten luottamuksellisuuden ja eheyden suojaamiseen voidaan poiketa, jos maksupalveludirektiivin 98 artiklan nojalla annetuissa komission teknisissä sääntelystandardeissa niin säädetään.”
Komission delegoidun asetuksen (EU) 2018/389 2 artiklan (Yleiset tunnistamisvaatimukset) mukaan:
”1. Maksupalveluntarjoajilla on oltava käytössään maksutapahtumien valvontamekanismit, joiden avulla ne voivat havaita oikeudettomat tai petolliset maksutapahtumat 1 artiklan a ja b alakohdassa tarkoitettujen turvatoimenpiteiden täytäntöön panemiseksi.
Näiden mekanismien on perustuttava maksutapahtumien analysointiin, jossa otetaan huomioon tekijät, jotka ovat ominaisia maksupalvelunkäyttäjälle henkilökohtaisten turvatunnusten normaaleissa käyttöolosuhteissa.
2. Maksupalveluntarjoajien on varmistettava, että maksutapahtumien valvontamekanismeissa otetaan huomioon ainakin kaikki seuraavat riskiperusteiset tekijät:
a) luettelot väärinkäytetyistä tai varastetuista tunnistamistekijöistä;
b) kunkin maksutapahtuman määrä;
c) tunnetut petosskenaariot maksupalvelujen tarjoamisessa;
d) merkit haittaohjelmatartunnasta tunnistamismenettelyn istuntojen aikana;
e) jos maksupalveluntarjoaja toimittaa pääsyn mahdollistavan laitteen tai ohjelmiston, maksupalvelunkäyttäjälle toimitetun, pääsyn mahdollistavan laitteen tai ohjelmiston käyttöloki ja kyseisen laitteen tai ohjelmiston poikkeava käyttö.”
Pankin verkkopankin ja verkkopankkitunnusten käytön sekä tunnistuspalvelun yleisten sopimusehtojen (jäljempänä pankkitunnusehdot) kohta, joka koskee kuluttaja-asiakkaan vastuuta tunnusten oikeudettomasta käytöstä maksuvälineenä, vastaa maksupalvelulain 62 §:n kuluttajan hyväksi pakottavia säännöksiä.
Pankkitunnusehtojen kohdan 2 (Tunnusten käyttäminen ja säilyttäminen) mukaan:
”Tunnusten käyttäminen pankin Verkkopankissa tai muussa pankin tarjoamassa palvelussa siinä edellytetyllä tavalla vastaa asiakkaan allekirjoitusta. Kaikki maksut, toimeksiannot, hakemukset, sopimukset sekä muut tahdonilmaisut ja viestit sitovat palvelussa tunnistettua asiakasta sen jälkeen, kun ne on lähetetty pankille palvelussa edellytetyllä tavalla.”
Asian arviointi
Tapahtumienkulku
Pankki on tapauksessa esittänyt järjestelmätietoihinsa perustuvan selvityksen tapahtumista ja siitä, millä tavoin asiakkaan verkkopankkiin on kirjauduttu, tilisiirron enimmäismäärää on muutettu ja riidanalaiset maksut on tehty ja vahvistettu. Pankkilautakunnalla ei ole syytä epäillä pankin esittämän järjestelmätietoihin perustuvan selvityksen paikkansa pitävyyttä.
Pankkilautakunta katsoo asiassa selvitetyksi, että asiakas on 17.–18.2.2026 tullut sijoitusneuvojana esiintyneen rikollisen tahon harhaan johtamaksi. Asiakas on poliisille tekemänsä tutkintailmoituksen mukaan lukenut sijoittamisesta ja päätynyt tämän jälkeen yhteydenpitoon englanniksi puhuneiden henkilöiden kanssa, vaikka hän ei ole tarkemmin muistanut, miten yhteydenpito oli alkanut. Asiakkaaseen on otettu yhteyttä puhelimitse, ja yhteydenpito on tutkintailmoituksen perusteella sisältänyt useita WhatsApp- ja muita puheluita, joista osa on ollut pitkäkestoisia. Tutkintailmoituksen mukaan asiakkaaseen oli yhteydessä useita ulkomaisia puhelinnumeroita, yhteydenpito oli aktiivista ja siihen sisältyi sekä vastattuja että vastaamattomia yhteydenottoja myös maksutapahtumien jälkeen.
Asiakas on ohjattu antamaan etäyhteys tietokoneelleen AnyDesk-palvelun kautta. Etäyhteyden aikana asiakkaan verkkopankkiin on kirjauduttu asiakkaan henkilökohtaisella käyttäjätunnuksella, ja kirjautuminen on vahvistettu asiakkaan pankin tunnistussovelluksella.
Verkkopankissa on tämän jälkeen muutettu asiakkaan tilisiirron enimmäismäärää. Pankin asiakkaalle lähettämässä tekstiviestissä on ilmoitettu, että asiakas on muuttamassa tilisiirron enimmäismäärää, ja asiakasta on pyydetty syöttämään viestissä ollut vahvistuskoodi verkkopankissa sille varattuun kenttään. Muutos on vahvistettu tekstiviestissä olleella vahvistuskoodilla. Tutkintailmoituksen mukaan asiakkaan tietokonetta ohjattiin puhelun aikana etäyhteydellä ja asiakasta pyydettiin vahvistamaan toimenpiteitä puhelimensa pankkisovelluksella.
Samana päivänä klo 16.40 asiakkaan varoja on siirretty hänen säästötililtään hänen käyttötililleen 53 083,08 euroa. Tästä tilien välisestä siirrosta asiakkaalle on lähetetty tekstiviesti, jossa on ilmoitettu asiakkaan vahvistavan tiliensä välistä maksua ja maksun summa sekä kehotettu soittamaan sulkupalveluun, jos asiakas epäilee väärinkäytöstä. Siirto on hyväksytty heti tekstiviestissä olleella vahvistuskoodilla.
Klo 16.43 asiakkaan tilisiirron enimmäismäärää on muutettu uudelleen, ja myös tästä asiakkaalle on lähetetty tekstiviesti, jossa on ilmoitettu asiakkaan olevan muuttamassa tilisiirron enimmäismäärää ja pyydetty syöttämään vahvistuskoodi verkkopankissa sille varattuun kenttään.
Verkkopankissa on tämän jälkeen luotu 49 500,00 euron maksu Alankomaihin. Pankin asiakkaalle klo 16.51 lähettämässä tekstiviestissä on ilmoitettu asiakkaan olevan vahvistamassa maksua Alankomaihin, maksun määrä sekä pyyntö syöttää vahvistuskoodi verkkopankissa sille varattuun kenttään. Maksu on hyväksytty.
Seuraavana päivänä 18.2.2026 asiakkaan verkkopankkiin on kirjauduttu uudelleen ja asiakkaan tililtä on tehty sekä vastaavalla tavalla vahvistettu 5 000 euron maksu Alankomaihin.
Pankin selvityksen mukaan maksut on tehty ulkomaisille virtuaalisille IBAN-tileille, joiden maksunsaajan nimenä on ollut asiakkaan nimi. Maksujen yhteydessä tehty maksunsaajan nimen tarkistus on pankin mukaan antanut maksunsaajan nimen osalta osuman asiakkaan nimeen.
Asiakas on ollut 19.2.2026 yhteydessä pankkiin. Pankki on lukinnut asiakkaan verkkopankin samana aamuna klo 8.34 ja tehnyt tämän jälkeen molemmista maksuista palautuspyynnöt. Palautuspyynnöt on hylätty, eikä varoja ole saatu palautettua asiakkaalle.
Maksajan suostumus maksutapahtumille
Asiakas on vedonnut PSD3/PSR-sääntelyyn ja APP-petoksia koskevaan korvausmalliin. Pankkilautakunta toteaa selvyyden vuoksi, etteivät asiakkaan viittaamat säännökset ole olleet riita-asiaan sovellettavaa, voimassa olevaa oikeutta tapahtumahetkellä eivätkä asian ratkaisuhetkellä. Asia arvioidaan näin ollen tapahtumahetkellä voimassa olleen lainsäädännön sekä osapuolten väliseen sopimussuhteeseen sovellettavien ehtojen perusteella.
Maksupalvelulain 38 §:n mukaan maksutapahtuma saadaan toteuttaa vain maksajan suostumuksella. Maksutapahtumaa pidetään oikeudettomana, jollei maksaja ole antanut siihen suostumustaan sovitulla tavalla. Pankkitunnusehtojen mukaan tunnusten käyttäminen pankin verkkopankissa tai muussa pankin tarjoamassa palvelussa siinä edellytetyllä tavalla vastaa asiakkaan allekirjoitusta. Ehtojen mukaan kaikki maksut, toimeksiannot, hakemukset, sopimukset sekä muut tahdonilmaisut ja viestit sitovat palvelussa tunnistettua asiakasta sen jälkeen, kun ne on lähetetty pankille palvelussa edellytetyllä tavalla.
Pankkilautakunta toteaa, että asiassa saadun selvityksen mukaan asiakkaan verkkopankkiin on kirjauduttu asiakkaan henkilökohtaisella käyttäjätunnuksella ja kirjautuminen on vahvistettu asiakkaan pankin tunnistussovelluksella. Tämän jälkeen verkkopankissa on annettu riidanalaisia maksuja koskevat maksutoimeksiannot, ja maksut on vahvistettu asiakkaan puhelimeen lähetetyissä tekstiviesteissä olleilla vahvistuskoodeilla. Tekstiviesteissä on ennen vahvistusten antamista ilmoitettu asiakkaalle vahvistettavan toimenpiteen laatu sekä maksujen osalta maksun määrä ja kohdemaa.
Asiakas on esittänyt, ettei hän ole antanut maksuille vapaata ja tietoista suostumustaan, koska rikolliset ovat johtaneet häntä harhaan ja ohjanneet tilannetta etäyhteyden välityksellä. Asiakas on kuitenkin itsekin kertonut tehneensä maksut rikollisten ohjeistamana. Pankkilautakunta katsoo saadun selvityksen perusteella, että asiakas on rikollisten harhaan johtamana ja heidän ohjeidensa mukaisesti toiminut verkkopankissa ja vahvistanut hänelle esitetyt toimenpiteet.
Pankkilautakunta katsoo, että vaikka asiakas on antanut maksujen vahvistukset rikollisten harhaan johtamana, tällä seikalla ei ole asiakkaan ja pankin välisessä suhteessa sellaista merkitystä, että maksutapahtumia olisi pidettävä maksupalvelulaissa tarkoitetulla tavalla oikeudettomina. Asiakas on käyttänyt pankkitunnuksiaan ja vahvistanut maksut pankin palvelussa edellytetyllä tavalla. Näin ollen lautakunta katsoo asiakkaan antaneen maksutapahtumille maksupalvelulain 38 §:ssä ja sovellettavissa sopimusehdoissa tarkoitetun suostumuksensa.
Koska kyseessä olevia maksuja ei edellä todetuin perustein ole pidettävä oikeudettomina maksutapahtumina, asiakkaan vastuu ei määräydy maksupalvelulain 62 §:n oikeudettomia maksutapahtumia koskevien vastuunjakosäännösten perusteella. Pankkilautakunta katsoo tämän vuoksi, että asiakas vastaa pankin toteuttamista ja hänen suostumuksellaan hyväksytyistä maksutapahtumista.
Koska lautakunta katsoo maksujen olleen asiakkaan suostumuksella tehtyjä, asiassa ei ole tarpeen arvioida asiakkaan menettelyn huolellisuutta maksupalvelulain 62 §:n mukaisessa vastuunjaossa.
Monitorointi
Asiakas on vedonnut siihen, että pankki ei ole riittävästi monitoroinut asiakkaan maksuliikennettä eikä puuttunut nyt kyseessä oleviin maksuihin, vaikka maksut ovat asiakkaan mukaan poikenneet hänen aiemmasta maksukäyttäytymisestään. Asiakkaan mukaan pankin olisi tullut havaita maksuihin liittynyt poikkeuksellisuus ja estää, viivästyttää tai muutoin varmistaa maksut tehokkaammin ennen niiden toteuttamista.
Pankkilautakunta on ratkaisukäytännössään arvioinut maksutapahtumien monitoroinnin merkitystä maksuvälineen oikeudetonta käyttöä koskevissa tilanteissa. Ratkaisusuosituksessa FINE-75876-K7R5T8, annettu 15.6.2026, lautakunta on katsonut, että maksupalvelulain 85 c §:ssä edellytetty vahva tunnistaminen ja siihen liittyvät turvatoimenpiteet eivät rajoitu pelkästään tunnistamistekijöiden tekniseen käyttöön, vaan niiden tulee täyttää myös komission teknisissä sääntelystandardeissa asetetut tarkemmat vaatimukset. Teknisten sääntelystandardien 2 artiklan mukaan maksupalveluntarjoajilla on oltava käytössään maksutapahtumien valvontamekanismit, joiden avulla ne voivat havaita oikeudettomat tai petolliset maksutapahtumat asetuksessa tarkoitettujen turvatoimenpiteiden täytäntöön panemiseksi.
Mainitussa ratkaisusuosituksessa lautakunta katsoi, että jos pankin maksutapahtumien valvontamekanismit ovat olosuhteisiin nähden tosiasiallisesti täysin toimimattomat tai monitorointi on ainakin epäonnistunut merkittävästi, tätä voidaan pitää osoituksena siitä, ettei maksupalvelulain 85 c §:n mukaista vahvaa tunnistamista ole toteutettu sääntelyn edellyttämällä tavalla. Tämän perusteella lautakunta katsoi kyseisessä oikeudettomia maksutapahtumia koskeneessa tapauksessa, että asiakas ei vastannut maksuvälineensä oikeudettomasta käytöstä maksupalvelulain 62 §:n 3 momentin 4 kohdan perusteella, jonka mukaan maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä, jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.
Pankkilautakunta toteaa kuitenkin, että edellä mainitussa ratkaisusuosituksessa pankin vastuun arviointi perustui siihen, että kyse oli maksupalvelulain 62 §:ssä tarkoitetusta maksuvälineen oikeudettomasta käytöstä. Nyt käsillä olevassa asiassa lautakunta on edellä katsonut asiakkaan antaneen riidanalaisille maksuille maksupalvelulain 38 §:ssä tarkoitetun suostumuksensa, eikä kyse tämän vuoksi ole maksupalvelulain 62 §:ssä tarkoitetusta maksuvälineen oikeudettomasta käytöstä.
Pankkilautakunta katsoo siten, ettei maksupalvelulaista seuraa tässä asiassa perustetta, jonka nojalla pankille syntyisi korvausvastuu mahdollisesta monitoroinnin puutteesta asiakkaan itse hyväksymien maksujen perusteella. Pankkilautakunnan ei tämän vuoksi ole tarpeen arvioida tarkemmin pankin maksutapahtumien monitoroinnin asianmukaisuutta käsillä olevassa tapauksessa.
Lopputulos
Pankkilautakunta ei suosita korvausta.
Pankkilautakunta oli yksimielinen.
PANKKILAUTAKUNTA
Puheenjohtaja Sillanpää
Sihteeri Heino
Jäsenet:
Atrila
Piilo
Punakivi
Tervonen