Kifid: geen vergoeding bij bankhelpdeskfraude als klant zelf overboekt
In dit artikel:
De Commissie van Beroep van Kifid heeft bevestigd dat een bank in principe niet hoeft te vergoeden wanneer een klant zélf onder invloed van bankhelpdeskfraude geld overmaakt. Het gaat om twee SNS-klanten die samen €59.000 verloren nadat zij tijdens een telefoongesprek een nepmedewerker toestonden het kijkprogramma Quickview te installeren, zelf hun daglimiet verhoogden en met Digipas en persoonlijke codes drie overboekingen naar een derde rekening uitvoerden.
Juridisch kwalificeren zulke verrichtingen als ‘toegestane betalingen’: de rekeninghouder heeft de opdracht zelf en met zijn beveiligingsgegevens gegeven. Onder de Europese betaalregels (PSD2) gelden andere beschermingen voor niet-toegestane betalingen — waarbij een fraudeur zonder toestemming geld wegneemt — maar bij door de klant bevestigde opdrachten rust de plicht tot terugbetaling niet automatisch op de bank.
De Commissie oordeelde dat de bank alleen aansprakelijk wordt als zij haar zorgplicht heeft geschonden. Die zorgplicht vereist niet dat iedere opdracht routinematig wordt getest; alleen bij duidelijke aanwijzingen voor frauduleus gedrag moet de bank ingrijpen. In deze zaak waren die aanwijzingen volgens Kifid onvoldoende: een eerste overboeking werd weliswaar nog voor onderzoek tegengehouden, maar de klanten, onder druk gezet, verklaarden dat het om de aankoop van een camper ging — een verklaring die niet zo vreemd was dat de bank direct fraude had moeten vermoeden.
Een verzoek om toepassing van de coulanceregeling voor bankhelpdeskfraude mislukte eveneens. Die regeling bevat strikte voorwaarden (bijvoorbeeld uitbetaling via een zogenoemde ‘kluisrekening’) en is niet juridisch afdwingbaar; Kifid vond de weigering van de bank niet onaanvaardbaar. Met deze bindende uitspraak bevestigt de Commissie van Beroep de eerdere beslissing van de Geschillencommissie.
Praktische les: slachtoffers die op aanwijzing van een nepmedewerker zelf overboeken, lopen doorgaans het risico hun verlies te moeten dragen, tenzij aantoonbaar is dat de bank haar zorgplicht heeft verzaakt. Internationaal wordt dit soort oplichting aangeduid als ‘authorised push payment’-fraude, een groeiend probleem waarvoor sommige jurisdicties aanvullende beschermingsmaatregelen overwegen.