This post is also available in:
Twee slachtoffers van phishing, 62 en 89 jaar oud, stelden hun bank aansprakelijk voor een fraude van meer dan 50.000,00 EUR
Zij dagvaardden hun bank voor de rechtbank van eerste aanleg te Antwerpen.
De cliënten van bank X hadden een bijzonder goed nagemaakte e-mail ontvangen, zogezegd afkomstig van de “klantendienst”, met de vraag om via een onlineprocedure hun bankkaart te vervangen.
De e-mail kwam van het adres “aanvraag@startprocedure.com”, dat op geen enkele wijze verband hield met een officiëel adres van bank X. In het onderwerp stond enkel het woord “message”, terwijl de tekst verwees naar het “niet openen van uw [Bank-X]-mail” (de cliënten beschikten niet over een aan bank X gekoppelde mailbox). De ondertekening vermeldde een “afdeling persoonlijke zaken”. Het webadres waarnaar de frauduleuze e-mail verwees, was bovendien onbeveiligd. Eén van de cliënten werd later gecontacteerd op zijn privé-gsm-nummer, wat hij bij zijn verhoor “verdacht” verklaarde te hebben gevonden.
Pas toen de cliënten ontdekten dat meer dan 50.000,00 EUR van hun rekening was weggesluisd, legden zij de link met deze gebeurtenissen en namen zij contact op met hun bank.
De bank had de frauduleuze verrichtingen zelf spontaan gedetecteerd: zij had de rekeningen van de cliënten geblokkeerd en hen gewaarschuwd, maar kon slechts een deel van het weggesluisde bedrag recupereren.
Toen de cliënten beseften dat zij het slachtoffer van phishing waren geworden, verzochten zij hun bank tussen te komen voor de niet-gerecupereerde bedragen, op grond van de bepalingen van bankrecht uit Boek VII van het Wetboek van economisch recht (WER).
Phishing in het kort
“Phishing” is een vorm van oplichting, per e-mail of sms, waarbij hackers trachten de persoonsgegevens van internetgebruikers te bemachtigen om ze frauduleus te gebruiken. De daders doen zich voor als bekende ondernemingen, in berichten die er vandaag echter uitzien dan ooit. Banken en hun cliënten vormen uiteraard een geliefd doelwit.
Ondanks de toenemende waarschuwingen van overheden en grote ondernemingen, financieel of niet, trappen sommige cliënten toch in de val die voor hen wordt gespannen.
Wat bepaalt het bankrecht bij phishing? Welke aansprakelijkheid voor de bank?
De rechtsbeginselen die bij phishing van toepassing zijn, zijn dezelfde als die bij verlies of diefstal van een betaalinstrument.
Bij verlies, diefstal of vervalsing van een betaalinstrument draagt de houder van het instrument slechts een beperkte aansprakelijkheid: die bedraagt 50 EUR voor de verrichtingen die plaatsvinden vóór de houder zijn bank van de feiten op de hoogte brengt, en rust volledig op de bank voor alle nadien verrichte transacties.
Uitzondering op dit beginsel: indien de cliënt/houder zich schuldig maakt aan bedrieglijk of grof nalatig gedrag, draagt hij de volledige aansprakelijkheid voor de betwiste verrichtingen.
Wat wordt verstaan onder grove nalatigheid van een bankcliënt?
Nalatigheid is een subjectief begrip dat aan de beoordeling van de rechter wordt overgelaten, maar het spreekt voor zich dat van de houder van een betaalinstrument wordt verwacht dat hij het gebruikt overeenkomstig de voorwaarden bij de uitgifte ervan, dat hij alle redelijke maatregelen neemt om de veiligheid van het betaalinstrument en de vertrouwelijkheid van de eraan verbonden gegevens te waarborgen, en dat hij de uitgever (de bank) onmiddellijk verwittigt van elk verlies, elke diefstal of elk onrechtmatig of niet-toegestaan gebruik van het instrument.
Artikel VII.44 §4 WER kwalificeert het volgende voorbeeld als grove nalatigheid:
het feit dat de betaler zijn gepersonaliseerde veiligheidsgegevens — zoals zijn persoonlijk identificatienummer of enige andere code — noteert in een gemakkelijk herkenbare vorm, en met name op het betaalinstrument of op een voorwerp of document dat samen met het betaalinstrument wordt bewaard of meegedragen, alsook het feit de betalingsdienstaanbieder het verlies of de diefstal niet te hebben gemeld zodra hij daarvan kennis had (art. VII.44 §4 WER).
De cliënten beweerden niets van phishingmechanismen af te weten. Maar men moet zijn e-mails steeds met de nodige omzichtigheid lezen.
De rechtbank besloot tot de grove nalatigheid van de cliënten van bank X. Gelet op de omstandigheden stond hun grove nalatigheid voor de rechtbank buiten kijf, aangezien hun aandacht had moeten worden getrokken door de reeks verontrustende elementen die zij bij het lezen en het daaropvolgende behandelen van de frauduleuze e-mail tegenkwamen.
Beide cliënten beriepen zich op hun hoge leeftijd en hun onwetendheid over het bestaan van phishingmechanismen. De rechtbank verwierp dat argument en wees op de regelmatige communicatie van de Belgische overheden, de media en de bank zelf over de risico’s van phishing en de manier om de werkwijze van de daders te herkennen.
De rechtbank herinnerde er ook aan dat van een voorzichtige en zorgvuldige betalingsdienstgebruiker wordt verwacht dat hij zijn e-mails met bijzondere aandacht leest wanneer hem wordt gevraagd op een link te klikken. Klikt hij toch en wordt hij vervolgens gecontacteerd door een onbekende die om persoonlijke veiligheidscodes verzoekt, dan wordt van de gebruiker verwacht dat hij die niet meedeelt. Doet hij dat wel, dan wordt hij als grof nalatig beschouwd.
Noot: deze beslissing werd in november 2020 door het hof van beroep bevestigd.
Dit artikel is een vertaling. Enkel de Franse versie is authentiek. Het wordt louter ter informatie verstrekt en vormt geen juridisch advies.
Geef een reactie