Geld kwijt door phishing? Wanneer moet de bank je terugbetalen? (Sirius Legal)

Wanneer is de bank verplicht om frauduleuze betalingen direct terug te storten?

Wanneer je slachtoffer bent van phishing, hanteert de bank in de praktijk helaas te vaak het standaardantwoord: “U bent onvoorzichtig of grof nalatig geweest, dus wij betalen niet terug”. Dit standpunt is echter te kort door de bocht. In een recent en veelbesproken vonnis van de Ondernemingsrechtbank in Antwerpen werd in kortgeding bevestigd dat de wet een strikt principe hanteert: “eerst terugbetalen, daarna pas argumenteren”. Als e-commerce en IT-advocaten zien wij dit vonnis als een belangrijk wapen in procedures tegen banken, niet om altijd onmiddellijk een kortgeding in te stellen, maar wel om de bank te wijzen op haar wettelijke verplichting en die eventueel ook door de rechtbank te laten afdwingen. In een vonnis van de Nederlandstalige Ondernemingsrechtbank te Brussel werd het kortgeding afgewezen wegens gebrek aan spoedeisendheid. Dit toont maar weer dat zo’n zaken telkens nuance en een eigen strategie vereisen.

De basisregel is alleszins wel duidelijk gemaakt in het vonnis van de ondernemingsrechtbank Antwerpen waarnaar hierboven wordt verwezen en staat eigenlijk ook zwart op wit in de wet. Artikel VII.43 WER verplicht jouw bank om bij een niet-toegestane betalingstransactie het bedrag onmiddellijk (en uiterlijk aan het einde van de eerstvolgende werkdag) terug te storten en de betaalrekening te herstellen in de toestand waarin deze zich vóór de transactie bevond. De bank mag deze onmiddellijke terugbetaling alleen weigeren als zij wettelijke, redelijke gronden heeft om te vermoeden dat het slachtoffer zelf fraude heeft gepleegd, én zij dit schriftelijk meldt aan de FOD Economie. In principe zou de bank de discussie over de eventuele nalatigheid niet mogen misbruiken om de voorlopige terugbetaling te blokkeren. De bank moet eerst het geld terugbetalen en kan daarna proberen aantonen dat de schade de eigen schuld van het slachtoffer was.

Toegestane vs. niet-toegestane transactie: waarom de pincode niet alles bewijst

Phishing gaat vaak gepaard met een groot gevoel van schaamte bij het slachtoffer, maar is dat wel terecht? De technieken worden steeds geavanceerder en in sommige gevallen is het zelfs onmogelijk om de phishingspoging te doorprikken. Door deze ontwikkelingen moet er meer en meer gekeken worden naar de verantwoordelijkheid van de bank in plaats van de individuele verantwoordelijkheid van het slachtoffer. Kan je vandaag de dag nog verwachten dat de gebruiker zelf als belangrijkste pion van veiligheid wordt beschouwd? Of is het toch eerder de bank die haar verantwoordelijkheid dient te nemen voor het mogelijk maken van een systeem dat toegankelijkheid en snelheid vooropstelt zonder in de nodige veiligheid te voorzien? De rechtspraak lijkt alleszins steeds meer de positie van het slachtoffer te beschermen, maar toch hangt het vaak af van de specifieke omstandigheden.

In welke gevallen moet de bank frauduleuze betalingen dan definitief terugbetalen? De basisregel is simpel: een betalingstransactie is alleen toegestaan wanneer de betaler heeft ingestemd met de uitvoering ervan. Ontbreekt die toestemming, dan gaat het juridisch om een niet-toegestane betalingstransactie en zal de kans groot zijn dat de bank dient te betalen.

Banken verweren zich vaak met de stelling dat een transactie ’toegestaan’ is zodra de juiste beveiligingscodes (zoals uw pincode, itsme-ondertekening of kaartlezer) zijn gebruikt. De rechtspraak fluit de banken hierin steeds meer terug. Artikel VII.42 §2 WER bepaalt expliciet dat het loutere technische gebruik van een betaalinstrument geen afdoende bewijs is dat de gebruiker de betaling ook daadwerkelijk heeft goedgekeurd.

Zelfs wanneer een betaling technisch werd bevestigd, bewijst dat op zichzelf nog niet dat de klant effectief toestemming gaf. Er is pas sprake van een toegestane transactie als je subjectief, bewust en vrij hebt ingestemd met de concrete betalingsopdracht (het exacte bedrag en de specifieke begunstigde). Bij phishing misleiden cybercriminelen: je denkt dat je inlogt om een postpakket te traceren of je bankaccount te verifiëren, niet dat je een frauduleuze overschrijving valideert. Omdat die bewuste intentie ontbreekt, kan je phishing juridisch kwalificeren als een niet-toegestane transactie.

Wanneer is er sprake van “grove nalatigheid” bij bankfraude?

De bescherming van de consument is niet absoluut. Bij een niet-toegestane transactie draagt de klant vóór de melding van de fraude normaal een verlies van maximaal 50 euro, waarna de bank de rest van de schade moet vergoeden. De bank kan de volledige terugbetaling echter weigeren of terugvorderen wanneer ze kan aantonen dat de klant frauduleus handelde of grof nalatig was.

Gebruikers van betaalinstrumenten hebben namelijk zelf ook wettelijke verplichtingen. Zij moeten hun bankkaart en persoonlijke beveiligingsgegevens zorgvuldig beschermen en onmiddellijk actie ondernemen wanneer er iets misloopt. In phishingzaken draait het daarom vaak rond de vraag of het slachtoffer zich heeft gedragen zoals een normaal voorzichtig persoon in dezelfde omstandigheden.

De drempel voor grove nalatigheid ligt wettelijk relatief hoog. Een gewone vergissing of lichte onvoorzichtigheid volstaat niet. De bank moet bewijzen dat het gedrag duidelijk afwijkt van wat een normaal voorzichtig persoon zou doen. In de praktijk zijn phishingaanvallen vandaag de dag bijzonder professioneel opgezet. Websites, e-mails en sms-berichten lijken soms perfect op communicatie van echte banken of bedrijven. Wanneer een slachtoffer de fraude redelijkerwijze niet kon ontdekken voordat de betaling plaatsvond (bijvoorbeeld bij een visueel perfect nagemaakte betaalomgeving), kan de consument rekenen op een volledige vrijstelling van aansprakelijkheid.

In de rechtspraak zien we echter dat rechters bepaalde gedragingen sneller als een ernstige, onbegrijpelijke fout beschouwen dan andere. Deze gedragingen bestaan bijvoorbeeld uit het stug negeren van opeenvolgende, expliciete waarschuwingen van de bank, het zonder enige controle invoeren van geheime (respons)codes op een externe website met een overduidelijk vreemde URL of het telefonisch rechtstreeks doorgeven van SMS-codes of itsme-activatiecodes. Het verschil tussen wel of geen definitieve terugbetaling hangt dus vaak af van de details zoals de inhoud van berichten, de alarmsignalen, de snelheid van de reactie en de manier waarop de fraude tot stand kwam.

Phishing op een zakelijke rekening: waarom bedrijven minder beschermd zijn dan consumenten

Het is cruciaal om te weten dat de bovenstaande strenge beschermingsregels met name gelden voor consumenten (particulieren).

Voor ondernemingen en zelfstandigen ligt dat vaak anders. De wet (art. VII.29 WER) laat namelijk toe dat banken in contracten met professionele klanten afwijken van de beschermingsregels uit het Wetboek van Economisch Recht (WER). In zakelijke bankvoorwaarden wordt de aansprakelijkheid van de bank bij fraude daarom vaak drastisch beperkt of volledig uitgesloten. Daardoor hebben ondernemingen in phishingdossiers meestal aanzienlijk minder wettelijke bescherming dan particulieren, een harde realiteit die veel bedrijven pas ontdekken als hun zakelijke rekening wordt geplunderd. Echter bestaat ook hier soms wel een oplossing. Dit was bijvoorbeeld het geval in een vonnis van de Nederlandstalige Ondernemingsrechtbank van Brussel waarbij het slachtoffer kon aantonen dat er in casu sprake was van persoonlijke gelden die via een zakelijke rekening frauduleus waren overgeschreven.

Stappenplan bij phishing en hoe kunnen wij helpen?

Wie slachtoffer wordt van phishing moet zo snel mogelijk handelen om zijn rechten veilig te stellen:

• Blokkeer onmiddellijk je kaarten en accounts door contact op met Card Stop (078 170 170) en de fraudelijn van je bank.
• Doe aangifte bij de politie: zorg dat je een kopie van het proces-verbaal met het notitienummer ontvangt.
• Wis het bewijsmateriaal niet: bewaar alle sms-berichten, e-mails en screenshots van de valse link. Het wissen van de phishingmail maakt technisch onderzoek door de bank en politiediensten soms onmogelijk en kan in jouw nadeel werken.

Daarnaast is het belangrijk om je bank formeel in gebreke te stellen en de onmiddellijke terugbetaling te eisen. Wij staan je hierin graag bij.

Als slachtoffer van phishing leg je je best niet te snel neer bij een weigering van de bank. In de praktijk wordt het argument van grove nalatigheid soms bijzonder snel ingeroepen, terwijl de juridische werkelijkheid vaak genuanceerder is. Het feit dat een code werd ingevoerd of een transactie technisch werd bevestigd, betekent niet automatisch dat er juridisch sprake is van een toegestane betaling. Evenmin betekent elke vergissing dat een slachtoffer automatisch grof nalatig heeft gehandeld. Elk phishingdossier staat of valt met de concrete feiten. De manier waarop de fraude werd opgezet, de waarschuwingen die zichtbaar waren, de gebruikte communicatiekanalen en de reactie van het slachtoffer spelen daarbij een doorslaggevende rol.

Wordt een terugbetaling geweigerd, dan loont het vaak de moeite om die beslissing kritisch te laten beoordelen. Niet elke weigering is juridisch terecht, en niet elke phishingzaak is zo duidelijk als banken soms laten uitschijnen.