Nemnda ga forbruker medhold til tross for at BankID, IP-adresse og maskinenhet stemte i transaksjoner

Finansklagenemnda  Bank har gitt en kunde i Skagerrak Sparebank medhold under dissens i en sak om autoriserte transaksjoner, til tross for at flere av transaksjonene er godkjent med BankID-app, det var kjent IP-adresse for kunden og transaksjonene er gjennomført fra kjent maskinenhet.

Saken gjelder overføringer fra kundens bankkonto i Skagerrak Sparebank til kundens egen konto i Remitly, Kvinesdal Sparebank og Western Union. Totalt er det blitt gjennomført 11 transaksjoner over fire dager, der beløpet kom på 580.562 kroner.

Kunden tok kontakt med banken kort tid etter transaksjonene var gjennomført og mente han selv ikke hadde gjort noen av dem. Transaksjonene som har gått via betalingsformidleren Remitly er gått til flere personer i Nepal og India. Remitly, som Finansklagenemnda beskriver plattformen, legger kun inn kundens kort, før betalingsordrer legges direkte inn med en mottakerkonto. Transaksjonene via Remtitly er ikke godkjente med BankID, men innlogging krever et personlig passord. Transaksjonene via plattformen ble alle gjort fra samme IP-adresse som ved kundens opprettelse av kontoen, og banken har registrert ikke-reklamerte transaksjoner senere, fra samme IP-adresse. 

Transaksjonene til Kvinesdal Sparebank og Western Union er godkjente av BankID og foretatt fra kontohavers hjemmenettverk, fra kjent IP-adresse og maskinenhet.

Kontohaver mener han selv ikke har gjennomført transaksjonene, og varslet banken tidlig. Han peker på at transaksjonene fant sted midt på dagen, da han var på jobb. Banken på sin side mener kontohaver selv har utført og godkjent transaksjonene, da de er utført fra kjent IP-adresse og kjent maskinenhet, som også er benyttet i ettertid. Det ble heller ikke aktivert ny BankID i perioden. Det er også innlogginger i nettbank og internoverføringer hos kunden i perioden.

Finansklagenemndas begrunnelse

Nemnda er delt i avgjørelsen, to mot én. Flertallet gir kunden medhold i saken, ettersom de ikke mener det er tilstrekkelig informasjon til å mene at kvalifisert sannsynlighetsovervekt for at betalingene er gjort av kontohaver selv. Til tross for at BankID og betalingskort er brukt, er ikke det tilstrekkelig bevis i seg selv. 

«I en sak som dette, hvor det verken fra kontohaveren eller fra finansforetaket er fremkommet noe som kan kaste ytterligere lys over saken, finner nemndas flertall at IP-adresser og maskinenheter ikke er tilstrekkelig til å konkludere med kvalifisert sannsynlighetsovervekt for at kontohaveren har gitt lovbestemt samtykke til betalingene», skriver nemndas flertall i sin begrunnelse. 

Mindretallet i nemnda mener derimot, ut ifra opplysningene i saken, at det er kvalifisert sannsynlighetsovervekt for at betalingene er gjort av kontohaver selv, og at foretaket dermed må få medhold. Ettersom BankID-app på mobil er benyttet, og appen ikke har blitt lastet ned på nytt noe sted, som betyr at eventuelle svindlere må ha hatt tilgang til kontohavers mobiltelefon og nødvendige passord. En annen PC brukt ved Remitly vil også ha krevd ny verifisering, som også betyr tilgang til mobiltelefon. Derfor mener mindretallet i saken at det ikke foreligger noen andre plausible forklaringer på hvordan svindlere skal ha kunnet gjennomføre betalingene.