«Grov uaktsomhet» ved BankID-svindel — det banken må bevise

Trygve ble overtalt til å bekrefte BankID-innlogging

Trygve satt hjemme en helt vanlig ettermiddag da telefonen ringte og et nummer som lignet bankens eget dukket opp på skjermen. Mannen i andre enden presenterte seg med navn, snakket rolig og profesjonelt, og forklarte at det var oppdaget mistenkelige transaksjoner på Trygves konto som måtte bekreftes eller avvises umiddelbart for å unngå at pengene forsvant. Til forskjell fra tilfeller der noen selv har tastet inn koder på en falsk nettside, ble Trygve lurt muntlig, over telefon, uten noen falsk nettside involvert i det hele tatt. For å avvise transaksjonene, måtte Trygve ifølge mannen bekrefte identiteten sin gjennom BankID, akkurat slik han var vant til å gjøre i legitime sammenhenger. Under press, og med en følelse av at tiden var knapp, fulgte Trygve instruksjonene steg for steg mens mannen veiledet ham gjennom prosessen på telefonen. Det som i realiteten skjedde, var at hver bekreftelse Trygve ga, faktisk godkjente en overføring ut av kontoen hans til svindlerens egne konti. Først da han la på og noe føltes galt, sjekket han kontoen og oppdaget at pengene var borte. Da han kontaktet banken, fikk han beskjed om at saken ville bli vurdert, men at en så tydelig manipulasjon fra hans side kunne regnes som grovt uaktsom bruk av BankID.

Bevisbyrden ligger hos banken

Et sentralt poeng mange bankkunder ikke er klar over, er at det er banken som har bevisbyrden for at kunden har opptrådt grovt uaktsomt, ikke kunden som må bevise sin egen uskyld. Dette følger av den generelle systematikken i finansavtaleloven, der hovedregelen er ansvarsfrihet eller en lav egenandel for kunden, og et strengere ansvar bare inntrer når banken kan påvise at avviket fra normal aktsomhet var markert og klart klanderverdig. Banken kan ikke nøye seg med å konstatere at Trygve fulgte instruksjoner fra en fremmed på telefon, den må sannsynliggjøre at en vanlig, aktsom bankkunde i samme situasjon ville forstått at noe var galt og avstått fra å bekrefte kodene. Dette er en vesentlig høyere terskel enn det bankene i praksis ofte legger til grunn i sine første avslag. Mange avslag bygger på en for lav standard, der banken i realiteten snur bevisbyrden og forventer at kunden forklarer hvorfor han eller hun ikke burde stolt på oppringningen, i stedet for selv å dokumentere hvorfor akkurat denne handlingen var markert avvikende fra normal atferd.

Momentene nemnda legger vekt på

Når Finansklagenemnda skal vurdere om noe er grovt uaktsomt, ser den på en rekke konkrete momenter i saken, ikke bare det generelle inntrykket av at kunden burde forstått bedre. Sentralt står hvor profesjonelt svindelen var utført, om nummeret som ringte faktisk lignet bankens eget, om samtalen inneholdt spesifikke detaljer om kunden som ga den troverdighet, og om det var tydelige advarselstegn kunden ignorerte, som at banken selv sier den aldri ber om koder på denne måten. Det legges også vekt på om kunden fikk et press om å handle raskt, siden tidspress er en kjent og bevisst manipulasjonsteknikk som svekker en vanlig kundes evne til å tenke seg om. Har banken selv sendt generell informasjon om denne typen svindel i forkant, kan det i noen tilfeller telle i skjerpende retning, men terskelen for grov uaktsomhet skal likevel vurderes konkret opp mot hva som var synlig og forståelig for nettopp denne kunden i akkurat denne situasjonen. En enkeltstående feilvurdering under et velregissert press fra en profesjonell svindler er noe annet enn å gjentatte ganger ignorere tydelige advarsler fra banken selv.

Hvorfor overtalelse på telefon sjelden er grov uaktsomhet

Praksis fra nemnda har gjentatte ganger lagt til grunn at det å bli lurt gjennom en velformulert og målrettet telefonsamtale, der svindleren later som å representere banken, i seg selv sjelden er nok til å konstatere grov uaktsomhet. Bakgrunnen er at slike svindelopplegg er spesialdesignet for å omgå nettopp den sunne skepsisen en vanlig kunde ellers ville hatt, gjennom å etterligne legitime prosesser kunden er vant til fra før. At svindelen lyktes, sier med andre ord mer om hvor sofistikert den var, enn om hvor uforsiktig Trygve var. Det som i større grad kan telle mot kunden, er dersom vedkommende har ignorert konkrete og tydelige advarsler underveis i selve BankID-appen, for eksempel tekst som eksplisitt forklarer hva godkjenningen faktisk gjelder, og likevel fortsatt å bekrefte uten å lese. Denne vurderingen er også annerledes enn saker der BankID er lånt bort frivillig til noen kunden kjenner, siden Trygve aldri ga fra seg koden til noen han hadde tillit til. For Trygve, som ble veiledet muntlig gjennom hele prosessen uten å få se noen selvstendig advarsel han valgte å overse, er det gode argumenter for at hans sak skal vurderes som simpel uaktsomhet med den lave egenandelen dette innebærer. Er banken uenig, bør Trygve be om en konkret begrunnelse for hvilke avvik fra normal aktsomhet banken mener foreligger i nettopp hans sak, og vurdere å bruke advokat dersom begrunnelsen er generell og ikke knyttet til konkrete forhold ved hendelsen.

Kort oppsummert

• Det er banken, ikke kunden, som har bevisbyrden for at en handling er grovt uaktsom ved BankID-svindel.
• Grov uaktsomhet krever et markert og klart avvikende avvik fra det en vanlig aktsom kunde ville gjort, ikke bare at svindelen faktisk lyktes.
• Nemnda vurderer blant annet hvor profesjonell svindelen var, om det forelå tidspress, og om kunden ignorerte konkrete advarsler i selve appen.
• Å bli overtalt gjennom en godt utført telefonsamtale er sjelden nok alene til å konstatere grov uaktsomhet.
• Får du et avslag med en generell begrunnelse, be om at banken knytter vurderingen til de konkrete forholdene i din sak, og vurder klage til Finansklagenemnda.