Lurt av falsk SMS fra banken — hvor mye må du betale selv?

Hva skjer juridisk når du klikker på lenken i en falsk SMS fra «banken»?

SMS-svindel (ofte kalt smishing) fungerer ved at kunden mottar en tekstmelding som ser ut til å komme fra banken, med en lenke til en falsk innloggingsside. Skriver kunden inn BankID-kode eller andre sikkerhetsopplysninger der, kan svindleren bruke disse til å logge inn i den ekte nettbanken og gjennomføre betalinger. Fra bankens ståsted fremstår transaksjonen ofte som «godkjent», fordi den tekniske godkjenningen faktisk ble gjort med kundens egne innloggingsopplysninger — men transaksjonen er likevel uautorisert i lovens forstand, fordi kunden ikke visste at opplysningene ble brukt til å tømme egen konto.

Ansvaret for tapet reguleres av finansavtaleloven § 4-32, som fastsetter kundens egenandel ved uautorisert bruk av et betalingsinstrument (her: BankID og tilhørende innloggingsopplysninger). Utgangspunktet er en egenandel på 450 kroner. Denne kan økes dersom banken kan vise at kunden har opptrådt grovt uaktsomt ved å oppgi opplysningene på den falske siden.

Hvordan skiller en ekte SMS fra banken seg fra en svindel-SMS?

Ekte meldinger fra banken ber normalt aldri kunden om å oppgi fullstendig BankID-kode, kortnummer eller engangskode direkte i en tekstmelding eller på en side du kommer til via en lenke i en SMS. Banken kommuniserer som regel gjennom egen app eller nettbank, der kunden selv har logget seg inn på vanlig måte — ikke via en lenke tilsendt på SMS. Er meldingen formulert med sterkt tidspress, for eksempel at kontoen sperres om noen minutter dersom kunden ikke handler umiddelbart, er dette et kjennetegn som går igjen i svindelforsøk, fordi tidspresset er ment å hindre kunden i å tenke seg om.

Avsendernummeret kan også gi en pekepinn, men er ikke alltid pålitelig alene, siden avsenderidentiteten i tekstmeldinger kan forfalskes slik at meldingen ser ut til å komme fra samme avsendernavn som banken selv bruker. Den sikreste fremgangsmåten er derfor å aldri klikke på lenker i uventede meldinger, og heller logge inn i nettbanken eller bankappen direkte for å sjekke om det faktisk er noe som krever kundens oppmerksomhet.

Er det automatisk grov uaktsomhet å taste BankID-koden på en falsk side?

Nei, det finnes ingen automatikk i loven som gjør enhver feilklikk til grov uaktsomhet. Vurderingen er konkret, og tar hensyn til hvor godt forfalsket meldingen og nettsiden var, og om det fantes tydelige varselsignaler kunden overså. Var meldingen og siden svært like det ekte produktet fra banken — samme logo, samme avsenderformat, samme design på innloggingssiden — kan det tale for at kunden ikke handlet grovt uaktsomt, selv om utfallet ble svindel.

Samtidig kan enkelte forhold trekke i retning av grov uaktsomhet: for eksempel dersom meldingen inneholdt åpenbare skrivefeil, kom fra et nummer som tydelig ikke tilhørte banken, eller ba om opplysninger banken aldri spør om per SMS, som fullstendig BankID-kode eller kortnummer. Har kunden oversett flere slike tydelige tegn, kan banken argumentere for at det forelå grov uaktsomhet.

Har det betydning hvor overbevisende svindel-SMS-en så ut?

Ja, kvaliteten på forfalskningen er et sentralt moment i vurderingen. Svindelmeldinger har over tid blitt stadig mer sofistikerte, og enkelte er nesten umulig å skille fra ekte meldinger fra banken uten å undersøke avsendernummeret eller lenkens faktiske nettadresse nøye. Jo mer profesjonell svindelen fremstår, desto vanskeligere blir det for banken å argumentere for at kunden klart burde ha oppdaget at meldingen var falsk.

Motsatt gjelder for meldinger med tydelige feil eller urealistiske krav, som å be om umiddelbar handling under sterkt tidspress, kombinert med trusler om sperret konto. Slike kjennetegn er nettopp det bankene advarer mot i sin egen informasjon til kundene, og kan derfor telle mot kunden dersom kunden ignorerte dem.

Hvor mye må du betale hvis banken mener du var grovt uaktsom?

Mener banken at kunden har opptrådt grovt uaktsomt ved å oppgi opplysninger på en falsk side, er den øvre grensen for egenandelen 12 000 kroner, jf. finansavtaleloven § 4-32. Banken kan ikke kreve mer enn dette med mindre saken vurderes som forsett eller svik fra kundens side, noe som i praksis er en høyere terskel enn å ha blitt lurt av en falsk SMS. Uansett utfall av vurderingen skal banken tilbakeføre resten av det tapte beløpet, samt eventuelt rentetap, jf. § 4-30.

Har flere transaksjoner blitt gjennomført med de stjålne opplysningene før kunden fikk sperret tilgangen, er det den samlede egenandelen for hele svindelforløpet som er begrenset til 12 000 kroner, ikke et beløp per enkelttransaksjon. Kunden bør derfor be om en fullstendig oversikt over alle transaksjoner banken mener henger sammen med den samme svindelhendelsen, slik at egenandelen kan kontrolleres opp mot summen av alle transaksjonene samlet.

Hva bør du gjøre i timene etter at du oppdager svindelen?

Så snart svindelen oppdages, bør kunden kontakte banken direkte — via et telefonnummer hentet fra bankens egen nettside eller app, ikke fra den mistenkelige meldingen — for å sperre BankID, kort og eventuelle betalingstjenester. Politianmeldelse bør sendes umiddelbart, og selve SMS-en bør tas vare på som dokumentasjon, gjerne med skjermbilde av avsendernummer og innhold. Denne dokumentasjonen er sentral både i dialogen med banken og i en eventuell klage til Finansklagenemnda Bank dersom det oppstår uenighet om egenandelens størrelse.

Kort oppsummert

• Egenandelen ved SMS-svindel vurderes etter finansavtaleloven § 4-32, med utgangspunkt i 450 kroner.
• Grov uaktsomhet kan øke egenandelen til inntil 12 000 kroner.
• Hvor overbevisende forfalskningen var, inngår i vurderingen av om kunden var grovt uaktsom.
• Banken skal tilbakeføre resten av beløpet etter § 4-30.
• Sperr BankID og kort umiddelbart, og ta vare på meldingen som dokumentasjon.