Phishing-svindel — egenandelen på 450 kroner, og når den blir 12 000

Iren tastet inn kodene på en falsk nettside

Meldingen Iren mottok, lignet til forveksling på tidligere varsler hun hadde fått fra banken sin, med samme logo og et språk som fulgte samme mal som ekte varsler om mistenkelig aktivitet på kontoen. Lenken i meldingen førte til en side som var bygget opp nøyaktig som bankens egen innloggingsside, med felt for fødselsnummer og en boks for å taste inn engangskoden fra BankID-appen. Denne typen svindel er forskjellig fra tilfeller der noen andre har fått låne bort BankID-en til en person de kjenner, siden Iren aldri ga fra seg koden med vilje til noen hun kjente. Iren, som satt midt i en travel arbeidsdag, tenkte ikke over at ekte bankvarsler aldri ber deg taste inn koder på denne måten via en lenke i en SMS. Idet hun bekreftet koden, fikk svindlerne tilgang til å logge seg inn på hennes vegne og gjennomførte flere overføringer før hun rakk å reagere. Da hun ringte banken samme kveld, var pengene allerede flyttet videre gjennom flere kontoer, noe som er typisk for denne typen svindel og som gjør det vanskelig å spore og stanse midlene i etterkant. Det Iren satt igjen med, var ikke bare sjokket over å ha blitt lurt, men også usikkerhet om hvor mye av tapet hun selv måtte bære.

Phishing og egenandelen banken krever

Utgangspunktet i finansavtaleloven § 4-30 er at en kunde som opptrer med det som regnes som simpel uaktsomhet, bare skal bære en egenandel på 450 kroner av tapet, mens banken dekker resten. Simpel uaktsomhet dekker typiske hverdagsfeil: at du har mistet kortet, at noen har sett deg taste PIN-koden, eller at du i et kort og forståelig øyeblikk har blitt lurt av en overbevisende svindel du ikke burde forventes å gjennomskue umiddelbart. Terskelen for at noe regnes som mer enn simpel uaktsomhet, ligger et godt stykke over det å bli lurt av en godt utført svindel. Dette betyr at mange phishing-ofre i utgangspunktet bare skal sitte igjen med 450 kroner i egenandel, forutsatt at de varsler banken uten ugrunnet opphold etter at de oppdaget eller burde ha oppdaget hva som hadde skjedd. Tabellen under viser hovedforskjellen mellom de to nivåene:

For Iren var dette gode nyheter i utgangspunktet: å bli lurt av en falsk SMS som er laget for å ligne bankens egne varsler, er nettopp den typen svindel loven er ment å beskytte forbrukere mot, ikke noe som automatisk skal regnes som grovt uaktsomt.

Grov uaktsomhet: ansvaret kan stige til 12 000 kroner

Bankene avslår likevel mange krav med begrunnelse om at kunden har opptrådt grovt uaktsomt, og da kan egenandelen økes til inntil 12 000 kroner. Grov uaktsomhet krever mer enn en alminnelig feilvurdering: det skal foreligge en kvalifisert og markert avvikende handlemåte fra det du kunne forvente av en normalt aktsom kunde. I praksis vektlegges gjerne om varselet inneholdt tydelige advarselstegn, som dårlig språk, en avsenderadresse som ikke stemmer, eller en historie som i seg selv fremstår usannsynlig, for eksempel et krav om umiddelbar handling for å unngå at kontoen sperres. Har kunden i tillegg oppgitt flere engangskoder etter hverandre, eller fortsatt å bekrefte transaksjoner selv etter at banken har sendt en advarsel i appen, kan dette telle i retning av grov uaktsomhet. Ved forsett, altså at kunden visste eller måtte forstå at pengene ville gå til uvedkommende, finnes det ikke noe beløpstak i det hele tatt på ansvaret. For Iren, som fulgte en lenke som var identisk med et ekte bankvarsel og aldri fikk noen tydelig advarsel underveis, var det lite som talte for grov uaktsomhet, men banken avslo likevel først med denne begrunnelsen. Les mer om hva som skal til for at noe regnes som grov uaktsomhet ved BankID-svindel, siden bevisbyrden for dette ligger hos banken, ikke hos deg.

Når banken må dekke alt du har tapt

Fullstendig ansvarsfritak for kunden gjelder når banken selv ikke har oppfylt sine plikter, for eksempel dersom sikkerhetsløsningen som er brukt ikke holder mål, eller dersom banken ikke har varslet om mistenkelig aktivitet på en måte den etter loven er forpliktet til. Har svindelen skjedd på en måte kunden ikke kunne ha unngått uansett hvor aktsom vedkommende var, kan hele beløpet kreves tilbake uten egenandel. Det samme gjelder dersom banken ikke er i stand til å dokumentere at transaksjonen faktisk er autentisert på riktig måte i tråd med kravene til sterk kundeautentisering. I praksis er dette sjelden den enkleste veien til full dekning for et phishing-offer, siden BankID normalt regnes som en godkjent og sikker autentiseringsløsning når den brukes riktig, men det er ett av flere spor som bør undersøkes før du aksepterer et avslag fra banken. Har svindelen i stedet skjedd via et betalingskort som er brukt uten din godkjennelse, gjelder mange av de samme prinsippene, selv om den konkrete klageprosessen kan avvike noe. Iren fikk til slutt medhold i at hennes tilfelle skulle vurderes som simpel uaktsomhet, og banken dekket differansen mellom det faktiske tapet og egenandelen på 450 kroner.

Slik klager du, og hvilke bevis som teller

Det første Iren gjorde riktig, var å varsle banken samme kveld som hun oppdaget svindelen, noe som er avgjørende for å unngå at forsinket varsling i seg selv brukes mot deg. Videre bør du ta vare på alt som kan dokumentere hvordan svindelen foregikk: skjermbilde av selve SMS-en eller e-posten, adressen til den falske nettsiden dersom du husker eller finner den igjen, og en tidslinje over når du oppdaget hva. Godtar du ikke avslaget fra banken, kan saken bringes inn for Finansklagenemnda, som behandler denne typen tvister gratis for forbrukeren. Nemnda vurderer konkret hva som skjedde i akkurat din sak, og legger blant annet vekt på hvor sofistikert svindelen var og hvilke advarselstegn som faktisk var til stede for en vanlig kunde å oppdage. Politianmeldelse bør sendes uavhengig av bankens behandling, både fordi det styrker sannsynligheten for at forholdet blir tatt alvorlig og fordi enkelte forsikringsordninger krever anmeldelse for i det hele tatt å behandle et krav. Er beløpet betydelig, eller opplever du at banken ikke tar saken på alvor, kan en advokat med erfaring fra bank- og finansrett bidra til å formulere klagen og vurdere om det er grunnlag for å gå videre til domstolene.

Kort oppsummert

• Simpel uaktsomhet ved phishing gir normalt en egenandel på bare 450 kroner, mens grov uaktsomhet kan øke egenandelen til inntil 12 000 kroner.
• Grov uaktsomhet krever en klart avvikende handlemåte fra det en vanlig aktsom kunde ville gjort, og bevisbyrden for dette ligger hos banken, ikke hos deg.
• Var svindelen godt utført og vanskelig å avsløre for en normal kunde, taler det for simpel uaktsomhet og lav egenandel.
• Varsle banken samme dag du oppdager svindelen, ta vare på bevis for hvordan den foregikk, og send politianmeldelse uavhengig av bankens egen behandling.
• Avslår banken kravet, er klage til Finansklagenemnda gratis, og du har krav på en skriftlig begrunnelse for hvorfor din sak vurderes som grovt uaktsom.