Phishing – niet toegestane betalingstransacties

Ik ben het slachtoffer van phishing en ik ben een grote som geld kwijt. Heb ik recht op een terugbetaling door mijn bank? Wat zijn mijn rechten en plichten?

De regels die gelden in geval van phishing zijn identiek aan de regels in geval van verlies of diefstal van een betaalinstrument.

Met “betaalinstrument” wordt bedoeld: “elk gepersonaliseerd instrument en/of geheel van procedures, overeengekomen tussen de gebruiker en de bank, waarvan de gebruiker gebruikmaakt om een betalingsopdracht te initiëren”. Het kan bijvoorbeeld gaan om een bankkaart, een mobiele bankapplicatie of homebanking.

Momenteel beschikt iedereen over minstens één betaalinstrument. Het gebruik van die betaalinstrumenten brengt een aantal verplichtingen met zich mee voor de gebruiker en voor de bank, met name om de veiligheid te garanderen.

Desondanks kan het toch gebeuren dat iemand een betaalinstrument verliest, of dat het gestolen of gehackt wordt, wat leidt tot een niet‑toegestane betalingstransactie.

De verplichtingen met betrekking tot betaalinstrumenten en de regels betreffende de verantwoordelijkheid in geval van een niet‑toegestane betalingstransactie zijn terug te vinden in artikel VII.38 tot VII.45 van het Wetboek van economisch recht. Deze regels zijn echter niet van toepassing op fraude waarbij het slachtoffer zelf een som geld overmaakt en de fraudeur zich voordoet als iemand anders (bv. factuurfraude, CEO‑fraude, whaling enz.).

Wat is een niet‑toegestane betalingstransactie?

Een betalingstransactie wordt beschouwd als toegestaan wanneer de betaler zijn toestemming geeft voor de uitvoering van de betalingsopdracht. Zonder de toestemming van de betaler, wordt de betalingstransactie beschouwd als niet‑toegestaan.

Opgelet: het is niet omdat een betalingstransactie werd geauthenticeerd, dat de betaler ook zijn toestemming heeft gegeven.

Een betalingstransactie is geauthenticeerd wanneer ze werd uitgevoerd met een betaalinstrument en met de beveiligingsgegevens die alleen door de rekeninghouder gekend zijn. Als een betaalinstrument werd gebruikt met de juiste pincode, wil dat echter niet per se zeggen dat de eigenaar ook zijn akkoord heeft gegeven om over te gaan tot de betaling.

Terwijl het aan de bank is om aan te tonen dat de betalingstransactie correct is geauthenticeerd, is het aan de betaler om aannemelijk te maken dat het om een niet-toegestane betalingstransactie gaat.

Wat zijn uw rechten en plichten?

Wanneer u een betaalinstrument gebruikt, ongeacht of het gaat om een bankkaart of een ander betaalmiddel zoals een mobiele applicatie, moet u de volgende 3 verplichtingen nakomen:

• het betaalinstrument gebruiken volgens de contractuele voorwaarden, die objectief, niet‑discriminerend en evenredig moeten zijn;
• alle redelijke maatregelen nemen om de veiligheid van het betaalinstrument en van de persoonlijke beveiligingsgegevens te beschermen;
• wanneer u vaststelt dat u uw betaalinstrument bent kwijtgeraakt, dat het gestolen of verduisterd is, of dat het op een andere niet‑toegestane manier werd gebruikt, moet u dat onmiddellijk melden aan uw bank en/of aan de aangewezen derde (bv. Card Stop wat betreft de blokkering van kaarten).

Wat zijn de plichten van de bank?

De bank is verplicht om de veiligheid van de betaalinstrumenten van haar klanten te waarborgen.

Het gaat met name om:

• zorgen dat de beveiligingsgegevens niet toegankelijk zijn voor anderen;
• zorgen dat de gebruikers gratis en op elk moment gebruik kunnen maken van tools waarmee ze kunnen melden dat hun betaalinstrument verloren, gestolen of verduisterd is en waarmee ze de blokkering ervan kunnen aanvragen (bv. Card Stop wat betreft de blokkering van bankkaarten);
• elk gebruik van het betaalinstrument verhinderen na een dergelijke melding.

Wat moet u doen als u slachtoffer bent van diefstal?

Wanneer u vaststelt dat u een van uw betaalinstrumenten bent kwijtgeraakt, dat het gestolen of verduisterd is, of dat het op een andere niet‑toegestane manier werd gebruikt, moet u onmiddellijk contact opnemen met uw bank en/of de door uw bank aangewezen derde om het incident te melden en de betaalinstrumenten te laten blokkeren.

Om uw eventuele verantwoordelijkheid te beperken, is het aangewezen om uw bank zo snel mogelijk op de hoogte te brengen. Hoe sneller u uw bank informeert, hoe meer kans er bovendien is dat de gestolen bedragen kunnen worden gerecupereerd.

Als het gaat om een bankkaart, belt u onmiddellijk Card Stop op +32 78 170 170 om uw kaart te laten blokkeren.

Opgelet: doorgaans kunt u via Card Stop alleen kaarten laten blokkeren, en geen andere soorten betaalinstrumenten zoals bankapplicaties. Ga na bij uw bank of alle verloren, gestolen of gehackte betaalinstrumenten geblokkeerd zijn.

Neem tevens contact op met de lokale politie: ga naar het dichtstbijzijnde politiekantoor om een proces‑verbaal te laten opstellen. Er wordt aangeraden om het nummer van het proces‑verbaal door te geven aan uw bank en uw eventuele verzekeraar.

Breng de Economische Inspectie op de hoogte via het Meldpunt.

Er is geld van uw rekening gegaan zonder uw toestemming. Wie is verantwoordelijk?

In het Wetboek van economisch recht wordt een onderscheid gemaakt naargelang de niet‑toegestane transactie plaatsvond vóór of na de melding van verlies, diefstal, verduistering of elk niet‑toegestaan gebruik van het betaalinstrument.

Er wordt aanbevolen om het bewijs van uw melding te bewaren, in het bijzonder als het gaat om een ander betaalinstrument dan een bankkaart.

Niet‑toegestane transacties na melding

In geval van een niet‑toegestane betalingstransactie moet de bank de betaler onmiddellijk het bedrag van de betalingstransactie terugbetalen nadat ze hierover op de hoogte werd gebracht, behalve indien de bank goede redenen heeft om te vermoeden dat er fraude werd gepleegd aan de zijde van de betaler en indien ze deze redenen schriftelijk meedeelt aan de FOD Economie.

Het is immers aan de bank om te verhinderen dat het betaalinstrument nog wordt gebruikt na de melding van verlies, diefstal, verduistering of niet‑toegestaan gebruik van het betaalinstrument door de betaler.

Niet‑toegestane transacties vóór melding

Indien u uw bank, of de aangewezen derde, niet op de hoogte hebt gebracht van het verlies, de diefstal, de verduistering of elk niet‑toegestaan gebruik van uw betaalinstrument, zult u de verliezen van elke niet‑toegestane betalingstransactie tot een bedrag van 50 euro zelf moeten dragen. U loopt hier dus slechts een beperkt risico, namelijk een bedrag van 50 euro.

Er bestaan echter 3 uitzonderingen waarbij u geen enkel verlies lijdt na een niet‑toegestane betalingstransactie, zelfs indien u uw bank of de aangewezen derde niet tijdig hebt geïnformeerd:

1. Wanneer u niet in staat was om vóór de betaling het verlies, de diefstal of de verduistering van het betaalinstrument vast te stellen: in de praktijk gaat het hier met name om gevallen van phishing, hacking, diefstal van beveiligingsgegevens, terwijl de betaler nog steeds beschikt over zijn betaalinstrument en de fraude niet kon detecteren
   Opgelet: de betaler zal geen aanspraak kunnen maken op deze uitzondering indien in de loop van het proces waarbij de bankgegevens werden gestolen, de betaler wist of had moeten weten dat het om fraude ging.
2. Wanneer het verlies te wijten is aan handelingen of het tekortschieten van een bankmedewerker of een van haar onderaannemers.
3. Wanneer uw bank geen sterke authenticatie vereist van de klant of wanneer de begunstigde of zijn bank geen sterke authenticatie van de klant aanvaardt. De sterke authenticatie van de klant is een authenticatie gebaseerd op minstens twee factoren die alleen de houder van het betaalinstrument kent (bv. wachtwoord, pincode), waarover alleen hij beschikt (bv. kaart, smartphone) en/of die alleen hij kan geven (bv. vingerafdruk, biometrische gegevens).

In deze 3 gevallen lijdt u geen enkel financieel verlies door een niet‑toegestane betalingstransactie. De bank kan u de terugbetaling van de transactie alleen weigeren als u zelf handelde met frauduleuze doeleinden.

Kan de bank weigeren het bedrag van de frauduleuze transactie terug te betalen in geval van grove nalatigheid?

In principe staat de betaler in voor alle financiële verliezen veroorzaakt door niet‑toegestane betalingstransacties indien ze het resultaat zijn van een frauduleuze handeling door de betaler of van het feit dat hij, opzettelijk of door grove nalatigheid, niet heeft voldaan aan een of meerdere verplichtingen van het gebruik van een betaalinstrument.

Met andere woorden: u kunt gedwongen zijn in te staan voor het volledige financiële verlies indien u door grove nalatigheid:

• het betaalinstrument niet hebt gebruikt volgens de contractuele voorwaarden, of
• geen toereikende veiligheidsmaatregelen hebt genomen (bv. de persoonlijke beveiligingsgegevens noteren op het betaalinstrument), of
• uw bank niet onmiddellijk op de hoogte hebt gebracht van het verlies, de diefstal of de verduistering van betaalinstrument.

In dat geval is het aan de bank om de grove nalatigheid te bewijzen. Alleen het feit dat wordt bevestigd dat het betaalinstrument en de beveiligingsgegevens werden gebruikt bij de frauduleuze transactie, volstaat op zich niet om te bewijzen dat het om grove nalatigheid gaat.

De wet voorziet daarentegen niet in een uitzondering voor grove nalatigheid wanneer de betaler de fraude niet kon detecteren. Met andere woorden: in het geval van phishing kan de bank u geen terugbetaling van de frauduleuze transactie wegens grove nalatigheid weigeren.

Die regel is echter niet van toepassing wanneer u redelijkerwijs de fraude niet kon detecteren.

De bank kan dus alleen proberen aan te tonen dat u op het moment van de feiten wist of had moeten weten dat het ging om oplichting of dat u zelf hebt gehandeld met frauduleuze doeleinden.

Tot slot is het aan de rechter om te beslissen of, rekening houdend met alle specifieke omstandigheden, er sprake is van grove nalatigheid of niet.

Geschillen en klachten

Als u een probleem wilt melden of een melding wilt maken betreffende de financiële diensten, kunt u zich richten tot de Algemene Directie Economische Inspectie via het Meldpunt.

U moet uw klacht ook indienen bij de bemiddelingsdienst van de kredietinstelling in kwestie. Indien er geen oplossing wordt gevonden binnen een redelijke termijn, kunt u een beroep doen op de Ombudsdienst voor financiële diensten. Die behandelt de klacht met voorrang en brengt in geval van een geschil een advies uit aan de kredietinstelling. U kunt contact opnemen met de Bemiddelingsdienst op het volgende adres:

Ombudsdienst voor financiële diensten
North Gate II
Koning Albert II-laan 8 bus 2
1000 Brussel

Tel.: +32 2 545 77 70
Fax: +32 2 545 77 79
E-mail: ombudsman@ombudsfin.be