Tapahtumatiedot

Asiakkaan verkkopankkitunnuksilla (käyttäjätunnus, salasana ja tunnusluku tunnuslukutaulukosta) ja pankin asiakkaan puhelinnumeroon 2.4.2022 klo 19:14 lähettämässä tekstiviestissä olleella vahvistuskoodilla on aktivoitu käyttöön uusi pankin mobiilisovellus Samsung SM-A325F -laitteelle. Pankin mobiilisovellusta käyttäen on 2.4.2022 klo 19.19-20.27 välisenä aikana tehty Turkista käsin asiakkaan luottokortilta 2.000 euron siirto hänen käyttötililleen ja tämän jälkeen asiakkaan käyttötililtä 12 oikeudetonta tilisiirtoa yhteismäärältään 3.460,18 euroa.

Asiakkaan valitus

Asiakas vaatii pankkia korvamaan menetetyt 3.460,18 euroa korkoineen.

Asiakkaan tilille on päässyt joku ulkopuolinen, joka nostanut luoton tilille ja tyhjentänyt tilin 2.4.2022. Asiakkaalle on tullut pankista tekstiviesti 6.4.2022, jossa ilmoitettiin mahdollisesta väärinkäytöksestä ja siitä, että tili on suljettu. Asiakkaalle asia selvisi vasta 19.4.2022, kun hän kävi pankin konttorissa.

Asiakas ei ole toiminut törkeän huolimattomasti. Asiakas ei ole antanut tunnuksia kenellekään ja on säilyttänyt tunnuksia ja avainlukulistaa huolellisesti, eikä ole kertonut mitään niiden tietoja kenellekään. Puhelimen viesteistä asiakas löysi tuona tapahtuma-ajankohtana tulleen tekstiviestin, mutta viestissä tullutta koodia asiakas ei ole syöttänyt mihinkään eikä ole kertonut sitä kenellekään.

Tapahtuma-aikaan asiakas on ollut kotona, jolloin tunnukset, puhelin ja rahapussi ovat olleet koko ajan asiakkaalla, eikä niihin ole kukaan voinut päästä käsiksi. Asiakas käyttää kasvojen tunnistuksella lukittua iPhone-puhelinta, eikä asiakkaalla ole mitään tietoa pankin mainitsemasta Samsungin laitteesta, jolla varkaus on tehty.

Asiakkaan mielestä on pankin asia selvittää, kuinka tällainen on voinut päästä tapahtumaan ja miten se on toteutettu. Jos varas olisi päässyt muiden pankkien tileihin käsiksi, niin vahinko olisi voinut olla moninkertainen.

Pankin vastine

Tapahtumien kulku

Asiakkaan verkkopankkitunnuksilla on aloitettu illalla 2.4.2022 pankin mobiilisovelluksen rekisteröityminen Samsung SM-A325F laitteella. Rekisteröitymisessä on käytetty asiakkaan henkilökohtaista verkkopankkitunnusten käyttäjätunnusta, salasanaa ja sattumanvaraisesti arvottua tunnuslukutaulukon tunnuslukua.

• 2.4.2022 klo 19:14:39 - lähetetty tekstiviesti asiakkaan numeroon pankin mobiilisovelluksen aktivointia varten: "Vahvistuskoodisi on 4329. Terveisin [pankki] "
• klo 19:16:06 - "Asiakas" on aktivoinut pankin mobiilisovelluksen tunnistamisen tekstiviestistä saadulla koodilla 4329.
• klo 19:16:19 - "Asiakas" on kirjautunut pankin mobiilisovellukseen
• klo 19:19-20:27 Ensin luotolta siirto 2000 € ja sen jälkeen reklamoidut tilisiirrot ovat kaikki hyväksytty pankin mobiilisovelluksessa Samsung SM-A325F laitteella.
• 6.4.2022 asiakkaan verkkopankkitunnukset ja kortti suljettu, kun pankin monitorointi on havainnut mahdollisen väärinkäytöksen.

Samsung SM-A325F laitteen pankin mobiilisovelluksen tapahtumat on tehty Turkista kahdesta eri IP:stä. Asiakkaan omalla laitteella iPhone 12 ei ole lainkaan kirjautumisia 2.4.2022.

Asiakas kiistää tehneensä reklamoituja tapahtumia itse ja kiistää luovuttaneensa verkkopankkitunnuksiaan kenellekään ulkopuoliselle tai kirjautuneensa tunnuksillaan mihinkään reklamoitujen tapahtumien aikaan.

Asiakkaalta on kysytty, onko hän kirjautunut kyseisenä päivänä pankin verkkopankkiin tai muuhun viralliseen kanavaan, esimerkiksi Omakantaan jonkin hakukoneen esimerkiksi Bing kautta. Asiakas vastasi:
”En ole mielestäni kirjautunut verkkopankkiin tietokoneella, enkä millään selaimella. En ole kirjautunut [pankin] tunnuksilla mihinkään muuhun palveluun. Kerroin että jos jokin on minulta pyytänyt vahvistusta, niin sen on täytynyt olla [pankin mobiilisovellus]. En mielestäni ole käyttänyt mitään muuta [pankin] sovellusta tms. [Pankin mobiilisovellukseen] kirjautuminen tapahtuu yleensä Face-ID:llä, mutta en varmaksi muista onko se pyytänyt vahvistusta.”

Asiakas kertoo säilyttävänsä tunnuslukutaulukkoa rahapussissa. Käyttäjätunnus on muistissa ja puhelimen muistiinpanoissa. Salasana on muistissa ja sen vihje puhelimen muistiinpanoissa. Pankin mobiilisovelluksen varmistuskoodi on muistissa ja puhelimen muistiinpanoissa.

Tapauksessa jää epäselväksi, kuinka rikollinen on saanut haltuunsa asiakkaan verkkopankkitunnukset ja asiakkaan puhelimeen lähetetyn vahvistuskoodin.

Verkkopankkitunnusten osista käyttäjätunnuksen ja salasanan rikollinen olisi saattanut saada tietoonsa jonkin aikaisemman huijauksen yhteydessä, mutta järjestelmä arpoo tunnusluvun sattumanvaraisesti ja se on ilmoitettu asiakkaan tunnuslukutaulukosta kello 19:14. Jos asiakas ei itse erehdyksessä antanut tunnuslukua jollekin huijaussivuille, niin rikollisella on täytynyt olla hallussaan asiakkaan koko tunnuslukutaulukko tai sen kopio. Pankilla ei ole tunnuslukutaulukoita tai niiden sisältämiä tunnuksia, jotka sivullinen voisi saada haltuunsa.

Asiakas myöntää saaneensa pankin klo 19.14 lähettämän tekstiviestin, mutta kiistää antaneensa sen sisältämää koodia minnekään. Joku kuitenkin palautti koodin "4329" pankin järjestelmiin klo 19:16, koska sitä käytettiin pankin mobiilisovelluksen aktivointiin rikollisen Samsung-laitteelle.

Jos asiakas itse ei kirjoittanut tätä koodia "4329" jollekin pankkitunnuksilla kirjautumista pyytäville huijaussivulle, niin pankin mielestä ei ole muuta mahdollisuutta kuin että asiakkaan matkapuhelin on ollut jonkun ulkopuolisen hallussa.

Pankin vastaus

Pankin järjestelmistä saatavat tiedot osoittavat, että asiakkaan verkkopankkitunnukset ja matkapuhelimeen toimitettu vahvistuskoodi ovat olleet ulkopuolisen tiedossa. Tämä on selitettävissä vain niin, että joko asiakas antoi erehdyksessä tiedot huijaussivulle tai säilytti tunnuslukutaulukkoaan ja matkapuhelintaan niin huolimattomasti, että ne ovat päätyneet ulkopuoliselle ja ulkopuolinen pystyi jopa palauttamaan puhelimen takaisin asiakkaalle hänen huomaamattaan. Asiakas kiistää käyttäneensä verkkopankkitunnuksiaan 2.4.2022 ja myös kiistää antaneensa tekstiviestinä vastaanottamaansa koodia minnekään.

Pankin verkkopankkitunnukset ovat sekä maksupalvelulain mukaiset maksuvälineet että tunnistuslain mukaiset vahvat sähköisen tunnistusvälineet. Tunnistuslain (laki vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista 27 §) mukaan asiakas on vastuussa tunnistusvälineen kaikesta oikeudettomasta käytöstä, jos se johtuu hänen huolimattomuudestaan, joka ei ole lievää.

Pankki katsoo asiakkaan toimineen törkeän huolimattomasti säilyttäessään verkkopankkitunnuksiaan ja vastaavan täysimääräisesti tunnistuslain 27 §:n mukaisesti hänen verkkopankkitunnuksillaan käyttöön otetulla pankin mobiilisovelluksella hyväksytystä luotolta siirrosta sekä hänen tililtään tehdyistä tilisiirroista.

Selvitykset

Valitusta koskevan osapuolten kirjelmöinnin lisäksi lautakunnalle on toimitettu seuraavat asiakirjat:
- Pankin digitaalisten palvelujen ja tunnistusvälineiden yleiset ehdot

Ratkaisusuositus

Kysymyksenasettelu

Asiakkaan ja pankin välisen vastuunjaon ratkaisemiseksi Pankkilautakunnan on arvioitava, voidaanko asiakkaan katsoa luovuttaneen maksuvälineensä sen käyttöön oikeudettomalle maksupalvelulain 62 §:n 1 momentin 1 kohdassa tarkoitetulla tavalla tai voidaanko pankkitunnusten oikeudettoman käytön katsoa johtuneen siitä, että asiakas on huolimattomuudestaan laiminlyönyt lain 53 § 1 momentin ja pankkitunnusehtojen mukaisia velvollisuuksiaan, sekä minkä asteista asiakkaan mahdollinen huolimattomuus on.

Sovellettavat lainkohdat ja sopimusehdot

Maksupalvelulain 53 §:n (Maksuvälineestä huolehtiminen.) 1-2 momentin mukaan
Maksuvälineen haltijan on käytettävä maksuvälinettä sen myöntämistä ja käyttöä koskevien ehtojen mukaisesti. Erityisesti hänen on kohtuullisin toimenpitein huolehdittava maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista. Maksuvälineen myöntämistä ja käyttöä koskevat ehdot eivät saa olla perusteettomia, kohtuuttomia tai syrjiviä.
Maksuvälineen haltijan velvollisuus huolehtia maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista alkaa, kun hän vastaanottaa ne.

Lain 54 §:n (Katoamisilmoitus.) 1 momentin mukaan
Maksuvälineen haltijan on ilman aiheetonta viivytystä ilmoitettava palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.

Lain 62 §:n (Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä.) mukaan
Maksupalvelun käyttäjä, joka on tehnyt maksuvälinettä koskevan sopimuksen palveluntarjoajan kanssa, vastaa kadonneen tai oikeudettomasti toisen haltuun joutuneen maksuvälineen käytöstä tai muusta maksuvälineen oikeudettomasta käytöstä vain, jos oikeudeton käyttö johtuu siitä, että hän tai muu maksuvälineen haltija on:
1) luovuttanut maksuvälineen sen käyttöön oikeudettomalle;
2) huolimattomuudesta laiminlyönyt 53 §:n 1 momentin mukaiset velvollisuutensa; taikka
3) laiminlyönyt ilman aiheetonta viivytystä ilmoittaa palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.
Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä 1 momentin 2 ja 3 kohdassa tarkoitetuissa tapauksissa on enintään 50 euroa. Tätä rajoitusta ei sovelleta, jos maksupalvelun käyttäjä tai muu maksuvälineen haltija on toiminut tahallisesti tai törkeän huolimattomasti.
Maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä:
1) siltä osin kuin maksuvälinettä on käytetty sen jälkeen, kun palveluntarjoajalle tai sen nimeämälle muulle taholle on ilmoitettu maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä;
2) jos palveluntarjoaja on laiminlyönyt huolehtia siitä, että maksuvälineen haltijalla on mahdollisuus tehdä milloin tahansa 1 kohdassa tarkoitettu ilmoitus;
3) jos maksunsaaja ei ole maksuvälinettä käytettäessä asianmukaisesti varmistunut maksajan oikeudesta käyttää maksuvälinettä; tai
4) jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.
Sen estämättä, mitä 3 momentissa säädetään, maksupalvelun käyttäjä on vastuussa maksuvälineen oikeudettomasta käytöstä, jos hän tai muu maksuvälineen haltija on tahallaan tehnyt väärän ilmoituksen tai toiminut muuten petollisesti.

Maksupalvelulain 63 §:n (Palveluntarjoajan vastuu oikeudettomasta maksutapahtumasta.) 1 momentin mukaan 
Jos maksutapahtuma on toteutettu oikeudettomasti eikä 62 §:stä muuta johdu, palveluntarjoajan, jonka asiakkaan varoja on käytetty maksutapahtuman toteuttamiseen, on välittömästi ja viimeistään seuraavana työpäivänä siitä, kun se havaitsi maksutapahtuman tai sille ilmoitettiin maksutapahtumasta, palautettava maksutapahtuman rahamäärä asiakkaalleen tai palautettava tämän maksutili siihen tilaan, jossa se olisi ollut ilman veloitusta.

Pankin digitaalisten palvelujen ja tunnistusvälineiden yleisten ehtojen (Pankkitunnusehdot) kohta, joka koskee asiakkaan vastuuta tunnistusvälineiden oikeudettomasta käytöstä maksuvälineenä vastaa maksupalvelulain 62 §:n kuluttajan hyväksi pakottavia säännöksiä.

Pankkitunnusehtojen Määritelmät -kohdan mukaan
Pankin tunnistusvälineitä ovat
· verkkopankkitunnukset, jotka koostuvat antamastamme käyttäjätunnuksesta, valitsemastasi henkilökohtaisesta salasanasta sekä tunnusluvusta, joka ilmenee tunnuslukutaulukosta.
· [Pankin mobiilisovelluksen] tunnistaminen, joka koostuu mobiililaitteeseen ladatusta sovelluksesta, valitsemastasi henkilökohtaisesta tunnusluvusta ja/tai biometrisestä tunnisteesta kuten sormenjäljestä tai kasvonpiirteistä. [Pankin mobiilisovelluksen] tunnistamisen voit ottaa käyttöösi [Pankin mobiilisovelluksessa].

Pankkitunnusehtojen Tunnistusvälineitä koskevat velvollisuutesi -kohdan Tunnistusvälineiden säilyttäminen -alakohdan mukaan
Verkkopankkitunnukset ja laitteeseen ladattu [pankin mobiilisovelluksen] tunnistaminen ovat henkilökohtaisia. Niitä ei saa osittainkaan luovuttaa tai antaa tiedoksi sivulliselle henkilölle, vaikka kyseessä olisi perheenjäsen, eikä erilliselle sovellukselle tai palvelulle.
Tällä sopimuksella sitoudut säilyttämään tunnistusvälineitä huolellisesti ja varmistamaan säännöllisesti, että ne ovat tallessa. Et saa kirjoittaa verkkopankin tai [pankin mobiilisovelluksen] tunnuslukuasi muistiin helposti tunnistettavaan muotoon. Sitoudut myös säilyttämään verkkopankin käyttäjätunnuksen, mahdollisesti muistiin merkitsemäsi salasanan ja tunnusluvut sisältävät tulosteet erillään toisistaan siten, ettei kukaan voi yhdistää niitä toisiinsa.
Verkkopankkitunnusten eri osia ei siis saa säilyttää samassa paikassa, kuten käsilaukussa, lompakossa tai kotona samassa säilytyspaikassa.
Huomioi erityisesti seuraavat asiat:
· Et saa missään tilanteessa kertoa verkkopankkitunnuksia tai tekstiviestillä lähettämäämme vahvistuskoodia suullisesti sinulle tulleessa puhelussa, sähköpostissa tai muussa viestissä niitä kysyvälle.
· Et saa käyttää verkkopankkitunnuksia verkkopankkiin kirjautumiseen, tunnistautumiseen tai muun pankkiasian hoitamiseen, jos linkki kirjautumissivulle on lähetetty sinulle sähköpostilla tai muulla sähköisellä tavalla.
Tarkista olosuhteiden vaatimalla tavalla säännöllisesti, että verkkopankkitunnusten osat tai [pankin mobiilisovelluksen] sisältävä laitteesi ovat tallessa.
Muiden ihmisten läsnäollessa suojaa käyttämäsi laite kädelläsi tai kehollasi, kun kirjaudut verkkopankkiin. Näin sivulliset eivät pääse näkemään, kun näppäilet verkkopankkitunnuksen tai [pankin mobiilisovelluksen] tunnusluvun.
Et saa kirjautua verkkopankkiin tai hyväksyä tunnistusvälineilläsi maksuja, jos olet luovuttanut laitteesi etäyhteydellä toisen hallintaan. Et saa käyttää verkkopankkitunnuksia laitteella, jossa on havaittu tai epäillään olevan haittaohjelma.
Sinulla on kuitenkin oikeus tunnistautua tunnistusvälineillämme maksupalvelulain mukaisiin ulkopuolisen palveluntarjoajan maksutoimeksiantopalveluihin tai tilitietopalveluihin.

Pankkitunnusehtojen Katoamisilmoituksen tekeminen -kohdan mukaan
Palveluiden asiattoman käytön estämiseksi sinun pitää ilmoittaa meille välittömästi, jos tunnistusvälineet tai niiden osa (verkkopankin salasana, tunnuslukutaulukko, [pankin mobiilisovelluksen] sisältävä laite tai [pankin mobiilisovelluksen] tunnusluku) on kadonnut tai on syytä epäillä sivullisen saattaneen saada ne haltuunsa tai tietoonsa.
Tee katoamisilmoitus ensisijaisesti 24 tuntia vuorokaudessa avoinna olevaan sulkupalveluun: […]

Asian arviointi

Pankkilautakunta toteaa vastuun pankkitunnusten huolellisesta säilyttämisestä ja käyttämisestä olevan maksupalvelulain ja tunnistuslain sekä pankkitunnusehtojen mukaan tunnusten haltijalla. Tämä on luonnollista ottaen huomioon sen, että viime kädessä - riippumatta esimerkiksi tunnusten myöntäjän ohjeistuksesta tai niitä koskevien sopimusten ehdoista - ainoastaan tunnusten haltija voi vaikuttaa siihen, miten ja missä olosuhteissa hän tunnuksiaan säilyttää ja käyttää.

Tilanteissa, joissa maksuvälinettä on käytetty oikeudetta, on maksuvälineen haltijan ja maksuvälineen myöntäjän välisen vastuunjaon kannalta pääsääntöisesti ratkaisevaa se, kuinka huolellisesti maksuvälineen haltijan voidaan katsoa menetelleen maksuvälineensä suhteen. Jotta maksuvälineen haltijan huolellisuutta voitaisiin arvioida, on saatava selvitystä siitä, missä olosuhteissa ja millä tavoin hän on maksuvälinettään säilyttänyt ja käyttänyt ja miten se on päätynyt ulkopuolisen haltuun/tietoon/käyttöön. Parhaat mahdollisuudet selvityksen antamiseen on lähtökohtaisesti maksuvälineen haltijalla ja hänen vaatiessa maksuvälineen myöntäjää ottamaan vastuun maksuvälineen oikeudettomasta käytöstä, voidaan maksuvälineen haltijan edellyttää antavan oman selvityksensä tapahtumista ja omasta menettelystään. Tietoa tapahtumienkulun yksityiskohdista ei aina ole mahdollista saada eikä myös maksuvälineen haltijalta voida edellyttää, mutta hänen voidaan aina edellyttää antavan selvityksen tapahtumista ja omasta menettelystään.

Tässä tapauksessa pankki on esittänyt yksityiskohtaisen teknisen selvityksen tapahtumista ja siitä, mitä tietoja rikollisilla on täytynyt olla, jotta he ovat voineet aktivoida omalle laitteelleen asiakkaan nimissä olevan uuden pankin mobiilisovelluksen, jolla riidanalaiset tapahtumat on vahvistettu. Pankkilautakunnalla ei ole syytä epäillä pankin esittämän pankin järjestelmätietoihin perustuvan selvityksen paikkansa pitävyyttä.

Saadakseen tapahtumienkulusta mahdollisimman hyvän selvityksen, Pankkilautakunta on pankin asiassa antamaan selvitykseen viitaten vielä nimenomaisesti tiedustellut asiakkaalta, jos asiakas pystyisi esittämään oman näkemyksensä siitä, miten hänen pankkitunnustensa käyttäjätunnus, salasana ja sattumanvarainen tunnusluku tunnuslukutaulukosta sekä pankin asiakkaan puhelinnumeroon (2.4.2022 19:14) lähettämässä tekstiviesteissä ollut vahvistuskoodi ovat voineet päätyä tilisiirrot tehneen tahon tietoon.

Asiakkaan kertoman mukaan hän ei ole luovuttanut tunnuksiaan kenellekään, säilyttänyt niitä huolimattomasti eikä myöskään käyttänyt tunnuksiaan ko. tapahtumapäivänä. Asiakkaan mukaan hän löysi tapahtuma-ajankohtana tulleen tekstiviestin, mutta viestissä tullutta koodia hän ei ole syöttänyt mihinkään eikä ole kertonut sitä kenellekään. Asiakkaan mukaan hän oli tapahtuma-aikaan kotona eikä ole käyttänyt tunnuksiaan. Tunnukset ja puhelin ovat olleet koko ajan hänellä eikä kukaan ole voinut päästä niihin käsiksi. Asiakkaan mielestä on pankin asia selvittää, kuinka tällainen on voinut päästä tapahtumaan.

Pankkilautakunta katsoo tapahtumien kulun jäävän asiassa esitetyn selvityksen ja erityisesti asiakkaan asiassa kertoman perusteella olennaisilta osin epäselväksi. Pankkilautakunnan ei ole saadun selvityksen perusteella mahdollista luotettavasti arvioida, mitä tapauksessa on todennäköisimmin tapahtunut ja miten oikeudettomien maksutapahtumien toteuttamisen edellyttämät pankkitunnus- ja aktivointikooditiedot ovat voineet päätyä asiakkaalta rikollisten tietoon saati sitä, mikä on asiakkaan mahdollisesti huolimattoman menettelyn myötävaikutus tapahtumien kulkuun.

Lopputulos

Ohjesääntönsä mukaan Pankkilautakunta voi erityisestä syystä päättää, ettei se anna ratkaisusuositusta sen käsiteltäväksi saatetusta asiasta. Lautakunta katsoo, että tässä tapauksessa esitetyn selvityksen perusteella tapahtumien kulku jää olennaisilta osin epäselväksi eikä lautakunta näin ollen pysty käytettävissään olevin keinoin luotettavasti ratkaisemaan asiakkaan ja pankin välisen vastuunjaon kannalta ratkaisevaa kysymystä siitä, onko asiakkaan pankkitunnusten oikeudeton käyttö johtunut asiakkaan huolimattomuudesta ja onko asiakkaan mahdollinen huolimattomuus törkeää. Keskeisen tapahtumainkulun jäädessä tällä tavoin epäselväksi Pankkilautakunta päättää, ettei se anna ratkaisusuositusta tässä tapauksessa.

Pankkilautakunta oli yksimielinen.

PANKKILAUTAKUNTA

Puheenjohtaja Sillanpää                                      
Sihteeri Hidén

Jäsenet

Ahlroth
Atrila
Piilo
Tervonen