De klant heeft "grof nalatig" gehandeld door de verificatiecodes op de phishingsite in te vullen. Want zoals in de algemene voorwaarden van de credit card staat, moet je wachtwoorden, PIN, verificatiecodes, e.d. geheim houden. En door ze in te vullen op de phishingsite, houd je ze niet geheim. Nou was het niet duidelijk voor de klant dat het een phishingsite was (uiteraard). En het lijkt me dat je die geheime informatie, zoals verificatiecodes, wel ergens moet gebruiken. Als je ze alleen maar geheim mag houden en nergens mag invullen, dan hebben ze geen nut. Wat ik dus mis in deze case, is of het voor de klant duidelijk had kunnen/moeten zijn wat het doel van die verificatiecodes was en dat ze bijvoorbeeld alleen in de app ingevuld mochten worden om de installatie van de app te verifieren en koppelen aan de credit card. Als dat uit de mail met de verificatiecodes niet blijkt, heeft de klant dan echt zo nalatig gehandeld? (ok, ik zou niet snel in een phishingsite trappen, denk ik, totdat het toch een keer ...