De Rabobank moet de schade die twee slachtoffers van een phishingaanval hebben geleden toch grotendeels vergoeden, zo heeft de geschillencommissie van het financiële klachteninstituut Kifid bepaald. Volgens de Commissie heeft de Rabobank onvoldoende maatregelen getroffen om consumenten tegen deze vorm van fraude te beschermen.

"Consumenten zijn daardoor te gemakkelijk slachtoffer geworden van de gewiekste handelwijze van criminelen gericht op misbruik van betalingssystemen", aldus het Kifid. In beide zaken werden de slachtoffers telefonisch benaderd door iemand die zich voordeed als een medewerker van de Rabobank. Tijdens het gesprek gaven de slachtoffers I- en S-codes die nodig zijn voor internetbankieren aan de oplichters. Met deze codes voerden de oplichters verschillende transacties uit.

Beide slachtoffers erkenden dat zij de beveiligingscodes in strijd met de voorwaarden aan een onbekende hebben verstrekt, maar stelden dat de Rabobank niet voldoende voor phishing heeft gewaarschuwd. De Commissie is van oordeel dat de Rabobank en de Nederlandse Vereniging van Banken (NVB) consumenten voor deze vorm en vergelijkbare vormen van fraude wel voldoende hebben gewaarschuwd.

Grof nalatig

Volgens de Commissie hebben de slachtoffers dan ook grof nalatig gehandeld en zijn in beginsel volledig aansprakelijk voor de geleden schade. "Dat de fraudeur beschikte over specifieke (rekening)gegevens van Consument is in deze context niet van belang, omdat dit geen reden is om te veronderstellen dat het doorgeven van de I- en S-codes niet grof nalatig is. Niet aannemelijk is geworden dat het aan de Bank is te wijten dat de criminelen over deze (rekening)gegevens beschikten", aldus het oordeel. Gelet op de specifieke omstandigheden van de gevallen ziet de Commissie wel aanleiding de aansprakelijkheid van de slachtoffers te beperken.

Volgens het Kifd mag van een bank namelijk worden verwacht dat zij haar klanten niet alleen voor deze vorm van criminaliteit waarschuwt, maar dat zij ook zoveel als redelijkerwijze mogelijk is maatregelen treft om haar klanten te beschermen tegen dergelijk misbruik. Hierbij kan worden gedacht aan een, door consument te verhogen, beperkte (dag)limiet bij overboekingen via internet of aan het instellen van tijdbarrières of van andere technische hindernissen voor phishing. Bij de twee slachtoffers heeft de Rabobank dergelijke maatregelen niet, of niet in voldoende mate, genomen, waardoor de slachtoffers aan aanzienlijke risico’s van misbruik blootstonden, zo oordeelt het Kifid.

In het eerste geval (pdf) wisten de oplichters bijna 29.000 euro te stelen. De Rabobank moet hiervan 21.500 euro vergoeden, zodat het uiteindelijk schadebedrag voor het slachtoffer 7.500 euro bedraagt. Ook moet de Rabobank het door het slachtoffer betaalde klachtgeld van 50 euro vergoeden. In de tweede zaak (pdf) was de schade nog veel groter. Daar werd op de dag dat het slachtoffer telefonisch werd opgelicht 42.000 euro van haar spaarrekening naar haar betaalrekening overgemaakt, en daar vandaan naar de rekening van een derde overgeboekt. In dit geval moet de Rabobank 37.000 euro vergoeden, zodat het schadebedrag voor het slachtoffer tot 5.000 euro wordt beperkt.