Een klant van ING die slachtoffer van phishing werd en 6.000 euro naar een oplichter overmaakte krijgt de schade niet van de bank vergoed. De ING-klant bood op Marktplaats skikleding aan en werd via WhatsApp benaderd door een oplichter die zich voordeed als koper. De oplichter stuurde het slachtoffer een link voor een zogenaamde PostNL-verzendlabel. In werkelijkheid wees de link naar een phishingsite waar de ING-klant allerlei gegevens invulde.

Met deze gegevens kreeg de oplichter toegang tot de beveiligde online bankomgeving van de klant. Vervolgens heeft de klant volgens de bank een activeringscode ontvangen, die hij via zijn eigen ING-app moet hebben ingevuld. Hiermee heeft de oplichter via de app toegang gekregen tot de beveiligde bankomgeving van de klant. Op deze manier kon hij 3.000 euro overmaken van de spaarrekening naar de betaalrekening van het slachtoffer.

Hierdoor kreeg het slachtoffer het idee dat de "koper" per ongeluk teveel geld had overgemaakt en maakte vervolgens zijn eigen spaargeld over naar de oplichter. Daarna liet de oplichter weten dat hij per ongeluk opnieuw 3.000 euro had overgemaakt, waarna het slachtoffer wederom zes losse betalingen via Tikkie heeft gedaan aan de "koper" van vijfhonderd euro per keer. In totaal ging het om twaalf Tikkie-betaling aan de oplichter. De ING-klant vroeg de bank om een schadevergoeding, maar dit weigerde de bank. Daarop stapte de klant naar het financiële klachteninstituut Kifid.

De klant liet weten dat hij niet meer kan achterhalen of hij een sms van ING heeft ontvangen over het activeren van de ING-app op de telefoon van de oplichter. Volgens de klant zou de fraude, als hij de sms had ontvangen en de bank liet weten op welke telefoon de app was geïnstalleerd, zijn voorkomen. Volgens de klant weet de bank welke telefoon hij gebruikt. De klant zou dan hebben gezien dat de genoemde telefoon niet van hem was en hij zou dan gealarmeerd zijn geweest. Daarnaast waren de bewoordingen in de sms volgens de klant onvoldoende alarmerend, omdat de sms volgens hem ook over een app-update had kunnen gaan.

Verder betwiste de klant dat de bank hem om een toegangscode heeft gevraagd bij het installeren van de bankieren-app op een nieuwe telefoon. De fraude had met deze extra maatregel kunnen worden voorkomen, aldus de klant, die tevens opmerkte dat de bank een dergelijke toegangscode wel bij zakelijke rekeningen vereist, terwijl dit soort fraude meer voorkomt op particuliere rekeningen. Ook betwist de klant dat hij een code aan de oplichter heeft gegeven zodat die de app op zijn eigen telefoon kon installeren.

Het Kifid is van mening dat ING de klant voldoende heeft gewaarschuwd en er niet is gebleken dat de beveiliging van de bank niet voldeed. "Gelet op het voorgaande, is de commissie van oordeel dat de consument door het aanklikken van een frauduleuze, onbeveiligde link en door het invoeren van de activeringscode het mogelijk heeft gemaakt voor de koper de bestaande beveiliging van de bank te omzeilen", zo staat in een oordeel over de zaak.

Verder blijkt uit logbestanden dat er wel een sms is verstuurd met de tekst "Klopt het dat je net de Mobiel Bankieren App hebt geactiveerd? Dank je wel! Voorkom fraude: als jij het niet was, bel dan direct de ING Alarmlijn: 020 22 888 00”. Het Kifid kan zich dan ook niet vinden in het standpunt van de klant dat er geen aanleiding bestond om gealarmeerd te zijn. "De enkele stelling dat het type apparaat niet was vermeld is onvoldoende. Daarnaast ziet de commissie niet in dat de consument, gelet op de tekst, mocht aannemen dat sprake was van een app-update", laat het Kifid verder weten, dat de vordering van de klant afwees (pdf).