Creditcardmaatschappij ICS hoeft een klant die slachtoffer van een phishingaanval werd niet te vergoeden, zo heeft financiële klachteninstituut Kifid geoordeeld. De klant had vorig jaar augustus bij een buitenlandse webwinkel een elektrische tandenborstel besteld. Kort daarna ontving de klant een sms met daarin een link. De klant opende deze link, omdat hij dacht dat hij op deze manier informatie aan de douane moest verstrekken voor de verzending van de tandenborstel.

In werkelijkheid wees de link naar een phishingsite. Op de phishingsite vulde de klant onder andere zijn creditcardnummer en zijn postcode en huisnummer in. Rond hetzelfde moment installeerde een aanvaller de ICS-betaalapp op zijn telefoon. Om deze app te activeren gebruikte de aanvaller de gegevens die de klant op de phishingsite had ingevuld. Vervolgens heeft de fraudeur een verificatiecode bij ICS opgevraagd. ICS verstuurde de verificatiecode naar het bij haar bekende e-mailadres en telefoonnummer van de klant.

De klant heeft de via sms en e-mail ontvangen codes vervolgens ingevuld op de phishingsite. In een periode van 22 minuten voerde de aanvaller vier transacties uit, met een totaalbedrag van drieduizend euro. De vijfde transactie van de aanvaller werd door het fraudesysteem van ICS gedetecteerd en geblokkeerd. Vervolgens werd ook de creditcard van de klant geblokkeerd. Na ontdekking van de fraude eiste de klant in eerste instantie dat ICS een bedrag van vijftienhonderd euro zou vergoeden, maar besloot dat tijdens de klachtenprocedure bij het Kifid naar 750 euro te verlagen.

Volgens de klant is ICS medeverantwoordelijk voor de fraude. De fraude is namelijk gepleegd door middel van de combinatie van de ICS-betaalapp, de ICS-systemen en het officiële ICS-mailadres. Ook vindt de klant dat ICS veel proactiever had moeten reageren op het moment dat er verificatiecodes werden aangevraagd terwijl de klant nog was ingelogd in de app. De verificatiecodes hadden niet zomaar verzonden mogen worden. Verder stelt de klant dat ICS na de eerste transactie van duizend euro had moeten optreden.

Het Kifid vindt dat de klant door het invoeren van de verificatiecodes op de phishingsite grof nalatig heeft gehandeld. "Dat de fraudeurs hun transacties hebben uitgevoerd via de betaalapp van ICS en dat ICS de verificatiecodes heeft verzonden, maakt ICS nog niet medeverantwoordelijk voor de fraude. De fraudeurs konden de omgeving van ICS alleen misbruiken omdat de consument zijn verificatiecodes heeft afgegeven aan de fraudeurs", aldus het klachteninstituut. "Daardoor konden de fraudeurs de ICS app koppelen aan zijn creditcard waardoor goedkeuring van de transacties eenvoudig voor de fraudeurs zelf verkregen kon worden."

Verder stelt het Kifid dat op ICS geen algemene monitoringsplicht rust. Daarnaast ziet het klachteninstituut geen aanknopingspunten om aan te nemen dat ICS in dit geval wist dat zij frauduleuze overboekingen faciliteerde. ICS heeft dan ook niet haar zorgplicht geschonden, aldus het Kifid, dat de klacht van de klant ongegrond verklaart en zijn vordering afwijst (pdf).