Creditcardmaatschappij ICS hoeft vierduizend euro schade die een klant leed door phishing niet te vergoeden, zo heeft het financiële klachteninstituut Kifid bepaald. De klant ontving afgelopen december een phishingmail waarin stond dat hij de betalingsgegevens van zijn Netflix-account moest bijwerken. De link in de e-mail wees naar een phishingsite die op de officiële Netflix-site leek.

Op de phishingsite vulde de klant zijn creditcardgegevens in. Daarna ontving hij van ICS een sms-bericht met een verificatiecode om de creditcard aan een Apple Wallet toe te voegen. De klant vulde deze code in op de phishingsite, waarna de oplichter de creditcard van de klant aan zijn Apple Pay koppelde. Vervolgens werd er voor vierduizend euro aan transacties uitgevoerd.

"De snel opeenvolgende transacties na het koppelen van de creditcard aan Apple Pay hebben ervoor gezorgd dat het systeem van ICS een signaal heeft afgegeven", aldus het Kifid. ICS belde de klant en blokkeerde de creditcard toen bleek dat het om fraude ging. De klant wil dat ICS de schade vergoedt, maar de creditcardmaatschappij weigert dit omdat de klant zijn creditcardgegevens en verificatiecode heeft doorgegeven aan de oplichter en hiermee de verplichtingen uit de algemene voorwaarden niet is nagekomen.

Volgens de klant heeft ICS onvoldoende beveiligingsmaatregelen getroffen en had het bedrijf haar systemen anders moeten inrichten zodat de fraude voorkomen had kunnen worden. Enkele dagen voordat de fraude plaatsvond koppelde de klant zijn creditcard aan de Apple Wallet op zijn telefoon en had het volgens de klant niet mogelijk moeten zijn dat door een derde op een, voor hem onbekend, ander apparaat een tweede Apple Wallet geactiveerd kon worden.

Het Kifid is net als ICS van mening dat de klant grof nalatig heeft gehandeld. Daarnaast vindt het klachteninstituut niet dat de creditcardmaatschappij haar systemen anders had moeten inrichten. "Dat de consument acht dagen voor de frauduleuze transacties zelf zijn creditcard heeft gekoppeld aan zijn eigen Apple Wallet maakt niet dat ICS onvoldoende beveiligingsmaatregelen heeft getroffen."

ICS stelde dat het niet ongebruikelijk is dat gebruikers van Apple Pay op enig moment een nieuw of een extra toestel willen koppelen en de per sms verstuurde verificatiecode voldoende waarborgt dat de gebruiker zelf de creditcard koppelt aan een nieuw toestel. Volgens het Kifid had de klant zich door deze sms moeten realiseren dat er ‘iets’ met een nieuw apparaat gebeurde, terwijl hij geen nieuw apparaat probeerde te koppelen. De vordering van de klant wordt dan ook door het Kifid afgewezen (pdf).