Creditcardmaatschappij ICS hoeft een klant die het via een Engelstalige sms en e-mail voor phishing waarschuwde, en daarna werd opgelicht, niet te vergoeden. Dat heeft het financiële klachteninstituut Kifid geoordeeld. De klant ontving eind februari een sms-bericht met als afzender UPS. Daarin stond dat er een pakket klaar lag, maar eerst de douanekosten van 1,63 euro moesten worden betaald.

De betaling kon via de meegestuurde link worden voldaan. Het ging hier om een phishing-sms met een link die naar een phishingsite linkte. De klant vulde op de phishingsite haar creditcardgegevens in. Vervolgens heeft de aanvaller met deze gegevens de bij de creditcard behorende app op zijn telefoon geïnstalleerd. Naar aanleiding van de installatie van de app stuurde ICS de benodigde verificatiecodes naar de telefoon en het e-mailadres van de klant.

Via deze verificatiecodes kon de app worden geactiveerd. Zowel de e-mail als het sms-bericht waren in het Engels en waarschuwden voor phishing. "Ga alleen verder met het activeren van de app als u hier zelf mee bent begonnen. Gebruik de verificatiecode alleen in de PRODUCT app en vul deze nooit in op een website of online formulier. Geef de code ook nooit aan iemand anders door via de telefoon", aldus de waarschuwing.

De verificatiecodes werden ook door de klant op de phishingpagina ingevoerd. Vervolgens kon de aanvaller de app activeren en daarmee betalingen goedkeuren. Zodoende werden er vier betalingen verricht voor meer dan elfhonderd euro. De klant merkt op dat zij een pakketje verwachtte en het verzoek daarom niet vreemd was. Daarnaast stelde de klant dat de e-mail en sms met de verificatiecodes in het Engels waren opgesteld.

Het Kifid stelt dat het niet geheel duidelijk is wat de klant hiermee bedoelt te zeggen. "Voor zover dit er volgens de consument toe moet leiden dat ICS de schade dient te vergoeden overweegt de commissie als volgt. Dat de e-mail en sms met de verificatiecode in het Engels waren opgesteld maakt niet dat ICS aansprakelijk is voor de schade. ICS heeft uitgelegd dat de berichten in het Engels waren opgesteld, omdat de oplichters via de app als voorkeurstaal Engels hebben opgegeven. Niet gesteld en ook niet gebleken is dat de consument de in de berichten opgenomen waarschuwingen hierdoor niet kon begrijpen", aldus het klachteninstituut.

De klant gaf herhaaldelijk aan dat zij zich gekwetst voelt doordat ICS de term “grof nalatig” voor haar handelen gebruikte. Daarover zegt het Kifid dat dit een juridische term betreft en dat dit geen waardeoordeel inhoudt. Ook het Kifid stelt dat de klant grof nalatig heeft gehandeld. Het klachteninstituut komt tot het oordeel dat ICS niet aansprakelijk is en wijst de vordering van de klant af (pdf).