Omdat de klant niet heeft uitgelegd hoe de gegevens van de betaalpas en de verificatiecode kennelijk in handen van een derde zijn gekomen, concludeert het Kifid dat de klant onvoldoende zorgvuldig is geweest.

Door Anoniem:
Wie is hier nu de rechercheur? Want hoe kan een klant dit aantonen? Ik heb mijn tel, pas en rekening info niet gedeeld. En dus is er toch geen manier om aan te tonen dat ik data gelekt heb? Ik als klant weet dat niet.

Moet de klant alle manieren weten van social engineering, (email/sms) phishing? Sim swapping?

Het kan toch niet zo zijn, dat een klant dus een lijstje met hack technieken moet overhandigen en zeggen dat ie daar geen slachtoffer van is... omgekeerde wereld..

TheYOSH

Of ik zal het verkeerd lezen...

Door Anoniem:
Wie is hier nu de rechercheur? Want hoe kan een klant dit aantonen? Ik heb mijn tel, pas en rekening info niet gedeeld. En dus is er toch geen manier om aan te tonen dat ik data gelekt heb? Ik als klant weet dat niet.

Moet de klant alle manieren weten van social engineering, (email/sms) phishing? Sim swapping?

Het kan toch niet zo zijn, dat een klant dus een lijstje met hack technieken moet overhandigen en zeggen dat ie daar geen slachtoffer van is... omgekeerde wereld..

TheYOSH

Of ik zal het verkeerd lezen...

Als het verlies werd veroorzaakt door een medewerker, agent of procesfout van bunq, ben je niet aansprakelijk.

bunq gebruikt Strong Customer Authentication (SCA) om je account te beveiligen. Als SCA niet vereist is tijdens een niet-geautoriseerde transactie, word je niet aansprakelijk gesteld, tenzij je frauduleus hebt gehandeld.

Door Anoniem: Veel mensen stoppen de betaalpas in het hoesje van de telefoon en hebben aan staan dat notificaties op het lockscreen worden weergegeven zonder te authenticeren. Dus dat maakt het redelijk eenvoudig dan om in een onbewaakt moment de boel te koppelen.

In a recent Apple Pay phishing scam, users received a message saying that Apple Pay had been suspended on their device. The message included a link to a fake Apple Pay website, inviting people to input their card details again to reactivate their account. In reality, those card details were being used to commit fraud.

Door Anoniem: Om een betaalpas aan Apple Pay te koppelen moeten twee gegevens die zichtbaar op de betaalpas en een verificatiecode gebruikt worden, die per SMS wordt gestuurd naar het telefoonnummer dat de bank van de klant kent. En previews van berichten tonen op de lock screen van een iPhone is een optie, zie ik her en der op webpagina's beschreven worden.

Dan lijkt het erop dat als iemand die gegevens van je pas af kan kijken en ergens de gelegenheid krijgt om een telefoon die even ergens blijft liggen te observeren de koppeling tussen die pas en het eigen Apple Pay-account makkelijk is gemaakt, zonder dat daar de pincode van de pas bij nodig is. Die wordt niet genoemd! Dan deugt de procedure voor het koppelen aan Apple Pay niet, die is lek op een manier die je als klant makkelijk niet doorziet. Dat is een fout en de verantwoordelijkheid van de bank, niet van de klant.

Dan is wat nodig is om je rekening te beschermen niet alleen dat je je pincode geheim moet houden maar ook dat je nooit je telefoon een moment onbeheerd achter moet laten, ook niet bij mensen die je denkt te kunnen vertrouwen.

Kifid haalt het Burgerlijk wetboek aan, daarbij artikelnummers vermeldend. Als een consument niet met een transactie heeft ingestemd is die niet toegestaan (7:522 lid 2 BW), en dat moet de bank onmiddellijk terugbetalen (7:528 lid 1 BW), tenzij de klant frauduleus of in juridische zin opzettelijk of met grove nalatigheid verplichtingen niet is nagekomen (7:529 lid 1 BW) Die verplichtingen staan in 7:524 BW en Kifid verwijst naar lid 1 daarvan: de consument moet een betaalinstrument gebruiken overeenkomstig de voorwaarden die erop van toepassing zijn.

Ook verwijst Kifid naar artikel 43 van de algemene voorwaarden van Bunq, waarin staat dat de klant inlogcodes en andere beveiligingscodes strikt geheim moet houden. De klant geeft aan dat beveiligingscodes niet met anderen zijn gedeeld.

Vervolgens redeneert Kifid dat het weliswaar aan de bank is om dat de bewijzen maar dat de consument een "verzwaarde stelplicht" heeft en aanknopingspunten moet verschaffen over de wijze waarop een onbekende de mogelijkheid heeft gehad om de betaalpas aan een Apple Pay-wallet toe te voegen. Daartoe verwijzen ze niet naar het Burgerlijk wetboek maar naar eerdere eigen uitspraken.

Mij valt op dat de verwijzingen naar het Burgerlijk wetboek die ik hierboven herhaalde in de tekst zelf staan terwijl de verwijzing naar die eigen uitspraken in een voetnoot is ondergebracht. Het staat er, maar wel minder opvallend, het is geen onderdeel van de zinnen die je leest maar iets waar je een uitstapje voor moet maken naar de onderkant van de pagina.

Dus de klant schiet tekort door geen flauw benul te hebben hoe dit gebeurd kan zijn, maar is niet slordig geweest met het gebruiken van het betaalinstrument omdat die de pincode wel degelijk geheim heeft gehouden; en de bank schiet tekort door een heel systeem zo op te zetten dat de beveiliging omzeild kan worden. En wat weegt het zwaarst voor Kifid: de tekortkoming van de klant. Want "een andere regel zou banken voor onaanvaardbare risico's van misbruik plaatsen".

Ik hoop dat deze klant naar de rechter stapt, want wat hier gebeurt is dat klanten voor onaanvaardbare risico's van misbruik worden geplaatst door incompetentie van de bank.

In artikel 12.2 van de persoonlijke rekeningvoorwaarden stelt Bunq over onbevoegde transacties:
Ik zou zeggen dat dit een procesfout is. Niet in de zin dat Bunq een proces niet heeft uitgevoerd zoals het ontworpen is, maar in de zin dat het hele proces fout ontworpen is, en dat is ernstig.

Vlak daaronder staat:
Kan je nog zeggen dat de Apple Pay-koppeling een sterke vorm van klant-authenticatie genoemd kan worden als het leggen van de koppeling zelf rammelt? Duidelijk niet — garbage in, garbage out. Dan zou de klant niet aansprakelijk mogen worden gesteld voor de schade.

Door Anoniem: Een serieuze vraag:
Is Bunq verantwoordelijk voor de werking van Apple Pay, of is Apple dat?

Apple Pay vraagt (blijkbaar) alleen om twee gegevens die zichtbaar op de betaalpas staan. En om een verificatiecode die per SMS gestuurd is.
Allemaal zaken die afgekeken kunnen worden.

En hoe hadden Apple en Bunq (of een andere bank) dit dan wel moeten ondervangen om het veilig te maken voor "schoudersurfers" oid.

Door Anoniem: Ik sluit iet uit dat de klant slachtoffer is geweest van Sim Swapping. De vraag is wel hoe de malafide partij achter haar gegevens van de betaalpas is gekomen. Maar in theorie is deze oplichtersmethode wel degelijk mogelijk.

Door Anoniem: Net zoals andere banken dat doen? Die vereisen dat je voor de koppeling inlogt op online bankieren en de digipassen, scanners, apps etc. daarvoor gebruikt. En als dit betekent dat Bunq dat soort dingen niet gebruikt maar overal een SMS voor stuurt* dan lopen ze qua beveiliging verder achter dan ze zelf al bestaan. Ik had niet eens aan die mogelijkheid gedacht, ik dacht dat banken dat al heel lang achter zich hadden gelaten.

* Ik denk dat je ongelijk hebt dat de SMS door Apple is gestuurd, hij is namelijk gestuurd aan het telefoonnummer dat Bunq van de klant heeft.

Door Anoniem:
Wie is hier nu de rechercheur? Want hoe kan een klant dit aantonen? Ik heb mijn tel, pas en rekening info niet gedeeld. En dus is er toch geen manier om aan te tonen dat ik data gelekt heb? Ik als klant weet dat niet.

Moet de klant alle manieren weten van social engineering, (email/sms) phishing? Sim swapping?

Het kan toch niet zo zijn, dat een klant dus een lijstje met hack technieken moet overhandigen en zeggen dat ie daar geen slachtoffer van is... omgekeerde wereld..

TheYOSH

Of ik zal het verkeerd lezen...

Door Anoniem:
[..]
Ik mis in dit verhaal of de klant aangifte deed. Gedurende dat proces zou de klant zijn telefoon uitgelezen kunnen worden. Vervolgens had de klant de aangifte en uitkomt van het onderzoek kunnen delen met de bank. Dan had de klant en stuk sterker gestaan.

De bank kan geen én gaat geen recherche-onderzoek starten.

Die houdt zich aan de contractvoorwaarden. En reken maar dat dat (behoorlijk) waterdicht is. De bank ziet aan wie zij de sms code verstuurd hebben. Daarna is het aan de klant om te bewijzen hoe het kan dat die code in handen van een ander komt. Notabene samen met de gegevens die van de pas van de klant afkomstig zijn.

De bank ziet aan wie zij de sms code verstuurd hebben. Daarna is het aan de klant om te bewijzen hoe het kan dat die code in handen van een ander komt.

Door Anoniem: Een juist adres gebruiken ontslaat de verzender niet van onjuiste bezorging door de bezorgende bedrijven. Bij post bestaat daarom verzending met extra voorwaarden tot controle of de juiste persoon het ontvangt. Bij berichten via sms is al sinds het ontwerp in de vorige eeuw bekend dat sms dat soort zekerheid niet geeft. Het is dus aan de bank om aan te tonen dat het verzenden per sms bij de juiste persoon is aangekomen. Dat bewijzen ze niet met een 06-nummer gebruiken. Dat is onvoldoende bewijs om uit te sluiten dat ze het niet bij een crimineel hebben laten afleveren.

Door Anoniem:
Helemaal niet.

civielrechtelijk is het typisch "gesteld en niet of onvoldoende weersproken" in een vonnis.
Plus - 'wie eist , bewijst' .

De bank hoeft helemaal _aan te tonen_ dat de SMS bij de juiste persoon is aangekomen.