Een klant van International Card Services (ICS) krijgt de ruim 9.000 euro schade die hij als gevolg van een phishingaanval leed niet vergoed. Dat heeft het financiële klachteninstituut Kifid bepaald. Het slachtoffer ontving eind vorig jaar een e-mail die van Netflix afkomstig leek en hem verzocht om zijn nieuwe creditcardgegevens door te geven.

De klant heeft vervolgens op een phishingpagina zijn creditcardnummer, vervaldatum en veiligheidscode (CVC) ingevuld. Ook vulde de klant een via sms ontvangen verificatiecode in. Met deze gegevens is de creditcard vervolgens door een derde gekoppeld aan Apple Pay. De aanvaller heeft een dag later zeven transacties voor een bedrag van meer dan 9.200 euro uitgevoerd. Dezelfde dag detecteerde het fraudemonitoringssysteem van ICS betalingen, waarna de creditcard werd geblokkeerd en de klant gebeld.

Diezelfde dag ontving de klant een e-mail van ICS waarin stond dat de creditcard was geblokkeerd, omdat de klant slachtoffer was geworden van phishing. Verder stond in het bericht dat de fraudeurs er niet in geslaagd waren transacties met de creditcard uit te voeren. De klant wil dat ICS de geleden schade vergoedt. Hij stelt onjuist te zijn ingelicht. Daarnaast heeft de klant naar eigen zeggen niet grof nalatig gehandeld. De website waarop hij de gegevens invulde leek volledig legitiem en hij was zich er niet van bewust dat het om fraude ging. In deze periode werden meer klanten slachtoffer van een dergelijke phishingaanval. Volgens de klant wijst dit op een structureel beveiligingsrisico bij ICS.

De creditcardmaatschappij laat in het verweer weten dat een medewerker per ongeluk de optie "geen schade" in het systeem aanklikte, waardoor de e-mail werd verstuurd waarin er stond dat er geen schade was veroorzaakt. Dit is geen aanleiding om de schade te vergoeden, omdat die hier niet door is veroorzaakt, aldus het Kifid. "Op het moment dat ICS contact opnam met de consument was de schade al ontstaan en had deze niet meer voorkomen kunnen worden." Volgens het klachteninstituut heeft de klant door het verstrekken van zijn gegevens "grof nalatig gehandeld".

Het klachteninstituut stelt daarnaast dat banken en andere financiële instellingen al jaren voor phishing waarschuwen. "Dat de oplichtingsvorm via Netflix mogelijk nieuw was, maakt nog niet dat ICS onvoldoende heeft gewaarschuwd voor dergelijke vormen van oplichting. Om Apple Pay te kunnen koppelen zijn de gegevens van de creditcard nodig en een SMS die wordt verzonden naar het telefoonnummer van de consument. In die SMS wordt bovendien – zoals hiervoor al is overwogen – gewaarschuwd voor fraude." Het Kifid komt dan ook niet tot de conclusie dat de beveiliging bij ICS onvoldoende op orde was en wijst de vordering van de klant af (pdf).