Phishing: niet-toegestane betaling terug

Een Poolse vrouw verloor na phishing 3.000 Poolse zloty, ongeveer 705 euro, aan een valse koper. Haar bank weigerde terug te betalen omdat zij haar inloggegevens had prijsgegeven. Het Europees Hof van Justitie zegt op 15 oktober dat zo’n beroep op grove nalatigheid de onmiddellijke terugbetaling van een niet-toegestane betaling niet mag blokkeren.

Dat is geen garantie dat elk slachtoffer het geld definitief houdt. Het Hof maakt in zaak C-70/25, Tukowiecka, onderscheid tussen eerst terugbetalen en later vaststellen wie het verlies draagt. De bank kan nadien terugvorderen als zij daarvoor de vereiste opzet of grove nalatigheid bewijst.

Wanneer moet de bank na phishing terugbetalen?

Bij een niet-toegestane betaling moet de bank in beginsel onmiddellijk terugbetalen, uiterlijk aan het einde van de volgende werkdag nadat zij de transactie vaststelde of erover werd ingelicht. De klant moet de bank zonder onnodig uitstel informeren. De uiterste termijn is geen uitnodiging om met melden te wachten.

Situatie	Gevolg volgens het Hof
De bank verwijt de klant grove nalatigheid.	Dat verwijt heft de onmiddellijke terugbetalingsplicht niet op.
Er zijn goede redenen om fraude door de klant zelf te vermoeden.	Uitstel kan, als de bank die redenen schriftelijk aan de bevoegde nationale autoriteit meldt.
De bank bewijst later verlies door opzettelijke of grof nalatige schending van klantplichten.	Zij kan het terugbetaalde bedrag onder de toepasselijke voorwaarden terugvorderen.

Een bankcode is nog geen toestemming

Ook voor Belgische rekeninghouders telt dat onderscheid. De FOD Economie legt de Belgische regels uit: een technisch correct bevestigde betaling is niet automatisch een betaling waarvoor de klant toestemming gaf. Authenticatie met een code en instemming met een overschrijving zijn verschillende zaken.

De FOD waarschuwt tegelijk voor een andere categorie. Wanneer iemand zelf geld overmaakt aan een oplichter die zich als een ander voordoet, bijvoorbeeld bij factuurfraude of CEO-fraude, gelden deze specifieke regels voor niet-toegestane betalingen niet zomaar. Het etiket ‘phishing’ beslist dus niet het hele dossier.

Een herkenbare naam in een bericht maakt een betaalvraag evenmin betrouwbaar. Bij de onbevestigde verkoopclaim over KBVB-gegevens beschreven we waarom persoonlijke details een vals bericht geloofwaardig kunnen maken, zonder dat daarmee een concreet misbruik bewezen is.

De klant laten voorfinancieren is de verkeerde volgorde

De scheiding die het Hof trekt, is terecht. Een snelle terugbetalingsplicht biedt weinig bescherming als de bank haar kan stilzetten met precies het verwijt dat nog onderzocht moet worden. Dan moet de gedupeerde eerst zelf procederen, terwijl het geld ontbreekt. Het Hof noemt die kosten en hinder expliciet.

Wie dit als een blanco cheque voor slachtoffers verkoopt, maakt het arrest echter te groot. De terugvordering blijft mogelijk en de vraag naar toestemming blijft bestaan. Ook goed consumentenbeleid moet ruimte laten om bewezen fraude door een klant aan te pakken.

Banken doen bovendien preventiewerk. Febelfin noemt in een infografiek uit 2026 onder meer transactiemonitoring en wachttijden bij limietverhogingen. De sector zegt 75% van de frauduleuze phishingoverschrijvingen te detecteren, tegen te houden of terug te vorderen. Dat is geen percentage klanten dat schadevergoeding krijgt.

Voorlichting alleen lost het probleem evenmin op. Onze berichtgeving over digitale inclusie laat zien waarom toegang tot een app en ermee kunnen werken verschillende vragen zijn. En bij cybersecurity in bedrijven telt ook wie een waarschuwing daadwerkelijk opvolgt.

Bewaar het bewijs van je fraudemelding

De FOD raadt aan het bewijs van je melding te bewaren. Vermoed je nu fraude, neem dan meteen via een gekend kanaal contact op met je bank om de betrokken betaalmiddelen te blokkeren. Bewaar daarbij de bevestiging met datum en tijd. Alleen een kaart blokkeren sluit misbruik van een bankapp niet noodzakelijk af.

• De bank is het eerste aanspreekpunt voor de melding en de interne klacht.
• Levert de klacht geen oplossing op, dan kan Ombudsfin het geschil onderzoeken. Een bemiddelingsadvies is geen rechterlijk vonnis.

De volgende toets ligt bij de afhandeling door banken

Het Poolse geschil moet na deze uitleg van het Europese recht nationaal worden afgehandeld. Voor Belgische dossiers telt vervolgens of banken terugbetaling en uiteindelijke aansprakelijkheid ook in hun behandeling gescheiden houden. Dat vraagt concrete dossieruitkomsten; een brede belofte van ‘altijd geld terug’ bewijst het niet.

Bij dit Belgisch nieuws blijven arrest en individuele uitkomst dus apart staan. Aanvullingen en correcties volgen onze werkwijze en correcties.