Sådan ser svindel ud i dine posteringer

Hvordan ser svindel ud i posteringslisten?

Svindel har nogle få genkendelige former. Et testbeløb på et par kroner lige før et stort træk. Et abonnement du aldrig har oprettet. Det samme køb en gang til et døgn senere. Et beløb i fremmed valuta fra en butik du faktisk besøgte. Eller et forretningsnavn der tilhører en betalingsformidler i stedet for butikken.

De er værd at kunne, for hver for sig er de nemme at overse. Ingen af dem ser dramatiske ud. Det er netop pointen.

• Testbeløbet. Et par kroner fra et navn du ikke kender, og så et meget større beløb fra samme navn kort efter. Det lille træk er nogen, der tjekker at kortet virker, før de bruger det for alvor.
• Abonnementet du aldrig har oprettet. Et fast månedligt beløb der pludselig står der, ofte lille nok til at blive forvekslet med noget du har glemt, du har.
• Købet der kommer to gange. Et ægte køb du har lavet, og så det samme beløb igen en eller to dage senere.
• Valutabeløbet fra en butik du var i. Kortoplysningerne blev kopieret, hvor du faktisk handlede, og bruges nu et andet sted.
• Navnet der ikke er butikkens. Her skal du passe på: rigtig mange helt ægte køb vises med navnet på en betalingsformidler. Det betyder bare, at du ikke kan genkende købet på navnet, men må gå efter beløb og dato i stedet.

Kortsvindel er værd at holde øje med lige nu, fordi den vokser. I Norden melder bankerne, at da de blev bedre til at stoppe svindel via kontooverførsler, steg svindel med betalingskort i stedet.^[5] Metoderne i sig selv er kendte nok: stjålne kort, misbrugte kortoplysninger, og relaysvindel hvor NFC-signalet fra dit kort opfanges og sendes videre til en, der gennemfører købet et andet sted.

Hvorfor er det kategoriseringen, der afslører svindlen?

Fordi kategorisering er den eneste rutine, der tvinger dig til at læse hver linje. Et ukendt træk på 149 kr. ligner alt andet i en liste, du bare skimmer. Når hver postering skal placeres i en kategori, skal du genkende den, og den ene du ikke genkender bliver stående.

Derfor er en ukategoriseret bunke værre, end den ser ud. Når du tager tre uger på én gang, går du hurtigere, du genkender mønstre i stedet for enkelte køb, og en linje på et par kroner fra et navn du aldrig har set, er præcis den slags, der forsvinder i sådan en gennemgang. Ti minutter om ugen finder det, et kvarter om måneden ikke gør.

Det hjælper også, at du kender dit eget forbrug. Du ved, at du ikke handlede noget den tirsdag. Det ved banken ikke. Deres overvågning finder det store, hurtige og usædvanlige, og den er blevet god. Men det lille abonnement på 149 kr. om måneden ser ikke usædvanligt ud for andre end dig.

Hvad gør du, når du finder en postering du ikke genkender?

Tjek først, at det ikke er dit eget køb under et ukendt navn. Er det ikke det, så spær kortet i bankappen med det samme, gør indsigelse over for banken, og anmeld til politiet. Rækkefølgen betyder noget: spærringen stopper det, der ellers fortsætter.

1. Hold beløb og dato op mod din egen kalender først. De fleste ukendte navne er betalingsformidlere for køb, du faktisk har lavet, og en unødvendig spærring koster dig et kort, du har brug for.
2. Spær kortet i bankappen. Det tager sekunder, og det er den eneste del, der haster.
3. Gør indsigelse over for banken. Gør det skriftligt i appen eller netbanken, hvis du kan, så du har et tidspunkt at henvise til.
4. Anmeld til politiet. Økonomisk svindel kan anmeldes digitalt med MitID på politi.dk, og du får et journalnummer på kvitteringen.
5. Gennemgå resten af listen. Er kortet blevet misbrugt én gang, er de seneste tre måneder en ordentlig læsning værd.

Hvad har du krav på i Danmark?

Udgangspunktet er, at banken hæfter for tab ved andres uberettigede brug af din betalingstjeneste. Du hæfter for op til 375 kr., når den personlige sikkerhedsforanstaltning har været brugt, og for op til 8.000 kr. hvis banken beviser blandt andet groft uforsvarlig adfærd. Banken skal betale tilbage senest ved afslutningen på den efterfølgende arbejdsdag.

Reglerne står i betalingslovens § 100. Rækkefølgen er værd at forstå, for den er i din favør: udgangspunktet i stk. 1 er, at banken hæfter. De 375 kr. i stk. 3 er grundtrinnet, når sikkerhedsforanstaltningen har været brugt. For at flytte dig op på 8.000 kr. i stk. 4 skal banken bevise noget mere, nemlig at du undlod at underrette den snarest muligt, at du med forsæt gav sikkerhedsforanstaltningen videre, eller at du ved groft uforsvarlig adfærd gjorde misbruget muligt. Uden beløbsgrænse hæfter du kun, hvis du har handlet svigagtigt, eller med forsæt har oplyst sikkerhedsforanstaltningen under omstændigheder, hvor du indså eller burde have indset risikoen for misbrug.^[1]

Der er også en række tilfælde, hvor du slet ikke hæfter, uanset hvad. Det gælder alt, der trækkes efter at du har meldt kortet til spærring, tilfælde hvor banken ikke har krævet stærk kundeautentifikation, og tab du ikke kunne have opdaget før misbruget. At kortet er registreret brugt er i øvrigt ikke i sig selv bevis for, at du har godkendt betalingen.^[1]

Fristerne går begge veje. Banken skal betale tilbage straks og senest ved afslutningen på den efterfølgende arbejdsdag, medmindre den har rimelige grunde til at have mistanke om svig og underretter Finanstilsynet om dem. Din egen indsigelse skal være banken i hænde snarest muligt efter, at du har opdaget posteringen, og senest 13 måneder efter debiteringen. Forbrugerombudsmanden mener, at en indsigelse inden 14 dage efter, du har opdaget betalingerne, altid er snarest muligt. Det er deres vurdering og ikke en frist i loven, men den er værd at kende.^[2]

Får du afslag, kan du klage til Det finansielle ankenævn. Du skal have klaget til banken først og fået afslag, et utilfredsstillende svar eller intet svar inden fem uger. Klagegebyret er 300 kr.

Reglerne ligner hinanden i Norden, fordi de bygger på det samme EU-direktiv, men tallene er ikke de samme. Bor du i Norge eller Sverige, er det de rækker, der gælder for dig:

Tallene står i lov om betalinger i Danmark^[1], i finansavtaleloven i Norge^[6] og i betaltjänstlagen i Sverige^[7]. I alle tre lande gælder de kun betalinger, du ikke har godkendt, og i alle tre er den yderste frist for at gøre indsigelse 13 måneder fra debiteringen.

Hvad hvis du selv flyttede pengene?

Så gælder reglerne ovenfor ikke. En betaling er autoriseret, hvis du har givet samtykke til den. Overførte du selv pengene i netbanken efter et falsk opkald, er betalingen autoriseret, og § 100 om andres uberettigede anvendelse kommer slet ikke i spil. Så er der ingen grænse på 375 eller 8.000 kr. at læne sig op ad.

Det er værd at sige lige ud, for det er den form, der vokser hurtigst. Det finansielle ankenævn har afgjort det direkte: da klageren selv foretog overførslen, var transaktionen autoriseret efter betalingslovens § 82, og der forelå ikke et misbrug, som banken hæftede for efter § 100. Det gjaldt, selv om det blev lagt til grund, at hun blev narret og presset til at foretage overførslen under et bedragerisk telefonopkald.^[3] Et mindretal i nævnet har ment, at grænsen på 8.000 kr. burde bruges tilsvarende i de sager, men det er ikke blevet flertallets linje.

Den skarpe skillelinje er, hvem der satte betalingen i gang. Satte du den selv i gang, har du autoriseret den. Satte svindleren den i gang, og du blot godkendte den i MitID-appen eller et 3D Secure-vindue, er der stadig tale om andres brug, og så gælder § 100 og dens beløbsgrænser. Det er en teknisk forskel med meget stor betydning for, hvad du får igen.

Den praktiske konsekvens er enkel nok: ingen ægte bank og intet ægte politi beder dig nogensinde om at flytte penge til en anden konto for at beskytte dem. Læg på, og ring banken op igen på det nummer, der står i deres app.

Rutinen der gør, at du opdager det tidligt

Det hele kan koges ned til én vane. Gennemgå de nye posteringer omkring en gang om ugen, kategorisér dem mens du er der, og lad den ene du ikke genkender blive stående, indtil du ved hvad den er. Det tager et par minutter, det er den samme gennemgang, der giver dig overblik over forbruget, og den finder svindlen mens den stadig er lille.