Indsigelse mod at hæfte for op til 8.000 DKK af korttransaktioner gennemført som betalinger med et virtuelt kort via Google Pay-Wallet. Indrullering af et betalingskort i tredjemands Google Pay-Wallet.
| Sagsnummer: | 210/2026 |
| Dato: | 16-10-2026 |
| Ankenævn: | Katrine Waagepetersen, Jacob Grubbe, Signe Vejen Hansen, Morten Bruun Pedersen og Poul Erik Jensen |
| Klageemne: |
Afvisning - bevis § 5, stk. 3, nr. 4
Betalingstjenester - ikke-vedkendte hævninger Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for op til 8.000 DKK af korttransaktioner gennemført som betalinger med et virtuelt kort via Google Pay-Wallet. Indrullering af et betalingskort i tredjemands Google Pay-Wallet. |
| Indklagede: | Lunar Bank A/S |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for op til 8.000 DKK af korttransaktioner gennemført som betalinger med et virtuelt kort via Google Pay-Wallet. Indrullering af et betalingskort i tredjemands Google Pay-Wallet.
Sagens omstændigheder
Klageren var kunde hos Lunar Bank, hvor han havde en konto -994 med et tilknyttet Visa Debit kort -4447 og mobilbankadgang via Lunar Bank-app.
Banken har oplyst, at klagerens betalingskort den 12. december 2025 kl. 12:40 blev indrulleret i en ny wallet (en Google Pay-Wallet). Banken har anført, at dette skete ved brug af klagerens kortoplysninger, herunder kortnummer, udløbsdato og CVC-kode samt en engangskode, der blev sendt i en SMS til klagerens telefonnummer.
Banken har endvidere oplyst, at den ikke kan tilgå de specifikke SMS-data. Der vil dog altid blive sendt en SMS-kode til det nummer, som fremgår i ens bank-app, og som skal bruges hver gang, et kort forsøges tilføjet manuelt til en ny wallet. Banken har fremlagt et eksempel på indholdet af SMS’en med engangskoden:
”Din aktiveringskode er [xxx]. Hvis kortet ikke automatisk er aktiveret i wallet-appen kan du aktivere det ved at:
1) Åbne Wallet-appen på din telefon
2) Vælge dit kort
3) Vælge ’Skift kode’
4) Indsætte aktiveringskode.
Koden udløber om 30 minutter. Hvis du har problemer, skal du kontakte support på [XXX]. …”
Klageren har bestridt, at han modtog en SMS med en aktiveringskode.
Banken har oplyst, at aktiveringen medførte en automatisk sikkerhedsforespørgsel til banken, hvorefter klagerens betalingskort blev spærret (frosset). Der blev samtidig sendt en notifikation til klageren i Lunar Bank-appen. Notifikationen vises på forsiden af appen og er det første, der fremgår, når appen åbnes. Banken har fremlagt et eksempel på indholdet af notifikationen i Lunar Bank-appen:
”Kort tilføjet til tegnebog
Vi har låst dit kort, fordi det blev tilføjet til en wallet uden for Lunar-appen. Hvis det var dig, skal du låse dit kort op. Hvis det ikke var dig, skal du låse det for at forhindre svindel.”
Banken har oplyst, at tilføjelse af et Lunar-betalingskort til en wallet kræver stærk kundeautentifikation, enten via 1) Lunar Bank-appen, hvor kortholder logger ind i sin Lunar Bank-app ved brug af MitID, biometrisk login eller en personlig firecifret adgangskode. Under kortoversigten kan kortholder tilføje det specifikke kort til enhedens wallet, eller 2) via enhedens wallet-app, hvor kortholder manuelt indtaster kortoplysningerne i appen, hvorved der sendes en engangskode via SMS til det telefonnummer, der er registreret på kundens profil. Denne SMS-kode skal indtastes i wallet-appen for at bekræfte og fuldføre tilknytningen af kortet. Dette udløser en automatisk sikkerhedsforespørgsel til banken, hvorved betalingskortet bliver frosset i appen. En notifikation om tilføjelsen af kortet til en ny wallet vil figurere i kortholders Lunar Bank-app. Kortholderen skal efterfølgende genåbne betalingskortet i Lunar Bank-appen, inden det kan bruges i den nye wallet.
Banken har fremlagt en oversigt over loginoplysninger på klagerens Lunar Bank-app for perioden fra den 10. til den 17. december 2025. Banken har oplyst, at de angivne tider i oversigten er angivet i tidszonen UTC, at der skal lægges en time til de anførte tidspunkter, da hændelserne fandt sted under dansk vintertid (UTC+1), og at det af oversigten fremgår, at der ikke havde været logget ind på klagerens Lunar Bank-app fra en uautoriseret enhed i perioden. Af oversigten fremgår, at login skete med password.
Banken har oplyst, at da der ikke var logget på klagerens Lunar Bank-app fra en uautoriseret enhed i perioden op til eller under de bestridte transaktioner, er det metoden via enhedens wallet-app, der blev anvendt ved tilføjelsen af klagerens kort til tredjemands Google Pay-Wallet. Dette indebærer, at tredjemand har haft adgang til klagerens kortoplysninger og efterfølgende har fået delt den SMS-engangskode, der blev sendt til klagerens telefonnummer.
Banken har fremlagt en udskrift vedrørende klagerens kort, hvoraf fremgår den 12. december 2025 kl. 10:27: ”Card frozen” ”Reason: Weak tokenisation authentication”, den 12. december 2025 kl. 12:40 ”Card activated” samt den 16. december 2025 kl. 15:13: ”Card closed”. Det fremgår, at kortet blev lukket den 16. december 2025 kl. 15:13. Banken har anført, at udskriften viser, at det er klageren selv, der har genåbnet/genaktiveret kortet. Klageren har bestridt, at han bevidst har genåbnet kortet.
Den 16. december 2025 i tidsrummet mellem kl. 00:53 og kl. 15:04 blev der foretaget fire betalinger i USD og EUR med klagerens betalingskort -4447. Betalingerne blev godkendt via Google Pay. Banken har oplyst, at de fire ikke vedkendte transaktioner svarer til i alt 2.611,46 DKK. Klageren har oplyst, at de fire ikke vedkendte transaktioner svarer til i alt 2.637,57 DKK. Klageren kan ikke vedkende sig betalingerne.
Banken har oplyst, at kortbetalingerne er korrekt registrerede og bogførte og ikke ramt af tekniske svigt eller andre fejl.
Banken har endvidere oplyst, at klageren den 16. december 2025 kontaktede bankens chatfunktion for at gøre indsigelse mod de omtvistede transaktioner. Banken sendte en guide til klagerom, hvordan man indgiver en indsigelse.
Den 22. december 2025 modtog banken en indsigelse fra klageren. Banken stillede klageren nogle opfølgende spørgsmål til hans indsigelse. Den 2. januar 2026 besvarede klageren de opfølgende spørgsmål.
Den 5. januar 2026 sendte banken følgende afgørelse vedrørende klagerens indsigelse:
”Vi har haft din kortindsigelse på kort: 4447 beløb 2.611,46 kr. til behandling, og sagen er godtaget med en selvrisiko på 8.000,00 kr. Da det samlede beløb er mindre end selvrisikoen på 8.000,00 kr. Har vi desværre ikke har mulighed for at godtgøre beløbet. Vi henviser til betalingsloven §100.
? ??Du har videregivet dine kortoplysninger, hvilket har gjort det muligt for en tredjepart at tilføje dit kort til sin digitale wallet. Dette er sket i forbindelse med at du modtager en aktiverings SMS fra Nets, hvor aktiveringskoden heri er sendt videre til tredjepart. Efterfølgende blev kortet spærret med en advarsel om at dit kort er tilføjet en ny wallet. På trods af dette, har du selv været inde og genåbne kortet igen i appen. På baggrund af en samlet vurdering er det konkluderet, at du har handlet groft uforsvarligt, og du pålægges derfor en selvrisiko på 8.000 kr. i henhold til betalingslovens § 100, stk. 4.”
Den 27. januar 2026 klagede klageren over afgørelsen.
Parternes påstande
Den 15. marts 2026 har klageren indbragt sagen for Ankenævnet med påstand om, at Lunar Bank A/S skal tilbageføre de ikke vedkendte transaktioner til ham.
Lunar Bank A/S har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har blandt andet anført, at han ikke har handlet groft uagtsomt. Banken skal tilbageføre beløbet til ham, da banken ikke har bevist de forhold, som den bygger sin afgørelse på.
Han opdagede selv transaktionerne og spærrede straks kortet i appen samt bestilte et nyt kort. Han forsøgte gentagne gange at kontakte banken telefonisk, men kunne ikke komme igennem. Telefonlinjen oplyste, at der var lukket på grund af lang kø. Hans adfærd efter opdagelsen af misbruget viser ikke grov uagtsomhed. Den viser det modsatte. Han opdagede misbruget, spærrede kortet og forsøgte straks at kontakte banken. Hvis han ikke selv havde reageret, kunne der være blevet trukket flere penge.
Han har ikke foretaget eller godkendt transaktionerne. Han har aldrig modtaget en Nets aktiveringskode, som han har delt med nogen. Det er ikke sket. Han har heller ikke videregivet kortoplysninger, CVC kode eller andre sikkerhedsoplysninger til nogen. Hvis banken mener, at han har gjort det, må banken dokumentere dette konkret.
Banken har ikke dokumenteret, at han har overgivet en personlig sikkerhedsforanstaltning eller ved groft uforsvarlig adfærd muliggjort misbruget.
Banken skriver i sit svar, at der altid sendes en SMS, når et kort tilføjes manuelt til en wallet. Samtidig skriver banken, at banken ikke har mulighed for at tilgå de specifikke SMS data. Dette betyder, at banken ikke kan dokumentere den konkrete SMS, som den påstår er sendt til ham. Banken kan ikke dokumentere tidspunktet, indholdet, leveringen og modtagelsen. eller at han skulle have delt en kode videre. Alligevel bygger den hele sin afgørelse på, at han må have modtaget og delt en sådan kode. Dette er ikke nok. Et eksempel på en standardbesked er ikke dokumentation for, at netop den SMS blev sendt til ham, at han modtog den, eller at han delte en kode.
Bankens argumentation bygger meget på, hvad banken mener teknisk “må” være sket. Banken skriver, at der kun findes to måder at tilføje et kort til en wallet på, og fordi den ikke kan se en anden enhed logget ind i hans Lunar app, konkluderer den, at han må have delt en SMS kode. Det er en teknisk slutning, ikke et bevis for hans faktiske adfærd. Han afviser denne konklusion fuldstændigt.
Han har ikke delt nogen kode. Han har ikke delt sine kortoplysninger. Han har ikke bedt nogen om at tilføje sit kort til en wallet. Han har ikke godkendt betalingerne. Han har ikke medvirket til misbruget.
Banken blander to ting sammen: sine interne systemregistreringer og spørgsmålet om hans ansvar. At et system viser, at kortet blev tilføjet en wallet, og at transaktionerne efterfølgende blev gennemført via Google Pay, beviser ikke i sig selv, at han har handlet groft uforsvarligt. Det viser højst, at misbruget er sket via en wallet. Det beviser ikke, hvordan svindleren fik adgang, og det beviser ikke, at han har givet dem en kode.
Banken skriver også, at kortet blev frosset, da det blev tilføjet en wallet, og at det senere blev genåbnet. Hvis denne spærring reelt skulle forhindre misbrug, hvordan kunne der så flere dage senere gennemføres transaktioner? Banken må forklare præcist, hvad denne “frysning” reelt betyder, hvilken advarsel der konkret blev vist til ham, og hvordan banken kan være sikker på, at han bevidst ophævede en svindelspærring med viden om, at kortet var kompromitteret. Banken har ikke dokumenteret dette.
Han bestrider fortsat, at han bevidst har genåbnet et kort, som han vidste var kompromitteret. Det giver ingen mening. Hvorfor skulle han åbne et kort igen, hvis han vidste, at det var ved at blive misbrugt?
Banken kan ikke bare flytte ansvaret over på ham ved at sige, at “det teknisk ikke kan ske på anden måde”. Sagen kan afgøres på det skriftlige grundlag. Når banken ikke kan dokumentere den konkrete SMS, ikke kan dokumentere, at han modtog den og ikke kan dokumentere at han delte den, så har banken ikke løftet sin bevisbyrde. Banken har ikke dokumenteret, at sikkerhedsforanstaltningerne faktisk var knyttet til ham som kunde, og at han ved groft uforsvarlig adfærd muliggjorde misbruget.
Lunar Bank A/S har til støtte for frifindelsespåstanden blandt andet anført, at klageren hæfter for det fulde tab på 2.611,46 DKK, idet misbruget blev muliggjort af klagerens groft uforsvarlige adfærd, jf. betalingslovens § 100, stk. 4, nr. 3. Klagerens adfærd afviger væsentligt fra, hvad der med rimelighed kan forventes af en almindeligt forsigtig bruger af betalingstjenester.
For at tredjemand har kunnet tilføje klagerens kort til en fremmed wallet, har det været en forudsætning, at klageren har udleveret sine fulde kortoplysninger, herunder kortnummer, udløbsdato, CVC-kode samt den engangskode, som blev sendt via SMS til klagerens registrerede telefonnummer. Dette er den eneste tekniske mulighed, da der ikke er konstateret uautoriseret adgang til klagerens Lunar Bank-app.
Klageren har anmodet banken om at dokumentere, at klageren skulle have modtaget en aktiveringskode fra Nets. SMS-beskeder afsendt af Nets opbevares ikke i bankens systemer, hvorfor banken ikke kan fremsende sådan dokumentation.
Det må lægges til grund, at klageren aktivt har tilsidesat bankens sikkerhedsforanstaltninger. Efter tilføjelsen af kortet til en ny wallet blev kortet automatisk frosset, og klageren modtog samtidig en tydelig notifikation i Lunar Bank-appen om, at kortet var blevet låst, da det var blevet tilføjet en ny wallet. På trods af denne advarsel har klageren alligevel manuelt genåbnet kortet, hvilket muliggjorde de ikke-vedkendte transaktioner. At det egentlige misbrug først skete flere dage senere, ændrer ikke ved, at klageren bevidst valgte at ignorere systemets sikkerhedsadvarsel.
Banken har beskrevet, at der kun er to mulige fremgangsmåder for at tilføje et kort til en digital wallet, som begge udgør stærk kundeautentifikation. Bankens systemlogfiler viser klart, at der ikke har været andre enheder logget ind i appen. Da kun disse to metoder eksisterer, må kortet således være tilføjet via fremgangsmåde to. Dette bekræftes endvidere af fejlmeddelelsen “Weak tokenization authentication”, som alene fremkommer, når kortoplysninger registreres i en digital wallet uden for Lunars app, og en SMS-kode er indtastet.
Klageren gør gældende, at hans adfærd efter opdagelsen af misbruget demonstrerer, at han ikke har handlet groft uagtsomt. Banken bestrider dette og understreger, at det er klagerens adfærd, inden misbruget finder sted, der udgør grov uagtsomhed. At det egentlige misbrug først skete flere dage senere, ændrer ikke ved, at klageren bevidst valgte at ignorere systemets sikkerhedsadvarsel.
Det samlede forløb viser, at klageren har handlet groft uforsvarligt ved både at videregive fortrolige oplysninger og bevidst ophæve de sikkerhedsforanstaltninger, der skulle beskytte ham mod misbrug. Betingelserne i betalingslovens § 100, stk. 4, nr. 3, er dermed opfyldt, og da det omtvistede beløb på 2.611,46 DKK ligger under selvrisikogrænsen på 8.000 DKK, hæfter klageren for det fulde tab. Banken bør derfor frifindes.
Lunar Bank har til støtte for afvisningspåstanden anført, at sagen alene bør afgøres på baggrund af yderligere bevisførelse i form af parts- og vidneforklaringer.
Bevisførelsen er nødvendig for at fastlægge sagens faktiske omstændigheder, hvilket har betydning for hæftelsesspørgsmålet.
Sådan bevisførelse kan ikke finde sted i Ankenævnet, men alene ved domstolene, hvorfor sagen bør afvises, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets bemærkninger
Klageren var kunde hos Lunar Bank, hvor han havde en konto -994 med et tilknyttet Visa Debit kort -4447 og mobilbankadgang via Lunar Bank-app.
Banken har oplyst, at klagerens betalingskort den 12. december 2025 kl. 12:40 blev indrulleret i en ny wallet (en Google Pay-Wallet). Banken har anført, at dette skete ved brug af klagerens kortoplysninger, herunder kortnummer, udløbsdato og CVC-kode samt en engangskode, der blev sendt i en SMS til klagerens telefonnummer.
Klageren har bestridt, at han modtog en SMS med en aktiveringskode.
Banken har oplyst, at aktiveringen medførte en automatisk sikkerhedsforespørgsel til banken, hvorefter klagerens betalingskort blev spærret/frosset i Lunar Bank-appen. Der blev samtidig sendt en notifikation til klageren i Lunar Bank-appen om, at hans kort var blevet spærret i forbindelse med tilføjelsen af det til en wallet.
Banken har anført, at klageren den 12. december 2025 kl. 12:40 genaktiverede sit kort i Lunar Bank-appen. Klageren har bestridt dette.
Den 16. december 2025 i tidsrummet mellem kl. 00:53 og kl. 15:04 blev der foretaget fire betalinger i USD og EUR på i alt ca. 2.600 DKK med klagerens betalingskort -4447, som klageren ikke kan vedkende sig. Betalingerne blev godkendt via Google Pay.
Klageren gjorde indsigelse mod betalingerne. Banken afviste indsigelsen og anførte, at det samlede beløb var mindre end selvrisikoen på 8.000 DKK.
Klageren har anført, at han ikke foretog de ikke-vedkendte transaktioner. Han har ikke modtaget eller videregivet en Nets aktiveringskode. Han har ikke videregivet kortoplysninger, CVC kode eller andre sikkerhedsoplysninger og har ikke bevidst godkendt, at hans kort blev tilføjet en anden wallet.
Ankenævnet finder, at indrullering af et betalingskort i en Google Pay-Wallet udgør en situation omfattet af betalingslovens § 128, stk. 1, nr. 3.
Ved indrullering af betalingskortet via Google Pay-Wallet-appen er kravet til stærk kundeautentifikation opfyldt, når minimum to sikkerhedselementer vedrører samme kunde er anvendt.
Ankenævnet lægger til grund, at indrulleringen er sket ved brug af klagerens kortoplysninger, en engangskode, som blev sendt til klagerens telefonnummer (besiddelse) og ved klagerens efterfølgende fjernelse af en automatisk etableret spærring på betalingskortet ved login med password i sin Lunar Bank-app (viden). Ankenævnet finder det godtgjort, at indrulleringen af klagerens betalingskort -4447 i tredjemands Google Pay-Wallet er sket ved stærk kundeautentifikation, da videns- og besiddelseselementet er opfyldt.
Ankenævnet lægger til grund, at transaktionerne skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Klageren har bestridt at have udleveret sine betalingskortoplysninger. Klageren har bestridt, at han modtog eller videregav en SMS med en aktiveringskode. Ankenævnet finder på baggrund heraf, at en afklaring af de nærmere omstændigheder omkring tredjemands indrullering af klagerens betalingskort i en Google Pay-Wallet på tredjemands telefon forudsætter yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men som i givet fald må finde sted for domstolene. Ankenævnet afviser derfor sagen i medfør af § 5, stk. 3, nr. 4, i Ankenævnets vedtægter.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen.
Klageren får klagegebyret tilbage.