Phishing via kaartlezer of via itsme: wanneer moet de bank meteen terugbetalen?

Een bank moet het bedrag van een niet-toegestane betalingstransactie na phishing onmiddellijk terugbetalen op grond van artikel VII.43 van het Wetboek van economisch recht, ook in kort geding en nog vóór het debat over grove nalatigheid. Dat geldt voor overschrijvingen die een fraudeur uitvoerde met ontfutselde kaartlezercodes, maar niet voor overschrijvingen die het slachtoffer zelf via itsme bevestigde. De voorzitter van de ondernemingsrechtbank te Antwerpen trok die lijn op 9 oktober 2026 in een zaak tegen Argenta Spaarbank en veroordeelde de bank tot terugbetaling van 46.857,10 euro aan een echtpaar van 88 jaar. Mr. Joris Deene stond de consumenten in deze zaak bij.

In het kort:

• De voorzitter van de ondernemingsrechtbank te Antwerpen trok die lijn op 9 oktober 2026 in een zaak tegen Argenta Spaarbank en veroordeelde de bank tot terugbetaling van 46.857,10 euro aan een echtpaar van 88 jaar.
• Drie transacties van samen 14.835 euro die het echtpaar zelf via itsme bevestigde, beschouwde de voorzitter als toegestaan, zodat de onmiddellijke terugbetalingsplicht daar niet speelt.
• Zes dagen later, op 15 oktober 2026, bevestigde het Hof van Justitie in het arrest Tukowiecka dat een bank de onmiddellijke terugbetaling niet mag weigeren met het argument dat de betaler grof nalatig was.

De feiten

Op 29 april 2026 kreeg een gepensioneerd echtpaar van 88 jaar telefoon van iemand die zich voordeed als medewerker van Card Stop, en daarna van iemand die beweerde voor de helpdesk van Argenta te werken. Onder hun begeleiding verdween op 29 en 30 april 2026 in totaal 61.822,10 euro van de rekeningen van het echtpaar naar rekeningen van derden. Die som vormde nagenoeg hun volledige liquide spaargeld: op 1 september 2026 stond op hun drie rekeningen bij Argenta samen nog 1.992,41 euro.

Het geld verdween langs twee wegen. Elf overschrijvingen, samen 46.857,10 euro, werden geauthentiseerd met de debetkaart van het echtpaar, een kaartlezer en de geheime codes die de kaartlezer aanmaakt. Drie andere overschrijvingen, samen 14.835 euro, werden bevestigd via een itsme-account dat mevrouw op instructie van de fraudeur op haar eigen gsm had geïnstalleerd. Volgens Argenta stond bovendien de software AnyDesk op de computer van het echtpaar, waarmee een derde een computer op afstand kan bedienen.

Op 30 april 2026 meldde het echtpaar de fraude aan Argenta, liet het de kaarten blokkeren en diende het klacht in bij de politie. Argenta bevestigde de melding dezelfde dag per e-mail, maar betaalde niet terug. Na een ingebrekestelling van 20 mei 2026 en een aangetekende aanmaning van 12 juni 2026 bleef een antwoord uit; op 3 augustus 2026 stuurde de bank wel een e-mail, maar niet aan het echtpaar zelf en op een e-mailadres van hun zoon dat die niet gewoonlijk gebruikte. Op 31 augustus 2026 dagvaardden de consumenten Argenta in kort geding. Zij vorderden de terugbetaling van 61.507,81 euro, het saldo na twee kleine recuperaties, met interest.

Argenta verweerde zich op alle fronten. De zaak was volgens de bank niet spoedeisend, de consumenten hadden getalmd en hadden beter de bodemrechter om voorlopige maatregelen gevraagd. De transacties waren toegestaan, of minstens het gevolg van grove nalatigheid, en de bank mocht haar schuld aan het echtpaar verrekenen met haar eigen vordering op hen. Subsidiair vroeg Argenta de voorlegging van de WhatsApp-berichten met de fraudeur en de geschiedenis van het itsme-account, de aanhouding van de zaak tot het strafonderzoek was afgerond, en een kantonnement.

De beslissing

De spoedeisendheid van een vordering tot onmiddellijke terugbetaling

De voorzitter vertrok van de wettekst. Artikel VII.43 van het Wetboek van economisch recht (WER) verplicht de bank om het bedrag van een niet-toegestane betalingstransactie onmiddellijk terug te betalen, uiterlijk aan het einde van de eerstvolgende werkdag, en de rekening te herstellen met als valutadatum de datum van de debitering. De enige uitzondering is een redelijk vermoeden van fraude door de betaler zelf, schriftelijk gemeld aan de FOD Economie. De wetgever ging er dus zelf van uit dat uitstel van die terugbetaling ernstige nadelen meebrengt, zodat de vordering volgens de voorzitter uit haar aard al principieel dringend is.

De vordering was volgens de voorzitter ook in concreto spoedeisend. Het echtpaar leeft van een gezamenlijk pensioen van ongeveer 2.600 euro per maand, kan op 88-jarige leeftijd een verlies van meer dan 61.500 euro nooit meer goedmaken, en had zijn effectenportefeuille tegen gedaalde koersen moeten verkopen om weer over enige reserve te beschikken. Dat de consumenten niet bewezen dat zij elders geen spaargeld hadden, hield de voorzitter niet tegen hen: zo’n negatief bewijs kan van hen niet worden verlangd.

Het verwijt van getalmd te hebben wees de voorzitter af. Het echtpaar had binnen een dag gemeld en klacht ingediend, en nadien tweemaal schriftelijk aangemaand zonder antwoord van de bank, wat het bepalen van een strategie bemoeilijkte. Vier maanden tussen de fraude en de dagvaarding was voor twee 88-jarigen die voor het eerst tegen hun eigen bank moesten procederen, met tussenkomst van hun zonen en een advocaat en tijdens de vakantieperiode, niet onredelijk. Dat zij in plaats daarvan de bodemrechter om voorlopige maatregelen hadden moeten vragen op grond van artikel 19, derde lid, van het Gerechtelijk Wetboek, vond de voorzitter geen evidentie: dat veronderstelt een behandeling in korte debatten op de inleidingszitting, waar de verweerder zich tegen kan verzetten. Argenta had zich in deze zaak op de inleidingszitting van 4 september 2026 ook tegen een onmiddellijke behandeling verzet en conclusietermijnen gevraagd.

Het onderscheid tussen een toegestane en een niet-toegestane betalingstransactie

Een betalingstransactie is toegestaan wanneer de betaler heeft ingestemd met de uitvoering van de betalingsopdracht, in de vorm en volgens de procedure die hij met de bank heeft afgesproken (artikel VII.32 WER). Zonder die instemming is de transactie niet-toegestaan. Een betalingsopdracht is een instructie aan de bank om een welbepaald bedrag naar een welbepaalde rekening over te maken. Wanneer de betaler ontkent te hebben ingestemd, moet de bank bewijzen dat de transactie is geauthentiseerd, juist geregistreerd en geboekt; het geregistreerde gebruik van een betaalinstrument is op zichzelf niet noodzakelijk voldoende bewijs van instemming (artikel VII.42 WER).

De voorzitter paste dat kader afzonderlijk toe op de twee soorten transacties.

Voor de elf transacties met de kaartlezer oordeelde hij dat Argenta niet aantoonde dat het echtpaar had ingestemd. Dat de consumenten aan een derde gegevens hadden bezorgd waarmee die derde een opdracht kon geven, volstaat niet: dat zou alleen anders zijn wanneer die derde gemachtigd was om de opdracht te geven. Ook een correct geauthentiseerde transactie kan niet-toegestaan zijn, wanneer niet de betaler maar een fraudeur het instrument en de codes heeft gebruikt. Wie het slachtoffer is van phishing en zijn beveiligingsgegevens telefonisch of via een valse website prijsgeeft, heeft volgens de voorzitter niet zelf de opdracht gegeven om een bepaald bedrag naar een bepaalde rekening over te maken; hem zijn enkel gegevens ontfutseld. Anders ligt het bij fraude waarbij de betaler er met een list toe wordt gebracht om zelf de opdracht te geven, zoals bij factuurfraude.

De sms-waarschuwingen die Argenta bij elke responscode zou hebben verstuurd, veranderden daar niets aan: prima facie was het de fraudeur die de codes ingaf. Die waarschuwingen kunnen hoogstens meespelen bij de latere discussie over de aansprakelijkheid. Ook het AnyDesk-argument faalde: dat de software op de computer stond, bewijst niet dat zij bij de overschrijvingen werd gebruikt, laat staan dat het echtpaar alles op zijn scherm kon volgen.

Voor de drie itsme-transacties besliste de voorzitter anders. Mevrouw erkende dat zij het itsme-account zelf op haar eigen gsm had geïnstalleerd, en volgens de website van itsme is een account maar op één toestel toegankelijk. Het was dus niet aannemelijk dat de fraudeur die transacties had bevestigd. Met verwijzing naar de rechtsleer (R. Steennot, “Betaalfraude: a never ending story?”, TBH 2025/1, 83) en naar het jaarverslag 2025 van Ombudsfin kwalificeerde de voorzitter die betalingen als klassieke bankkluisfraude: het echtpaar gaf zelf drie opdrachten om een bepaald bedrag naar een bepaalde rekening over te maken en dwaalde enkel over de identiteit van de bestemmeling. Dat maakt de transacties volgens de voorzitter niet niet-toegestaan, zodat artikel VII.43 WER er niet op kan worden toegepast.

Verrekening, kantonnement, stukken en strafonderzoek

Het beroep van Argenta op schuldvergelijking op grond van haar Algemeen Reglement van de Verrichtingen miskende volgens de voorzitter het doel van artikel VII.44 WER. In die redenering zou de bank bijna altijd een niet-opeisbare tegenvordering op haar klant kunnen inroepen en zich zo tegen de onmiddellijke terugbetaling verzetten. In zoverre de algemene voorwaarden die strekking hebben, zijn zij strijdig met de wet: van artikel VII.43 WER kan contractueel niet worden afgeweken. Wil de bank het geld terug omdat de betaler grof nalatig was, dan moet zij dat ten gronde vorderen.

De vraag om de zaak aan te houden tot het strafonderzoek was afgerond, wees de voorzitter af: Argenta was er zelf niet in geslaagd meteen na de fraude iets te recupereren, en dat het echtpaar dat na zijn klacht wel zou kunnen, was niet aannemelijk. De vordering tot voorlegging van de WhatsApp-berichten en de itsme-geschiedenis was zonder voorwerp, gelet op de prima facie vaststellingen. Een kantonnement of andere zekerheid weigerde hij eveneens, omdat dat zou neerkomen op een omzeiling van artikel VII.43 WER en het echtpaar opnieuw aan een ernstig nadeel zou blootstellen.

Argenta werd veroordeeld tot creditering van de rekening met 46.857,10 euro, met valutadatum 29 respectievelijk 30 april 2026. Omdat de wet die valutadatum oplegt, was de vordering tot interest zonder voorwerp. De bank draagt de kosten: 4.709,30 euro rechtsplegingsvergoeding, 428,82 euro dagvaardingskosten en 165 euro rolrecht. De beschikking is uitvoerbaar bij voorraad op grond van artikel 1039 van het Gerechtelijk Wetboek.

Juridische analyse en duiding

Drie Antwerpse beschikkingen op een rij, en zes dagen later het Hof van Justitie

Dit is de derde keer in vijf maanden dat de voorzitter van de ondernemingsrechtbank te Antwerpen een bank in kort geding tot terugbetaling veroordeelt. Op 26 mei 2026 ging het om 49.958 euro, verdwenen na een telefoontje van een valse bankmedewerker aan een echtpaar van 90 en 93 jaar; wij bespraken die beschikking in onze blog over de vraag of de bank na phishing eerst moet terugbetalen, zelfs bij grove nalatigheid. Op 1 september 2026 ging het om 49.050 euro na bankhelpdeskfraude bij een echtpaar van 80 en 87 jaar, waar de voorzitter het verrekeningsbeding, het kantonnement en het lopende strafonderzoek als uitstelgronden afwees; zie onze blog over de vraag of de bank de terugbetaling mag uitstellen tot de zaak ten gronde is beslecht. De beschikking van 9 oktober 2026 herhaalt die twee lijnen woordelijk en voegt er één element aan toe: een uitdrukkelijke splitsing per authenticatiemiddel.

De rode draad is telkens dezelfde en de voorzitter noemt ze zelf: eerst betalen, daarna pas argumenteren. Die rode draad heeft intussen Europese bevestiging. In het arrest Tukowiecka (HvJ 15 oktober 2026, C-70/25) verklaarde het Hof van Justitie voor recht dat een betalingsdienstaanbieder niet mag weigeren het bedrag van een niet-toegestane transactie onmiddellijk terug te betalen op grond dat de betaler die transactie door grove nalatigheid mogelijk heeft gemaakt. Het Hof steunt daarvoor op de tekst en de ontstaansgeschiedenis van artikel 73 van de tweede betalingsdienstenrichtlijn: de Uniewetgever heeft bewust maar één uitzondering op de onmiddellijke terugbetaling aanvaard, het vermoeden van fraude, en liet de lidstaten niet toe er andere aan toe te voegen. Het arrest verscheen zes dagen na de Antwerpse beschikking en kon er dus niet in worden aangehaald, maar het sluit precies aan bij wat de voorzitter al driemaal had geoordeeld. Een bank die in België nog aanvoert dat zij de terugbetaling mag opschorten omdat de klant grof nalatig was, pleit sinds 15 oktober 2026 tegen de uitleg van het Hof van Justitie in.

Twee grenzen blijven wel staan, en ze zijn in deze zaak allebei zichtbaar. De eerste is procedureel: de onmiddellijke terugbetaling is een materiële plicht van de bank, maar wie ze in kort geding wil afdwingen, moet nog altijd de spoedeisendheid aantonen. De voorzitter van de Nederlandstalige ondernemingsrechtbank te Brussel wees op 10 juni 2026 een gelijkaardige vordering af op dat punt, zoals we uiteenzetten in onze blog over de vraag of de terugbetalingsplicht volstaat om een kort geding te starten. De Antwerpse voorzitter lost dat op door de spoedeisendheid eerst uit de wettelijke termijn zelf af te leiden en daarna nog eens in concreto vast te stellen, met pensioen, leeftijd, saldo en de noodgedwongen verkoop van de effectenportefeuille als bewijsstukken. De tweede grens is inhoudelijk, en daarover gaat het volgende punt.

Is een betaling die het slachtoffer zelf via itsme bevestigt altijd toegestaan?

Het echtpaar kreeg 46.857,10 euro terug en niet 61.507,81 euro, en het verschil zit volledig bij de drie itsme-transacties. De voorzitter rangschikte die onder de bankkluisfraude, waar de betaler zelf de overschrijving ingeeft en bevestigt en enkel misleid is over het waarom. Die kwalificatie is verdedigbaar, maar zij verdient een tegenstem, want het onderscheid tussen een ontfutselde kaartlezercode en een itsme-bevestiging is minder scherp dan de beschikking suggereert.

Het tegenargument komt uit de bron die de voorzitter zelf aanhaalt. Ombudsfin schrijft in zijn jaarverslag 2025 dat het in de recente vishing-dossiers meestal niet het slachtoffer is dat de overschrijving in zijn bankomgeving invoert, maar de fraudeur, die zich op een of andere manier toegang tot die omgeving heeft verschaft; het slachtoffer krijgt daarna enkel een bevestigingsvraag in zijn itsme-app. Wie alleen een scherm bevestigt, heeft niet zelf een bedrag en een rekeningnummer ingetikt. Of hij dan heeft ingestemd met een welbepaald bedrag naar een welbepaalde rekening, de essentie van een betalingsopdracht, hangt af van wat het bevestigingsscherm toonde en van wat de fraudeur hem had voorgehouden. Ombudsfin besluit zelf dat het “veelal” om toegestane transacties gaat, omdat de itsme-app bedrag en begunstigde doorgaans vermeldt. Veelal is niet altijd.

Dat tegenargument heeft rechtspraak achter zich. Het hof van beroep te Antwerpen oordeelde op 3 september 2025, eveneens tegen Argenta, dat het bewijs van een correcte authenticatie niet volstaat als bewijs van instemming, dat de voorbereidende werken een uitdrukkelijke instemming vereisen, en dat de klant die een negatief feit moet bewijzen, volstaat met het waarschijnlijk maken dat hij niet instemde (HvB Antwerpen 3 september 2025, 2024/AR/1289, NjW 2025, afl. 531, 808). Het Hof van Justitie zei in het arrest Eurobank Bulgaria (HvJ 11 juli 2024, C-409/22) al dat de Uniewetgever niet enkel de formele juistheid van de gebruikte rechtshandelingen wilde laten nagaan: ook een transactie die volgens de afgesproken procedure werd bevestigd, kan niet-toegestaan zijn.

Weegt dat tegenargument hier door? Waarschijnlijk niet, en dat ligt aan de feiten zoals de voorzitter ze vaststelde. Hij stelt dat het echtpaar via itsme drie opdrachten gaf om een bepaald bedrag naar een bepaalde rekening over te maken en enkel over de bestemmeling dwaalde. Als het echtpaar bedrag en rekeningnummer kende, is de instemming ook volgens de rechtsleer die de voorzitter aanhaalt aanwezig, en is de dwaling over het motief niet relevant. De zwakke schakel zit in de stap ervoor: de voorzitter leidt uit het ene toestel van itsme af dat de fraudeur de transacties niet kan hebben bevestigd, en concludeert daaruit dat het echtpaar ze zelf heeft gegeven. Wie bevestigt is echter niet noodzakelijk wie invoert, en de beschikking onderzoekt niet wat het itsme-scherm toonde. Voor een kortgedingrechter die prima facie oordeelt, is dat begrijpelijk. In de bodemprocedure zal precies die vraag, wie de drie opdrachten in de bankomgeving invoerde en wat het echtpaar op het scherm te zien kreeg, het lot van de resterende 14.835 euro bepalen.

Wat ten gronde nog volgt

De beschikking regelt bewust niets definitief. Voor de elf kaartlezertransacties behoudt Argenta het recht om ten gronde te bewijzen dat het echtpaar grof nalatig was, en dan draagt de betaler het verlies op grond van artikel VII.44 WER. De sms-waarschuwingen bij elke responscode en de eventuele AnyDesk-sessie, die de voorzitter voor de kwalificatie terzijde schoof, komen in dat debat terug. Het Hof van Cassatie heeft daarvoor in zijn arrest van 29 juni 2026 (C.25.0390.N) de lat bepaald: grove nalatigheid is meer dan onvoorzichtigheid, en een rechter mag die kwalificatie niet opbouwen uit tussenstappen die niet bewezen zijn, zoals we toelichtten in onze blog over de vraag wanneer een phishingslachtoffer grof nalatig is. Een bank die de last van die procedure niet wil dragen, heeft met deze beschikking haar antwoord: die last ligt bij haar, niet bij de klant.

Wat betekent dit concreet?

Voor slachtoffers van phishing of bankhelpdeskfraude. Meld de fraude dezelfde dag, laat de kaarten blokkeren en dien klacht in; die drie stappen droegen in deze zaak de vaststelling dat het echtpaar niet had getalmd. Houd bij welke handelingen u zelf stelde en welke de fraudeur: codes van een kaartlezer doorgeven is iets anders dan zelf een overschrijving in uw bankapp invoeren en via itsme bevestigen, en de beschikking behandelt beide verschillend. Bewaar schermafbeeldingen van elke bevestigingsvraag in itsme of in de bankapp, want wat dat scherm toonde, beslist of de transactie als toegestaan geldt. Verzamel ook de stukken die uw spoedeisendheid aantonen: uw inkomen, het saldo van uw rekeningen na de fraude en de kosten die u moest maken om weer over geld te beschikken. Twijfelt u of de bank u na phishing moet terugbetalen, dan is de kwalificatie van elke afzonderlijke transactie het eerste wat wij voor u nagaan.

Voor banken en betalingsdienstaanbieders. De uitzondering in artikel VII.43 WER is beperkt tot een gemotiveerd vermoeden van fraude door de klant zelf, schriftelijk gemeld aan de FOD Economie. Grove nalatigheid, een verrekeningsbeding in het algemeen reglement, een lopend strafonderzoek en een vraag tot kantonnement zijn in drie opeenvolgende Antwerpse beschikkingen afgewezen als uitstelgrond, en het arrest Tukowiecka ontneemt het eerste argument ook op Europees niveau zijn grond. Wie de kwalificatie van een transactie wil betwisten, moet per transactie aantonen wie de opdracht invoerde en wat de klant bevestigde; een algemene verwijzing naar de authenticatie volstaat niet.

Voor wie een phishingdossier opstart. Overweeg het kort geding, maar bouw de spoedeisendheid dubbel op: uit de wettelijke termijn van artikel VII.43 WER en uit de concrete financiële situatie van de cliënt. Splits de vordering op per authenticatiemiddel en anticipeer op de itsme-vraag, zodat een gedeeltelijke afwijzing geen verrassing is. Vraag de uitsluiting van het kantonnement uitdrukkelijk; de voorzitter kende ze in deze zaak toe.

Veelgestelde vragen (FAQ)

Moet de bank mij meteen terugbetalen na phishing, ook als zij zegt dat ik grof nalatig was?

Ja, als het om een niet-toegestane betalingstransactie gaat. Artikel VII.43 WER verplicht de bank het bedrag onmiddellijk terug te betalen, uiterlijk de eerstvolgende werkdag, met de debiteringsdatum als valutadatum. Het Hof van Justitie bevestigde op 15 oktober 2026 dat grove nalatigheid geen reden is om die terugbetaling te weigeren. De bank kan uw grove nalatigheid wel nadien ten gronde inroepen om het geld terug te vorderen.

Wanneer is een betaling na phishing toegestaan en wanneer niet?

Een betaling is toegestaan wanneer u zelf instemde met de overschrijving van een bepaald bedrag naar een bepaalde rekening. Gaf u een fraudeur de codes van uw kaartlezer en voerde hij daarmee overschrijvingen uit, dan is dat volgens de Antwerpse voorzitter niet-toegestaan. Voerde u zelf een overschrijving in en bevestigde u ze via itsme omdat de fraudeur u een veilige rekening voorspiegelde, dan beschouwde dezelfde voorzitter dat als een toegestane betaling.

Is een overschrijving die ik zelf via itsme bevestigde verloren?

Niet noodzakelijk. De beschikking van 9 oktober 2026 oordeelde enkel prima facie, in kort geding, dat die transacties niet onder de onmiddellijke terugbetalingsplicht vallen. In een procedure ten gronde telt wie de overschrijving in de bankomgeving invoerde en wat het bevestigingsscherm toonde. Blijkt dat de fraudeur de opdracht invoerde en u enkel een scherm bevestigde zonder bedrag of begunstigde, dan blijft de kwalificatie als niet-toegestane transactie verdedigbaar.

Hoe snel moet ik naar de rechter stappen na phishing?

Er geldt geen vaste termijn, maar wie een kort geding wil, moet de spoedeisendheid bij de dagvaarding en bij de uitspraak aantonen. In deze zaak vond de voorzitter vier maanden tussen de fraude en de dagvaarding niet onredelijk, omdat het echtpaar binnen de dag had gemeld en klacht ingediend, tweemaal had aangemaand en de bank niet antwoordde. Wacht niet op een antwoord van de bank om uw dossier samen te stellen.

Conclusie

De voorzitter van de ondernemingsrechtbank te Antwerpen bevestigt voor de derde keer in vijf maanden dat een bank in België het bedrag van een niet-toegestane betalingstransactie na phishing onmiddellijk moet terugbetalen, ook in kort geding en nog vóór het debat over grove nalatigheid, en dat een verrekeningsbeding, een strafonderzoek of een kantonnement dat niet mag uitstellen. Nieuw is de splitsing per authenticatiemiddel: codes die een fraudeur ontfutselde leiden tot een niet-toegestane transactie, een overschrijving die het slachtoffer zelf via itsme bevestigde niet. Zes dagen na de beschikking gaf het Hof van Justitie in het arrest Tukowiecka de eerste lijn een Europese grondslag.

ICT Rechtswijzer is het kennisplatform van het departement intellectuele eigendom, IT-recht, AI-recht, gegevensbescherming en mediarecht van Everest Advocaten, onder leiding van mr. Joris Deene. Onze advocaten begeleiden slachtoffers van phishing en bankhelpdeskfraude bij de kwalificatie van elke betwiste transactie, de ingebrekestelling van de bank en de vordering tot onmiddellijke terugbetaling in kort geding of ten gronde.