Phishing via Facebook Marketplace en Payconiq: moet de bank uw gestolen geld terugbetalen?

Bent u slachtoffer geworden van phishing via platformen zoals Facebook Marketplace, waarbij uw bankrekening werd geplunderd? In de meeste gevallen is de bank verplicht om dit bedrag integraal aan u terug te betalen, inclusief intresten. Een vonnis van de Nederlandstalige Ondernemingsrechtbank te Brussel van 16 oktober 2025 bevestigt dat het klikken op een valse Payconiq-link of het missen van waarschuwings-sms’jes in de nacht, niet automatisch als “grove nalatigheid” mag worden bestempeld.

De feiten: een ‘klassieke’ oplichting via Marketplace

De zaak die voor de rechtbank werd gebracht, betreft een scenario dat helaas steeds vaker voorkomt. Een consument wilde via Facebook Marketplace tweedehands videospelletjes kopen. De zogenaamde verkoper stelde voor om de betaling te regelen via een Payconiq-link.

De feiten speelden zich als volgt af:

• De koper ontving een link die leidde naar een omgeving die sterk leek op de vertrouwde betaalomgeving.
• Om de betaling van een klein bedrag (€ 204,40) te bevestigen, gebruikte de koper zijn kaartlezer en gaf hij codes in.
• Zonder dat de koper het besefte, gebruikten de fraudeurs deze codes niet voor een betaling, maar om de app Itsme te installeren op hun eigen toestel.
• Hiermee kregen de criminelen toegang tot de bankrekeningen van het slachtoffer en voerden diezelfde nacht voor meer dan € 13.000 aan overschrijvingen uit.

Toen het slachtoffer de volgende ochtend wakker werd, zag hij meerdere sms-waarschuwingen die ‘s nachts waren verstuurd. Hij belde onmiddellijk de bank en Cardstop. De bank weigerde echter terugbetaling, stellende dat de klant “grof nalatig” was geweest.

De beslissing: bank volledig aansprakelijk

De Nederlandstalige Ondernemingsrechtbank Brussel oordeelde in het voordeel van de gedupeerde klanten. De bank werd veroordeeld tot de terugbetaling van het volledige bedrag (€ 13.211), vermeerderd met de wettelijke intresten vanaf de dag van de diefstal.

De rechtbank verwierp de argumenten van de bank en stelde dat er geen sprake was van grove nalatigheid bij de slachtoffers. Het vonnis benadrukt dat consumenten niet verantwoordelijk kunnen worden gehouden voor geavanceerde fraude die zij redelijkerwijs niet konden detecteren.

Juridische analyse en duiding

Voor slachtoffers en juridische professionals bevat dit vonnis belangrijke interpretaties van het regime inzake niet-toegestane betalingstransacties uit het Wetboek van Economisch Recht (WER).

1. De bewijslast van grove nalatigheid (Art. VII.44 WER)

Het uitgangspunt van de wetgeving (PSD2-richtlijn) is consumentenbescherming. De bank moet het bedrag onmiddellijk terugbetalen (Art. VII.43 WER), tenzij zij kan bewijzen dat de klant frauduleus handelde of grof nalatig was. De rechtbank bevestigt dat de lat voor “grove nalatigheid” zeer hoog ligt. Het gaat om een onvoorzichtigheid die dermate zwaar is dat een normaal zorgvuldige persoon deze nooit zou begaan.

• Misleiding: Het feit dat de URL licht afweek of dat Payconiq normaal niet via een kaartlezer werkt, volstaat niet als bewijs van grove nalatigheid. De fraude was professioneel opgezet en oogde legitiem.
• Nachtelijke waarschuwingen: Het negeren van sms-waarschuwingen is normaal gezien risicovol. Echter, de rechtbank oordeelde dat van een consument niet verwacht kan worden dat hij ‘s nachts wakker wordt van berichten. Het feit dat de klant ‘s ochtends direct reageerde, getuigt juist van zorgvuldigheid.

2. Geen overmacht door systemen van derden (Itsme)

De bank probeerde zich te beroepen op overmacht (Art. VII.55/9 WER) door te wijzen naar de beveiligingslekken bij Itsme of de andere bankinstelling. De rechtbank verwierp dit resoluut. Wanneer een bank toestaat dat haar diensten toegankelijk zijn via een externe app zoals Itsme, is de bank verantwoordelijk voor de veiligheid daarvan. Eventuele tekortkomingen in dat systeem zijn toerekenbaar aan de bank en vormen geen “vreemde oorzaak”.

3. Schadevergoeding en intresten

Opvallend is dat de rechtbank toestaat dat de vergoedende intresten lopen vanaf de datum van de feiten (4 oktober 2023) en niet pas vanaf de ingebrekestelling. Dit compenseert het slachtoffer voor de periode dat hij niet over zijn geld kon beschikken.

Wat betekent dit voor u?

Deze uitspraak versterkt de positie van de bankcliënt aanzienlijk.

• Voor slachtoffers: Laat u niet afschrikken als de bank uw verzoek tot terugbetaling in eerste instantie afwijst met de term “grove nalatigheid”. Als u te goeder trouw handelde en slachtoffer werd van misleiding, staat u juridisch sterk.
• Reactiesnelheid is cruciaal: Hoewel u ‘s nachts mag slapen, moet u onmiddellijk actie ondernemen zodra u de fraude opmerkt. Blokkeer uw kaarten via Cardstop en verwittig uw bank.
• Bewaar bewijsmateriaal: Screenshots van de gesprekken op Marketplace, de valse links en uw sms-historiek zijn essentieel om aan te tonen dat de oplichting geloofwaardig overkwam.

Veelgestelde Vragen (FAQ)

Is het klikken op een link in een bericht altijd ‘grove nalatigheid’?
Nee. De rechtbank oordeelt in concreto. Als de link en de website er professioneel en legitiem uitzien, kan de consument niet verweten worden dat hij in de val trapt. Grove nalatigheid vereist verregaande onvoorzichtigheid, niet louter een vergissing.

Moet ik ‘s nachts bereikbaar zijn voor mijn bank?
Nee. Van een normaal zorgvuldige burger wordt niet verwacht dat hij zijn sms-berichten of bank-app gedurende de nacht in de gaten houdt. Het missen van waarschuwingen tijdens uw slaap is geen reden voor de bank om terugbetaling te weigeren.

Wat als de fraudeurs via Itsme inloggen?
De bank blijft verantwoordelijk. Als de bank toestaat dat Itsme als authenticatiemiddel wordt gebruikt, kan de bank de verantwoordelijkheid bij fraude niet afschuiven op Itsme of de gebruiker, tenzij de gebruiker zelf grof nalatig was met zijn codes.

Conclusie

De bescherming van de consument bij digitaal betalingsverkeer is robuust. Banken hebben een wettelijke plicht om veilige systemen aan te bieden en kunnen verlies door fraude niet zomaar op de klant afwentelen, zeker niet bij geavanceerde phishing. Zolang u als slachtoffer snel reageert na ontdekking en geen codes vrijwillig aan derden geeft (maar misleid werd in een betaalomgeving), moet de bank u vergoeden.