Na uitspraak van Hof van Cassatie in zaak tegen KBC: kunnen banken phishingfactuur nog lang van zich afschuiven?

Het verhaal van Stijn Gansemans begint zoals dat van talloze andere slachtoffers van phishing. Op 23 januari 2020 ontvangt hij een bericht van de FOD Financiën die hem laat weten dat hij een openstaande belastingschuld van 89 euro heeft. Hij klikt op een link en geeft zonder zich daarvan bewust te zijn toestemming om zijn KBC-app op een ander toestel te installeren.

Als hij de volgende dag zijn bankrekening opent, ziet hij dat er 24.852,15 euro verdwenen is. In plaats van zich neer te leggen bij de situatie, schrijft hij in De Morgen niet alleen een open brief aan KBC-baas Johan Thijs. Hij daagt de bank ook voor de rechtbank. In 2020 wordt geoordeeld dat er een volledige terugbetaling moet komen, maar KBC gaat in beroep en krijgt in 2025 gelijk. Een arrest van het Hof van Cassatie legt de zaak nu in een definitieve en voor Gansemans positieve plooi.

Banken zijn wettelijk verplicht om slachtoffers van phishing binnen de 48 uur terug te betalen, maar in de praktijk verschuilen ze zich vaak achter het principe van “grove nalatigheid”. Er is alleen geen precieze definitie van wat het begrip precies inhoudt, waardoor de uitkomsten van gelijkaardige rechtszaken soms verschillen.

In het arrest van de zaak-Gansemans heeft het Hof van Cassatie die grove nalatigheid voor het eerst wel strak gedefinieerd. Concreet gaat het om “een gedraging die een redelijk, normaal zorgvuldig betaler nooit zou stellen of nooit zou nalaten te stellen”. “De lat wordt voor de banken heel hoog gelegd op die manier. Zij kunnen de bescherming van de consument niet zomaar ontzeggen”, zegt Gansemans’ advocaat Tom De Smet.

Op een nagemaakte website betaalgegevens invullen of zoals Gansemans waarschuwingsberichten van de echte bank links laten liggen: volgens het Hof van Cassatie is het geen grove nalatigheid. Slachtoffers van phishing zullen het ongetwijfeld graag horen, want in 2024 werd volgens bankenfederatie Febelfin 49 miljoen buit gemaakt op die manier. Maar zal dat geld dan voortaan ook sneller op de rekeningen van gedupeerden belanden?

“De interpretatie van grove nalatigheid bestaat al langer en wordt ook toegepast door veel lagere rechtbanken”, zegt advocaat Wesley Jeunen. Als het Hof van Cassatie zich er als hoogste rechtbank van ons land ook achter schaart, kan dat in die lagere rechtbanken onzekerheid wegnemen.

Vandaag zijn banken eigenlijk al verplicht om slachtoffers van phishing onmiddellijk terug te betalen, en pas later kunnen zij dan een onderzoek naar grove nalatigheid opstarten. Alleen gebeurt nu meestal het omgekeerde en rekenen ze erop dat opgelichte klanten geen juridische procedure zullen opstarten. “De meeste mensen vinden de weg naar de advocaat niet of maken een kosten-batenanalyse”, vertelt De Smet.

Voor Gansemans was zijn zaak voor een deel dan ook een principekwestie, want hij wilde toekomstige slachtoffers helpen. Minister van Consumentenbescherming Rob Beenders (Vooruit) haalde het arrest ook aan toen hij vrijdag zijn phishingplan voorstelde tijdens de ministerraad. Een lagere overschrijvingslimiet, een langere wachttijd en meer bewijslast voor de banken waren de grote pijlers van dat wetsontwerp. Na het zomerreces zou het dossier opnieuw op tafel komen.

Het arrest zet dus wel wat in beweging, al waarschuwt advocaat Roeland Moeyersons dat ook de phishingwereld zelf zich snel aanpast aan de realiteit. De uitspraak van het Hof van Cassatie draait bijvoorbeeld om technologische phishing, waarbij de vraag is of banken hun klanten wel goed genoeg beschermen tegen misbruik van online platformen door oplichters.

Moeyersons ziet echter dat die vorm van phishing almaar minder voorkomt. “Vandaag gaat het meer om sociale of psychologische phishing. Denk aan een boekhouder die via het gehackte mailaccount van zijn baas een overschrijvingsopdracht krijgt of aan een telefoontje waarin zogezegde bankmedewerkers zeggen dat je je geld moet storten op een wachtrekening omdat ze verdachte bewegingen zien op je rekening”, vertelt hij.

In zulke gevallen is het veel minder evident om zelfs met een strikte definitie van grove nalatigheid een zaak te winnen. “Banken kunnen moeilijk aansprakelijk gesteld worden voor bizar gedrag van mensen, wel voor bizarre overschrijvingen.”

Om de kans op phishing te verkleinen, valt er op dat laatste domein wel nog veel winst te boeken. Nog te vaak klinken er geen alarmbellen als brave gepensioneerden op een nacht tijd al hun spaarcenten naar het buitenland overschrijven. “Ik zie zelfs intelligente mensen in oplichting trappen en dat komt vaak door tijdsdruk. Als je de urgentie kan breken door bij internationale overschrijvingen een wachtperiode te installeren, kan dat een groot verschil maken”, zegt Moeyersons.

Met de hogere bewijslast voor banken en de engere definitie van grove nalatigheid winnen slachtoffers van phishing hun strijd dus nog niet altijd. Ook Gansemans is nog niet zeker wanneer hij zijn 25.000 euro zal terugzien. Volgend jaar buigt het Antwerpse hof van beroep zich opnieuw over de zaak. De gerechtskosten lopen ondertussen verder op, al vindt de gedupeerde de precedentwaarde te belangrijk om het nu nog op te geven.