ECLI:NL:GHAMS:2013:2864

Uitspraak

arrest

___________________________________________________________________ _ _

GERECHTSHOF AMSTERDAM

Afdeling civiel recht en belastingrecht, team I

zaaknummer 200.101.575/01

zaaknummer rechtbank CV 10-36115

arrest van de meervoudige burgerlijke kamer van 10 september 2013

inzake

de naamloze vennootschap ING BANK N.V.,

gevestigd te Amsterdam,

APPELLANTE,

tevens incidenteel GEÏNTIMEERDE,

advocaat:
mr. D.M.H. de Leeuwte Amsterdam,

tegen:

[geïntimeerde],

wonend te [woonplaats],

GEÏNTIMEERDE,

tevens incidenteel APPELLANT,

advocaat:
mr. K.P. Meegdeste Maastricht.

1.Het geding in hoger beroep

Partijen worden hierna wederom ING en [geïntimeerde] genoemd.

Het hof heeft in deze zaak op 26 februari 2013 een tussenarrest uitgesproken. Voor het verloop van het geding in hoger beroep tot die datum wordt naar dat arrest verwezen.

ING heeft bij akte overlegging producties de ‘Nota ongewenste kaarttransacties’ van Collis aan de Nederlandse Vereniging van Banken d.d. 4 oktober 2011 alsmede een memo met nadere toelichting op dit rapport overgelegd. [geïntimeerde] en ING hebben zich vervolgens ieder bij akte uitgelaten over de bewijsvoering. [geïntimeerde] heeft daarbij nog producties overgelegd.

Ten slotte hebben partijen wederom arrest gevraagd.

2.Beoordeling

In principaal en incidenteel appel:

2.1

Zoals in het tussenarrest is overwogen, staat tussen partijen vast dat de overboeking ten bedrage van € 1.250,-- die op 28 januari 2010 plaatsvond op de rekening van [geïntimeerde], frauduleus en derhalve onverschuldigd was. Dit brengt mee dat [geïntimeerde] derhalve in beginsel gehouden was tot terugbetaling van dat bedrag. In dit verband heeft het hof in rechtsoverweging 3.5 van het tussenarrest voorts het volgende overwogen. [geïntimeerde] stelt dat ING geen grond had om dit ten onrechte overgeboekte bedrag (deels door verrekening) terug te vorderen omdat hij zelf ook het slachtoffer is geworden van fraude en (zo begrijpt het hof) derhalve recht had op vergoeding van de frauduleus opgenomen bedragen. Zijn vordering is op deze stelling gebaseerd en op de stelling dat hij op onrechtmatige wijze is beschuldigd van betrokkenheid bij deze fraude. ING heeft dit gemotiveerd betwist. Zij heeft daartoe aangevoerd dat de opname op 28 januari 2010 bij de ING-pinautomaat niet anders dan met de originele bankpas met bijbehorende pincode kan zijn uitgevoerd. Ten tijde van de bewuste transactie kon immers slechts geld uit een ING-automaat worden opgenomen indien de pas was voorzien van een zogenaamde EMV-chip. Bij een ‘geskimde’ pas met een gekopieerde magneetstrip ontbreekt de EMV-chip en een namaak EMV-pas is bij Nederlandse pinautomaten onbruikbaar vanwege de zogenaamde DDA technologie. Aldus heeft ING gemotiveerd aangevoerd dat [geïntimeerde] ofwel zelf bewust betrokken is geweest bij de fraude ofwel onzorgvuldig met zijn bankpas en pincode is omgegaan.

2.2

In het tussenarrest heeft het hof op grond van de wettelijke regels van bewijslastverdeling geoordeeld dat het, mede gelet op de gemotiveerde betwisting ter zake door ING, op de weg van [geïntimeerde] ligt om bewijs te leveren van zijn stelling dat hij het slachtoffer is geworden van fraude en ten onrechte is beschuldigd van betrokkenheid daarbij. Het is immers aan [geïntimeerde] om specifieke feiten en omstandigheden te stellen en bij betwisting te bewijzen waaruit kan worden afgeleid dat ING schadeplichtig is jegens [geïntimeerde] en geen vordering uit onverschuldigde betaling ten bedrage van € 1.250,-- jegens [geïntimeerde] kon geldend maken. Dit vloeit voort uit artikel 150 van het Wetboek van Burgerlijke Rechtsvordering, dat bepaalt dat de partij die een beroep doet op de rechtsgevolgen van door haar gestelde feiten of rechten, de bewijslast draagt van die feiten of rechten, tenzij uit enige bijzondere regel of uit de eisen van redelijkheid en billijkheid een andere verdeling van de bewijslast voortvloeit. Daarbij heeft het hof in rechtsoverweging 3.6 van het tussenarrest expliciet overwogen dat [geïntimeerde], ten einde aan de op hem rustende bewijslast te voldoen, dient aan te tonen dat het technisch mogelijk is dat de opnames op 28 januari 2010 op een andere wijze hebben plaatsgevonden dan door gebruikmaking van de originele bankpas van [geïntimeerde], alsook dat dit in dit geval zo is gegaan.

2.3

ING heeft (conform verzoek van het hof) eerst bij akte overlegging producties de ‘Nota ongewenste kaarttransacties (als reactie op DAS rapport)’ van Collis aan de Nederlandse Vereniging van Banken d.d. 4 oktober 2011 overgelegd. Hierin wordt onderzoek naar verschillende ongewenste pintransacties besproken en wordt onder meer het volgende vermeld:
‘Alleen het afkijken van de pincode is niet voldoende, de fraudeur moet tevens beschikken over de originele geldige bankpas dan wel een werkende (geskimde) kopie-bankpas. (…) Een zogeheten yes-card is, in aanvulling op wat Cyberdefense schrijft, een nagemaakte EMV bankpas met een gestolen (geskimmed) echtheidsmerk daarop aangebracht (SDA of statische handtekening). Een nagemaakte EMV bankpas gedraagt zich precies hetzelfde als de echte pas. Echter kan de nagemaakte pas geen correcte digitale handtekeningen aanmaken. De term yes-card komt voort uit het feit dat deze pas offline (tussen pas en betaalautomaat) akkoord geeft op elk transactiebedrag. Nederlandse bankpassen maken gebruik van DDA technologie (dynamische handtekening) en zijn daarom niet gevoelig voor deze aanval. Ook worden in Nederland alle transacties (online) goedgekeurd door de bank; op dat moment voert de bank diverse controles uit, en zal constateren dat de digitale handtekening niet klopt. (…) Samengevat: de MITM aanval op de pincode verificatie (zoals omschreven door Cambridge University) is niet van toepassing op Nederlandse bankpassen, en kan bovendien niet worden uitgevoerd op geldautomaten. (…) Een bank kan eenvoudig vaststellen dat er bij een transactie gebruik is gemaakt van de chip. In dat geval is het zeker dat de originele bankpas gebruikt is, en dus bijvoorbeeld niet een geskimde bankpas.’

2.4

[geïntimeerde] betwist dat dit rapport van Collis de stelling van ING dat de frauduleuze geldopnames op 28 januari 2010 moeten hebben plaatsgevonden met de originele bankpas van [geïntimeerde], onderbouwt. Daartoe voert [geïntimeerde] aan dat dit rapport niet actueel is en een momentopname in de snel verouderde wereld van pinpasfraude en dat het rapport bovendien summier is. Tevens heeft [geïntimeerde] de ‘Rapportage pinpasfraude, een onderzoek naar ongewenst pintransacties’ van het expertisebureau Cyberdefense van 30 mei 2011 waarop het voornoemde rapport van Collis een reactie vormt, overgelegd. In deze rapportage wordt geconcludeerd als volgt:
‘Ondanks de inzet van alle partijen is het niet mogelijk om techniek 100% veilig te laten werken. Er zullen altijd veiligheidsgaten te vinden zijn. Of deze nou met een simpele camera of een high tech databasehack plaatsvinden. Er zijn ondanks alle maatregelen nog voldoende opties waarop er transacties kunnen plaatsvinden zonder dat de rekeninghouders hier direct bij betrokken zijn geweest. In dit rapport zijn natuurlijk slechts de methoden besproken die publiek bekend zijn, of doordat deze door IT-onderzoekers van een universiteit gepubliceerd zijn of doordat er een criminele aanval is geweest die ontdekt is. Het is niet ondenkbaar dat er aanvallen op het huidige pinsysteem zijn die (nog) niet ontdekt zijn door onderzoekers, de politie of bancaire sectoren. Criminelen zullen natuurlijk altijd proberen om buiten het zicht van deze partijen te blijven. Concluderend kan worden vastgesteld dat de stelling dat medewerking van de pashouder noodzakelijk is, niet houdbaar geacht kan worden.’[geïntimeerde] beroept zich bovendien op een persbericht van 2 april 2013 van de Nederlandse Vereniging van Banken waaruit blijkt dat de magneetstrip nog steeds kan worden gekopieerd en dat de schade door bankfraude in 2012 nog slechts is gedaald en niet tot nul is gereduceerd. [geïntimeerde] stelt dat de combinatie van een EMV-chip en magneetstrip nog altijd fraudegevoelig is. Ofschoon [geïntimeerde] stelt dat de bewijslast op ING rust, stelt hij ook aldus te hebben aangetoond dat het op 28 januari 2010 nog altijd technisch mogelijk was dat de opnames op een andere wijze hebben plaatsgevonden dan door gebruikmaking van de originele bankpas van [geïntimeerde]. Dat de litigieuze bedragen op 28 januari 2010 anders dan door gebruikmaking van zijn originele bankpas van zijn rekening zijn afgenomen, meent hij te kunnen aantonen door de schriftelijke verklaringen van zijn buurman en van hemzelf d.d. 17 en 18 april 2013. Naar het oordeel van [geïntimeerde] blijkt genoegzaam uit deze verklaringen dat [geïntimeerde] op 28 januari 2010 de hele dag in Maastricht was en dat hij bovendien zijn originele bankpas in zijn bezit had.

2.5

Het hof volgt [geïntimeerde] niet in zijn stelling dat hij heeft aangetoond dat het technisch mogelijk is dat de opnames op 28 januari 2010 op een andere wijze hebben plaatsgevonden dan door gebruikmaking van zijn originele bankpas. Integendeel, hetgeen [geïntimeerde] heeft aangevoerd biedt daarvoor geen enkel aanknopingspunt. Op geen enkele wijze maakt [geïntimeerde] concreet aannemelijk hoe de litigieuze transacties zonder originele bankpas tot stand hebben kunnen komen. De kritiek van [geïntimeerde] op de inhoud van het rapport van Collis is niet specifiek. Uit de aangehaalde algemene conclusies van de rapportage van Cyberdefense kan evenmin worden afgeleid dat de litigieuze geldopnames op 28 januari 2010 hebben kunnen plaatsvinden zonder gebruikmaking van de originele bankpas. Dat bankpassen nog steeds geskimd worden en dat er nog steeds schade wordt geleden door bankfraude wordt niet betwist. ING betwist slechts de stelling dat de opnames op 28 januari 2010 door een geskimde pas hebben kunnen plaatsvinden. Ter onderbouwing van deze betwisting heeft ING Underwriters Laboratories (UL) Transaction Security, de opvolger van Collis, de vraag gesteld of uit het overgelegde rapport van Collis de conclusie kan worden getrokken dat het op 28 januari 2010 op basis van de thans bekende technieken onmogelijk was om geld op te nemen bij een Nederlandse ING (en/of ABN AMRO) betaal- of pinautomaat zonder gebruik te maken van de originele (ING) Betaalpas van de rekeninghouder. In haar memo “Nadere toelichting “Nota ongewenste kaarttransacties (als reactie op DAS rapport) d.d. 4 oktober 2011”’ van 25 maart 2013 beantwoordt UL Transaction Security deze vraag als volgt bevestigend:
‘Uit het rapport kan inderdaad worden afgeleid dat een opname bij een Nederlandse geldautomaat op 28 januari 2010 niet mogelijk was, anders dan door gebruikmaking van de originele EMV-betaalpas. Bij een geldopname op een betaalautomaat in Nederland zal de betaalautomaat altijd contact hebben met de autorisatiesystemen van de bank van de kaarthouder. De kaart zet met geheime sleutels uit de chip een handtekening over de transactie. Deze handtekening wordt door de bank gecontroleerd tijdens de transactie. De testen die gedaan worden tijdens de hard- en softwarecertificering van de chip dekken af dat deze geheime sleutels niet uit de chip kunnen worden gehaald. Het uitlezen van geheime gegevens uit de chip is alleen mogelijk indien er zeer grote investeringen gedaan worden in tijd, kennis en geld, die zeer onrendabel zijn in het licht van de verwachte opbrengst. Individueel en eenmalig gebruik is hierdoor uitgesloten en het is onwaarschijnlijk dat een dergelijke aanval daadwerkelijk succesvol in de praktijk kan worden uitgevoerd.’

2.6

Gelet op deze met stukken gestaafde betwisting van ING leveren de in algemene bewoordingen vervatte en niet nader onderbouwde stellingen en speculaties van [geïntimeerde] geen doeltreffend betoog op. In hetgeen [geïntimeerde] aanvoert zijn geen stellingen gelegen die, indien bewezen, kunnen aantonen dat het technisch mogelijk is dat de opnames op 28 januari 2010 op een andere wijze hebben plaatsgevonden dan door gebruikmaking van de originele bankpas van [geïntimeerde], laat staan dat dit in dit geval zo is gegaan. Bij gebreke van ter zake dienende stellingen kan bewijslevering verder achterwege blijven. De schriftelijke verklaringen van [geïntimeerde] en van zijn buurman brengen het hof niet tot andere gedachten. Hierbij neemt het hof mede in overweging dat de verklaringen van [geïntimeerde] en zijn buurman dateren van een geruime periode na 28 januari 2010, dat de desbetreffende bankpas een tweede ING bankpas is die op het eerste gezicht niet te onderscheiden is van de eerste ING bankpas van [geïntimeerde], dat in de verklaringen wordt gesproken over één pinpas, dat [geïntimeerde] geen gebruik maakte van de desbetreffende tweede bankpas en dat de betrokkenheid van de andere pashouders bij de andere frauduleuze overboekingen en opnames van dezelfde dag is erkend. Hetgeen overigens nog door [geïntimeerde] is aangevoerd kan evenmin verhinderen dat aan de

bewijsaanbieding van [geïntimeerde] bestaande uit het horen van zijn buurman en hemzelf als getuigen, wordt voorbijgegaan. De verwijzing in het dictum van het tussenarrest van 26 februari 2013 van dit hof naar de niet bestaande rechtsoverweging 5.7 betreft een zodanig duidelijke kennelijke verschrijving dat [geïntimeerde] heeft moeten begrijpen dat rechtsoverweging 3.7 bedoeld is. Bovendien hebben beide partijen aan het petitum zoals het is bedoeld, gevolg gegeven. Voorts geldt dat zelfs als [geïntimeerde] zou worden gevolgd in zijn stelling dat het hof geen acht mag slaan op de inhoud van de akte van ING van 26 maart 2013, behoudens de overgelegde producties, dit [geïntimeerde] niet kan baten, aangezien zijn bewijsaanbiedingen geen betrekking hebben op concrete stellingen die, indien bewezen, tot een voor hem gunstige beslissing kunnen leiden.

Slotsom

2.7

In het voorgaande ligt besloten dat het principaal appel slaagt alsook dat het incidenteel appel faalt. Het bestreden vonnis zal worden vernietigd en de vorderingen van [geïntimeerde] zullen alsnog worden afgewezen. [geïntimeerde] is de in het ongelijk gestelde partij. Hij heeft de kosten van de procedure in eerste aanleg en van het hoger beroep te dragen.

3.Beslissing

Het hof:

rechtdoende in principaal en incidenteel appel:

vernietigt het tussen partijen gewezen vonnis van de rechtbank Amsterdam van 13 oktober 2011;

en, opnieuw rechtdoende:

wijst de vorderingen van [geïntimeerde] alsnog af;

veroordeelt [geïntimeerde] in de kosten van beide instanties, tot aan deze uitspraak aan de zijde van ING voor wat betreft de eerste aanleg begroot op € 300,-- voor salaris en voor wat betreft het hoger beroep begroot op € 756,64 aan verschotten en € 1896,-- voor salaris.

verklaart de proceskostenveroordeling uitvoerbaar bij voorraad.

Dit arrest is gewezen door mrs. M.M.M. Tillema, A.L.M. Keirse en M.B. Werkhoven en door de rolraadsheer in het openbaar uitgesproken op 10 september 2013.