Een appje van een onbekend nummer, een vermoeide blik op het scherm en per ongeluk toch op dat linkje geklikt: zo gaat phishing in de praktijk vaak. Wie daarna bij de bank aanklopt, kreeg weleens nul op het rekest als de bank vond dat de klant te onvoorzichtig was geweest. Daar komt verandering in. Het Hof van Justitie van de Europese Unie oordeelde op 15 oktober 2026 dat banken slachtoffers van phishing voortaan vrijwel altijd meteen moeten terugbetalen, ook wanneer de klant grove nalatigheid wordt verweten.
Wat het Hof precies heeft besloten
Volgens de uitspraak moet een betaaldienstverlener het bedrag van een niet-geautoriseerde transactie in beginsel onmiddellijk terugbetalen. Dat moet uiterlijk aan het eind van de eerstvolgende werkdag gebeuren, nadat de bank de transactie heeft opgemerkt of nadat de klant er melding van heeft gedaan. Vindt de bank naderhand dat de klant opzettelijk of met grove nalatigheid heeft gehandeld, dan mag ze het geld alsnog terugvorderen. Maar de bewijslast daarvoor ligt bij de bank zelf, niet bij de klant, zo benadrukt ook de Consumentenbond.
Een Poolse zaak met gevolgen voor heel Europa
De zaak die tot deze uitspraak leidde, speelde in Polen. Een vrouw deed daar een betaling via een online verkoopplatform aan iemand die zich voordeed als koper van haar spullen, een klassieke babbeltruc in digitale vorm. Haar bank weigerde het verloren bedrag terug te storten. Een Poolse rechter legde de zaak voor aan het Europese Hof, dat nu duidelijkheid geeft over de uitleg van de Europese richtlijn betaaldiensten, beter bekend als PSD2. Alleen als de bank een ernstig vermoeden van fraude door de klant heeft en dat schriftelijk meldt bij de bevoegde instanties, hoeft ze niet meteen te betalen. In alle andere gevallen geldt: eerst terugbetalen, dan pas uitzoeken wat er precies is gebeurd. De Nederlandse Vereniging van Banken bestudeert de uitspraak en laat later weten wat dit voor Nederlandse klanten gaat betekenen.
Wat dit betekent voor webshops en hun klanten
Voor webshops is dit nieuws om twee redenen relevant. Ten eerste raken phishingaanvallen regelmatig juist kopers en verkopers die online zaken doen, via nepmails die een betaalverzoek of pakketmelding nabootsen. Hoe sterker klanten straks beschermd zijn tegen zulke fraude, hoe meer vertrouwen zij overhouden in online winkelen in het algemeen, en dat is goed voor elke serieuze webshop. Ten tweede doen webwinkeliers er goed aan om zelf ook na te denken over welke betaalmethoden ze aanbieden en hoe ze klanten daarover informeren. Een klant die weet dat een betaling via de webshop veilig verloopt, rekent sneller af en komt ook vaker terug.
Vertrouwen blijft de basis
Deze uitspraak verschuift de verantwoordelijkheid bij fraude dichter naar de bank, maar het voorkomt natuurlijk geen enkele phishingmail. Webshops die willen laten zien dat zij zelf wel alles op orde hebben, op het gebied van beveiliging, betalen en klantcontact, bouwen daarmee aan hetzelfde vertrouwen waar deze uitspraak ook op mikt. Wie dat zichtbaar wil maken, kan zich aanmelden bij Webshop Keurmerk, dat erkend is door de Consumentenbond. Meer over hoe zo’n keurmerk bijdraagt aan het vertrouwen van klanten staat in de kennisbank. Hoe de discussie tussen banken en toezichthouders de komende maanden ook uitpakt, voor klanten is één ding al duidelijk: bij phishing staan zij er voortaan minder alleen voor.
Recente reacties