Nätfiske och internetbedrägerier: när måste din bank återbetala dig?

Nätfiske och internetbedrägerier är brott enligt nederländsk lag. En bedragare som lurar dig att lämna ut inloggningsuppgifter eller överföra pengar begår bedrägeri (oplichting) enligt artikel 326 i den nederländska brottsbalken, och ofta även obehörig åtkomst till ett datorsystem (computervredebreuk) enligt artikel 138ab. Om pengar har lämnat ditt konto utan ditt samtycke måste din bank i princip återbetala dem enligt artikel 7:528 i den nederländska civillagen. Det viktigaste undantaget: banken behöver inte betala om den kan visa att du agerat bedrägligt eller grovt oaktsamt. Snabbhet är viktigt, så anmäl händelsen till din bank och gör en polisanmälan så snart du märker det.

Vad räknas som nätfiske enligt nederländsk lag?

Nätfiske är bedrägeri där en brottsling utger sig för att vara en organisation du litar på för att få tag på dina inloggningsuppgifter eller pengar. Nederländsk lag använder inte ordet nätfiske, men den bestraffar beteendet bakom det.

Bedragaren kan utge sig för att vara en bank, en betalningsleverantör, ett leveransföretag eller den nederländska skattemyndigheten (Belastingdienst). Syftet är att få tag på inloggningsuppgifter, betalkortsuppgifter, en verifieringskod eller en signatur i en bankapp. Mediet varierar: ett e-postmeddelande, ett SMS (smishing), ett telefonsamtal från någon som påstår sig vara från bankens bedrägeridisk (vishing), ett meddelande på WhatsApp eller LinkedIn, eller en klonad webbplats bakom ett sponsrat sökresultat.

Flera bestämmelser i den nederländska strafflagen (Wetboek van Strafrecht) kan tillämpas samtidigt:

• Att utge sig för att vara en bank för att få någon att överlämna pengar eller data är bedrägeri enligt artikel 326.
• Att logga in på ett konto med inloggningsuppgifter som erhållits på det sättet är obehörig åtkomst enligt artikel 138ab.
• Att använda en annan persons identifierbara uppgifter för att orsaka skada eller vinna en fördel är straffbart enligt artikel 231b.
• Förfalskning av dokument eller digitala handlingar omfattas av artikel 225.
• Missbruk av betalkort eller uppgifterna bakom dem faller under artikel 232.
• När en attack slutar med krypterade filer och ett krav på lösensumma, träder artikel 350a (ändring eller förstörelse av data) och artikel 317 (utpressning) in i bilden.

Vad räknas som internetbedrägeri?

Internetbedrägerier är den bredare kategorin: alla former av bedrägeri som utförs via en onlinekanal. Juridiskt sett omfattas de flesta former av samma bestämmelse, artikel 326 i brottsbalken.

Internetbedrägerier omfattar webbutiker som tar emot betalning men aldrig skickar varor, falska hyresannonser och investeringsbedrägerier byggda kring kryptovaluta. Det omfattar även fakturabedrägerier, där en leverantörs bankuppgifter i tysthet ändras, och VD-bedrägerier, där en ekonomianställd får en brådskande betalningsinstruktion som ser ut att komma från en direktör. Kärnan är alltid densamma: en bedräglig handling som får någon att skiljas från pengar, varor eller data.

Den praktiska skillnaden mellan nätfiske och den bredare kategorin är var förlusten uppstår. I ett nätfiskefall lämnar pengarna vanligtvis ett betalkonto utan ditt samtycke. Det sätter reglerna för betaltjänster i bok 7 i civillagen i spel. Vid en webbutik eller investeringsbedrägeri överför du pengarna själv. Återkravet blir då en civilrättslig fråga mot bedragaren och ibland mot plattformen eller banken som tog emot pengarna.

Hur känner man igen ett nätfiskemeddelande?

Titta på vad meddelandet ber dig att göra, inte på stavningen. Moderna nätfiskemeddelanden är välskrivna och ofta personliga, så de gamla råden om stavfel räcker inte längre.

Tre signaler förblir tillförlitliga:

• Meddelandet skapar tidspress. Det talar om för dig att ett konto har blockerats eller att en betalning kommer att återföras om du inte agerar nu.
• Den styr dig bort från de kanaler du normalt använder. Den ber dig klicka på en länk eller ringa ett nummer, snarare än att öppna din egen bankapp.
• Den frågar efter något som en bank aldrig frågar efter: en verifieringskod, en signatur i din bankapp för en transaktion du inte har startat, eller tillstånd att installera programvara för fjärråtkomst på din enhet.

Kan du få tillbaka dina pengar från banken?

Vanligtvis ja. Om du inte samtyckte till en betalning måste banken i princip återbetala den omedelbart, såvida du inte agerat bedrägligt eller grovt oaktsamt.

En betalningstransaktion som betalaren inte samtyckte till är en obehörig transaktion i den mening som avses i artikel 7:522 paragraf 2 i den nederländska civillagen. Artikel 7:528 paragraf 1 ålägger sedan betaltjänstleverantören att omedelbart återbetala beloppet och återställa kontot till det skick det skulle ha varit i. Utgångspunkten är med andra ord att banken bär förlusten.

Undantaget finns i artikel 7:529 punkt 1. Banken är inte skyldig att återbetala om kontoinnehavaren agerat bedrägligt, eller avsiktligt eller grovt oaktsamt underlåtit att uppfylla skyldigheterna i artikel 7:524. Dessa skyldigheter kräver att du använder betalningsinstrumentet i enlighet med tillämpliga villkor och säkerhetsåtgärder. Grov oaktsamhet är en hög ribba. Den bedöms utifrån samtliga omständigheter, inte enbart utifrån det faktum att förlusten inträffat. Lagen lägger till ytterligare ett skydd: om banken inte krävde stark kundautentisering bär du i princip ingen förlust om du inte agerat bedrägligt.

Vad kan du göra om banken vägrar att betala?

Som konsument kan du väcka talan vid Klachteninstituut Financiële Dienstverlening (Kifid) eller till civilrätten. Kifid kommer endast att behandla ditt klagomål efter att du har slutfört bankens interna klagomålsförfarande.

Företagskontoinnehavare befinner sig i en annan situation. De faller utanför de flesta konsumentskyddsregler och är till stor del beroende av sitt avtal med banken och av allmänna ansvarsregler. Det gör ett företags interna betalningskontroller desto viktigare.

Kan man kräva skadestånd från bedragaren eller en försumlig organisation?

Ja. Om gärningsmannen är identifierad kan du ersätta förlusten som en olaglig handling (onrechtmatige daad) enligt artikel 6:162 i civillagen. Ett krav mot en organisation vars bristande säkerhet möjliggjorde bedrägeriet går igenom samma artikel.

Mot gärningsmannen sker detta oftast inom ramen för brottmålet. Enligt artikel 51f i den nederländska straffprocesslagen kan du delta i brottmålet som målsägande (benadeelde partij) och begära att brottmålsdomstolen utdömer ersättning. Det är vanligtvis billigare och snabbare än ett separat civilrättsligt mål. Domstolen kommer endast att behandla ett mål som inte innebär en oproportionerlig belastning för brottmålet. Din förlust måste därför dokumenteras och vara enkel att beräkna.

En andra väg är att rikta krav mot en organisation vars säkerhet inte fungerade som den skulle. Tänk på arbetsgivaren vars e-postlåda komprometterades, plattformen som gjorde det möjligt för en säljare att verka utan någon verifiering, eller processorn som läckte en kunddatabas. Den standard som tillämpas är vad en noggrann organisation borde ha gjort, med tanke på den aktuella tekniken och informationens känslighet. Rättigheterna för offer för cyberattacker anger hur anmälningsskyldighet, ersättning och försäkring samverkar i dessa fall. Bevis är vanligtvis den svåra delen; vår artikel om hur man bevisar digitalt bedrägeri handlar om de bevis som väger tyngd.

Vilka krav ställer GDPR på organisationer som drabbats av nätfiske?

En lyckad nätfiskeattack mot ett företag leder nästan alltid till ett dataintrång. Organisationen måste sedan rapportera det till den nederländska dataskyddsmyndigheten (Autoriteit Persoonsgegevens) utan onödigt dröjsmål och, där det är möjligt, inom 72 timmar.

Artikel 32 i GDPR kräver att personuppgiftsansvariga och personuppgiftsbehandlare vidtar lämpliga tekniska och organisatoriska säkerhetsåtgärder. Artikel 33 innehåller skyldigheten att rapportera ett dataintrång inom 72 timmar efter att man blivit medveten om det, såvida inte intrånget sannolikt inte kommer att resultera i en risk för de berörda personerna. Om risken för dessa personer är hög lägger artikel 34 till en skyldighet att informera dem direkt. Autoriteit Persoonsgegevens frågar sedan vad som föregick attacken, såsom flerfaktorsautentisering och begränsade åtkomsträttigheter. Vem som är ansvarig efter ett dataintrång går igenom hur ansvaret fördelas.

Vilka rapporteringsskyldigheter gäller enligt Cyberbeveiligingslagen?

Sedan den 15 augusti 2026 gäller den nederländska cybersäkerhetslagen (Cyberbeveiligingswet), som implementerar NIS2-direktivet, tillsammans med GDPR. Organisationer som omfattas av lagen måste rapportera betydande incidenter i etapper: en tidig varning inom 24 timmar, en anmälan inom 72 timmar och en slutrapport inom en månad.

Organisationer som omfattas av lagen måste också registrera sig hos National Cyber ​​Security Centre (NCSC). De måste vidta åtgärder enligt en vårdplikt som omfattar riskhantering, säkerhet i leveranskedjan och incidenthantering. Styrelsen måste godkänna dessa åtgärder, övervaka deras implementering och följa utbildning, så cybersäkerhet är ett ledningsansvar och inte bara en fråga för IT.

De två systemen överlappar varandra men är inte samma sak. En nätfiskeincident som komprometterar en e-postlåda kan utlösa en GDPR-anmälan till Autoriteit Persoonsgegevens och en separat incidentrapport enligt Cyberbeveiligingswet, med olika deadlines och till olika myndigheter. Ta reda på i förväg vilken system som gäller för din organisation och vem som ringer klockan tre på morgonen. Vår guide om rapporteringsskyldigheter för cybersäkerhetsincidenter anger deadlines sida vid sida.

Vad händer om bedragaren eller pengarna är utomlands?

Gör en polisanmälan (aangifte) i Nederländerna ändå. Ett brott riktat mot ett offer i Nederländerna betraktas generellt som begått här, så nederländsk polis och åklagare är rätt utgångspunkt även när gärningsmannen befinner sig utomlands.

Bevis från en annan stat erhålls genom etablerade kanaler. Inom EU tillåter den europeiska utredningsordern en nederländsk åklagare att begära kontouppgifter eller frysning av medel i en annan medlemsstat; utanför EU föreskriver Budapestkonventionen om it-brottslighet från 2001 ömsesidig hjälp.

För dig som offer får detta en praktisk konsekvens. Återvinningen av pengarna beror vanligtvis på hur snabbt den mottagande banken kan varnas, eftersom pengar som flyttats via ett mulkonto sprids inom några timmar. Att omedelbart rapportera till din egen bank, så att de kan försöka återkalla pengar, ger mer sannolikt resultat än något senare rättsligt steg.

Vad bör man kontrollera som privatkontoinnehavare?

Kontrollera först om du själv har samtyckt till betalningen, eftersom det avgör om artiklarna 7:528 och 7:529 i den nederländska civillagen gäller. Gå sedan igenom dessa punkter:

• Ringde du din banks officiella bedrägerinummer och bad om en återkallelse samma dag?
• Signerade eller godkände du transaktionen i din bankapp, eller skickades pengarna utan att du gjorde något?
• Har banken lämnat ett skriftligt avslag med motiveringar, så att du kan inleda deras interna klagomålsförfarande?
• Har du sparat det ursprungliga meddelandet, samtalsloggen och transaktionsreferenserna?
• Har du gjort en polisanmälan (aangifte), vilket de flesta försäkringsbolag och eventuella senare skadeståndsanspråk kräver?

Vad bör ni som organisation kontrollera?

Kontrollera om dina betalningskontroller och säkerhetsåtgärder skulle klara granskning av Autoriteit Persoonsgegevens, som granskar vad som föregick attacken. Ett företagskonto faller till stor del utanför konsumentskyddet, så förebyggande åtgärder väger tyngre:

• Är multifaktorautentisering aktiv på alla konton som kan nå företagsdata?
• Verifieras alla ändringar av leverantörens bankuppgifter per telefon, på ett nummer ni redan hade registrerat?
• Kan en person både skapa och frigöra en betalning, eller finns det en fyrvägskontroll?
• Finns det en skriftlig plan för första timmen: vem isolerar kontot, bevarar loggarna och kontaktar banken?
• Vet du om du omfattas av cybersäkerhetslagen och måste anmäla inom 24 timmar?
• Har personalutbildning upprepats under det senaste året med realistiska simulerade nätfiskemeddelanden?

Vad ska du göra om du har blivit måltavla?

Kontakta din bank först, säkra sedan dina konton, bevara bevisen och anmäl till polisen. Agera i följande ordning:

1. Kontakta din bank via deras officiella bedrägerinummer och be att transaktionen blockeras eller återkallas.
2. Ändra inloggningsuppgifterna för det komprometterade kontot och för alla andra konton som använder samma lösenord.
3. Bevara allt: det ursprungliga meddelandet med dess rubriker, skärmdumpar, transaktionsreferenser och de tidpunkter då du lade märke till varje steg.
4. Gör en polisanmälan. De flesta försäkringsbolag kräver en, och den utgör grunden för eventuella senare skadeståndsanspråk som skadelidande.
5. Om andras personuppgifter har exponerats, bedöm anmälningsskyldigheterna enligt GDPR och, i tillämpliga fall, Cyberbeveiligingswet innan tidsfristerna löper ut.

Vad kan vi göra för dig vid nätfiske och internetbedrägerier?

Våra brottmålsjurister och IT-juridikteam (se våra holländska IT-juridiska guider ) agerar för offer och organisationer efter en incident:

• Vi granskar bankens avslag mot artiklarna 7:528 och 7:529 i civillagen och utarbetar ditt klagomål till banken.
• Vi förbereder och lämnar in ditt klagomål till Kifid när bankens interna förfarande är slutfört.
• Vi upprättar ett dokumenterat skadeståndsanspråk (vordering benadeelde partij) för brottmålet enligt artikel 51f i brottmålslagen.
• Vi bedömer inom 72 timmar om ett dataintrång ska rapporteras enligt GDPR och, i förekommande fall, Cyberbeveiligingswet.
• Vi utformar ansvarskrav mot en plattform eller organisation vars säkerhet inte uppfyllde kraven.

Sammanfattning

• Nätfiske och internetbedrägerier är straffbara i Nederländerna, huvudsakligen som bedrägeri (artikel 326 i brottsbalken) och obehörig åtkomst (artikel 138ab).
• För en betalning som du inte har godkänt måste banken i princip återbetala dig omedelbart (artikel 7:528 i civillagen), såvida du inte har handlat bedrägligt eller grovt oaktsamt (artikel 7:529).
• Om banken vägrar kan konsumenterna vända sig till Kifid efter bankens interna klagomålsförfarande, eller till civilrätten.
• Organisationer som drabbats av nätfiske måste bedöma en GDPR-anmälan inom 72 timmar och, om det omfattas av tillämpningsområdet, rapportera enligt Cyberbeveiligingswet (24 timmar, 72 timmar, en månad).
• Ring din bank omedelbart och gör en polisanmälan: snabbhet är ofta avgörande för att få tillbaka pengarna.

Vanliga frågor och svar