Wie is verantwoordelijk bij phishing en moeten banken meer doen?

[dee]

De wet dat banken verplicht het bedrag terug te storten bij niet geautoriseerde betalingen is gemaakt om de klant onder alle omstandigheden te beschermen.
De bewijslast zit bij de bank en die kan realistisch gezien nooit iets bewijzen want ze hebben geen toegang tot de prive van de klant.
Hoe iemand gephished is kunnen zij nooit weten.
Het gebruik van de pincode door een 3de partij is op zich niet genoeg om grove nalatigheid te bewijzen. (staat expliciet beschreven)
Er is geen enkele rechter die een burger ooit gaat veroordelen zonder dat er expliciet fraude kan aangetoond worden.

Ik vind die discussie dan ook zinloos. De banken staan hier wettelijk tegen een muur.

 

[Sanity penguin]

Dat van mij was gewoon een quote van een advocaat die daar expertise in zou hebben. Nu, ik moet eerlijk zijn, ik ben geen advocaat met expertise daar in. Dus ik moet dan afgaan op wat experten zeggen.
Als gij wel betere qualifiacties hebt, go for it.
Dat alle phishing met nalatigheid te maken heeft, vaneigens. Maar of het grove nalatigheid is dan (geen idee wat de exacte wettelijke definitie daarvan. Ben het eens aan't opzoeken, en kom definities tegen als roekeloos en zo. En zou ge 99% van de mensen die voor phishing vallen als roekeloos beschouwen omdat ze op die moment goedgelovig waren?).

En als we gewoon wild onze mening als feit gaan verkopen hier. Go for it, dan ga ik wel iets anders doen . We hebben gewoon een mooi artikel van de vrt waar een expert zegt dat mss 1% van de phishing onder grove nalatigheid valt. Dan ga ik als leek er vanuit dat daar wel wat waarheid in zit. Als jullie het daar niet mee eens zijn, sure, geef dan wat data van andere experts die het daar niet mee eens zijn. Maar gewoon zeggen dat ge het daar niet mee eens zijt, terwijl ge wss de wetten en de wettelijke definities niet kent?

Mss een poor choice of words hierboven, maar ja, ik vind dat roekeloos. Je codes doorgeven is altijd roekeloos.
En je schermt altijd met die 1% dat door een expert wordt aangegeven. Dat is toch ook maar die mens zijn ongefundeerde mening? Welk wetenschappelijk onderzoek zit er achter die bewering dat dit 1% is? Het is een uitspraak van de verdedigende advocaat. Nogal wiedes dat die niet gaat claimen dat zijn klant in fout is.

En bovenop ruikt hij misschien wel fijne kansen om nog een hoop andere mensen te gaan verdedigen en tegelijk wat poen te scheppen.

 

[Sanity penguin]

De wet dat banken verplicht het bedrag terug te storten bij niet geautoriseerde betalingen is gemaakt om de klant onder alle omstandigheden te beschermen.
De bewijslast zit bij de bank en die kan realistisch gezien nooit iets bewijzen want ze hebben geen toegang tot de prive van de klant.
Hoe iemand gephished is kunnen zij nooit weten.
Het gebruik van de pincode door een 3de partij is op zich niet genoeg om grove nalatigheid te bewijzen. (staat expliciet beschreven)
Er is geen enkele rechter die een burger ooit gaat veroordelen zonder dat er expliciet fraude kan aangetoond worden.

Ik vind die discussie dan ook zinloos. De banken staan hier wettelijk tegen een muur.

Klopt ook niet helemaal. Banken kunnen bepaalde metadata checken zoals IP, apparaat ID, type browser e.d. In de app kunnen ze ook je handelingen traceren. Bij bv. een overschrijving die ze zouden doen waar een check op zit naar naam en die dan weggeklikt of overschreven zou worden. Dat is traceerbaar door een bank en kan volgens mij perfect leiden tot een vaststelling grove nalatigheid.

En begrijp mij niet verkeerd; ik ben hier niet de voorvechter van de banken ofzo e. Maar zomaar alles in die hun schoene schuiven vind ik ook veel te gemakkelijk. Het zou nogal iets geven als ze die allemaal zouden instant moeten terugbetalen.

 

[the_fox]

En als we gewoon wild onze mening als feit gaan verkopen hier. Go for it, dan ga ik wel iets anders doen . We hebben gewoon een mooi artikel van de vrt waar een expert zegt dat mss 1% van de phishing onder grove nalatigheid valt. Dan ga ik als leek er vanuit dat daar wel wat waarheid in zit. Als jullie het daar niet mee eens zijn, sure, geef dan wat data van andere experts die het daar niet mee eens zijn. Maar gewoon zeggen dat ge het daar niet mee eens zijt, terwijl ge wss de wetten en de wettelijke definities niet kent?

Jij ziet in dat artikel een expert aan het woord.
Ik zie in dat artikel een advocaat die niet eens bij de zaak betrokken was die klanten probeert te ronselen door dingen anders voor te stellen dan ze zijn.

Je moet gewoon maar eens zijn naam googlen en zien hoe vaak hij wel niet in de media komt over uiteenlopende zaken; mij ga je niet zeggen dat hij een exper is in al die materie...

Dus, expert in vervuiling:

https://www.gva.be/economie/advocaat-geert-lenssens-wil-dat-3m-per-buurtbewoner-betaalt-20.000-euro-na-twee-jaar-dat-is-slechts-een-tussenstand/35940154.html

Advocaat Geert Lenssens slaat alarm over PFOS: ‘Wat Bart De Wever over die rechters zei, kan niet door de beugel’

Hij heeft een hekel aan trial by media, maar trekt aan de alarmbel in het PFOS-dossier, volgens hem ‘het Tsjernobyl van Vlaanderen’. Advocaat Geert Lenssens (62) over gezondheid, gokreclame en gevoelens van huisdieren bij een echtscheiding.

www.demorgen.be

expert in zedenkwesties:

Advocaat Geert Lenssens: ‘Fabre, De Pauw en de Reuzegommers zijn al veroordeeld door de media, en dan volgt nog een proces voor de rechter. Dat is vreselijk’

Hij heeft een hekel aan trial by media, maar trekt aan de alarmbel in het PFOS-dossier, volgens hem ‘het Tsjernobyl van Vlaanderen’. Advocaat Geert Lenssens (62) over gezondheid, gokreclame en gevoelens van huisdieren bij een echtscheiding.

www.humo.be

of is het dan toch expert in bankzaken?

https://www.tijd.be/ondernemen/banken/tien-jaar-na-val-start-strafproces-rond-optima-geldhonger-piqueur-kende-werkelijk-geen-grenzen/10645777.html

of is het eerder dierenrechten?

Waarom ik als advocaat ook een chimpansee kan verdedigen

Geert Lenssens is advocaat.

www.demorgen.be

Ik denk dat het vooral mediageilheid is

 

[racemaniac]

Welk wetenschappelijk onderzoek zit er achter die bewering dat dit 1% is? Het is een uitspraak van de verdedigende advocaat. Nogal wiedes dat die niet gaat claimen dat zijn klant in fout is.

Ge zijt niet aan't volgen hé, ik veronderstelde dat ook, maar het artikel spreekt dat expliciet tegen:
Advocaat Geert Lenssens, gespecialiseerd in bankzaken, licht in De Ochtend op Radio 1 toe waarom dit een "baanbrekend" precedent kan zijn.


Lenssens is voor alle duidelijkheid niet betrokken bij de zaak zelf, maar is wel blij dat een rechter eindelijk de puntjes op de i zet. "Het principe is eenvoudig. De bank is verplicht om een klant die slachtoffer is van phishing terug te betalen, tenzij de bank bewijst dat de klant een grove fout heeft begaan."

Dat laatste zal volgens Lenssens zelden gebeuren. "Een grove fout, dat is de grote uitzondering. Als we naar alle phishingzaken zouden kijken, denk ik dat we amper spreken over 1 procent van al die zaken. Want een grove fout is iets anders dan een fout: als je bijvoorbeeld door een oplichtingstruc je code gaat invoeren of afgeven, dan is dat geen grove fout."

Dus het is een expert in bankzaken die niet betrokken is bij de zaak die deze statement maakt.

't is duidelijk dat ge het er niet mee eens zijt, maar kunt ge geloven dat ik meer waarde hecht aan het woord van deze expert, dan van een random persoon op't beyond gaming forum die voor zover ik weet nul kwalificaties heeft?

 

[racemaniac]

Ik denk dat het vooral mediageilheid is

Voila, dat is idd een fair vervolg van de discussie . Mss is de expert niet zo betrouwbaar. heb hem nu eens gegoogled, hij lijkt expert te zijn in fraude & class action zaken, dus dit lijkt wel kind of zijn hoek te zijn (maar idd mss ook klanten ronselen, anderzijds, niet helemaal verwonderlijk dat de vrt bij zo iemand als onafhankelijk expert komt als hij het niet erg vindt van in de media te komen).
Maar als ge hem niet vertrouwt, fair enough, maar doen jullie dan wat moeite om nog wat visies van experten te vinden als die er zijn . 'k krijg het gewoon van "ik vind dat". 't is jammer, maar wettelijke definities geven niet om wat gij vindt.
En ge kunt ook eens wettelijke definities opzoeken van "zware nalatigheid" in deze context, en argumenteren waar volgens u de grens daar ligt, maar wat gij persoonlijk zwaar nalatig vindt, maakt niet uit. Dat zijn wettelijke definities, en enkel in die context valt er imo een argument te maken.

 

[Sanity penguin]

@racemaniac ik heb hier enkele comments boven de definities weergegeven met bronvermelding erbij. Dus chill .

 

[Carrion]

Dit is de bijvoorbeeld Argenta aanmeld-pagina voor homebanking; niet de homepage. Al ga ik meestal naar de homepage en klik ik zo op aanmelden; bij al mijn banken, dus ik kom ook geregeld op de homepge.

HomeBank

homebank.argenta.be

Kan het nog duidelijker?

Idem met mails en berichten; als dit de hoofding van een mail met als titel "Bankier veilig met deze instellingen in de Argenta-app" is, dan ga je dat niet verwarren met reclame.

En dat is enkel nog maar Argenta als voorbeeld, omdat vele HLN artikels specifiek over Argenta-klanten gaan.

Ja, het kan nog een pak duidelijker. Want die melding staat onderaan de pagina, en als je de meest gebruikte resolutie gebruikt op je pc / laptop (1920 x 1080) staat de waarschuwing amper op het scherm:

Als ik de andere grootbanken check (Belfius, KBC, ING en Fortis) heeft zelfs geen van hen op hun inlog pagina enige vorm van waarschuwing staan.

Voor de duidelijkheid, ik probeer niet alle verantwoordelijkheid bij de banken te leggen. Wat mij betreft is het doorgeven van uw pincode weldegelijk een grove fout.

Maar ik vind langs de andere kant ook dat banken nogal snel hun klanten wijzen op hun persoonlijke verantwoordelijkheid. Hun goed recht, maar waar was datzelfde sentiment toen er in 2008 miljarden belastingsgeld naar de banken is moeten gaan om te voorkomen dat ze failliet geven door slechte investeringen en fouten waar ze zelf verantwoordelijk voor waren?

 

[dee]

Klopt ook niet helemaal. Banken kunnen bepaalde metadata checken zoals IP, apparaat ID, type browser e.d. In de app kunnen ze ook je handelingen traceren. Bij bv. een overschrijving die ze zouden doen waar een check op zit naar naam en die dan weggeklikt of overschreven zou worden. Dat is traceerbaar door een bank en kan volgens mij perfect leiden tot een vaststelling grove nalatigheid.

En begrijp mij niet verkeerd; ik ben hier niet de voorvechter van de banken ofzo e. Maar zomaar alles in die hun schoene schuiven vind ik ook veel te gemakkelijk. Het zou nogal iets geven als ze die allemaal zouden instant moeten terugbetalen.

Het enige dat je hebt is een registratie van een aantal, al niet aan elkaar gerelateerde, gegevens waar je zelf de gaten gaat vullen.
Grove nalatigheid is niet duidelijk gedefinieerd en in een zaak tussen een particulier en een bedrijf gaat een rechter, behoudens en zeer zeer sterk dossier, de particulier bevoordelen.
Nog niet te spreken van het aantal procedure fouten dat er mogelijk zijn.

IT technisch voor vele een natte droom om dat tot in de puntjes uit te zoeken maar dat is niet realistisch voor een bedrag van een paar duizend euro. Daar begin je als bank toch niet aan.
Theoretisch ja, praktisch niet.
Daarom dat ze dit ook blokken door naar de contractuele voorwaarden te verwijzen en dan te hopen dat niemand de tijd en kost wil spenderen aan een rechtszaak. Dezelfde redenering. Theoretisch ja, praktisch nee.

 

[Sanity penguin]

Het enige dat je hebt is een registratie van een aantal, al niet aan elkaar gerelateerde, gegevens waar je zelf de gaten gaat vullen.
Grove nalatigheid is niet duidelijk gedefinieerd en in een zaak tussen een particulier en een bedrijf gaat een rechter, behoudens en zeer zeer sterk dossier, de particulier bevoordelen.
Nog niet te spreken van het aantal procedure fouten dat er mogelijk zijn.

IT technisch voor vele een natte droom om dat tot in de puntjes uit te zoeken maar dat is niet realistisch voor een bedrag van een paar duizend euro. Daar begin je als bank toch niet aan.
Theoretisch ja, praktisch niet.
Daarom dat ze dit ook blokken door naar de contractuele voorwaarden te wijzen en dan te hopen dat niemand de tijd en kost wil spenderen aan een rechtszaak. Dezelfde redenering. Theoretisch ja, praktisch nee.

Dat is dan ook net het probleem waar het hier al enkele pagina's over gaat. De ontbrekende definitie en omkader van een grove nalatigheid. Nu ligt het inderdaad telkens bij een rechter of een hof om te gaan beoordelen. Ik vermoed dat ze zich daar telkens sterk laten leiden door een soort van consumentenbescherming (op zich niet verkeerd) maar er moet gewoon een veel duidelijkere omlijning komen van wat nu precies wie aangesmeerd kan worden.

 

[the_fox]

Ja, het kan nog een pak duidelijker. Want die melding staat onderaan de pagina, en als je de meest gebruikte resolutie gebruikt op je pc / laptop (1920 x 1080) staat de waarschuwing amper op het scherm:

Dit is 1920*1080 met veel meer van die rode kader zichtbaar
Inspect de image maar, is ne slice van 290*1080 ^^

Maar serieus nu, het staat er wel, in opvallend rood, zelfs op jouw screenshot met de titel duidelijk leesbaar. Bovenop mails, berichten en soms nog een extra banner in homebanking (zowel web als app). Zoals ik dus zei, als mensen het bewust negeren zal het niet helpen.

 

[racemaniac]

De ontbrekende definitie en omkader van een grove nalatigheid.

Source?
Again, ik ben geen advocaat, weet niet echt waar ik dat moet opzoeken, maar wilt niet zeggen dat er geen degelijk kader is.

We veronderstellen dat allemaal zo makkelijk, maar is dat zo?

 

[the_fox]

Maar als ge hem niet vertrouwt, fair enough, maar doen jullie dan wat moeite om nog wat visies van experten te vinden als die er zijn . 'k krijg het gewoon van "ik vind dat". 't is jammer, maar wettelijke definities geven niet om wat gij vindt.
En ge kunt ook eens wettelijke definities opzoeken van "zware nalatigheid" in deze context, en argumenteren waar volgens u de grens daar ligt, maar wat gij persoonlijk zwaar nalatig vindt, maakt niet uit. Dat zijn wettelijke definities, en enkel in die context valt er imo een argument te maken.

Nee hé. Gij kwam af met hem als expert en wat hij zegde dat het "de wet" was. Nu is het opeens een "expert" (want niemand weet het zeker) en is het maar zijn mening nadat wij moeite gedaan hebben om het tegen te spreken. Wat trouwens niet moeilijk was, want jij stelde hetgeen in het artikel stond verkeerd voor...
Waarom moeten wij opeens met tegenbewijs komen, zo werkt een discussie niet hé. Jij kwam ermee af, dan ligt de bewijslast bij jou.

En die wettelijke definitie bestaat niet, zoals in de eerdere post van @Sanity penguin al aangekaart. Het is vrij onmogelijk om iets op te zoeken dat niet bestaat en dat te beargumenteren

Source?

Wederom 1 van zijn vorige posts...

 

[Sanity penguin]

Source?
Again, ik ben geen advocaat, weet niet echt waar ik dat moet opzoeken, maar wilt niet zeggen dat er geen degelijk kader is.

We veronderstellen dat allemaal zo makkelijk, maar is dat zo?

Hoeveel keer nog; die is er niet. Ik kan niets aanleveren dat niet bestaan?
Maar om te tonen dat ik mijn best doe: https://www.ejustice.just.fgov.be/c...&la=N&cn=2013022819&table_name=wet#Art.VII.45

§ 4. De bewijslast inzake bedrog, opzet of grove nalatigheid komt aan de betalingsdienstaanbieder toe.
Onverminderd de toepassing van het derde lid, worden onder andere beschouwd als grove nalatigheid zoals bedoeld in § 1, het feit, voor de betaler, zijn gepersonaliseerde veiligheidsgegevens, zoals zijn identificatienummer of enige andere code in een gemakkelijk herkenbare vorm te noteren, en met name op het betaalinstrument of op een voorwerp of een document dat de betaler bij het instrument bewaart of met dat instrument bij zich draagt, alsook het feit van de betalingsdienstaanbieder, of de door laatstgenoemde aangeduide entiteit, niet onverwijld in kennis te hebben gesteld van het verlies of de diefstal overeenkomstig artikel VII.38, § 1, 2°.
Wat de beoordeling van de nalatigheid betreft, houdt de rechter rekening met het geheel van de feitelijke omstandigheden. Het produceren door de betalingsdienstaanbieder van de registraties bedoeld in artikel VII.42 en het gebruik van het betaalmiddel met de code die enkel door de betalingsdienstgebruiker is gekend, vormen geen voldoende vermoeden van nalatigheid vanwege deze laatste.


Kortom; geen duidelijk definitie van grove nalatigheid en de interpretatie wordt doorgeschoven naar rechters en beroepshoven. Er wordt één type voorbeeld aangehaald in de wettekst maar dat is geen definitie natuurlijk.
Het telefonisch doorgeven of zelf intypen van je codes valt voor mij persoonlijk trouwens in hetzelfde laatje als je code ergens opschrijven.

 

[racemaniac]

Thanks, dat is super informatief .

En of dat in't zelfde laatje valt, dat is natuurlijk de crux van de zaak.
Van telefonisch doorgeven zit ik een beetje on the fence, want is idd iets dat ge zou moeten weten dat ge dat nooit moogt doen (maar da's natuurlijk het punt van social engineering, u in paniek brengen).
Van op een site ingeven, da's al direct wat anders. Als't op een phishing site is die er identiek uitziet als een legit site, dan lijkt me dat niet roekeloos, ge doet dan exact dezelfe acties als ge op de echte site zou doen, en hebt iets klein over't hoofd gezien. Dat allemaal onder zware nalatigheid laten vallen lijkt me wel héél cru. Maar natuurlijk gaan daar ook gevallen tussenzitten dat ge het wel had moeten doorhebben.

Maar is idd vage definitie.

'k denk wat voor mij wel het fundamentele verschil maakt tussen wat daar beschreven staat, en gephishd worden is (en wat ik ook terug vind in andere vormen van zware nalatigheid): de continue aard ervan. Het punt dat dat voorbeeld maakt is dat uw pincode ergens opschrijven die code permanent onveilig maakt. En dat is dan de zware nalatigheid. Idem als ge het opzoekt gaat het vaak over werken die uitgevoerd worden, als het wordt vastgesteld dat de werkman steevast de regels aan z'n laars lapt en slecht werk doet, is dat zware nalatigheid, maar als die dat eenmalig doet wss niet. En denk dat dit voorbeeld dus ook in die richting denkt.
En dan zeggen dat in een moment van paniek (dus iets eenmalig) iets nalatig doen zware nalatigheid is... 'k kan me inbeelden dat een advocaat daar tegenin gaat gaan. Het is niet iets dat ge structureel doet, wat zowel het voorbeeld in deze wet, als het begrip in andere contexten lijkt te impliceren.

En sorry voor een beetje de lastigaard uit te hangen ^^'... 'k vind het een interessant onderwerp, en 't is niet dat mening niet een beetje interessant kan zijn, maar uiteindelijk zijn er wetten en regels waar het om draait, en zodra we niet zoals hierboven naar de source gaat, en de echte betekenissen gaan, of naar experts luisteren kunnen we hier zoveel we willen in het ijle onze mening verkondigen, het brengt ons niet veel verder buiten bevestigen dat we het niet hetzelfde zien, maar wat voor de echte wereld 0 betekenis heeft ^^'....

 

[beryl]

Dus uw gegevens van uw hotel boeking liggen blijkbaar gewoon op straat, maar de bank zou moeten opdraaien voor de terugbetaling? Gaat Booking in deze vrijuit?

Ofwel mis ik iets, maar wordt er nu niet te weinig of geen verantwoordelijkheid gelegd bij de bedrijven waar zulke datalekken ontstaan. Ik vind dat vreemd.

Het zou me verbazen dat de data van booking komt, zal wel van de hotels zelf komen of misschien de gebruikers.

 

[KnightOfCydonia]

Het zou me verbazen dat de data van booking komt, zal wel van de hotels zelf komen of misschien de gebruikers.

Booking.com breach gives scammers what they need to target guests

Guest reservation data stolen from the booking giant can be used by scammers to impersonate hotels to steal payment and personal info.

www.malwarebytes.com

Recent is er bij booking.com wel degelijk een data breach geweest.

Zeker grote bedrijven wiens data gehackt worden, zouden daar wel degelijk voor beboet moeten worden, zowel booking.com als pakweg semi-overheidsbedrijven als De Watergroep. Waarbij die boete overigens naar de klanten wiens data gelekt zijn zouden moeten gaan.

 

[beryl]

Booking.com breach gives scammers what they need to target guests

Guest reservation data stolen from the booking giant can be used by scammers to impersonate hotels to steal payment and personal info.

www.malwarebytes.com

Recent is er bij booking.com wel degelijk een data breach geweest.

Zeker grote bedrijven wiens data gehackt worden, zouden daar wel degelijk voor beboet moeten worden, zowel booking.com als pakweg semi-overheidsbedrijven als De Watergroep. Waarbij die boete overigens naar de klanten wiens data gelekt zijn zouden moeten gaan.

Maar als ik het goed lees is dat eigenlijk niet booking.com die gehacked is maar hun klanten, de hotels. Er is malware geïnstalleerd op die hotelcomputers waarmee er data van de specifieke hotelklanten van die hotels gestolen is. Geen enkele hacker heeft toegang gehad tot de servers van booking. Dat lijkt me een beetje gelijkaardig aan wat in deze thread besproken wordt. Als een klant van een bank malware op zijn pc heeft en er daamee geld gestolen wordt via de website van de bank kan je moeilijk zeggen dat het de bank is die gehacked is.

 

[DogFacedGod]

Booking.com breach gives scammers what they need to target guests

Guest reservation data stolen from the booking giant can be used by scammers to impersonate hotels to steal payment and personal info.

www.malwarebytes.com

Recent is er bij booking.com wel degelijk een data breach geweest.

Zeker grote bedrijven wiens data gehackt worden, zouden daar wel degelijk voor beboet moeten worden, zowel booking.com als pakweg semi-overheidsbedrijven als De Watergroep. Waarbij die boete overigens naar de klanten wiens data gelekt zijn zouden moeten gaan.

What’s interesting about all of these incidents is that like the Booking.com data heist, all involve compromise of third parties rather than the travel operations themselves

Dan is het de verantwoordelijkheid van de hotel en hun it-systemen wat zij gebruiken. Niet booking.com.

Dat zal een IT-systeem van een hotel die met een API rechtstreeks verbonden is van booking.com zodat personeel een bericht kunnen sturen vanuit hun systeem naar booking.com rechtstreeks naar de klant maar ook accounting, planning, facturatie....

Hoe is dat dan de verantwoordelijkheid van booking.com dat die derde systemen niet veilig genoeg zijn?