Í öðru mál­inu fékk ein­stak­ling­ur skila­boð í gegn­um sam­skipta­for­ritið Messenger í nafni vin­konu hans en í ljós kom að óprútt­inn aðili hafði kom­ist inn á Face­book-reikn­ing vin­kon­unn­ar skömmu áður. Upp­haf­lega var óskað eft­ir síma­núm­eri og hann síðan í kjöl­farið beðinn um að taka þátt í leik. Til að taka þátt var hann beðinn um ýms­ar upp­lýs­ing­ar og meðal ann­ars lét hann í té greiðslu­korta­upp­lýs­ing­ar.

Í kjöl­farið bár­ust í síma hans smá­skila­boð á ensku, þar sem sagt var að slá þyrfti inn ör­yggis­kóða til að staðfesta kaup. Jafn­framt voru upp­lýs­ing­ar um nafn selj­anda og fjár­hæð kaup­anna og ábend­ing um að ekki skyldi staðfesta kaup­in ef upp­lýs­ing­arn­ar væru ekki rétt­ar. Í lok skila­boðanna var svo til­greind­ur „SecureCode“ og upp­hæð kaup­anna ann­ars veg­ar í pólsk­um slot­um og hins veg­ar í banda­ríkja­döl­um.

Ein­stak­ling­ur­inn sló inn báða kóðana og voru tvær færsl­ur gerðar á greiðslu­kort hans, ann­ars veg­ar færsla að fjár­hæð 5.999,88 pólsk slot til fé­lags­ins Allegro og hins veg­ar færsla að fjár­hæð 1.060 dal­ir til fé­lags­ins Noor Shil­an 2. Sam­tals námu greiðslurn­ar jafn­v­irði um 350 þúsund króna.

Sá sem fyr­ir svik­un­um varð sendi fjár­mála­fyr­ir­tæk­inu til­kynn­ingu um óheim­ilaðar færsl­ur og lét loka greiðslu­kort­inu. Hann óskaði jafn­framt eft­ir því að fyr­ir­tækið sendi end­ur­kröfu­beiðni á greiðsluþjón­ustu­veit­anda selj­anda þar sem um svika­færsl­ur væri að ræða. Auk þess hefðu færsl­urn­ar ekki upp­fyllt skil­yrði laga um sterka sann­vott­un.

Fjár­mála­fyr­ir­tækið hafnaði því að greiðslurn­ar hefðu ekki upp­fyllt skil­yrði um sann­vott­un en féllst á að reyna end­ur­kröf­ur á greiðsluþjón­ustu­veit­anda selj­and­ans. End­ur­kröfu­beiðnirn­ar reynd­ust ár­ang­urs­laus­ar og var greiðand­an­um til­kynnt í janú­ar 2023 að mál­inu væri lokið af hálfu fjár­mála­fyr­ir­tæk­is­ins. Kær­and­inn leitaði til Neyt­enda­sam­tak­anna sem beittu sér í mál­inu en fjár­mála­fyr­ir­tækið hafnaði enn greiðslu.

Málið var kært til úr­sk­urðar­nefnd­ar­inn­ar, sem seg­ir í niður­stöðu sinni að SMS-ör­yggis­kóði sem send­ur er í síma greiðanda ásamt upp­lýs­ing­um um fjár­hæð og/​eða viðtak­anda greiðslu full­nægi skil­yrðum um sterka sann­vott­un í skiln­ingi gild­andi laga. Var kröf­unni því hafnað.

Í nafni Net­flix

Í hinu mál­inu fékk ein­stak­ling­ur tölvu­póst í nafni streym­isveit­unn­ar Net­flix sem hann var í viðskipt­um við. Hann hafði átt í vand­ræðum með inn­skrán­ingu dag­ana áður og þegar tölvu­póst­ur­inn barst með kenni­merki Net­flix skrifað und­ir af „Net­flix team“ þar sem óskað var eft­ir upp­færðum greiðslu­upp­lýs­ing­um en að öðrum kosti yrði áskrift­inni lokað, taldi viðkom­andi að skýr­ing á vand­kvæðum við inn­skrán­ingu væri fund­in.

Í kjöl­farið ýtti hann á hlekk sem átti sam­kvæmt tölvu­póst­in­um að smella á til að end­ur­nýja aðild og fyllti út greiðslu­upp­lýs­ing­ar í sam­ræmi við beiðni í tölvu­póst­in­um. Í kjöl­farið bár­ust alls sex mis­mun­andi SMS í farsíma ein­stak­lings­ins á ensku, þar sem sagt var að slá þyrfti inn ör­yggis­kóða til að staðfesta kaup. Jafn­framt voru upp­lýs­ing­ar um nafn selj­and­ans, Revolut*Dublin, og fjár­hæð kaup­anna í evr­um. Ein­stak­ling­ur­inn sagðist í ógáti hafa staðfest eina greiðslu af sex að fjár­hæð 2.000 evr­ur, jafn­v­irði um 292 þúsund króna.

Greiðand­inn óskaði eft­ir end­ur­greiðslu frá ís­lenska fjár­mála­fyr­ir­tæk­inu, sem innti greiðsluna af hendi, þar sem um svika­færsl­ur væri að ræða. Því var hafnað og úr­sk­urðar­nefnd­in komst sömu­leiðis að þeirri niður­stöðu að hafna skyldi kröf­unni þar sem SMS-ör­yggis­kóði sem send­ur er í síma greiðanda ásamt upp­lýs­ing­um um fjár­hæð og/​eða viðtak­anda greiðslu full­nægði skil­yrðum um sterka sann­vott­un.

Úrsk­urðirn­ir voru kveðnir upp und­ir lok síðasta árs en í kjöl­farið óskuðu Neyt­enda­sam­tök­in álits Seðlabank­ans á því hvort SMS-ör­yggis­kóði full­nægði áskilnaði Evr­ópu­til­skip­un­ar, og skil­yrðum og leiðbein­ing­um evr­ópsku banka­eft­ir­lits­stofn­un­ar­inn­ar, EBA, og laga um sterka sann­vott­un.

Taldi bank­inn að túlka bæri ákvæði laga um greiðsluþjón­ustu á þá leið að ör­yggis­kóði sem send­ur er með SMS-skila­boðum í sím­tæki upp­fyllti ekki skil­yrði um sterka sann­vott­un þegar núm­er á greiðslu­korti er notað til þess að fram­kvæma greiðslu.

Úrsk­urðar­nefnd­in féllst á að taka bæði mál­in upp að nýju í ljósi þessa álits, en komst að þeirri niður­stöðu nú í ág­úst að byggja yrði skýr­ingu á sann­vott­un á gild­andi lög­um og regl­um og hefðbundn­um lög­skýr­ing­ar­gögn­um og að ekki væri til­efni til að breyta fyrri niður­stöðu.