Phishing en itsme: wanneer moet de bank voorlopig terugbetalen?

4.9/5 Google

531+ reviews

4.000+ dossiers beoordeeld

Een echtpaar van 88 jaar verloor ruim 61.000 euro door vishing. De kortgedingrechter in Antwerpen verplicht de bank tot voorlopige terugbetaling van de kaartlezertransacties, maar niet van de betalingen die zij zelf in itsme bevestigden.

Inleiding

Een telefoontje van "Card Stop", daarna iemand van "de helpdesk van uw bank" die u dringend helpt om uw rekening te beveiligen. Kort daarna is uw spaargeld weg. Phishing en vishing (phishing via de telefoon) blijven een van de pijnlijkste vormen van fraude in België, en de vraag is telkens dezelfde: moet de bank dat geld terugbetalen?

Op 9 oktober 2026 gaf de voorzitter van de ondernemingsrechtbank Antwerpen, zetelend in kort geding, een helder antwoord in een zaak van een echtpaar van 88 jaar. De bank moest het geld van elf frauduleuze transacties meteen voorlopig terugstorten. Voor drie andere transacties niet: die waren volgens de rechter prima facie door de slachtoffers zelf in hun itsme-app bevestigd. Voor die drie transacties, samen 14.835 euro, kregen zij geen voorlopige terugbetaling.

In dit artikel leest u wat de rechter precies besliste, waarom het onderscheid tussen een "toegestane" en een "niet-toegestane" betalingstransactie zo bepalend is, wat de regel "eerst betalen, daarna pas argumenteren" van artikel VII.43 WER inhoudt en wat u concreet doet als u zelf slachtoffer wordt. De beschikking is gepubliceerd op Juportal onder ECLI:BE:ORANT:2026:ORD.20261009.1.

In het kort. Bij een niet-toegestane betalingstransactie moet de bank het bedrag onmiddellijk en uiterlijk aan het einde van de eerstvolgende werkdag voorlopig terugbetalen (artikel VII.43 WER), tenzij zij redelijke gronden heeft om fraude te vermoeden en die schriftelijk aan de FOD Economie meedeelt. Gaf u enkel codes door en voerde de fraudeur de betaling zelf uit, dan is de transactie in beginsel niet-toegestaan. Bevestigde u de betaling zelf in itsme, dan beschouwt Ombudsfin ze veelal als toegestaan, en oordeelde ook deze rechter prima facie in die zin, ook al werd u misleid. Volgens de rechter mag de bank de voorlopige terugbetaling niet blokkeren met schuldvergelijking of een kantonnement.

De feiten: een vishingaanval in twee dagen

Het echtpaar was klant bij een bank. Op 29 april 2026 werden zij volgens hun verklaring gebeld door iemand die zich voordeed als medewerker van Card Stop, en daarna door iemand die zich voordeed als medewerker van de helpdesk van hun bank. Op 29 en 30 april 2026 werd in totaal 61.822,10 euro van hun rekeningen naar derden overgeschreven.

Het echtpaar reageerde snel. Op 30 april 2026 meldden zij de fraude aan de bank en lieten zij hun bankkaarten blokkeren. De bank bevestigde de melding dezelfde dag per e-mail. Zij dienden ook klacht in bij de politie. Op 20 mei 2026 stelden zij de bank in gebreke en vroegen zij de terugbetaling. Toen de bank niet antwoordde, volgde op 12 juni 2026 een aangetekende aanmaning. Een terugbetaling kwam er niet. Bij dagvaarding van 31 augustus 2026 trokken zij naar de kortgedingrechter.

De rechter onderscheidde twee soorten verrichtingen:

• elf transacties die zouden zijn geauthentiseerd met de debetkaart van het echtpaar, een kaartlezer en geheime codes, samen 46.857,10 euro;
• drie transacties die zouden zijn geauthentiseerd met het itsme-account van het echtpaar, samen 14.835 euro.

De bank verdedigde zich met alles wat ze had: er zou geen hoogdringendheid zijn, het echtpaar zou te lang gewacht hebben, de transacties waren volgens haar correct geauthentiseerd, er zou software voor externe toegang (AnyDesk) op hun computer geïnstalleerd zijn, en ondergeschikt riep ze schuldvergelijking en een kantonnement in.

Het wettelijk kader: artikel VII.43 WER

De regels over betalingsdiensten staan in boek VII van het Wetboek van economisch recht (WER). Ze zetten de Europese PSD2-richtlijn (Richtlijn (EU) 2015/2366) om. De kernbepaling voor fraudeslachtoffers is artikel VII.43, § 1 WER. Daarin staat dat de bank van de betaler, bij een niet-toegestane betalingstransactie, de betaler "onmiddellijk" het bedrag moet terugbetalen, "en in elk geval uiterlijk aan het einde van de eerstvolgende werkdag" nadat zij van de transactie kennis kreeg.

Die terugbetalingsplicht geldt onverminderd artikel VII.41 WER, dat vraagt dat u de transactie onverwijld en uiterlijk dertien maanden na de valutadatum van de debitering meldt. Er is maar één uitzondering: de bank heeft redelijke gronden om fraude te vermoeden en deelt die gronden schriftelijk mee aan de FOD Economie. Volgens de rechter gaat het dan om fraude van de betaler zelf. Verder moet de bank de rekening herstellen in de toestand waarin ze zou zijn geweest zonder de niet-toegestane transactie, met als valutadatum uiterlijk de dag waarop het bedrag werd gedebiteerd.

De rechter vatte het systeem samen in de formule "Eerst betalen, daarna pas argumenteren". Stap één is de voorlopige terugbetaling. Pas in stap twee komt de definitieve vraag wie het verlies draagt. Die tweede stap regelt artikel VII.44 WER:

• tot de melding van het verlies, de diefstal of het onrechtmatig gebruik draagt de betaler in beginsel het verlies tot maximaal 50 euro (artikel VII.44, § 1, eerste lid WER);
• de betaler draagt alle verliezen als hij frauduleus heeft gehandeld of opzettelijk of met grove nalatigheid zijn verplichtingen uit artikel VII.38 WER niet is nagekomen;
• na de melding heeft het verdere gebruik van het betaalinstrument geen financiële gevolgen meer voor de betaler, tenzij de bank bewijst dat hij bedrieglijk heeft gehandeld (artikel VII.44, § 3 WER);
• de bewijslast van bedrog, opzet of grove nalatigheid ligt bij de bank (artikel VII.44, § 4 WER).

De rechter onderstreepte dat het echtpaar in een procedure op grond van artikel VII.43 WER niet hoeft aan te tonen dat het een onbetwiste aanspraak heeft in het licht van artikel VII.44 WER. Grove nalatigheid is een discussie voor later. Met verwijzing naar overweging 71 van de PSD2-richtlijn wees de rechter erop dat de Europese wetgever bewust heeft gekozen om "de betaler te beschermen tegen enig nadeel". Het doel is tweeledig: het slachtoffer niet maandenlang zonder zijn geld laten zitten, en het procesrisico bij de bank leggen in plaats van bij de klant.

Toegestaan of niet-toegestaan: waar ligt de grens?

De terugbetalingsplicht van artikel VII.43 WER geldt alleen bij een niet-toegestane betalingstransactie. Dat begrip is dus het scharnier van elk phishingdossier.

Artikel VII.32, § 1 WER bepaalt dat een betalingstransactie pas als toegestaan wordt aangemerkt "indien de betaler heeft ingestemd met de uitvoering van de betalingsopdracht". Zonder instemming is de transactie niet-toegestaan (artikel VII.32, § 2 WER). Een betalingsopdracht is volgens artikel I.9, 7° WER de instructie van de betaler aan zijn bank om een betalingstransactie uit te voeren.

Daaruit leidt de rechter een belangrijke regel af: "ook als de betaler er met een list toe gebracht wordt om zelf een betalingsopdracht te geven, is er sprake van een toegestane betalingstransactie." Misleiding maakt van een toegestane transactie dus geen niet-toegestane transactie. Het komt erop aan wie de opdracht gaf: de klant zelf, of de oplichter.

Ook het bewijs speelt een rol. Ontkent de klant dat hij een transactie heeft toegestaan, dan moet de bank bewijzen dat ze geauthentiseerd, juist geregistreerd en geboekt is en niet door een technische storing is beïnvloed (artikel VII.42, § 1 WER). Het geregistreerde gebruik van een betaalinstrument is op zich "niet noodzakelijkerwijze afdoende bewijs" dat de betaler de transactie heeft toegestaan (artikel VII.42, § 2 WER). Een correcte code bewijst dus niet automatisch dat de klant zelf heeft ingestemd.

De elf kaartlezertransacties: niet-toegestaan

Voor de elf transacties met kaartlezer en responscodes, samen 46.857,10 euro, kreeg het echtpaar gelijk. De rechter oordeelde dat het loutere feit dat de slachtoffers gegevens aan een derde hadden gegeven, niet volstaat om van een toegestane transactie te spreken. Ook het feit dat de transacties correct geauthentiseerd waren, verhindert niet dat ze niet-toegestaan zijn. De authenticatie bevestigt het gebruik van het betaalinstrument met de juiste code, maar zegt niet wie het gebruikte.

Wie slachtoffer wordt van phishing en zijn beveiligingsgegevens (bijvoorbeeld kaartnummer, vervaldatum of responscode) rechtstreeks (bijvoorbeeld via de telefoon) of via een website waarnaar hij met een link in een e-mail of sms werd geleid aan de fraudeur meedeelt, heeft geen opdracht gegeven om een welbepaald bedrag naar een welbepaalde rekening over te maken. Hem werden gegevens ontfutseld. Prima facie was het in deze zaak de fraudeur die onrechtmatig de opdracht gaf om de betalingen te initiëren en uit te voeren.

Twee argumenten van de bank haalden het niet:

• De sms-waarschuwingen. Volgens de bank kreeg het echtpaar bij het genereren van de responscodes telkens een sms met de waarschuwing die codes niet te delen. Dat verandert volgens de rechter niets aan het niet-toegestane karakter, omdat het prima facie de fraudeur was die de codes ingaf. Die waarschuwingen kunnen pas relevant worden in de latere discussie over de definitieve aansprakelijkheid.
• AnyDesk. De bank wees erop dat er software voor externe toegang op de computer van het echtpaar was geïnstalleerd, zodat zij volgens de bank alles op hun scherm hadden kunnen volgen. De rechter vond dat niet bewezen: er was niet aangetoond dat die software effectief werd gebruikt bij de overschrijvingen.

De drie itsme-transacties: toegestaan

Voor de drie transacties van samen 14.835 euro viel het oordeel anders uit. De vrouw erkende dat zij op instructie van de fraudeur een itsme-account op haar eigen smartphone had geïnstalleerd. Volgens de informatie van itsme zelf is een account maar vanaf één mobiel toestel toegankelijk. De rechter vond het dan ook niet aannemelijk dat de fraudeur de transacties met het itsme-account van het echtpaar had gevalideerd.

De rechter steunde zich op de rechtsleer (R. Steennot, "Betaalfraude: a never ending story?", TBH 2025/1, 83-106, nr. 15) en op het jaarverslag 2025 van Ombudsfin, de ombudsdienst voor financiële geschillen. Ombudsfin stelt vast dat in itsme-vishingdossiers meestal de fraudeur de overschrijving invoert, waarna het slachtoffer een actie krijgt in zijn itsme-app die het kan bevestigen of weigeren. Volgens Ombudsfin toont de app daarbij doorgaans het bedrag, de begunstigde rekening en het feit dat een verrichting wordt bevestigd. Ombudsfin besluit in dat soort dossiers daarom veelal tot een toegestane transactie.

De rechter volgde die lijn: het echtpaar gaf via itsme drie opdrachten om een bepaald bedrag naar een bepaalde rekening over te maken. "Zij wilden wel degelijk overschrijven maar dwaalden over de identiteit van de bestemmeling." Door die dwaling worden de transacties nog geen niet-toegestane transacties. Prima facie gaat het om toegestane transacties, en dus is artikel VII.43 WER voor die drie transacties niet van toepassing.

Opvallend: de bank had zelf gevraagd dat het echtpaar schermafbeeldingen van hun WhatsApp-gesprekken met de fraudeur en de geschiedenis van hun itsme-account zou voorleggen. De rechter vond die vraag zonder voorwerp, omdat de stukken in het dossier volstonden voor een prima facie oordeel.

Betekent dit dat itsme-slachtoffers alles verliezen?

Nee, niet noodzakelijk. Een kortgedingrechter oordeelt bij voorraad en prima facie, en mag de rechten van partijen niet definitief vastleggen. De beschikking zegt alleen dat er voor de itsme-transacties prima facie geen recht op onmiddellijke voorlopige terugbetaling op grond van artikel VII.43 WER bestaat. Wie definitief het verlies draagt, is een vraag die ten gronde kan worden beslecht. Of daar een vordering kans maakt, hangt sterk af van de feiten van het dossier, en vraagt een analyse geval per geval.

Hoogdringendheid: ook na vier maanden

De voorzitter van de ondernemingsrechtbank kan in kort geding bij voorraad uitspraak doen in gevallen die hij spoedeisend acht (artikel 584 Ger.W.). De bank voerde aan dat er geen urgentie was en dat het echtpaar had getalmd: de fraude dateerde van eind april, de dagvaarding van eind augustus.

De rechter verwierp beide argumenten. Omdat de wetgever een onmiddellijke terugbetaling oplegt, is een vordering tot voorlopig herstel van de rekening volgens de rechter "uit haar aard principieel dringend". Ook in concreto was er urgentie. Het echtpaar leeft van een gezamenlijk pensioen van ongeveer 2.600 euro per maand en had op 88-jarige leeftijd geen realistische mogelijkheid om zo'n verlies opnieuw op te bouwen. Op 1 september 2026 stond er op hun drie rekeningen bij de bank samen nog 1.992,41 euro. Zij hadden hun effectenportefeuille moeten verkopen tegen gedaalde koersen om nog over een reserve te beschikken. De bank argumenteerde dat het echtpaar niet bewees dat het elders geen spaargeld meer had, maar zo'n negatief bewijs kon volgens de rechter niet van hen worden verlangd.

Ook van getalm was geen sprake. Het echtpaar meldde de fraude meteen, deed aangifte, stelde de bank in gebreke en stuurde een aangetekende aanmaning. De bank antwoordde niet, wat het moeilijk maakte om een strategie te bepalen. Een e-mail van de bank van 3 augustus 2026 was klaarblijkelijk aan hun zoon gericht, op een adres dat niet het gebruikelijke was. Gezien de leeftijd van het echtpaar, het feit dat zij zich voor het eerst in hun leven moesten oriënteren in een procedure tegen hun eigen bank en de vakantieperiode, vond de rechter het tijdsverloop niet onredelijk.

De suggestie van de bank om een bodemprocedure te starten en daarin voorlopige maatregelen te vragen op grond van artikel 19, derde lid Ger.W., was volgens de rechter "geen evidentie". Een behandeling in korte debatten op de inleidingszitting is volgens de rechter geen recht van de eiser, maar hangt af van de houding van de verweerder en de beoordeling van de bodemrechter. De bank had zich in deze procedure op de inleidingszitting zelf verzet tegen een onmiddellijke behandeling en conclusietermijnen gevraagd.

Geen schuldvergelijking, geen kantonnement

De bank probeerde de terugbetaling ook langs een omweg te vermijden. Haar algemeen reglement liet volgens haar schuldvergelijking toe tussen alle opeisbare en niet-opeisbare vorderingen. Zou ze moeten terugbetalen, dan had ze volgens haar zelf een (nog niet opeisbare) vordering op het echtpaar op grond van artikel VII.44 WER wegens hun mogelijke aansprakelijkheid, en die zou ze kunnen verrekenen.

De rechter veegde dat van tafel. Met die redenering zou een bank bijna altijd een vordering op haar klant kunnen inroepen en zich zo tegen elke onmiddellijke terugbetaling kunnen verzetten. Voor zover de algemene voorwaarden die strekking hebben, zijn ze volgens de rechter strijdig met de wet: de toepassing van artikel VII.43 WER kan contractueel niet worden uitgesloten. Meent de bank dat de klant grof nalatig was, dan moet zij zelf een procedure ten gronde starten.

Ook de wettekst wijst in die richting: artikel VII.29 WER laat partijen toe om, wanneer de klant geen consument is, af te wijken van onder meer de artikelen VII.42 en VII.44 WER. Artikel VII.43 WER staat niet in die lijst.

Ook het kantonnement of een andere zekerheid weigerde de rechter. Dat zou volgens hem neerkomen op een omzeiling van artikel VII.43 WER. Bovendien zou een vertraging in de uitvoering het echtpaar aan een ernstig nadeel blootstellen. De beschikking is uitvoerbaar bij voorraad (artikel 1039 Ger.W.).

Tot slot weigerde de rechter de zaak aan te houden tot het einde van de strafprocedure. De bank was er zelf niet in geslaagd om na de fraude iets te recupereren, dus het was niet aannemelijk dat het echtpaar dat via de strafklacht wel zou kunnen.

De beslissing

De rechter verklaarde de vordering gegrond in de volgende mate:

• de bank moet, bij wijze van voorlopige maatregel op grond van artikel VII.43 WER, 46.857,10 euro terugstorten op de rekening van het echtpaar, met valutadatum 29 april 2026 respectievelijk 30 april 2026;
• voor de drie itsme-transacties (14.835 euro) geldt de voorlopige terugbetalingsplicht niet;
• het kantonnement wordt uitgesloten;
• de bank draagt de gerechtskosten: een rechtsplegingsvergoeding van 4.709,30 euro, de dagvaardingskosten van 428,82 euro en het rolrecht van 165 euro.

De gevorderde interesten waren zonder voorwerp: omdat de bank de rekening moet crediteren met de oorspronkelijke valutadatum, wordt het echtpaar al in de toestand geplaatst waarin het zich zou hebben bevonden zonder die elf transacties.

Wat betekent deze beschikking voor u?

De beschikking sluit aan bij de rechtsleer en de praktijk van Ombudsfin waarop de rechter zich steunde, en maakt het onderscheid concreet voor twee veelvoorkomende fraudescenario's.

Scenario 1: u gaf codes door, de fraudeur betaalde. Gaf u uw kaartnummer, een responscode van uw kaartlezer of een eenmalige code door aan iemand aan de telefoon of op een valse website, en voerde die persoon zelf de betaling uit? Dan is de transactie in beginsel niet-toegestaan. Uw bank moet het bedrag dan onmiddellijk voorlopig terugbetalen, behoudens de wettelijke uitzondering. Of u grof nalatig was, is een discussie die de bank achteraf mag voeren, met de bewijslast aan haar kant.

Scenario 2: u bevestigde de betaling zelf. Voerde u zelf een overschrijving in naar een zogenaamde "veilige rekening", of bevestigde u in itsme of uw bankapp een betaling waarvan het bedrag en de begunstigde op uw scherm stonden? Dan gaat het volgens de regel die de rechter toepaste in beginsel om een toegestane transactie, ook al werd u bedrogen: wie zelf een opdracht geeft, ook al is het door een list, geeft een toegestane opdracht. Voor bevestigingen in itsme besluit ook Ombudsfin veelal in die zin, en deze beschikking oordeelde prima facie hetzelfde. Een voorlopige terugbetaling op grond van artikel VII.43 WER kunt u dan in de regel niet afdwingen.

De praktische les is eenvoudig: bevestig nooit een verrichting in itsme of uw bankapp op vraag van iemand die u belt, mailt of sms't. Vraagt een beller u om geld "veilig te stellen" of een "frauduleuze verrichting te annuleren" via een bevestiging in uw app, leg dan in. In deze zaak beschouwde de rechter een bevestiging in itsme prima facie als een toegestane transactie.

Slachtoffer van phishing? Zo pakt u het aan

• Blokkeer meteen. Laat uw kaarten blokkeren via Card Stop en verwittig uw bank onmiddellijk. Artikel VII.38, § 1, 2° WER verplicht u om de bank onverwijld in te lichten zodra u het onrechtmatig gebruik opmerkt. Na die melding draagt u voor verder misbruik in principe geen verlies meer (artikel VII.44, § 3 WER).
• Respecteer de termijn. U krijgt alleen rechtzetting als u de bank onverwijld en uiterlijk dertien maanden na de valutadatum van de debitering verwittigt (artikel VII.41, § 1 WER).
• Doe aangifte bij de politie. Oplichting is strafbaar gesteld in artikel 479 Sw. (voor feiten van vóór 1 september 2026: artikel 496 oud Sw.). Het proces-verbaal is ook een belangrijk stuk tegenover uw bank.
• Vraag schriftelijk de terugbetaling. Verwijs uitdrukkelijk naar artikel VII.43 WER en de termijn "uiterlijk aan het einde van de eerstvolgende werkdag". Stuur bij uitblijven van een antwoord een aangetekende ingebrekestelling.
• Bewaar alles. Noteer tijdstippen van de oproepen, bewaar sms'en, e-mails, schermafbeeldingen en uw rekeninguittreksels. Voer geen nieuwe verrichtingen uit in uw app voordat u met uw bank of advocaat hebt gesproken.
• Wacht niet te lang. Weigert de bank, dan kan een kort geding een snelle oplossing bieden. Getalm kan de hoogdringendheid ondermijnen, al aanvaardde de rechter hier een tijdsverloop van vier maanden onder meer omdat het echtpaar in die periode niet stil had gezeten en de bank niet antwoordde.
• Overweeg Ombudsfin. Ombudsfin behandelt klachten tegen financiële instellingen kosteloos. Dien in de regel eerst klacht in bij uw bank. Meer over buitengerechtelijke routes leest u in ons artikel over consumentenbemiddeling als gratis alternatief voor de rechtbank.

Een uitgebreide gids over de stappen na fraude vindt u op onze pagina phishing: geld terugvorderen van de bank. Werden er ook persoonsgegevens misbruikt, lees dan ons artikel over identiteitsdiefstal en de juridische stappen voor slachtoffers. Over de strafrechtelijke kant leest u meer op onze pagina over de straf voor oplichting.

Wanneer schakelt u een advocaat in?

Banken weigeren een terugbetaling soms met het argument dat de transactie correct geauthentiseerd was of dat de klant zijn codes heeft gedeeld. Deze beschikking toont dat die argumenten bij een niet-toegestane transactie niet volstaan om de voorlopige terugbetaling te weigeren. Wel is de kwalificatie van elke afzonderlijke transactie cruciaal: dezelfde fraude kan, zoals hier, deels onder artikel VII.43 WER vallen en deels niet.

LawBase analyseert uw dossier transactie per transactie, stelt de ingebrekestelling op en leidt indien nodig een kort geding in tegen uw bank. Wij werken voor cliënten in heel Vlaanderen en Brussel, met kantoren in Brugge, Gent, Antwerpen, Sint-Niklaas, Tongeren en Leuven. Een telefonisch gesprek van 15 minuten kost € 24,20 incl. btw, een videocall van 30 minuten € 60,50 incl. btw en een consultatie op kantoor van 60 minuten € 90,75 incl. btw.

Wilt u eerst weten hoe sterk u staat? Laat uw situatie beoordelen via Mijn dossier beoordelen of neem rechtstreeks contact op. Meer recente uitspraken vindt u in ons overzicht van rechtspraak.

Bron

Voorzitter ondernemingsrechtbank Antwerpen, afdeling Antwerpen, beschikking in kort geding van 9 oktober 2026, ECLI:BE:ORANT:2026:ORD.20261009.1, gepubliceerd op Juportal. De beschikking is een uitspraak bij voorraad en loopt niet vooruit op een eventuele beslissing ten gronde.

Dit artikel is gebaseerd op de volgende Belgische wetgeving:

• •
  Wetboek van Economisch Recht
• •
  Burgerlijk Wetboek

Gerelateerde Artikelen