Equipmed spande daarop onlangs een kort geding aan tegen ABN AMRO, waar het een bankrekening heeft. Tevergeefs, want de rechtbank Amsterdam wijst alle vorderingen af.
Equipmed is een internationaal opererende fabrikant van esthetische en medische apparatuur en cosmetische huidverzorging. De fraude begon op zaterdag 2 november 2024. Een van de functionarissen van Equipmed, die samen met een andere functionaris bevoegd is de vennootschap te vertegenwoordigen, stuurde een e-mail naar die andere functionaris met de mededeling dat de opbrengst van een verkochte woning kon worden overgemaakt naar de derdengeldenrekening van Seydlitz Notarissen in Breda. Het e-mailbericht bevatte het juiste Nederlandse rekeningnummer.
De ontvangende functionaris besloot de e-mail op zondag 3 november door te sturen naar de boekhouder van Equipmed – die gevolmachtigd was om namens de vennootschap betalingen te verrichten – met de instructie het geld over te maken zoals de eerste functionaris had aangegeven.
Tijdens dat doorsturen bleek de e-mail te zijn gemanipuleerd. Het e-mailadres van de eerste functionaris was gewijzigd in een ander e-mailadres, en het adres én het bankrekeningnummer van de notaris waren vervangen door een Portugees adres en een IBAN-rekeningnummer bij Banco Comercial Portugues, S.A. (BCP). De boekhouder ontving de gemanipuleerde e-mail en voerde op maandag 4 november 2024 om 11:24 uur en 11:27 uur de twee betalingen uit. Pas twee dagen later, op woensdag 6 november, constateerde Equipmed dat de notaris het geld niet had ontvangen.
Kort geding
Bij de rechtbank beriep Equipmed zich primair op artikel 7:527 BW, dat ziet op niet-toegestane betalingstransacties, en subsidiair op schending van de bancaire zorgplicht door de bank. Daarnaast vorderde Equipmed inzage op grond van artikel 843a Rv (oud). De rechtbank oordeelt echter dat de bank geen van deze verplichtingen heeft geschonden.
Toetsingskader
Het gaat in deze zaak – zo schetst de rechtbank – om de vraag of de bank gehouden is € 1.182.765 aan Equipmed (terug) te betalen. Ofwel omdat het een niet toegestane betalingstransactie was in de zin van artikel 7:527 BW ofwel omdat de bank op grond van haar zorgplicht tegenover Equipmed de twee betaalopdrachten naar een bankrekening bij BCP had moeten opmerken en daarop actie had moeten ondernemen voordat zij werden uitgevoerd. De rechtbank beantwoordt deze vraag ontkennend. Daartoe geldt het volgende.
Banken vervullen in algemene zin een rol als poortwachter vanwege hun centrale positie in het betalingsverkeer en de dienstverlening ter zake, omdat zij op die gebieden bij uitstek deskundig zijn en ter zake beschikken over informatie die anderen missen. Die rol betekent niet dat banken een algemene wettelijke taak hebben om alle vormen van fraude te bestrijden.
Een bank moet voorkomen dat haar diensten worden misbruikt voor witwassen of terrorismefinanciering. De Wet ter voorkoming van witwassen en financieren van terrorisme verplicht banken daarom tot een post-event transactiemonitoringssysteem om deze vormen van financieel-economische criminaliteit te detecteren. Daarnaast moet een bank ook andere vormen van financieel-economische criminaliteit voorkomen die de integriteit van het financiële stelstel bedreigt. Daartoe zijn in de Wet op het financieel toezicht (Wft) diverse maatregelen voorgeschreven, die alle dienen ter bescherming van het vertrouwen in de financiële onderneming, de financiële markten en het bancaire bedrijf.
Verder moet een bank haar klanten beschermen tegen misbruik van hun bankrekeningen, waaronder niet-geautoriseerde of frauduleuze betalingen (ook wel ‘bancaire fraude’ genoemd). Bij betalingen geldt het uitgangspunt dat een bank als betaaldienstverlener op grond van artikel 7:533 lid 4 BW gehouden is gehoor te geven aan een betaalopdracht van de betaler, mits aan de daaraan gestelde voorwaarden is voldaan. Zij mag een betaalopdracht alleen weigeren op een contractuele of wettelijke grond.
Tot slot is van belang dat de maatschappelijke functie van een bank een bijzondere bancaire zorgplicht meebrengt tegenover cliënten die in een contractuele relatie tot de bank staan. Die zorgplicht omvat bescherming van cliënten tegen lichtvaardigheid en gebrek aan kunde. De reikwijdte van deze zorgplicht hangt af van alle omstandigheden van het geval, waaronder ook de van toepassing zijnde publiekrechtelijke regels in de Wft en de daarop gebaseerde nadere regelgeving. Wanneer een bank weet heeft van onregelmatigheden, zal zij tot actie moeten overgaan. De bank moet dan onderzoek doen en adequate maatregelen treffen. Dit wordt ook wel subjectieve wetenschap genoemd, wat wil zeggen dat een ‘behoren te weten’ niet genoeg is om in te moeten grijpen. De nadere invulling van de bancaire zorgplicht heeft de Hoge Raad weliswaar bepaald in de relatie tussen een bank en een derde (ECLI:NL:HR:2015:3399), maar ook eigen klanten van de bank (die op dit punt tenminste dezelfde bescherming verdienen) kunnen hier een beroep op doen.
Toegestane transactie ondanks ontbreken wil
De rechtbank stelt allereerst vast dat Equipmed onbetwist heeft bevestigd dat de twee betaalopdrachten – op 4 november 2024 om 11:24 uur voor € 1.000.000 en om 11:27 uur voor € 182.765,88 – waren verstrekt in overeenstemming met de tussen partijen overeengekomen vorm en procedure. Dat betekent dat het uitgangspunt van artikel 7:522 lid 2 BW geldt: toegestane betalingstransacties.
Equipmed betoogde dat de transacties desondanks niet-toegestaan waren in de zin van artikel 7:527 BW, simpelweg omdat zij de overboekingen niet gewild had. De rechtbank volgt die redenering echter niet. De rechter overweegt dat het enkele feit dat een opdracht achteraf niet gewild blijkt, niet maakt dat het om een niet-toegestane transactie gaat. Daarvoor is vereist dat een derde op onrechtmatige wijze de overeengekomen vorm en procedure volgt – een situatie die in dit geval niet aan de orde was. De boekhouder handelde immers als gemachtigde van Equipmed toen hij de opdracht gaf. Dat daarbij een verkeerd (ongewenst) rekeningnummer bij Banco Comercial Portugues (BCP) in Portugal is opgegeven, komt voor rekening en risico van Equipmed zelf.
De rechter voegt daaraan toe dat een andere uitleg – waarbij elke klant achteraf zou kunnen stellen dat een zelf verstrekte opdracht niet gewild was en dus een niet-toegestane transactie betreft – “weinig praktisch” zou zijn en niet strookt met de systematiek van de betalingsdienstenrichtlijn zoals geïmplementeerd in boek 7 van het Burgerlijk Wetboek.
Geen subjectieve wetenschap bij de bank
Het subsidiaire beroep op schending van de bijzondere bancaire zorgplicht faalde eveneens. De rechtbank herhaalt het criterium dat voor een bank pas een onderzoeksplicht ontstaat wanneer zij daadwerkelijk weet heeft van onregelmatigheden – zogenoemde subjectieve wetenschap. Een “behoren te weten” is onvoldoende.
Equipmed voerde drie omstandigheden aan die volgens haar tot die wetenschap hadden moeten leiden. De rechtbank verwerpt alle drie.
De eerste omstandigheid betrof een telefoongesprek op vrijdag 1 november 2024, drie dagen voor de betalingen, waarin een van de functionarissen van Equipmed informeerde naar de mogelijkheden om een bedrag van ongeveer 1,2 miljoen euro over te maken naar de derdengeldenrekening van een notaris. De rechtbank oordeelt dat van een bank anno 2026 niet kan worden verwacht dat zij informatie uit een dergelijk gesprek aantekent in het klantdossier en bij elke latere betaalopdracht controleert of die in lijn is met de verkregen informatie.
De tweede omstandigheid betrof de constatering dat de betaalopdrachten weliswaar waren gericht aan “Seydlitz Notarissen”, maar dat het IBAN-rekeningnummer waarnaar moest worden overgemaakt, was gevestigd bij een Portugese bank. Equipmed stelde dat dit in strijd is met artikel 25 van de Wet op het notarisambt (Wna) en voor de bank een rode vlag had moeten zijn. De rechtbank oordeelt anders, mede onder verwijzing naar artikel 7:542 BW: wanneer een betaalopdracht een IBAN-rekeningnummer bevat, wordt een naar dat nummer overgemaakt bedrag geacht een correct uitgevoerde opdracht te zijn. Tot nader onderzoek is de bank dan niet gehouden.
De rechter wijst er ook op dat de bank onbetwist had aangevoerd dat in haar voorwaarden expliciet staat dat ten aanzien van buitenlandse betalingen geen naam-nummercontrole plaatsvindt – en dat het hier ging om betalingen van november 2024, terwijl de per 9 oktober 2025 geldende verplichting tot naam-nummercontrole voor binnenlandse betalingen dus nog niet van toepassing was.
Tijdige actie na fraudemelding
De derde omstandigheid zag op het handelen van de bank ná de ontdekking van de fraude. Equipmed meldde de fraude op woensdag 6 november 2024 omstreeks 11:00 uur bij de afdeling Fraude van de bank. De bank diende nog dezelfde dag om 11:45 uur – binnen 45 minuten – een annuleringsverzoek in bij BCP.
De rechtbank stelt vast dat het geld op dat moment de bank al had verlaten. Equipmed had onvoldoende onderbouwd betwist dat SEPA-betalingen “meteen worden verwerkt”, zoals de bank stelde. Dat betekent dat de bank het geld niet langer in haar macht had om tegen te houden of zelf terug te halen. Van een bank mag in die situatie worden verwacht dat zij contact zoekt met de buitenlandse bank, aldus de rechtbank, en dat heeft de bank binnen 45 minuten gedaan. Dat is in beginsel voldoende voortvarend.
Onzorgvuldigheden
De rechtbank signaleert wel dat de bank op onderdelen zorgvuldiger had mogen handelen – met name dat Swift-antwoorden van BCP van 21 november 2024 pas veel later in het fraudedossier terechtkwamen en dat Equipmed ten onrechte is bericht dat de rekening van de begunstigde bij BCP was geblokkeerd. Maar ook hier geldt: deze onzorgvuldigheden hebben niet tot een ander resultaat geleid. Voor de vordering van Equipmed maakt dat dus niet uit.
Inzagevordering onvoldoende onderbouwd
De vordering tot inzage op grond van artikel 843a Rv (oud) wordt eveneens afgewezen. De bank had tijdens de procedure al een deel van de gevraagde informatie verstrekt; voor het overige heeft Equipmed onvoldoende onderbouwd dat aan de wettelijke voorwaarden voor inzage was voldaan.
Ja, e-mailfraude. €1,2 miljoen via een gemanipuleerde mail naar een Portugese rekening. ABN AMRO hoeft niets terug te betalen. Risico ligt bij de klant. Dus, rekeningnummers uit e-mails altijd telefonisch verifiëren.