Het hof van beroep Antwerpen veroordeelt KBC tot terugbetaling nadat door phishingfraude 44.300 euro van de rekening van een scholengroep verdween. De bank draagt het volledige verlies, zo oordeelt het hof, want de betalingen waren niet toegestaan en de school beging geen grove nalatigheid. Daarmee hervormt het hof het vonnis van de ondernemingsrechtbank Antwerpen van 7 april 2025, waarin de school nog zelf werd veroordeeld om dat bedrag aan de bank terug te betalen.
De slachtoffers van de fraude zijn een schoolbestuur in Wilrijk en zijn penningmeester. Zij waren beiden klant bij de bank. De penningmeester beschikte over een volmacht op de rekening van de school. De school had bij verzekeringsmaatschappij AXA een verzekering bestuurdersaansprakelijkheid afgesloten.
De feiten dateren van zaterdag 26 februari 2022, de eerste dag van de krokusvakantie. De penningmeester werd telefonisch gecontacteerd door een man die zich voordeed als medewerker van de bank en meedeelde dat er fraude werd gepleegd op haar rekening. Om haar geld in veiligheid te brengen, zogezegd door een kluisrekening te openen, moest zij haar bankkaart in een kaartlezer steken en de gegevens die op het schermpje verschenen telefonisch doorgeven. Toen de echte bank op maandag 28 februari 2022 duidelijk maakte dat het om fraude ging, bleek dat 9.900 euro van de persoonlijke rekening van de penningmeester was doorgestuurd naar de schoolrekening. Tussen zaterdagavond en de vroege ochtend van zondag verdwenen vanuit de schoolrekening achttien betalingen met een totaalbedrag van 44.300 euro naar rekeningen van onbekenden.
De school dagvaardde in september 2023 de bank, de verzekeringsmaatschappij en de penningmeester. Nadat de rechter in een tussenvonnis van januari 2024 al had bevolen dat de bank het bedrag van 44.300 euro voorlopig terug op de rekening van de school moest storten, wat op 12 januari 2024 gebeurde, wees de ondernemingsrechtbank op 7 april 2025 vonnis ten gronde. De rechtbank oordeelde dat de achttien betalingen niet-toegestane transacties waren, maar stelde tevens vast dat de school door grove nalatigheid al haar verplichtingen had geschonden. Daardoor moest de school alsnog de volle 44.300 euro aan de bank terugbetalen. De rechtbank veroordeelde daarnaast de penningmeester om 34.400 euro aan de school te betalen en de verzekeringsmaatschappij om 33.400 euro tussen te komen.
Zowel de verzekeringsmaatschappij, de school, de bank als de penningmeester gingen tegen dat vonnis in beroep. Het hof van beroep Antwerpen deed uitspraak op 14 oktober 2026.
Het hof onderzoekt eerst of de bank op een clausule in haar reglement kan terugvallen om haar wettelijke aansprakelijkheid uit te sluiten. Dat blijkt niet het geval. De bank toont immers niet aan dat de school dat reglement ooit aanvaardde. Uit de betaalgeschiedenis van de school blijkt bovendien dat zij normaal met een andere applicatie werkte, bedoeld voor ondernemingen, en niet met het platform waarmee de betwiste betalingen werden uitgevoerd. De toegang die de fraudeur via de persoonlijke kaart van de penningmeester kreeg, gaf hem bovendien ook toegang tot de rekening van de school, waarop zij een volmacht had zonder dat zij zich moest aanmelden als volmachthouder van de school. Van de bank mag redelijkerwijs verwacht worden dat ze dergelijke identificatie vereist, aldus het hof.
Vervolgens oordeelt het hof dat de achttien betalingen niet-toegestaan waren. Het enkele feit dat de transacties werden uitgevoerd met de bankkaart, de kaartlezer en de pincode van de penningmeester, bewijst niet dat de school met die betalingen instemde. Instemming kan niet herleid worden tot het technische gebruik van de kaartlezer wanneer de betaler geen zicht had op de online betaalomgeving waarin de opdrachten werden klaargezet. De penningmeester zag enkel een zwart scherm; de instructies kwamen van de fraudeur.
Het hof sluit zich hierbij aan bij vaste rechtspraak van het Hof van Justitie en van de Nederlandse Hoge Raad: het correct doorlopen van de afgesproken authenticatieprocedure staat er niet aan in de weg dat een betaling niet-toegestaan wordt genoemd wanneer een derde er op onrechtmatige wijze misbruik van maakte.
Tot slot beoordeelt het hof de vraag naar grove nalatigheid. Het vonnis van de eerste rechter wordt op dat punt integraal hervormd. Alle feiten wijzen erop dat de penningmeester handelde om haar eigen rekening te beschermen, niet als volmachthouder van de school, zodat haar gedrag de school niet kan worden toegerekend. Maar zelfs als dat wel zo ware, oordeelt het hof dat haar gedragingen niet zo onvoorzichtig zijn dat een redelijke, normaal zorgvuldige betaler ze nooit zou stellen. Het zijn precies de gedragingen die in talloze gelijkaardige fraudezaken voorkomen, ondanks alle waarschuwingen van banken, media en overheden. Het hof weegt daarbij ook mee dat de betwiste betalingen duidelijk afweken van het normale betalingspatroon van de school, qua tijdstip, wijze van uitvoering, bedragen, opeenvolging en begunstigden, en dat de bank niet aantoont dat zij voldoende fraudedetectie had ingebouwd om de transacties te detecteren of tegen te houden. Grove nalatigheid mag bovendien niet te licht worden aangenomen: de regel dat de betaler alles verliest bij grove nalatigheid is een uitzondering op de bescherming van de wetgever en moet strikt worden toegepast.
Daardoor draagt de school geen enkel verlies en is de bank haar de 44.300 euro verschuldigd. De vorderingen van de school tegen de verzekeringsmaatschappij en tegen de penningmeester zijn daardoor zonder voorwerp geworden.
De rechtsplegingsvergoedingen van de eerste aanleg en van het hoger beroep worden overeenkomstig de uitspraak vereffend.