Betaling op de bankrekening van een hacker: voor risico van de gehackte schuldeiser of van de betalende schuldenaar?

In een recent arrest heeft de Hoge Raad zich uitgesproken over de vraag voor wiens risico een betaling op een onjuiste bankrekening moet komen, wanneer een fraudeur (vaak een hacker) zich voordoet als de schuldeiser en de schuldenaar op basis van verklaringen van deze fraudeur betaalt op een onjuiste bankrekening. Dit arrest is van groot belang voor de (internationale) handelspraktijk in een steeds verder digitaliserende wereld. Advocaat verbintenissenrecht Sjoerd Yntema bespreekt deze uitspraak.

Feiten

Hascor deed een bestelling bij Yildirim, die op haar beurt dochtervennootschap Devante aanwees als verkopende partij. Voor de betaling ontving Hascor een e-mail van een mailadres eindigend op “yildirimgroup.com” met daaraan gehecht een factuur. Deze e-mail was echter niet afkomstig van Yildirim of Devante, maar van een fraudeur die de systemen van de Yildirim groep had gehackt. In de factuur die aan de e-mail was gehecht waren niet de betaalgegevens van Yildirim of Devante opgenomen, maar die van de fraudeur. Hascor heeft vervolgens de koopsom van $ 363.394,- overgeboekt naar de bankrekening van de fraudeur.

Devante c.s. vordert betaling van haar factuur van Hascor, die zich op het standpunt stelt dat zij bevrijdend heeft betaald, omdat zij op grond van de e-mail en de factuur ervan uit mocht gaan dat de betaalgegevens juist waren. In eerste aanleg is de vordering van Devante c.s. toegewezen, maar in hoger beroep Ons burgerlijk procesrecht kent het beginsel dat er onderzocht wordt in twee instanties: een ieder heeft het recht op een nieuwe behandeling van de zaak door een hogere rechter.
» Meer over hoger beroep hoger beroep heeft het hof de vordering afgewezen en geoordeeld dat er omstandigheden zijn die rechtvaardigen dat aan Devante wordt toegerekend dat Hascor de vervalste factuur voor echt heeft gehouden en redelijkerwijze mocht houden.

Hoge Raad

De Hoge Raad sluit in zijn uitspraak aan bij de eerdere conclusie van Procureur-Generaal Assink en oordeelt dat wanneer iemand door zich valselijk als een ander voor te doen (de schuldeiser) iets voor die schuldeiser verklaart – in dit geval dus het aanwijzen van een bankrekening voor betaling – als uitgangspunt geldt dat de schuldeiser zich tegen degene tot wie de verklaring is gericht (hier de schuldenaar), erop kan beroepen dat de verklaring niet van hem afkomstig is, ook wanneer de schuldenaar heeft aangenomen en redelijkerwijze mocht aannemen dat de verklaring wel van de schuldeiser afkomstig was.

Dit kan echter onder omstandigheden anders zijn. Deze omstandigheden moeten dan wel van dien aard zijn dat zij rechtvaardigen dat aan de schuldeiser, geheel of ten dele wordt toegerekend dat schuldenaar de verklaring van de fraudeur voor echt heeft gehouden en redelijkerwijze mocht houden (zo oordeelde de Hoge Raad ook in eerdere uitspraak). De omstandigheden kunnen dus ook van dien aard zijn dat het slechts in een bepaalde mate aan de schuldeiser moet worden toegerekend dat de schuldenaar gerechtvaardigd op die verklaring heeft vertrouwd, en dat dit voor het overige voor rekening en risico van de schuldenaar blijft.

Bij de beoordeling hiervan kan volgens de Hoge Raad onder meer een rol spelen in hoeverre partijen adequate voorzorgsmaatregelen hebben genomen om te voorkomen dat een derde in staat is zich voor een van hen uit te geven. In verband daarmee mag in voorkomend geval van partijen worden verwacht dat zij uiteenzetten welke inspanningen zij zich hebben getroost om te achterhalen op welke wijze de derde zich valselijk als een van hen heeft kunnen voordoen en wat deze inspanningen hebben opgeleverd.

De Hoge Raad komt in deze zaak uiteindelijk tot het oordeel dat het Hof geen onjuiste beslissing heeft genomen door de vordering van Devante af te wijzen.

Betekenis praktijk

Deze uitspraak is van groot belang voor de internationale handelspraktijk: enerzijds moeten partijen iedere betaling nauwkeurig controleren, nu betaling aan een fraudeur dus in beginsel voor hun rekening en risico komt. Aan de andere kant is het ook zaak om te zorgen voor adequate bescherming van de systemen, nu een betaling aan een hacker onder omstandigheden (waaronder een slecht ingeregelde cyber security) als bevrijdend kan kwalificeren, waardoor je als schuldeiser met lege handen kunt komen te staan.

De beoordeling van een dergelijk geschil zal van geval tot geval verschillen. AMS advocaten heeft ruime ervaring met dergelijke (internationale) geschillen en staat daarbij zowel schuldeisers als schuldenaren bij, zowel in als buiten rechte.