Bij phishing stelen de oplichters op allerhande manieren geld of gegevens van het slachtoffer. De oplichters benaderen de slachtoffers hiervoor via e-mail, Whatsapp, sms of telefonisch. 

Veelal wordt het slachtoffer naar een valse website gelokt, waarbij vervolgens wordt gevraagd om persoonlijke beveiligingsgegevens (bv. kaartnummer, vervaldatum en response code) in te vullen. Met deze gegevens kunnen de oplichters dan zelf betalingen verrichten. Ook telefonisch trachten ze met smoesjes gegevens te ontfutselen. 

Om hun geloofwaardig aan te scherpen, gaan sommige oplichters zelf zo ver om vooraf informatie over hun potentiële slachtoffers te verzamelen en spelen ze ook in op de actualiteit (bv. druk op deze link voor het bekomen van uw energiepremie).

Wanneer het slachtoffer in de val trapt, is het de vraag tot wie het slachtoffer zich kan richten om eventueel zijn geld terug te krijgen. 

Bij ontdekking van de fraude dient het slachtoffer onmiddellijk cardstop te bellen en aangifte te doen bij de politie. De praktijk leert dat professionele oplichters zeer moeilijk traceerbaar zijn en het politieonderzoek in het merendeel van de gevallen niets oplevert.

In een tweede stap kan het slachtoffer zich richten tot de bank, althans wanneer het gaat om een niet-toegestane betalingstransactie. Er is sprake van een niet-toegestane betalingstransactie wanneer de rekeninghouder zelf geen opdracht heeft gegeven om een welbepaald bedrag over te maken. 

Bij phishing (= in principe een niet-toegestane betalingstransactie) moet de bank het ontvreemde bedrag onmiddellijk (!) terugstorten aan het slachtoffer en is het verlies van het slachtoffer aldus beperkt tot 50 euro. Wanneer het slachtoffer in de onmogelijkheid verkeerde om de fraude op te merken, moet de bank zelfs alles terugbetalen. 

Het is vervolgens aan de bank om te bewijzen dat er in hoofde van het slachtoffer sprake is van (1) grove nalatigheid, (2) bedrog of (3) opzettelijke handelingen. Indien de bank dit niet kan bewijzen, zal het geld definitief aan het slachtoffer toebehoren.

  

Wanneer er sprake is van een toegestane betalingstransactie, blijft het slachtoffer volledig in de kou staan. Bij een toegestane betalingstransactie geeft het slachtoffer namelijk zelf opdracht om over te gaan tot betaling en rust op de bank geen verplichting om het verlies van het slachtoffer te dragen. Denk bijvoorbeeld aan factuurfraude: het slachtoffer ontvangt een valse factuur en gaat zonder controle over tot betaling op het ‘foutieve’ bankrekeningnummer. 

De banken trachten vaak onterecht phishing ook als toegestane betalingstransactie te kwalificeren, zodat ze niet onmiddellijk moeten overgaan tot betaling. 

Wanneer er sprake is van een niet-toegestane betalingstransactie, zal de bank onmiddellijk moeten overgaan tot terugbetaling van het gefraudeerde bedrag aan het slachtoffer. Het is namelijk ook aan de bank om voldoende beschermingsmechanismen in te bouwen of fraude te bestrijden. 

In de praktijk kwalificeren de banken vaak de betaling foutief als toegestane betalingstransacties, zodat ze aan hun verantwoordelijkheid ontsnappen.  Daarenboven menen ze ook vaak ten onrechte dat er grove nalatigheid of bedrog is in hoofde van het slachtoffer.  Het slachtoffer is dan genoodzaakt om verdere (gerechtelijke) acties te ondernemen. 

Op heden is er omtrent beide vraagstukken nog maar weinig rechtspraak. Het valt dus af te wachten hoe de rechtspraak hierover de komende jaren zal oordelen.