Fraude via e-mail: autobedrijf aangeklaagd door opgelichte klant

Een klant van een Nederlands autobedrijf, die via een frauduleuze e-mail afkomstig van het bedrijf werd opgelicht, heeft het bedrijf aangeklaagd. De zaak draait nu om de vraag of het e-mailaccount van het autobedrijf voldoende beveiligd was volgens de eisen van de AVG. De klant, afkomstig uit Australië, wilde in juli 2022 een auto kopen bij het autobedrijf. Na eerder e-mailcontact ontving hij via het e-mailadres van het bedrijf een bericht met betaalinstructies om ongeveer 27.000 euro over te maken naar een Duitse bankrekening.

Deze e-mail bleek frauduleus te zijn en afkomstig van criminelen die toegang hadden gekregen tot het e-mailaccount van het autobedrijf. Toen de klant ontdekte dat hij was opgelicht, eiste hij alsnog levering van de auto. Het bedrijf weigerde en ontbond de overeenkomst. Hierop stapte de klant naar de rechter. In de rechtszaak verscheen het autobedrijf niet, waardoor het bij verstek werd veroordeeld tot terugbetaling van 27.000 euro, plus een vergoeding voor materiële en immateriële schade.

Het autobedrijf ging in beroep tegen dit vonnis, en de rechtbank vernietigde het verstekvonnis grotendeels, waarbij de eerder toegewezen vorderingen werden afgewezen. De klant ging hierop ook in hoger beroep bij het Gerechtshof Arnhem-Leeuwarden. Volgens de klant had het autobedrijf onvoldoende maatregelen genomen om zijn e-mailaccount te beveiligen, waarbij hij onder andere wees op de verklaring van de externe ICT-beheerder van het bedrijf. Deze verklaarde dat toegang tot het account met slechts enkele pogingen werd verkregen, wat suggereert dat het wachtwoord gemakkelijk te achterhalen was.

Daarnaast stelt de klant dat het autobedrijf haar wachtwoord met meerdere personen deelde, geen tweefactorauthenticatie gebruikte, enkel standaard ’tooling’ toepaste om het netwerk te scannen en dat er geen bewijs is van een complex of ooit gewijzigd wachtwoord. Het autobedrijf verdedigt zich door te stellen dat haar beveiligingsmaatregelen afdoende waren gezien het beperkte aantal persoonsgegevens dat via het e-mailaccount werd verwerkt en het uitblijven van gevoelige gegevens. Het beheer van het e-mailaccount was uitbesteed aan een gespecialiseerd ICT-bedrijf voor kleine autobedrijven.

Het hof oordeelt dat het autobedrijf, op basis van haar huidige verdediging, niet heeft aangetoond dat haar e-mailaccount – waarop ook de persoonsgegevens van de klant werden verwerkt – voldoende was beveiligd. Uit de verklaring van het autobedrijf blijkt dat het de wachtwoordinstellingen en het beheer van het e-mailaccount heeft overgelaten aan het ICT-bedrijf, zonder zelf een sterk wachtwoord te hanteren of beheren. Het hof twijfelt of dit voldoende is als beveiligingsmaatregel voor het e-mailaccount.

In een tussenvonnis heeft het hof nu bepaald dat het autobedrijf tot 7 januari 2025 de tijd krijgt om aan te tonen dat het e-mailaccount in lijn met de AVG-eisen adequaat beveiligd was. Als blijkt dat het e-mailaccount onvoldoende beveiligd was, is het hof voorlopig van oordeel dat het waarschijnlijk is dat de aanvaller via deze AVG-inbreuk de frauduleuze betaalinstructie naar de klant kon sturen. “Dat leidt tot de conclusie dat er een zogeheten ‘condicio sine qua non-verband’ bestaat tussen de schade die de klant leed door geld over te maken naar het door de hacker opgegeven rekeningnummer en de inbreuk op de AVG”, aldus het hof.

Bron: security.nl

Ook jouw e-mail weer helemaal veilig? Neem contact met mij op.