Voldoende zorg tegen cybercriminaliteit

Gerecht in eerste aanleg van Curaço 3 juli 2023, ECLI:NLOGEAC:2023:168, IT 4339 (I.F.C./G&V) IFC en G&V hebben jarenlang samengewerkt in de logistieke dienstverlening. In het kader van de financiële afwikkeling krijgt G&V van IFC te horen dat zij, in tegenstelling tot de gebruikelijke manier van betalen, het geld naar een bank in Polen over kan maken. Latere deelbetalingen naar dezelfde bank blijken onjuist te zijn, nu de begunstigde van deze betalingen niet IFC is, maar een cybercrimineel. IFC vordert de deelbetalingen van G&V, maar deze beroept zich op bevrijdende betaling.

IFC stelt dat er geen bevrijdende betaling heeft plaatsgevonden, omdat G&V verantwoordelijk is voor de onjuiste betaling die door het gevolg van cybercrime heeft plaatsgevonden. G&V verweert zich met de stelling dat zij steeds zorgvuldig is geweest in haar correspondentie en dat het aan IFC te wijten is dat de cybercrimineel haar heeft kunnen hacken. Het gerecht gaat niet mee in het verweer van G&V. Niet alleen heeft IFC voldoende voorzorgsmaatregelen genomen om cybercrime te voorkomen, G&V had ook niet zomaar mogen aannemen dat de mails van de cybercrimineel afkomstig waren van IFC. Er waren voor G&V voldoende omstandigheden om aan te nemen dat er sprake was van een verdachte situatie, zeker gelet op het verzoek om plotseling geld naar een andere bank over te maken. 

4.4 Het gerecht overweegt dat wanneer iemand door zich valselijk als een ander voor te doen iets voor die ander verklaart – in deze zaak het aanwijzen van een bankrekening voor betaling – als uitgangspunt geldt dat die ander zich tegen degene tot wie de verklaring is gericht (hierna: de geadresseerde), erop kan beroepen dat de verklaring niet van hem afkomstig is, ook wanneer de geadresseerde heeft aangenomen en redelijkerwijze mocht aannemen dat de verklaring wel van die ander afkomstig was. Uit het beginsel dat ten grondslag ligt aan de artikelen 3:35, 3:36, 3:61 tweede lid en 6:147 van het Burgerlijk Wetboek vloeit evenwel voort dat dit onder omstandigheden anders kan zijn. Deze omstandigheden moeten dan wel van dien aard zijn dat zij rechtvaardigen dat aan degene voor wie valselijk iets is verklaard, geheel of ten dele wordt toegerekend dat geadresseerde de verklaring voor echt heeft gehouden en redelijkerwijze mocht houden. De omstandigheden kunnen dus ook van dien aard zijn dat het slechts in een bepaalde mate aan degene voor wie valselijk is verklaard, moet worden toegerekend dat de geadresseerde gerechtvaardigd op die verklaring heeft vertrouwd, en dat dit voor het overige voor rekening en risico van de geadresseerde blijft. Bij deze beoordeling kan onder meer een rol spelen in hoeverre partijen adequate voorzorgsmaatregelen hebben genomen om te voorkomen dat een derde in staat is zich voor een van hen uit te geven. In verband daarmee mag in voorkomend geval van partijen worden verwacht dat zij uiteenzetten welke inspanningen zij zich hebben getroost om te achterhalen op welke wijze de derde zich valselijk als een van hen heeft kunnen voordoen en wat deze inspanningen hebben opgeleverd (zie het arrest van de Hoge Raad van 28 mei 2021, ECLI:NL:HR:2021:783).