Hacket via sitt eget telefonnummer: Retten tvang kredittselskapet til å betale tilbake alt hun tapte

Dommen fra tribunalet i Nantes ble avsagt 10. juli 2026, og den plasserer bevisbyrden hos banken, ikke hos offeret. Saken omtales i franske medier som viktig for forbrukere som rammes av såkalt SIM-swapping.

Kvinnen, som opptrer under pseudonymet Yvonne, tegnet en rullerende kreditt hos Cetelem i august 2025 for å finansiere et kjøp på 1.067 euro (cirka 12.000 kroner). Kort tid etter mottok hun en falsk e-post som utga seg for å komme fra banken.

Da hun oppdaget at mobilnummeret hennes plutselig ikke virket, hadde svindlerne allerede tømt kredittkontoen for 1.922,24 euro (cirka 21.500 kroner) i uautoriserte transaksjoner.

Slik ble telefonnummeret kapret

Angriperne hadde skaffet seg hennes RIO-kode, den koden en fransk mobilkunde bruker for å flytte nummeret sitt til en annen operatør. Med koden i hånden fikk de Orange til å overføre nummeret hennes til et SIM-kort de selv kontrollerte.

Les også: YouTube stopper midt i filmen på LG-TVen din: Her er grunnen og hva du kan gjøre

I det seks dager lange vinduet før hun oppdaget kapringen, fanget svindlerne opp alle engangskodene banken sendte via SMS. Dermed kunne de logge seg inn og godkjenne transaksjoner som om de var henne.

Cetelem, som er forbrukskredittmerket til BNP Paribas Personal Finance, avviste først kravet om tilbakebetaling. En meklingssak endte uten resultat i desember 2025, og Yvonne stevnet selskapet i februar 2026.

Bevisbyrden ligger hos banken

Etter fransk lov må banken bevise at kunden enten har autorisert transaksjonen, opptrådt grovt uaktsomt eller at systemet krevde sterk kundeautentisering som fungerte. Klarer banken ikke det, skal pengene tilbakebetales.

Reglene står i artikkel L. 133-18 i den franske penge- og finansloven (Code monétaire et financier), som gjennomfører EUs betalingstjenestedirektiv. Banken må refundere umiddelbart etter varsel, med mindre den skriftlig kan sannsynliggjøre svik fra kundens side overfor Banque de France.

Les også: «Made in China» betyr ikke lenger billig: Norske bileiere merker skiftet allerede

I saken mot Yvonne kom retten til at Cetelem ikke hadde levert noen slik dokumentasjon. Dommeren idømte selskapet å tilbakebetale hele beløpet på 1.922,24 euro, pluss 500 euro (cirka 5.600 kroner) i saksomkostninger og øvrige rettsgebyrer.

SIM-swapping i sterk vekst

Metoden svindlerne brukte, kalles SIM-swapping eller nummerkapring. Den beskrives av det franske advokatnettverket TNJ Lex som «en svindel der en bedrager stjeler identiteten din hos mobiloperatøren for å overføre nummeret ditt til et SIM-kort de kontrollerer», som advokatene forklarer.

Utfordringen er at mange banktjenester fortsatt hviler på SMS-koder som andre faktor. Når svindleren har telefonnummeret, får han også engangskodene, og tofaktorautentiseringen mister sin verdi.

Også et norsk angrepspunkt

Også i Norge sliter bankene med at kriminelle overtar ofrenes digitale identitet. Finans Norge skriver i statusrapporten om svindel for 2026 at bankene i 2025 hindret at 1,5 milliarder kroner havnet hos kriminelle, og at «bankene registrerer at svindlerne tilpasser seg tiltakene som blir iverksatt, hvor de tar i bruk ny teknologi».

Les også: Sony svarer på disk-raseriet og nekter å snu: PlayStation-plater er over for godt

Rapporten peker særlig på at manipuleringssvindel, der offeret selv presses eller lures til å gjennomføre handlingene, er «et område i sterk vekst». Med BankID på mobil som bærebjelke i norsk innlogging blir kontrollen over telefonnummeret et sentralt angrepspunkt.

Den franske dommen har ingen direkte rettskraft i Norge, men den underbygger et prinsipp som også gjelder for norske bankkunder: ved uautoriserte transaksjoner er det banken som må dokumentere at kunden har vært grovt uaktsom, ikke omvendt.

Les også: Elbil-varmepumpe til opp mot 17.000 kroner ekstra: Kjører du korte turer, kan tilvalget være bortkastet