Bol.com moet van de rechter Brabantia driekwart miljoen euro betalen voor leveringen. Dat bedrag is allang betaald, dacht het online warenhuis, maar het trapte wel erg makkelijk in een oplichtersmailtje, vindt de rechtbank.
Brabantia verkoopt huishoudelijke producten via de webwinkel. Zo ook in december 2019 en januari 2020. Afgesproken is dat Bol.com binnen 30 dagen voor de leveringen betaalt. Maar er komt een kink in de kabel als de mailbox van een Brabantia-medewerkster wordt gehackt eind 2019. Bol.com krijgt in november een mailbericht waarin in gebrekkige taal wordt aangekondigd dat de bankrekening van de fabrikant is gewijzigd: betalingen moeten voortaan worden overgemaakt op een Spaanse bankrekening op naam van Brabantia International B.V. De zaak is dringend, want de twee dagen erna wordt steeds om bevestiging van de aanpassing gevraagd. Bol.com laat op 6 december weten dat het rekeningnummer is gewijzigd. Die bevestiging wordt vanwege de hack niet ontvangen door Brabantia zelf. Vervolgens wordt in december en januari voor meer dan € 750.000 aan leveringen betaald op het Spaanse rekeningnummer.
Betaling alleen bevrijdend in bijzondere omstandigheden
Op het hoofdkantoor in Valkenswaard blijven de rekeningen echter openstaan en eind januari concluderen Bol en Brabantia dat er sprake is geweest van fraude. Vervelend, maar daarmee zijn de verkochte prullenbakken en keukenspullen nog niet betaald: Brabantia wil dat Bol.com alsnog betaalt en stapt naar de rechter.
Die bepaalt allereerst dat een girale betaling van leveringen aan een andere partij dan de schuldeiser niet kan worden aangemerkt als een gebrekkige nakoming, maar als niet-nakoming. Alleen onder bijzondere omstandigheden zou het als een bevrijdende betaling kunnen worden aangemerkt. Bijvoorbeeld als de betaler redelijkerwijs kon aannemen dat de ontvanger recht had op de betaling.
Controle was niet goed
Maar dat is hier niet aan de orde. De vervalste e-mail had tot argwaan moeten leiden, oordeelt de rechter. Bol.com heeft alleen gekeken of het bericht afkomstig was van het bekende e-mailadres van Brabantia, of de brief er goed uitzag en of er handtekeningen onder de brief stonden. Dat is te weinig: Bol.com had zich moeten realiseren dat verzoeken om het wijzigen van rekeningnummers een aantrekkelijke ingang kan bieden voor oplichters en had eenvoudig kunnen controleren of het verzoek inderdaad van Brabantia kwam. Sterker nog, dat had Bol moeten doen: ‘Onder dergelijke omstandigheden is een bovengemiddelde zorgvuldigheid aan de zijde van de ontvanger van een dergelijk verzoek doelmatig en wordt deze ook verlangd.’
Taal wekte geen argwaan
Alleen het Spaanse rekeningnummer had al tot ‘gezonde argwaan’ moeten leiden. Daarnaast was het grammaticaal incorrecte taalgebruik een duidelijk fraudesignaal, net als het afwisselend gebruik van Nederlands en Engels: ‘Houd he rekening mee dat we vanaf vandaag een wijziging in onze bankrekeninggegevens hebben voor incaende betalingen. Voortaan moten all incoming betalingen have been overgemaakt naar onze filiaalrekening in Spanje. We het op prijs as u uw gegevens kunt bijwerken.’
Dergelijke zinnen kunnen logischerwijs niet van directeuren van Brabantia Netherlands afkomstig zijn of door hen zijn goedgekeurd, aldus de rechter. ‘Dat met de daarop volgende Engelstalige passage ‘niets mis is’, zoals Bol.com benadrukt, doet hier niet aan af, nog afgezien van het feit dat het gebruik van de Engelse taal in deze context op zich zelf al tot twijfel had moeten leiden.’
Twijfel is bepalend
Dat Brabantia niet heeft gereageerd op de bevestigingen van Bol.com, doet niet ter zake: ‘Bij de vraag of Bol.com te goeder trouw was bij de betalingen, is bepalend of zij had moeten twijfelen. Hiervoor heeft de rechtbank vastgesteld dat Bol.com door de brief van 25 november 2019 ernstig moest twijfelen. Die ernstige twijfel wordt naar het oordeel van de rechtbank niet weggenomen doordat Brabantia Netherlands de bevestiging van Bol.com onbeantwoord heeft gelaten.’
Geen eigen schuld
De webwinkel werpt nog tegen dat Brabantia niet zorgvuldig genoeg is geweest (onder andere door geen tweefactoratuhenticatie toe te passen) en daarom mede schuld heeft aan de hack. Maar dat kan nog niet goed worden beoordeeld, vindt de rechter. Dat verweer is pas laat naar voren gekomen; de bedoelde authenticatie was bovendien mogelijk wel raadzaam eind 2019, maar niet verplicht. Of er slordig is omgegaan met wachtwoorden of inloggegevens kan niet worden vastgesteld.
Bol.com moet daarom het bedrag alsnog betalen, inclusief wettelijke rente en buitengerechtelijke incassokosten.
