Koper betaalt een factuur die achteraf vervalst blijkt te zijn. Op de factuur stond namelijk het bankrekeningnummer van een hacker. De verkoper – die zelf nooit geld ontving – vordert alsnog betaling van de koopsom. Maar welke contractspartij draagt nu eigenlijk het risico wanneer een hacker hun koopovereenkomst kaapt?
Organisaties krijgen steeds vaker te maken met malafide partijen die proberen hun systemen binnen te dringen. Een hacker kan zichzelf bijvoorbeeld toegang tot een e-mailaccount verschaffen en afnemers in die hoedanigheid vervalste betaalinstructies sturen. Zo was ook het geval in de zaak tussen Devante en Hascor, waarin de Hoge Raad (‘’HR’’) eerder dit jaar uitspraak deed.
Devante / Hascor
Yildirim en Hascor zijn beiden actief in de internationale metaalhandel en doen al lange tijd zaken met elkaar. Binnen hun handelsrelatie is het gebruikelijk dat Hascor bij Yildirim een order plaatst, waarna Yildirim een dochtervennootschap aanwijst die de overeenkomst uitvoert.
In september 2015 bestelde Hascor bij Yildirim voor een bedrag van $ 363.394,13 ferrochroom. Yildirim wees vervolgens haar dochtermaatschappij Devante aan als verkopende vennootschap. De per e-mail verstuurde factuur en shipping documents waren dan ook van haar afkomstig. Enkele minuten later ontving Hascor vanuit datzelfde e-mailadres een nieuwe mail, met daarin dezelfde shipping documents en een miniem gewijzigde factuur. Hascor betaalde de factuur zonder deze te vergelijken met de eerder toegestuurde versie.
Wel of niet bevrijdend betaald?
Later – toen Hascor de reeds betaalde koopsom niet meer kon storneren – bleek dat het om een vervalste factuur ging. Een hacker was het e-mail account van Devante binnengedrongen en had vanuit daar de tweede e-mail gestuurd, met op de factuur een ander bankrekeningnummer. Devante vorderde hierop de betaling van de koopsom op het correcte bankrekeningnummer. Hascor meende bevrijdend te hebben betaald, omdat hij er vanuit had mogen gaan dat de vervalste factuur de bankrekening van schuldeiser betrof.
Toerekening valse verklaringen
In eerste aanleg werd deze vordering toegewezen. Rechtbank Gelderland oordeelde dat geen sprake was van bevrijdende betaling door Hascor en verwees in dat verband naar het Kamerman-arrest. In Kamerman aanvaardde de HR voor het eerst dat bijzondere omstandigheden ertoe kunnen leiden dat degene voor wie valselijk is verklaard, toch gebonden is aan die verklaring.
Een situatie waarin de geadresseerde aannam of redelijkerwijze mocht aannemen dat de verklaring van die ander afkomstig was, is daarvoor niet voldoende. Dit moet namelijk ook zijn toe te rekenen aan degene voor wie valselijk is verklaard. Als voorbeeld noemt de HR het geval dat degene voor wie valselijk is verklaard de onbetrouwbaarheid van de vervalser kende of behoorde te kennen, maar hier toch aan meewerkte of dit zonder voorzorgsmaatregelen te treffen toch toestond.
De rechtbank oordeelde dat van dergelijke bijzondere omstandigheden geen sprake was. De verantwoordelijkheid voor de totstandkoming van een rechtsgeldige betaling lag in principe bij de schuldenaar. Het ging daarbij niet om de vraag of Hascor verweten kon worden dat zij aan een fraudeur betaalde, maar of Devante zo onzorgvuldig zou hebben gehandeld dat de fraude onder haar risico moest vallen.
Van dergelijk onzorgvuldig handelen was geen sprake. Ook het feit dat haar IT-omgeving zou zijn gehackt, maakte dat niet anders. De vervalste factuur kon niet aan Devante worden toegerekend. Hascor – die daarmee dus niet bevrijdend heft betaald – moest alsnog de overeengekomen koopprijs voldoen.
Schuldeider toch gebonden aan valse factuur
Hascor ging tegen dit oordeel van de rechtbank in hoger beroep, en met succes. Volgens het hof waren er een aantal zaken die maakte dat wél sprake was van bijzondere omstandigheden, zoals bedoeld in het Kamerman-arrest. Zo waren de verzonden e-mails afkomstig van het juiste e-mailadres en hadden de berichten steeds hetzelfde onderwerp. De e-mails gaven dus geen aanleiding om de factuur te controleren. Daar kwam bij dat Hascor voor het eerst zaken deed met Devante en werden door Yildrim per bestelling andere banken en rekeningnummers gebruikt. De vervalste factuur kon daarom wel worden toegerekend aan Devante.
HR verwerpt cassatieberoep
Schuldeiser Devante ging in cassatie en voerde daartoe aan dat het hof de toets uit Kamerman niet juist zou hebben toegepast. Het hof zou namelijk onvoldoende onderscheid hebben gemaakt tussen de vraag of Hascor de e-mail redelijkerwijze voor echt mocht houden en de vraag of dat aan Devante viel toe te rekenen. Ook zou het hof een te lage drempel voor toerekening hebben gehanteerd. De HR ging hier niet in mee en verwerpt het cassatieberoep.
Risicoverdeling
De HR brengt daarbij wel enige nuance aan in het leerstuk van de toerekening van valse verklaringen. In die zin, dat het risico ook aan beide partijen kan worden toegerekend. Bij deze risicoverdeling moet volgens de HR rekening worden gehouden met de omstandigheden van het geval. Daarbij kunnen ook de door partijen genomen voorzorgsmaatregelen – ter voorkoming dat een derde zich voor een van hen uitgeeft – een belangrijke rol spelen.
Nu Devante toch gebonden was aan de vervalste factuur, is de eindstand dan ook dat Hascor bevrijdend heeft betaald. Het komt in deze zaak niet tot een risicoverdeling. De HR laat deze beoordeling uiteindelijk aan de feitenrecht.
Ondernemers opgelet!
Dit arrest van de Hoge Raad vormt het sluitstuk in deze procedure en illustreert maar weer eens dat oplettendheid in het handelsverkeer geboden is. Zelfs in geval van fraude, kunnen bijzondere omstandigheden ertoe leiden dat de gehackte partij geen aanspraak op betaling van de koopsom maakt.
De hoofdregel blijft echter dat een partij de valsheid van een verklaring kan inroepen jegens de geadresseerde. Een geadresseerde doet er dan ook goed aan de juistheid van belangrijke documenten te verifiëren. Doet hij dat niet, dan kan (een deel van) het risico voor zijn rekening komen.
