Konsumenten hade en vara till försäljning på Blocket och kontaktades av en person som dels ville Kontohaven blev uppringd av en person från ett låneföretag som sa att någon sökt ett lån i hens namn och att pengarna skulle föras över till hens konto i X-banken. En annan person, som påstod sig arbeta på banken, menade att banken behövde kontohavarens hjälp för att förhindra lånet. Senare upptäckte kontohavaren att ett kortköp gjorts på ca 57 000 kr. Kontohavaren medgav att hen lämnat ut sina kortuppgifter till bedragaren, men nekade till att ha lämnat ut några koder. Nämnden konstaterade att utredningen visade att kontohavaren måste ha lämnat ut både kortuppgifter och en engångskod som skickats ut på sms till kontohavarens mobiltelefon och att bedragaren använt informationen för att registrera och godkänna kortköpet.

En transaktion måste enligt betaltjänstlagen godkännas på ett säkert sätt (stark kundautentisering). För det krävs användandet av två eller flera komponenter som kunskap (t.ex. personlig kod som kontohavaren själv valt), innehav (t.ex. kontokort) och unik egenskap (t.ex. fingeravtryck). Nämnden ansåg att sättet som köpet i det här fallet godkänts på, dvs. med hjälp av kortuppgifter + engångsskod via sms, inte uppfyllde kraven på stark kundautentisering. Oavsett om kontohavaren varit grovt oaktsam när hen lämnade ut sina uppgifter eller inte, fick därför banken stå för den obehöriga transaktionen som genomförts.