Juridische vraag: wie is aansprakelijk voor fraude met internetbankieren?
woensdag 4 december 2013, 11:42 door Arnoud Engelfriet, 26 reacties
Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet. Arnoud geeft elke week in een artikel antwoord op een interessante vraag. Vanwege het grote aantal inzendingen kunnen niet alle vragen beantwoord worden.
Vraag: De banken hebben nieuwe regels voor internetbankieren opgesteld waar klanten aan moeten voldoen als ze in het geval van fraude hun geld terug willen krijgen. Zo mag er geen illegale software zijn geïnstalleerd, moet de computer up-to-date zijn en moet de rekening regelmatig worden gecontroleerd. Als ik het goed begrijp, dan ben ik aansprakelijk voor fraude als ik die regels overtreed. Mag dat zomaar?
Antwoord: Deze veiligheidsregels zijn door de banken opgesteld (in overleg met de Consumentenbond) maar ze kunnen natuurlijk de wet niet wijzigen. Hoofdregel bij fraude met betaalmiddelen is dat de bank het risico draagt (art. 7:529 BW). De bank heeft het beste overzicht op wat er gebeurt, zij kunnen beveiligingsmaatregelen invoeren en zij kunnen typische fraudezaken vaak volautomatisch detecteren. De bank mag de klant een eigen risico geven van €150 bij bij verlies en diefstal (tot het moment van melding) en bij ongeautoriseerd gebruik wanneer de klant de veiligheidsmaatregelen heeft verwaarloosd.
Lid 2 van art. 7:529 BW bepaalt dat bij fraude, opzet en grove nalatigheid van de klant deze zelf het risico moet dragen. Bij fraude en opzet is dat logisch: wie dat soort dingen doet, kan toch niet verwachten dat de gevolgen vergoed gaan worden. Maar bij "grove nalatigheid" is dat toch moeilijker. Wanneer is iemand nalatig? Wanneer is dat grof?
Uit de (schaarse) rechtspraak blijkt dat grove nalatigheid bepaald moet worden aan de hand van alle omstandigheden van het geval. Er zijn geen algemene regels zoals "als je dagelijks controleert of je je pas nog hebt, is het nooit nalatig" of juist "stop je je creditcard in je tas dan is dat altijd nalatig". Zo achtte het Gerechtshof Arnhem het niet grof nalatig dat een klant na een vermoeden van zakkenrollen wél naging of zij haar portemonnee nog had, maar niet of de pinpas daar nog in zat. Dit maakt het moeilijk om op voorhand te zeggen of in een concrete situatie sprake is van grove nalatigheid.
De bewijslast dat sprake is van grove nalatigheid (of opzet/fraude) ligt bij de bank. En die bewijslast houdt meer in dan zeggen "er is gepind met de pas van klant dùs is sprake van grove nalatigheid." Er moeten feiten of omstandigheden worden aangedragen door de bank waaruit blijkt dat de klant meer dan normaal slordig was.
Veiligheidsvoorwaarden staan apart in de wet genoemd. Er staat expliciet dat je verplicht bent als klant deze voorwaarden op te volgen (art. 7:524 BW). Doe je dat niet, dan kan de rechter (art. 7:529 lid 3 BW) besluiten dat je een groter eigen risico draagt dan de normaal geldende 150 euro bij frauduleuze transacties. Hij kan ook besluiten dat het eigen risico toch gewoon geldt, of zelfs het eigen risico omlaag doen, afhankelijk van de aard van het misbruikte beveiligingsprobleem. Bij een zeer geavanceerde Trojan helpt zelfs de beste virusscanner niet, dus om dan te zeggen "u had géén enkele virusscanner en daarom bent u volledig zelf aansprakelijk voor het verlies" gaat wat ver. De bankvoorwaarden moeten natuurlijk wel redelijk zijn (art. 6:233 BW).
Wat de banken met deze nieuwe regels proberen te doen, is allereerst de regels gelijktrekken, wat op zich prima is. Maar het lijkt óók een poging om eerder te kunnen zeggen "u overtrad de veiligheidsvoorwaarden dús u bent grof nalatig". Bij de rechter is dat echter geen automatisme, hoewel je met deze nieuwe regels denk ik wel meer uit te leggen hebt.
Een punt hierbij is in ieder geval wel dat er een link moet zijn tussen de overtreding en de fraude. Zo is er een regel die installeren van illegale software verbiedt. Maar het enkele feit dat ik een gekraakte Photoshop op mijn Windowslaptop heb, betekent niet dat schade door een Android-trojan automatisch voor mijn rekening moet komen. Echter, kwam een Windowstrojan mee met die gekraakte Photoshop, dan ga ik wél voor de bijl.
Omgekeerd staat er echter ook dat als je je aan alle gestelde regels houdt, je per definitie *niet* grof nalatig was. Dat is immers wat men bedoelt met "weten [consumenten] dan zeker dat de bank de schade vergoedt."
Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.
Reacties (26)
04-12-2013, 11:59 door
john west
Prachtig allemaal,maar als de BANK het op een juridische procedure laat aan komen,dan is de klant de dupe.
De macht van het grote geld wordt onderschat.
Voorbeeld: Stichting Brein dreigt met juridische stappen en de website ligt plat,omdat het te duur is om te procederen.
Al die mooie wetten zijn voor die geld hebben prachtig,maar die niet veel hebben een dood doener.
De macht van het grote geld wordt onderschat.
Voorbeeld: Stichting Brein dreigt met juridische stappen en de website ligt plat,omdat het te duur is om te procederen.
Al die mooie wetten zijn voor die geld hebben prachtig,maar die niet veel hebben een dood doener.
Wat is dan de bedoeling; dat ik mijn pc overhandig aan de bank om aan te tonen dat ik geen rare software heb?
De bewijslast ligt mijns inziens wettelijk bij de bank; en als de bank meent dat het komt door bepaalde nalatige acties van mij, moet men dat aangeven.
Het kan toch niet zo zijn dat de bank mij gaat sommeren om alles bloot te geven wat ik op mijn pc heb staan, en op mijn telefoon, zodat men kan gaan aantonen dat het mijn eigen schuld is op het moment dat er een banking-trojan uitkomt die niet door virusscanners e.d. gedetecteerd worden (of nog leuker, op het moment dat hun EIGEN systemen lek zijn..)
Bij wie ligt de bewijslast in deze? Bij de bank toch?
De bewijslast ligt mijns inziens wettelijk bij de bank; en als de bank meent dat het komt door bepaalde nalatige acties van mij, moet men dat aangeven.
Het kan toch niet zo zijn dat de bank mij gaat sommeren om alles bloot te geven wat ik op mijn pc heb staan, en op mijn telefoon, zodat men kan gaan aantonen dat het mijn eigen schuld is op het moment dat er een banking-trojan uitkomt die niet door virusscanners e.d. gedetecteerd worden (of nog leuker, op het moment dat hun EIGEN systemen lek zijn..)
Bij wie ligt de bewijslast in deze? Bij de bank toch?
04-12-2013, 13:17 door
WhizzMan
Het lijkt me in deze aan de bank om te bepalen dat er van grove nalatigheid van jouw kant sprake is.
Niet alleen dat, de bank kan niet van iedere klant verwachten dat hij/zij een ICT beveiligingsexpert is. Het is de taak en de verantwoordelijkheid van de bank om een produkt aan te bieden wat door de gemiddelde gebruiker veilig te gebruiken is en de gemiddelde gebruiker is iemand die niet veel verder komt dan updates van de fabrikant installeren en een virusscanner draaien. We weten allemaal dat virusscanners en updates van fabrikanten altijd reactief zijn en achter de feiten aanlopen als het om misbruik gaat.
Eisen dat je altijd de laatste software draait is vaak niet eens mogelijk, aangezien fabrikanten apparaten die prima werken niet meer supporten en daardoor beveiligingslekken niet meer opgelost worden. meer dan 95% van de Androidtelefoons draait niet de allerlaatste versie van android en de laatste publieke versie is meen ik deze week ook weer gehacked, dus in de praktijk is dat hele platform alvast niet veilig. Mensen met iPhones 3 en 3GS en ouder hebben ook de laatste versie van IOS niet.
WindowsXP gaat per april ook een probleem worden, ik ben benieuwd of de banken nu gebruikers die via XP proberen te bankieren niet meer laten inloggen, of dat ze dat wel toelaten en daarmee impliciet aangeven dat het veilig genoeg is. Je kan tenslotte een aantal dingen als bank controleren op de computer van de gebruiker, dus je zou verwachten dat de bank gaat blokkeren als dat volgens hun eigen regels niet in orde is. De bank eist, dus de bank moet bewijzen. Als ze het nalaten om bewijs te verzamelen of om op bewijs te handelen, kan ze onmogelijk de gebruiker aansprakelijk stellen.
Daarmee krijg je weer de volgende vraag, hoeveel laat jij de bank op jouw computer bekijken en hoeveel privacy geef je dus op zodat je mag internetbankieren?
Niet alleen dat, de bank kan niet van iedere klant verwachten dat hij/zij een ICT beveiligingsexpert is. Het is de taak en de verantwoordelijkheid van de bank om een produkt aan te bieden wat door de gemiddelde gebruiker veilig te gebruiken is en de gemiddelde gebruiker is iemand die niet veel verder komt dan updates van de fabrikant installeren en een virusscanner draaien. We weten allemaal dat virusscanners en updates van fabrikanten altijd reactief zijn en achter de feiten aanlopen als het om misbruik gaat.
Eisen dat je altijd de laatste software draait is vaak niet eens mogelijk, aangezien fabrikanten apparaten die prima werken niet meer supporten en daardoor beveiligingslekken niet meer opgelost worden. meer dan 95% van de Androidtelefoons draait niet de allerlaatste versie van android en de laatste publieke versie is meen ik deze week ook weer gehacked, dus in de praktijk is dat hele platform alvast niet veilig. Mensen met iPhones 3 en 3GS en ouder hebben ook de laatste versie van IOS niet.
WindowsXP gaat per april ook een probleem worden, ik ben benieuwd of de banken nu gebruikers die via XP proberen te bankieren niet meer laten inloggen, of dat ze dat wel toelaten en daarmee impliciet aangeven dat het veilig genoeg is. Je kan tenslotte een aantal dingen als bank controleren op de computer van de gebruiker, dus je zou verwachten dat de bank gaat blokkeren als dat volgens hun eigen regels niet in orde is. De bank eist, dus de bank moet bewijzen. Als ze het nalaten om bewijs te verzamelen of om op bewijs te handelen, kan ze onmogelijk de gebruiker aansprakelijk stellen.
Daarmee krijg je weer de volgende vraag, hoeveel laat jij de bank op jouw computer bekijken en hoeveel privacy geef je dus op zodat je mag internetbankieren?
Hoe zit het met de "onweerlegbaarheid van een transactie". Ik heb altijd begrepen dat een bank moet aantonen dat een transactie is uitgevoerd door de gemachtigde van een rekening. Vandaar ook de encryptie en de tokens bij Internet bankieren en de handtekening en legitimatie bij niet Internet bankieren. Nu dit niet meer kan door "man in the browser" en "man in the middele" technieken is het volgens mij niet meer toegestaan om nog gebruik te maken van Internet bankieren, immers de onweerlegbaarheid kan niet worden aangetoond. Ja ik weet we kunnen niet meer terug enz. maar de banken kunnen wel een beter systeem aanbieden dan een systeem dat al weer 20 jaar oud is.
Duidelijk artikel, maar hoe zit het andersom met de Bank zelf?
Kan ik de bank aansprakelijk stellen als tijden het pinnen mijn kaart uitgelezen word door een skimmer?
De banken verrekken het namelijk nog steeds om van die magneetstrip af te stappen bij die automaten. Daarnaast is ook het keypad bij geen enkele automaat afgeschermd met een opstaande rand. En dus werken de banken daarmee skimmen bij deze automaten nog steeds in de hand.
Kan ik de bank aansprakelijk stellen als tijden het pinnen mijn kaart uitgelezen word door een skimmer?
De banken verrekken het namelijk nog steeds om van die magneetstrip af te stappen bij die automaten. Daarnaast is ook het keypad bij geen enkele automaat afgeschermd met een opstaande rand. En dus werken de banken daarmee skimmen bij deze automaten nog steeds in de hand.
Erg nuttig stukje leesvoer wat dankzij de publicatie nu ook terug te vinden is voor anderen voor de toekomst. Want laten we eerlijk zijn. De nachtmerrie dat je bankrekening geplunderd blijkt te zijn, en dat je niets meer kunt kopen... dat wil niemand. Toch gebeurt het een x aantal keren per jaar dat mensen onterecht geld afgeboekt zien van hun rekening. Dan is juridische beargumentering welkom...
Nu legt de bank de consument dus regels op. Maar wat kan de consument de bank opleggen?
Ik denk hier bv aan deze:
Mobiel bankieren app ABN Amro lekte pincode
https://www.security.nl/posting/40061/Mobiel+bankieren+app+ABN+Amro+lekte+pincode
En volgens mij was er ook een gevalletje van de app die enkel naar een certificaat keek, maar niet naar de geldigheid hiervan?
Kortom, ze proberen zich weer in te dekken aan alle kanten, om maar geen cent extra aan de klant uit te hoeven betalen.
Ik denk hier bv aan deze:
Mobiel bankieren app ABN Amro lekte pincode
https://www.security.nl/posting/40061/Mobiel+bankieren+app+ABN+Amro+lekte+pincode
En volgens mij was er ook een gevalletje van de app die enkel naar een certificaat keek, maar niet naar de geldigheid hiervan?
Kortom, ze proberen zich weer in te dekken aan alle kanten, om maar geen cent extra aan de klant uit te hoeven betalen.
"Juridische vraag: wie is aansprakelijk voor fraude met internetbankieren?"
Da's gemakkelijk - de fraudeur.
Da's gemakkelijk - de fraudeur.
04-12-2013, 15:44 door
Briolet
Door Anoniem: Ik heb altijd begrepen dat een bank moet aantonen dat een transactie is uitgevoerd door de gemachtigde van een rekening. ....
Eigenlijk is die signering nu vervangen door de tan code of de code uit een reader. Als je die aan een ander geeft, is dat vergelijkbaar met het tekenen van een blanco cheque.
Als ik naar de berichten over plundering van rekeningen kijk, gaat het meestal niet puur om malware, maar heeft de eigenaar ook fouten gemaakt. Dus als je qua up2date zijn etc aan de bankeisen voldoet, maar je tikt toch zelf een autorisatiecode in op een pagina waar je fraude had kunnen vermoeden, heeft de bank nog steeds een sterk punt. b.v. het voorbeeld van de rabobank klant die deze week het nieuws haalde en die alleen zijn saldo wilde bekijken en bij die actie toch een signeercode intoetste.
"De banken verrekken het namelijk nog steeds om van die magneetstrip af te stappen bij die automaten. Daarnaast is ook het keypad bij geen enkele automaat afgeschermd met een opstaande rand. En dus werken de banken daarmee skimmen bij deze automaten nog steeds in de hand."
Je beseft je dat het aantal gevallen van skimming in Nederland enorm is gedaald door de preventieve maatregelen welke men de afgelopen jaren heeft geimplementeerd en dat skimming in Nederland zich steeds meer verplaatst naar andere zaken dan de pinautomaten van de banken (i.e. kaartjes automaten bij de Nederlandse Spoorwegen) ?
Overigens is het 100% logisch dat de pinautomaten dat magneetstrip wel nog gebruiken, immers hebben we dagelijks toeristen hier die (nog) geen chip op hun bankpas hebben, en wel willen kunnen pinnen. Omgekeerd verwacht jij neem ik aan dat je in het buitenland ook kunt pinnen in automaten die nog met de magneetstrip werken.
Daar moet je als bank wel rekening mee houden, en dat lijken velen te vergeten.
"Kan ik de bank aansprakelijk stellen als tijden het pinnen mijn kaart uitgelezen word door een skimmer?"
Ja, en daarom krijg je dergelijke schade ook vergoed bij skimming.
Je beseft je dat het aantal gevallen van skimming in Nederland enorm is gedaald door de preventieve maatregelen welke men de afgelopen jaren heeft geimplementeerd en dat skimming in Nederland zich steeds meer verplaatst naar andere zaken dan de pinautomaten van de banken (i.e. kaartjes automaten bij de Nederlandse Spoorwegen) ?
Overigens is het 100% logisch dat de pinautomaten dat magneetstrip wel nog gebruiken, immers hebben we dagelijks toeristen hier die (nog) geen chip op hun bankpas hebben, en wel willen kunnen pinnen. Omgekeerd verwacht jij neem ik aan dat je in het buitenland ook kunt pinnen in automaten die nog met de magneetstrip werken.
Daar moet je als bank wel rekening mee houden, en dat lijken velen te vergeten.
"Kan ik de bank aansprakelijk stellen als tijden het pinnen mijn kaart uitgelezen word door een skimmer?"
Ja, en daarom krijg je dergelijke schade ook vergoed bij skimming.
vraag 1: Is "internetbankieren" een "betaalmiddel"? (als bedoeld in art. 7.529)
Ach al met al gaat het er nu om, "kan ik mij daarvoor verzekeren?" Denk dat de verzekeraars hier wel brood in zien.
Door Anoniem:
Overigens is het 100% logisch dat de pinautomaten dat magneetstrip wel nog gebruiken, immers hebben we dagelijks toeristen hier die (nog) geen chip op hun bankpas hebben, en wel willen kunnen pinnen. Omgekeerd verwacht jij neem ik aan dat je in het buitenland ook kunt pinnen in automaten die nog met de magneetstrip werken.
Overigens is het 100% logisch dat de pinautomaten dat magneetstrip wel nog gebruiken, immers hebben we dagelijks toeristen hier die (nog) geen chip op hun bankpas hebben, en wel willen kunnen pinnen. Omgekeerd verwacht jij neem ik aan dat je in het buitenland ook kunt pinnen in automaten die nog met de magneetstrip werken.
Dat vind ik helemaal niet 100% logisch!
100% logisch zou ik het vinden als de bank mij zelf de keuze geeft tussen meer of minder functionaliteit en meer of
minder veilig. Immers daar dwingen ze mij zelf ook toe!
Ik verwacht in mijn internet bankieren een configuratiescherm waar ik zelf de nodige zaken kan instellen, waaronder
(maar niet beperkt tot) beschikbaarheid van veiligheidsgerelateerde functionaliteiten, limieten op allerlei soorten
transacties, categorieen transacties waarvoor extra beveiligingsmaatregelen gelden, enz enz.
Wie het niet wil of niet interesseert kan defaults laten staan, maar ik wil kunnen instellen dat een magneetstriptransactie
op mijn pas niet meer mogelijk is, dat een ongevraagde functie (zoals "wij sturen u uw wachtwoord per SMS" of
"nu kunt u betalen zonder PIN of TAN") kan worden uitgeschakeld voor mijn rekening, en dat ik kan disablen dat er
50.000 euro van spaar naar betaalrekening wordt geboekt zonder dat ik zelf via een telefoongesprek met een medewerker
extra autorisatie gegeven heb.
Maar dat gaan de banken allemaal niet inbouwen want dat vergt actie en inzet van HENZELF.
Veel makkelijker om de bal bij je klant te leggen, die kan toch niks doen.
04-12-2013, 20:51 door
Arnoud Engelfriet
@Anoniem 12:28: De bewijslast ligt bij de bank dat jij grof nalatig handelde. Dat betekent niet dat ze wiskundig onweerlegbaar bewijs moeten overleggen; het betekent dat ze de rechter moeten laten denken "mja, goed punt". En dan heb jij de ruimte voor tegenbewijs.
@Anoniem 13:35: Onweerlegbaarheid is geen criterium in de wet. De wet zegt dat wanneer de omstandigheden wijzen op fraude, de bank moet bewijzen dat jij opzettelijk of grof nalatig handelde in het veroorzaken van de fraude. Lukt ze dat niet dan draaien zij op voor het risico (naast een eigen risico van €150).
@Anoniem 17:26: Je pinpas met random reader, alsook de website waarop je de betaalinstructie geeft, is een betaalmiddel.
@Anoniem 18:01: Waarom zou een verzekeraar schade dekken die per definitie door grof nalatig handelen van de verzekerde is veroorzaakt? Dan beloon je toch alleen maar dom gedrag?
@Anoniem 13:35: Onweerlegbaarheid is geen criterium in de wet. De wet zegt dat wanneer de omstandigheden wijzen op fraude, de bank moet bewijzen dat jij opzettelijk of grof nalatig handelde in het veroorzaken van de fraude. Lukt ze dat niet dan draaien zij op voor het risico (naast een eigen risico van €150).
@Anoniem 17:26: Je pinpas met random reader, alsook de website waarop je de betaalinstructie geeft, is een betaalmiddel.
@Anoniem 18:01: Waarom zou een verzekeraar schade dekken die per definitie door grof nalatig handelen van de verzekerde is veroorzaakt? Dan beloon je toch alleen maar dom gedrag?
Door Anoniem: Nu legt de bank de consument dus regels op. Maar wat kan de consument de bank opleggen?
Ik denk hier bv aan deze:
Mobiel bankieren app ABN Amro lekte pincode
https://www.security.nl/posting/40061/Mobiel+bankieren+app+ABN+Amro+lekte+pincode
En volgens mij was er ook een gevalletje van de app die enkel naar een certificaat keek, maar niet naar de geldigheid hiervan?
Kortom, ze proberen zich weer in te dekken aan alle kanten, om maar geen cent extra aan de klant uit te hoeven betalen.
Die URL die je noemt is van die app die enkel naar een certificaat keek, maar niet keek of deze geldig was.Ik denk hier bv aan deze:
Mobiel bankieren app ABN Amro lekte pincode
https://www.security.nl/posting/40061/Mobiel+bankieren+app+ABN+Amro+lekte+pincode
En volgens mij was er ook een gevalletje van de app die enkel naar een certificaat keek, maar niet naar de geldigheid hiervan?
Kortom, ze proberen zich weer in te dekken aan alle kanten, om maar geen cent extra aan de klant uit te hoeven betalen.
Maar je hebt wel gelijk.
De banken willen ons "dwingen" al het mogelijk in het werk te stellen om veilig te internetbankieren, maar zelf brengen ze apps uit die zo lek zijn als een mandje en blijkbaar ook niet getest.
Ik zou zeggen, laat de bank eerst eens bij zichzelf beginnen!
Over veiligheid gesproken... wat denken we van deze dan?
https://www.security.nl/posting/371611/Rabobank+de+weg+kwijt%3F+Betalen+zonder+Random+Reader_
Betalen zonder random reader? Hoe makkelijk wil de bank het maken voor malafide praktijken?
https://www.security.nl/posting/371611/Rabobank+de+weg+kwijt%3F+Betalen+zonder+Random+Reader_
Betalen zonder random reader? Hoe makkelijk wil de bank het maken voor malafide praktijken?
06-12-2013, 10:10 door
willem1933
De voorstellen opgesteld door de NVB en de Consumentenbond getuigen niet van kennis van za- ken. Het is uitsluitend een slechte methode om de banken in te dekken. 100% Veiligheid kan nooit worden bereikt met de voorgestelde maatregelen.
Kort na een uitzending van RADAR belde ik de ABNAMRO met het voorstel een drietraps authenticatie in te voeren, zoals ik dat op mijn Foruneobank in Belgie en op Dropbox gebruik. Eerst wordt er een login ingevoerd en dan wordt er in een nieuw venster een paswoord ingevoerd, waarop een derde venster verschijnt waar ik een code moet invoeren die op dat moment door de bank wordt gegenereerd en per directe SMS aan mijn mobiele telefoon wordt doorgegeven.
Op dat moment had ik Bitdefender Internet Security op mijn computer en dat antivirus programma heeft een speciale volledig van de computer afgeschermde browser waar veilig internetbankieren mogelijk wordt.
Het antwoord van de ABN op mijn eerste voorstel: "wat een lulkoek meneer, onze beveiliging voor internet bankieren is 100%". Afgezien van de woordkeus getuigt het niet van kennis van zaken. Het antwoord van de ABN op mijn tweede voorstel: "Daar heb ik nog nooit van gehoord meneer en het lijkt me ook niets". Geen kennis van zaken dus.
Dan is het nu wellicht tijd om eens met nieuwe "gekke" voorstellen te komen.
1 - Die chip die in de bankkaart zit, hoeveel geheugen zit daarop ? Alleen genoeg voor mijn PIN code, of zou er genoeg geheugen op kunnen worden gezet om er een beveiligde browser op kwijt te kunnen zoals Bitdefender dat heeft kunnen doen.
2 - Dan zijn er USB vingerafdruk beveiligingen voor computers. waarom kunnen die niet gebruikt worden in combinatie met die DigiPasses. De vingerafdruk van de toegelaten gebruikers zouden op de chip kunnen worden opgeslagen. Dat lijkt me op zich al een veel meer waterdichte methode dan nu gebruikelijk is.
3 - Breng die zaken tezamen en ontwikkel een bankkaart waarop de vingerafdruk en het bankrekeningnummer wordt opgeslagen. Dat vervangt dan de PIN code die kan worden ge"skimmed" of afgekeken. Combineer dat met een op dat moment gegenereerde code die per SMS wordt doorgegeven en moet worden ingevoerd in een nieuw venster, waarna eventueel met een op de bankkaart aanwezige, volledig van de computer afgeschermde mini-browser.
Blijft natuurlijk het gevaar dat de man die achter je staat bij een ATM zijn mes trekt op het mo- ment dat je je codes hebt ingevoerd en je rekening(en) leeghaalt.
Het is tijd voor een volledig nieuw denken aangaande internetbankieren. Wellicht zijn er IT mensen die nog meerdere ideeen hebben. Dat is altijd beter als wat de NVB en de Consumentenbond hebben geproduceerd.
Kort na een uitzending van RADAR belde ik de ABNAMRO met het voorstel een drietraps authenticatie in te voeren, zoals ik dat op mijn Foruneobank in Belgie en op Dropbox gebruik. Eerst wordt er een login ingevoerd en dan wordt er in een nieuw venster een paswoord ingevoerd, waarop een derde venster verschijnt waar ik een code moet invoeren die op dat moment door de bank wordt gegenereerd en per directe SMS aan mijn mobiele telefoon wordt doorgegeven.
Op dat moment had ik Bitdefender Internet Security op mijn computer en dat antivirus programma heeft een speciale volledig van de computer afgeschermde browser waar veilig internetbankieren mogelijk wordt.
Het antwoord van de ABN op mijn eerste voorstel: "wat een lulkoek meneer, onze beveiliging voor internet bankieren is 100%". Afgezien van de woordkeus getuigt het niet van kennis van zaken. Het antwoord van de ABN op mijn tweede voorstel: "Daar heb ik nog nooit van gehoord meneer en het lijkt me ook niets". Geen kennis van zaken dus.
Dan is het nu wellicht tijd om eens met nieuwe "gekke" voorstellen te komen.
1 - Die chip die in de bankkaart zit, hoeveel geheugen zit daarop ? Alleen genoeg voor mijn PIN code, of zou er genoeg geheugen op kunnen worden gezet om er een beveiligde browser op kwijt te kunnen zoals Bitdefender dat heeft kunnen doen.
2 - Dan zijn er USB vingerafdruk beveiligingen voor computers. waarom kunnen die niet gebruikt worden in combinatie met die DigiPasses. De vingerafdruk van de toegelaten gebruikers zouden op de chip kunnen worden opgeslagen. Dat lijkt me op zich al een veel meer waterdichte methode dan nu gebruikelijk is.
3 - Breng die zaken tezamen en ontwikkel een bankkaart waarop de vingerafdruk en het bankrekeningnummer wordt opgeslagen. Dat vervangt dan de PIN code die kan worden ge"skimmed" of afgekeken. Combineer dat met een op dat moment gegenereerde code die per SMS wordt doorgegeven en moet worden ingevoerd in een nieuw venster, waarna eventueel met een op de bankkaart aanwezige, volledig van de computer afgeschermde mini-browser.
Blijft natuurlijk het gevaar dat de man die achter je staat bij een ATM zijn mes trekt op het mo- ment dat je je codes hebt ingevoerd en je rekening(en) leeghaalt.
Het is tijd voor een volledig nieuw denken aangaande internetbankieren. Wellicht zijn er IT mensen die nog meerdere ideeen hebben. Dat is altijd beter als wat de NVB en de Consumentenbond hebben geproduceerd.
Door willem1933: Dan is het nu wellicht tijd om eens met nieuwe "gekke" voorstellen te komen.
1 - Die chip die in de bankkaart zit, hoeveel geheugen zit daarop ? Alleen genoeg voor mijn PIN code, of zou er genoeg geheugen op kunnen worden gezet om er een beveiligde browser op kwijt te kunnen zoals Bitdefender dat heeft kunnen doen.
Veel te weinig (64Kbyte bv.). Daarnaast is de snelheid van zo'n chip erg laag (serieel, half-duplex, 9600bd, maar er zijn wat snellere) dus zelfs met meer geheugen gaat dat nooit iets worden1 - Die chip die in de bankkaart zit, hoeveel geheugen zit daarop ? Alleen genoeg voor mijn PIN code, of zou er genoeg geheugen op kunnen worden gezet om er een beveiligde browser op kwijt te kunnen zoals Bitdefender dat heeft kunnen doen.
Door willem1933:
2 - Dan zijn er USB vingerafdruk beveiligingen voor computers. waarom kunnen die niet gebruikt worden in combinatie met die DigiPasses. De vingerafdruk van de toegelaten gebruikers zouden op de chip kunnen worden opgeslagen. Dat lijkt me op zich al een veel meer waterdichte methode dan nu gebruikelijk is.
Vingerafdrukken zijn niet betrouwbaar, zeker niet in ongecontroleerde omgevingen (denk bv. aan kou of regen). En als bv. stukadoor kan je dan nooit geld opnemen2 - Dan zijn er USB vingerafdruk beveiligingen voor computers. waarom kunnen die niet gebruikt worden in combinatie met die DigiPasses. De vingerafdruk van de toegelaten gebruikers zouden op de chip kunnen worden opgeslagen. Dat lijkt me op zich al een veel meer waterdichte methode dan nu gebruikelijk is.
Door willem1933:
3 - Breng die zaken tezamen en ontwikkel een bankkaart waarop de vingerafdruk en het bankrekeningnummer wordt opgeslagen. Dat vervangt dan de PIN code die kan worden ge"skimmed" of afgekeken. Combineer dat met een op dat moment gegenereerde code die per SMS wordt doorgegeven en moet worden ingevoerd in een nieuw venster, waarna eventueel met een op de bankkaart aanwezige, volledig van de computer afgeschermde mini-browser.
.
Interessant: half nederland staat op z'n kop vanwege opslaan van vingerafdrukken in een paspoort (waar dan alleen overheden toegang toe krijgen) maar wel je vingerafdruk afgeven aan een bedrijf?3 - Breng die zaken tezamen en ontwikkel een bankkaart waarop de vingerafdruk en het bankrekeningnummer wordt opgeslagen. Dat vervangt dan de PIN code die kan worden ge"skimmed" of afgekeken. Combineer dat met een op dat moment gegenereerde code die per SMS wordt doorgegeven en moet worden ingevoerd in een nieuw venster, waarna eventueel met een op de bankkaart aanwezige, volledig van de computer afgeschermde mini-browser.
.
"Zo mag er geen illegale software zijn geïnstalleerd",
Het begrip illegale software zou beter gedefinieerd moeten zijn/worden.
Ik heb wel eens (foei!)
een 30 dagen probeer programma voorzien van een geldige key
zonder gebruik te maken van een keygen oid.
Gewoon een van iemand gekregen werkende key ingevoerd
werkte perfect.
En dan zou de bank mij niets vergoeden als mijn rekening
geplunderd wordt en ik een dergelijk programma gebruik.
Het begrip illegale software zou beter gedefinieerd moeten zijn/worden.
Ik heb wel eens (foei!)
een 30 dagen probeer programma voorzien van een geldige key
zonder gebruik te maken van een keygen oid.
Gewoon een van iemand gekregen werkende key ingevoerd
werkte perfect.
En dan zou de bank mij niets vergoeden als mijn rekening
geplunderd wordt en ik een dergelijk programma gebruik.
``Interessant: half nederland staat op z'n kop vanwege opslaan van vingerafdrukken in een paspoort (waar dan alleen overheden toegang toe krijgen) maar wel je vingerafdruk afgeven aan een bedrijf?``
Bedenk daarbij wel dat je verschillende soorten systemen hebt, die lang niet allemaal je gehele vingerafdruk opslaan. Zo kan men ook enkel een aantal karakteristieken van je vingerafdruk opslaan voor authenticatie, zonder je over je gehele vingerafdruk te beschikken.
Indien ze op die manier te werk gaan, dan geef je je vingerafdruk niet af ook al authenticeer je je wel met je vinger. Biometrische authenticatie met respect voor je privacy is wat dat betreft goed mogelijk.
Bedenk daarbij wel dat je verschillende soorten systemen hebt, die lang niet allemaal je gehele vingerafdruk opslaan. Zo kan men ook enkel een aantal karakteristieken van je vingerafdruk opslaan voor authenticatie, zonder je over je gehele vingerafdruk te beschikken.
Indien ze op die manier te werk gaan, dan geef je je vingerafdruk niet af ook al authenticeer je je wel met je vinger. Biometrische authenticatie met respect voor je privacy is wat dat betreft goed mogelijk.
Door john west: Prachtig allemaal,maar als de BANK het op een juridische procedure laat aan komen,dan is de klant de dupe.
De macht van het grote geld wordt onderschat.
Voorbeeld: Stichting Brein dreigt met juridische stappen en de website ligt plat,omdat het te duur is om te procederen.
Al die mooie wetten zijn voor die geld hebben prachtig,maar die niet veel hebben een dood doener.
De macht van het grote geld wordt onderschat.
Voorbeeld: Stichting Brein dreigt met juridische stappen en de website ligt plat,omdat het te duur is om te procederen.
Al die mooie wetten zijn voor die geld hebben prachtig,maar die niet veel hebben een dood doener.
De vergelijking die je hier trekt is onzinnig en niet juist.
In dit geval is het heel erg simpel de rechter doet een uitspraak nav artikel 7:529 BW.
Gevalletje brein ligt toch heel wat gecompliceerder, omdat juiste wetgeving nog ontbreekt.
Wat ik nu nog het vreemdste vind, is dat de bank gaat bepalen wat ik op mijn pc mag hebben.
Stel ik heb illegale software er op. Er gebeurt iets van fraude door een virus als Zeus of andere malware wat ik oploop op een site als nu.nl door een lek in Internet Explorer, ondanks up2date virusscanner.
Dan wordt er geld van de bank afgehaald en ik wordt door de bank als grof nalatig betiteld omdat er illegale software op mijn pc staat, terwijl die software in dit voorbeeld het probleem niet eens veroorzaakt heeft.
Je moet dan toch met de bank naar de rechtbank want je zult je geld niet krijgen. Kost toch weer een boel tijd en moeite. En vermoedelijk ook geld.
Wat me dan verbaast is dat op deze manier jij niet meer zelf bepaald wat op je pc staat (of het illegaal is of niet), maar ze maken het dieven wel makkelijk omdat ze "contactloos pinnen" gaan introduceren. Daarmee kun je dan tot 25 euro betalen.
Heel handig, hoeven de dieven de bankpas maar te jatten, dan hebben ze sowieso al 25 euro.
Daarnaast betalen per gsm terwijl iedereen weet dat die dingen relatief makkelijk te hacken zijn..
Dus aan de ene kant wordt je iets door je strot geduwd wat je niet wenst, en aan de andere kant maken ze het weer een stuk onveiliger. Dat is toch te gek voor woorden?
Wat nog gekker is, is dat de Consumentenbond hiermee akkoord gaat. Ik begrijp wel dat ze het doen zodat alle voorwaarden bij alle banken dan gelijk zijn en er zo duidelijk is, maar dan hadden ze die voorwaarden moeten laten bijwerken.
Oke illegale software mag niet en is illegaal, maar het is aan de pc gebruiker om gebruik daarvan al dan niet te bepalen. Verder wordt er onterecht gedacht dat dit oorzaak zou zijn van allerlei problemen.
Ik ben ook geen voorstander van illegale software, maar ik ben wel tegenstander ervan dat welke externe organisatie dan ook gaat bepalen wat jij als eigenaar wel of niet op je pc mag zetten.
Da's net alsof verzekeringen gaan eisen welke autoradio dat ik mag inbouwen en dat ik mijn kofferbak niet te vol mag hebben en regelmatig moet controleren op brandbare spullen. Dat is toch van de gekke?
Stel ik heb illegale software er op. Er gebeurt iets van fraude door een virus als Zeus of andere malware wat ik oploop op een site als nu.nl door een lek in Internet Explorer, ondanks up2date virusscanner.
Dan wordt er geld van de bank afgehaald en ik wordt door de bank als grof nalatig betiteld omdat er illegale software op mijn pc staat, terwijl die software in dit voorbeeld het probleem niet eens veroorzaakt heeft.
Je moet dan toch met de bank naar de rechtbank want je zult je geld niet krijgen. Kost toch weer een boel tijd en moeite. En vermoedelijk ook geld.
Wat me dan verbaast is dat op deze manier jij niet meer zelf bepaald wat op je pc staat (of het illegaal is of niet), maar ze maken het dieven wel makkelijk omdat ze "contactloos pinnen" gaan introduceren. Daarmee kun je dan tot 25 euro betalen.
Heel handig, hoeven de dieven de bankpas maar te jatten, dan hebben ze sowieso al 25 euro.
Daarnaast betalen per gsm terwijl iedereen weet dat die dingen relatief makkelijk te hacken zijn..
Dus aan de ene kant wordt je iets door je strot geduwd wat je niet wenst, en aan de andere kant maken ze het weer een stuk onveiliger. Dat is toch te gek voor woorden?
Wat nog gekker is, is dat de Consumentenbond hiermee akkoord gaat. Ik begrijp wel dat ze het doen zodat alle voorwaarden bij alle banken dan gelijk zijn en er zo duidelijk is, maar dan hadden ze die voorwaarden moeten laten bijwerken.
Oke illegale software mag niet en is illegaal, maar het is aan de pc gebruiker om gebruik daarvan al dan niet te bepalen. Verder wordt er onterecht gedacht dat dit oorzaak zou zijn van allerlei problemen.
Ik ben ook geen voorstander van illegale software, maar ik ben wel tegenstander ervan dat welke externe organisatie dan ook gaat bepalen wat jij als eigenaar wel of niet op je pc mag zetten.
Da's net alsof verzekeringen gaan eisen welke autoradio dat ik mag inbouwen en dat ik mijn kofferbak niet te vol mag hebben en regelmatig moet controleren op brandbare spullen. Dat is toch van de gekke?
Ben ik grof nalatig als ik een van de vele Windows versies installeer? En dan vanuit Windows mijn internet bankieren doe.
Dit OS is toch vergeven van diverse "features" die het instanties mogelijk maakt mee te kijken!
Dat blijkt wel. Microsoft is niet in staat om al die features goed te verbergen.
Regelmatig worden deze features achterhaald door slimme jongens en dan moet Microsoft en de diverse instanties weer een hoop moeite doen om ze te verbergen of te vervangen door nieuwe.
Gaat de rechter dan controleren of hier gebruik is gemaakt van een van deze vele features?
Dit OS is toch vergeven van diverse "features" die het instanties mogelijk maakt mee te kijken!
Dat blijkt wel. Microsoft is niet in staat om al die features goed te verbergen.
Regelmatig worden deze features achterhaald door slimme jongens en dan moet Microsoft en de diverse instanties weer een hoop moeite doen om ze te verbergen of te vervangen door nieuwe.
Gaat de rechter dan controleren of hier gebruik is gemaakt van een van deze vele features?
Door Anoniem: Wat ik nu nog het vreemdste vind, is dat de bank gaat bepalen wat ik op mijn pc mag hebben.
Stel ik heb illegale software er op. Er gebeurt iets van fraude door een virus als Zeus of andere malware wat ik oploop op een site als nu.nl door een lek in Internet Explorer, ondanks up2date virusscanner.
Dan wordt er geld van de bank afgehaald en ik wordt door de bank als grof nalatig betiteld omdat er illegale software op mijn pc staat, terwijl die software in dit voorbeeld het probleem niet eens veroorzaakt heeft.
Je moet dan toch met de bank naar de rechtbank want je zult je geld niet krijgen. Kost toch weer een boel tijd en moeite. En vermoedelijk ook geld.
Stel ik heb illegale software er op. Er gebeurt iets van fraude door een virus als Zeus of andere malware wat ik oploop op een site als nu.nl door een lek in Internet Explorer, ondanks up2date virusscanner.
Dan wordt er geld van de bank afgehaald en ik wordt door de bank als grof nalatig betiteld omdat er illegale software op mijn pc staat, terwijl die software in dit voorbeeld het probleem niet eens veroorzaakt heeft.
Je moet dan toch met de bank naar de rechtbank want je zult je geld niet krijgen. Kost toch weer een boel tijd en moeite. En vermoedelijk ook geld.
Heb jij het artikel wel gelezen? De bank bepaalt helemaal niet wat jij op je PC doet. De bank stelt echter voorwaarden aan het gebruik van haar product, ook om jezelf te beschermen overigens. Dat wordt hier nog wel eens vergeten. Maar het gebruik van illegale software is nou eenmaal een risico voor het introduceren van kwalijke software op je computer, dat staat buiten kijf. En als bij fraude blijkt dat dit komt doordat jij een stuk kwalijke software hebt geintroduceerd, door bijvoorbeeld het downloaden van een illegale versie van Photoshop, dan lijkt mij het logisch dat jij dan nalatig wordt verklaard. Overigens staat dit alles ook in het artikel. Ik adviseer je dringend dat te lezen, want het is echt nuttig.
Overigens lezen veel mensen de artikelen niet goed, want er staat helemaal niet in de voorwaarden dat je geen illegale software mag gebruiken. Er staat: "Zorg voor een goede beveiliging van de apparatuur die u gebruikt voor uw bankzaken. Denk hierbij aan het volgende:
...
• Installeer geen illegale software"
Het gaat daarbij - zoals Arnoud aangeeft - om het bepalen of iemand nalatig is geweest. Dat daarbij het gebruik van illegale software ook wordt betrokken, lijkt mij logisch gegeven de risico's daarvan.
Verder valt het mij op dat mensen vooral over dit punt zo fel reageren. Het gebruik van illegale software is strafbaar, dus dat mag gewoon niet. Daarnaast brengt het veel risico's met zich mee. Veel mensen hier vergoeilijken dat. Voor een security-community vind ik dit wel laakbaar dat dit zoveel gebeurt. Het lijkt wel alsof deze mensen allemaal een beetje bang zijn dat ze hierdoor 'nalatig' worden verklaard als bij hen illegale software (mede) de oorzaak van een eventuele fraude blijkt te zijn. Terecht dunkt me.
Daarnaast moet je bedenken dat de mensen die hier reageren (en die deze site lezen), al mensen zijn die een bepaalde affiniteit hebben met security. Dat is echter (helaas) maar een paar procent van de Nederlandse bevolking. Het gros heeft geen verstand van computerbeveiliging. Voor deze mensen is het wel nodig en nuttig als ze gewezen worden op dit soort zaken.
13-12-2014, 23:10 door
Sam
Vraag aan Arnoud,
Mijn ex-werkgever de organisatie is niet transparant. Bestuur, RvT, management etc. hij is de baas en past veel schijnconstructies toe en de onderwijs inspectie heeft het nakijken. Iedereen die iets wil doen om de school gezond te maken heeft een groot probleem.Hij schopt je eruit en iedereen danst naar zijn pijpen en zelf de bbedrijsarts en Arbodienst enz.
Ik was voorzitter van de Ondernemingsraad en en heb advies - en instemmingsrecht. Kwam in conflict en ontslagen. Met e-mail bereik ik de ouders en personeel om de situatie gezond te maken. Ik ben al ontslagen en toch lukt het hem mijn WW af te laten pakken en nu in de bijstand. Dit onrecht wil ik samen met ouders en leerkrachten aanpakken. De e-mails werken goed en zelfs de onderwijsinspectie is bijgedraaid. Nu wil hij mij voor het gerecht slepen om te stoppen met de e-mails.
Wat kan ik doen ?
Mijn ex-werkgever de organisatie is niet transparant. Bestuur, RvT, management etc. hij is de baas en past veel schijnconstructies toe en de onderwijs inspectie heeft het nakijken. Iedereen die iets wil doen om de school gezond te maken heeft een groot probleem.Hij schopt je eruit en iedereen danst naar zijn pijpen en zelf de bbedrijsarts en Arbodienst enz.
Ik was voorzitter van de Ondernemingsraad en en heb advies - en instemmingsrecht. Kwam in conflict en ontslagen. Met e-mail bereik ik de ouders en personeel om de situatie gezond te maken. Ik ben al ontslagen en toch lukt het hem mijn WW af te laten pakken en nu in de bijstand. Dit onrecht wil ik samen met ouders en leerkrachten aanpakken. De e-mails werken goed en zelfs de onderwijsinspectie is bijgedraaid. Nu wil hij mij voor het gerecht slepen om te stoppen met de e-mails.
Wat kan ik doen ?
goeie dag. mij bankpas is gebokeerd en er is froude gepleegd. ik dach dat ik iemand , kon toe vertrouwen.
maar die gene heeft een misbruik van gemaakt.
het is mij schuld dat het zo is gegaan had niet zo moeten gaan. ik ben erg dom geweest om dit te laten gebeuren.
maar alleen ik heb wel me 2 bankpas teurg gekrgen van de dader. en me bankpas is rabobank en abn.
maar die gene heeft een misbruik van gemaakt.
het is mij schuld dat het zo is gegaan had niet zo moeten gaan. ik ben erg dom geweest om dit te laten gebeuren.
maar alleen ik heb wel me 2 bankpas teurg gekrgen van de dader. en me bankpas is rabobank en abn.
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
