Bunq hoeft schade door creditcardfraude bij klant niet te vergoeden
Bunq hoeft de bijna vijftienhonderd euro schade die een klant leed door creditcardfraude niet te vergoeden, zo heeft het financiële klachteninstituut Kifid geoordeeld. De klant deed vorig jaar juni aangifte van cybercrime. Op 7 juni werd een nieuw apparaat aan het Bunq-account van de klant gekoppeld. Aan dit account is een creditcard gekoppeld.
De bank stuurde de klant een e-mail waarin stond dat er vanaf een bepaald ip-adres op zijn account was ingelogd. Mocht hij dit niet geweest zijn en denken dat zijn account was gecompromitteerd, gaf Bunq verschillende stappen om te doorlopen. Een half uur nadat de klant de e-mail van Bunq had gelezen wed er met zijn creditcard gefraudeerd. Hierbij werden het volledige kaartnummer en de CVC-gegevens ingevoerd om de transacties te autoriseren.
Op 9 juni meldde de klant bij Bunq dat hij de transacties niet had geautoriseerd, waarna de bank diezelfde dag het account van de klant blokkeerde. Drie dagen later deed de man aangifte bij de politie van cybercrime.Volgens de klant was zijn account gecompromitteerd en heeft de aanvaller daarmee de transacties uitgevoerd. Hij vorderde dan ook 1460 euro van Bunq.
Volgens het Kifid is het aan Bunq is om te bewijzen dat de klant grof nalatig heeft gehandeld en er dus geen vergoeding hoeft te worden betaald. De klant moet echter enig inzicht geven in de manier waarop een onbevoegde derde de mogelijkheid heeft gehad om een nieuw apparaat aan het account van de klant te kunnen koppelen en om de transacties te autoriseren. "Een andere regel zou Bunq voor onaanvaardbare risico’s van misbruik plaatsen", zo laat het Kifid weten.
De klant heeft volgens het klachteninstituut geen enkel inzicht gegeven in de manier waarop zijn inloggegevens in handen van de aanvaller zijn gekomen. Daarnaast heeft hij ook na het ontvangen van de e-mail van Bunq, anders dan hem was geïnstrueerd, de bank niet meteen laten weten dat hij geen nieuw apparaat aan zijn account had gekoppeld. Het Kifid komt tot het oordeel dat er sprake is van grof nalatig handelen en Bunq de schade niet hoeft te vergoeden (pdf).
Reacties (18)
19-02-2024, 18:23 door
Anoniem
Bijzonder en wonderlijk tegelijk.
De klant moet bewijzen…
En wanneer lees je een e-mail?
Een sms’je lijkt me veel effectiever.
De klant moet bewijzen…
En wanneer lees je een e-mail?
Een sms’je lijkt me veel effectiever.
19-02-2024, 18:25 door
Erik van Straten
Kifid heeft de wet virteel gewijzigd door te stellen dat het slachtoffer moet bedenken en vertellen "wat er gebeurd zou kunnen zijn".
Volslagen idioterie, de VOLLEDIGE bewijslast dat de klant gefraudeerd of "grof nalatig" heeft gehandeld, ligt bij de bank.
Wat er precies is gebeurd weet ik ook niet, maar in geraffineerde oplichting trappen of een app uit de Play Store downloaden, die later banking malware blijkt te zijn (vers voorbeeld: [1]), is -in normaal Nederlands- NIET grof nalatig. Immers, de Bunq app moet een Android-gebruiker downloaden uit diezelfde Play Store, die dus impliciet vertrouwd zal moeten kunnen worden.
[1] https://www.threatfabric.com/blogs/anatsa-trojan-returns-targeting-europe-and-expanding-its-reach
Volslagen idioterie, de VOLLEDIGE bewijslast dat de klant gefraudeerd of "grof nalatig" heeft gehandeld, ligt bij de bank.
Wat er precies is gebeurd weet ik ook niet, maar in geraffineerde oplichting trappen of een app uit de Play Store downloaden, die later banking malware blijkt te zijn (vers voorbeeld: [1]), is -in normaal Nederlands- NIET grof nalatig. Immers, de Bunq app moet een Android-gebruiker downloaden uit diezelfde Play Store, die dus impliciet vertrouwd zal moeten kunnen worden.
[1] https://www.threatfabric.com/blogs/anatsa-trojan-returns-targeting-europe-and-expanding-its-reach
19-02-2024, 18:41 door
Anoniem
Door Erik van Straten: Kifid heeft de wet virteel gewijzigd door te stellen dat het slachtoffer moet bedenken en vertellen "wat er gebeurd zou kunnen zijn".
Volslagen idioterie, de VOLLEDIGE bewijslast dat de klant gefraudeerd of "grof nalatig" heeft gehandeld, ligt bij de bank.
Wat er precies is gebeurd weet ik ook niet, maar in geraffineerde oplichting trappen of een app uit de Play Store downloaden, die later banking malware blijkt te zijn (vers voorbeeld: [1]), is -in normaal Nederlands- NIET grof nalatig. Immers, de Bunq app moet een Android-gebruiker downloaden uit diezelfde Play Store, die dus impliciet vertrouwd zal moeten kunnen worden.
[1] https://www.threatfabric.com/blogs/anatsa-trojan-returns-targeting-europe-and-expanding-its-reach
Volslagen idioterie, de VOLLEDIGE bewijslast dat de klant gefraudeerd of "grof nalatig" heeft gehandeld, ligt bij de bank.
Wat er precies is gebeurd weet ik ook niet, maar in geraffineerde oplichting trappen of een app uit de Play Store downloaden, die later banking malware blijkt te zijn (vers voorbeeld: [1]), is -in normaal Nederlands- NIET grof nalatig. Immers, de Bunq app moet een Android-gebruiker downloaden uit diezelfde Play Store, die dus impliciet vertrouwd zal moeten kunnen worden.
[1] https://www.threatfabric.com/blogs/anatsa-trojan-returns-targeting-europe-and-expanding-its-reach
Waar staat dat de klant dit uit de PlayStore heeft gedownload?
Wellicht komt het uit F-Droid. En al die zelfverklaarde privacyfetisjisten dat maar promoten.
19-02-2024, 18:55 door
Anoniem
"Een half uur nadat de klant de e-mail van Bunq had gelezen"
Vandaar die tracker(s) en/of track-mogelijkheden in e-mails.
Vandaar die tracker(s) en/of track-mogelijkheden in e-mails.
19-02-2024, 19:02 door
Anoniem
Ha Erik van Straten. Bedankt voor je intellectuele bijdrage. In de google playstore heb je ook Google verified apps. Hiervan is duidelijk dat de app ook daadwerkelijk van de echte maker is.
Bovenal zou ik het waarderen als je op de redeneerlijn ingaat. Als de klant geen inzicht geeft in zijn/haar handelen tot op een zekere hoogte kan de bank zich nooit verdedigen. Hiermee lijkt mij het geven van inzicht om te snappen wat er heeft plaats gevonden niet meer dan logisch. Je geeft het zelf ook aan "Wat er precies is gebeurd weet ik ook niet"
Je verdere "onderbouwing" is meer een soort random voorbeeld.
Gelukkig hebben we de Erik van Straten comments op internet voor zorgvuldige duiding.
Bovenal zou ik het waarderen als je op de redeneerlijn ingaat. Als de klant geen inzicht geeft in zijn/haar handelen tot op een zekere hoogte kan de bank zich nooit verdedigen. Hiermee lijkt mij het geven van inzicht om te snappen wat er heeft plaats gevonden niet meer dan logisch. Je geeft het zelf ook aan "Wat er precies is gebeurd weet ik ook niet"
Je verdere "onderbouwing" is meer een soort random voorbeeld.
Gelukkig hebben we de Erik van Straten comments op internet voor zorgvuldige duiding.
19-02-2024, 19:58 door
Anoniem
De website van Kifid is een Wordpress website met publiek benaderbare /wp-admin... Mag dat grof nalatig genoemd worden?
19-02-2024, 20:46 door
Anoniem
Als ik binnen een week je mail heb geleden heb je het goed gedaan haha. Bijzonder beleid dit.
19-02-2024, 20:48 door
Anoniem
Door Anoniem:
Waar staat dat de klant dit uit de PlayStore heeft gedownload?
Wellicht komt het uit F-Droid. En al die zelfverklaarde privacyfetisjisten dat maar promoten.
Door Erik van Straten: Kifid heeft de wet virteel gewijzigd door te stellen dat het slachtoffer moet bedenken en vertellen "wat er gebeurd zou kunnen zijn".
Volslagen idioterie, de VOLLEDIGE bewijslast dat de klant gefraudeerd of "grof nalatig" heeft gehandeld, ligt bij de bank.
Wat er precies is gebeurd weet ik ook niet, maar in geraffineerde oplichting trappen of een app uit de Play Store downloaden, die later banking malware blijkt te zijn (vers voorbeeld: [1]), is -in normaal Nederlands- NIET grof nalatig. Immers, de Bunq app moet een Android-gebruiker downloaden uit diezelfde Play Store, die dus impliciet vertrouwd zal moeten kunnen worden.
[1] https://www.threatfabric.com/blogs/anatsa-trojan-returns-targeting-europe-and-expanding-its-reach
Volslagen idioterie, de VOLLEDIGE bewijslast dat de klant gefraudeerd of "grof nalatig" heeft gehandeld, ligt bij de bank.
Wat er precies is gebeurd weet ik ook niet, maar in geraffineerde oplichting trappen of een app uit de Play Store downloaden, die later banking malware blijkt te zijn (vers voorbeeld: [1]), is -in normaal Nederlands- NIET grof nalatig. Immers, de Bunq app moet een Android-gebruiker downloaden uit diezelfde Play Store, die dus impliciet vertrouwd zal moeten kunnen worden.
[1] https://www.threatfabric.com/blogs/anatsa-trojan-returns-targeting-europe-and-expanding-its-reach
Waar staat dat de klant dit uit de PlayStore heeft gedownload?
Wellicht komt het uit F-Droid. En al die zelfverklaarde privacyfetisjisten dat maar promoten.
Ik behoor toch tot die groep zou ik denken maar F-droid aanraden? Nee zeker niet. Onveilige meuk is niet goed voor privacy.
19-02-2024, 21:19 door
Anoniem
Door Anoniem:
Waar staat dat de klant dit uit de PlayStore heeft gedownload?
Wellicht komt het uit F-Droid. En al die zelfverklaarde privacyfetisjisten dat maar promoten.
Door Erik van Straten: Kifid heeft de wet virteel gewijzigd door te stellen dat het slachtoffer moet bedenken en vertellen "wat er gebeurd zou kunnen zijn".
Volslagen idioterie, de VOLLEDIGE bewijslast dat de klant gefraudeerd of "grof nalatig" heeft gehandeld, ligt bij de bank.
Wat er precies is gebeurd weet ik ook niet, maar in geraffineerde oplichting trappen of een app uit de Play Store downloaden, die later banking malware blijkt te zijn (vers voorbeeld: [1]), is -in normaal Nederlands- NIET grof nalatig. Immers, de Bunq app moet een Android-gebruiker downloaden uit diezelfde Play Store, die dus impliciet vertrouwd zal moeten kunnen worden.
[1] https://www.threatfabric.com/blogs/anatsa-trojan-returns-targeting-europe-and-expanding-its-reach
Volslagen idioterie, de VOLLEDIGE bewijslast dat de klant gefraudeerd of "grof nalatig" heeft gehandeld, ligt bij de bank.
Wat er precies is gebeurd weet ik ook niet, maar in geraffineerde oplichting trappen of een app uit de Play Store downloaden, die later banking malware blijkt te zijn (vers voorbeeld: [1]), is -in normaal Nederlands- NIET grof nalatig. Immers, de Bunq app moet een Android-gebruiker downloaden uit diezelfde Play Store, die dus impliciet vertrouwd zal moeten kunnen worden.
[1] https://www.threatfabric.com/blogs/anatsa-trojan-returns-targeting-europe-and-expanding-its-reach
Waar staat dat de klant dit uit de PlayStore heeft gedownload?
Wellicht komt het uit F-Droid. En al die zelfverklaarde privacyfetisjisten dat maar promoten.
Bunq heeft geen app in F-droid.....
19-02-2024, 22:28 door
Anoniem
Door Anoniem: In de google playstore heb je ook Google verified apps. Hiervan is duidelijk dat de app ook daadwerkelijk van de echte maker is.
Nooit geweten dat in de Google App-store twee soorten applicaties bestaan, nl betrouwbare en onbetrouwbare. Dan kan je net zo goed de apk'tjes van een willekeurige site downloaden.
19-02-2024, 22:57 door
MathFox
Het is mij niet duidelijk wat er gebeurd is. Ja, het is aan de klant om te verklaren wat hij weet, maar het kan zijn dat de klant hier zelf niet helemaal niet van af geweten heeft. Ik denk aan een banking trojan of een gelekt wachtwoord. En moet je zomaar iedere email geloven als die van "jouw bank" afkomstig lijkt? (Hoeveel SMS-jes ik van "de Rabobank" gekregen heb, terwijl ik daar geen rekening heb...)
Ik vind "niet binnen 10 minuten" op een (mogelijk gespoofde) email reageren iets anders dan grove nalatigheid. Betaalt Bunq mij de schade als ik op een link in een gespoofde email klik?
Ik vind "niet binnen 10 minuten" op een (mogelijk gespoofde) email reageren iets anders dan grove nalatigheid. Betaalt Bunq mij de schade als ik op een link in een gespoofde email klik?
20-02-2024, 07:30 door
Anoniem
Het is best lastig om een nieuw apparaat te koppelen aan een bunq rekening. Dan heb je inderdaad iemands inloggegevens nodig en waarschijnlijk ook toegang tot een al gekoppeld apparaat. Dus 2 elementen die de gebruiker door nalatigheid uit handen heeft gegeven. Lijkt mij logisch dat bunq niet verantwoordelijk is totdat de gebruiker kan aantonen dat deze elementen op een manier zijn ontvreemd, bijvoorbeeld door een onacceptabel proces aan bunq’s kant.
20-02-2024, 07:55 door
Bitje-scheef
Bijzondere zaak en uitspraak. Wellicht dat een rechter daar toch anders over denkt.
20-02-2024, 11:11 door
Anoniem
Door Anoniem:
Het is net zoals een HTTPS verbinding met geldig certificaat: dat vetelt je niet of de partij waarmee je verbonden bent betrouwbaar is of niet, enkel of je inderdaad verbonden bent met de bedoelde server.Door Anoniem: In de google playstore heb je ook Google verified apps. Hiervan is duidelijk dat de app ook daadwerkelijk van de echte maker is.
Nooit geweten dat in de Google App-store twee soorten applicaties bestaan, nl betrouwbare en onbetrouwbare. Dan kan je net zo goed de apk'tjes van een willekeurige site downloaden.Op dezelfde manier vertelt of een App verified is je niet of die betrouwbaar is of niet. Enkel of de uitgever geverifieerd is door Google.
20-02-2024, 11:21 door
MathFox
Door Anoniem: Het is best lastig om een nieuw apparaat te koppelen aan een bunq rekening. Dan heb je inderdaad iemands inloggegevens nodig en waarschijnlijk ook toegang tot een al gekoppeld apparaat.
Kun je mij vertellen hoe die procedure precies werkt? Zodat we kunnen inschatten in hoeverre malware op de smartphone van de klant het mogelijk maakt om de toegang tot de rekening te klonen op een andere smartphone.
20-02-2024, 11:40 door
Anoniem
Door Bitje-scheef: Bijzondere zaak en uitspraak. Wellicht dat een rechter daar toch anders over denkt.
Waarom zou hij dat? Het is schijnbaar de gewoonte hier om als de naam Kifid genoemd wordt, die organisatie meteen als corrupt voor te stellen, alleen vanwege stom onderbuikgevoel.
20-02-2024, 11:41 door
Anoniem
Door Anoniem: Bijzonder en wonderlijk tegelijk.
De klant moet bewijzen…
En wanneer lees je een e-mail?
Een sms’je lijkt me veel effectiever.
De klant moet bewijzen…
En wanneer lees je een e-mail?
Een sms’je lijkt me veel effectiever.
Ik lees geen sms, alleen email
22-02-2024, 01:17 door
Erik van Straten
Door Anoniem: Het is schijnbaar de gewoonte hier om als de naam Kifid genoemd wordt, die organisatie meteen als corrupt voor te stellen, alleen vanwege stom onderbuikgevoel.
Vanzelfsprekend noemen verstandige mensen organisaties als Kifid corrupt indien hun "rechters" uitsluitend oordelen op basis van een "stom onderbuikgevoel". Dank voor jouw toelichting over waar Kifid "rechters" hun uitspraken op baseren!Het Kifid is een farce, want, bij een deel van de uitspraken geldt:
A) Zonder er ook maar enig bewijs voor te leveren, dus kennelijk op basis van wat jij een "stom onderbuikgevoel" noemt, stellen Kifid "rechters" -bij herhaling- dat bankklanten "grof nalatig" moeten zijn geweest.
B) "Grof nalatig" niet in normaal Nederlands, maar in "juridische zin" - een nieuwe taal verzonnen door wereldvreemde Kifid "rechters", kennelijk met het oogmerk dat niemand anders dan zij een flauw benul heeft wat dat betekent.
C) Kifid "rechters" die vervolgens ook nog eens de bewijslast, letterlijk ONTERECHT, omdraaien: de bankklant zou maar aannemelijk moeten maken wat er gebeurd kan zijn - en als de bankklant dat niet wil, daar soms niet eens toe in gelegenheid wordt gesteld (doordat de bankklant niet voor de zitting wordt uitgenodigd) of niet kan, omdat zij of hij geen idee heeft wat er precies is gebeurd, is het "DUS" volledig de schuld van de klant.
Hoe corrupt kun je zijn? Het lijkt Rusland wel.
Geen argumenten en vanzelfsprekend anoniem
Het verschil tussen jou (kortzichtige meneer of mevrouw of bot "genaamd Anoniem") en mij is dat jij, te laf om jouw echte naam te vermelden, niet verder komt dan Kifid-veroordelaars een "stom onderbuikgevoel" te verwijten (zinloos denigrerend fake news dus, niet geblokkeerd door de moderatoren van security.nl), terwijl je geen enkele repliek biedt op, onder anderen, mijn (m.i. steekhoudende) argumenten.
Bewijslast bij de bank
De bedoelde wet is namelijk klip en klaar: de bank draait op voor de schade, tenzij DE BANK bewijst dat de klant zelf fraude heeft gepleegd of, in de eigen woorden van het Kifid, ‘aan opzet grenzende schuld’ heeft aan het incident.
Denkbaar is dat jij die wet verafschuwt, dat mag (wellicht had je op een andere partij moeten stemmen?)
Ik vind die wet prima, want:
1) In Nederland heb je überhaupt geen keuze of je wilt bankieren of niet, en
2) Banken beweren dat jouw spaargeld bij hen veiliger is dan als je het thuis in een oude sok bewaart, en
3) Iedereen die geld wil lenen bij een bank, profiteert ervan als anderen hun spaargeld op die bank zetten, en
4) Een "modern" deel van de bevolking, samen met alle banken, prefereren een filiaalloos, bloedsnel, online banksysteem met minimale restricties - dat de woekerwinsten van banken alleen maar verder verhoogt.
2) Banken beweren dat jouw spaargeld bij hen veiliger is dan als je het thuis in een oude sok bewaart, en
3) Iedereen die geld wil lenen bij een bank, profiteert ervan als anderen hun spaargeld op die bank zetten, en
4) Een "modern" deel van de bevolking, samen met alle banken, prefereren een filiaalloos, bloedsnel, online banksysteem met minimale restricties - dat de woekerwinsten van banken alleen maar verder verhoogt.
Asociaal systeem
Dat genoemde banksysteem (filiaalloos, bloedsnel, online - met minimale restricties) is ASOCIAAL want het leidt tot m.i. onacceptabel grote risico's voor miljoenen landgenoten, die bijvoorbeeld:
• Over minder (digitale- en/of lees-) vaardigheden beschikken, en/of:
• In een moeilijke periode van hun leven zitten, zoals na het overleiden van een dierbare, een scheiding, of tijdens een depressie of burnout;
• Lijden aan beginnende dementie (maar nog wel op zichzelf wonen, deels alleen), en/of:
• Goed van vertrouwen zijn - bijvoorbeeld omdat zij sowieso sterk afhankelijk zijn van anderen (zoals van thuiszorg of mantelzorgers), en/of zijn opgevoed met het standaard vertrouwen van kennelijke autoriteiten, en/of:
• Meer dan gemiddeld gevoelig zijn voor psychologische manipulatie - bij uitgekookte online (soms gecombineerd met offline) vormen van oplichting, bijvoorbeeld door zich te laten overhalen om legitieme software te downloaden, installeren en starten, zoals TeamViewer of Anydesk (waarbij veel mensen kunnen worden voorgelogen dat het om een virusscanner o.i.d. zou gaan).
• In een moeilijke periode van hun leven zitten, zoals na het overleiden van een dierbare, een scheiding, of tijdens een depressie of burnout;
• Lijden aan beginnende dementie (maar nog wel op zichzelf wonen, deels alleen), en/of:
• Goed van vertrouwen zijn - bijvoorbeeld omdat zij sowieso sterk afhankelijk zijn van anderen (zoals van thuiszorg of mantelzorgers), en/of zijn opgevoed met het standaard vertrouwen van kennelijke autoriteiten, en/of:
• Meer dan gemiddeld gevoelig zijn voor psychologische manipulatie - bij uitgekookte online (soms gecombineerd met offline) vormen van oplichting, bijvoorbeeld door zich te laten overhalen om legitieme software te downloaden, installeren en starten, zoals TeamViewer of Anydesk (waarbij veel mensen kunnen worden voorgelogen dat het om een virusscanner o.i.d. zou gaan).
Alles op afstand is het nieuwe NORMAAL
Die problemen worden vergroot doordat mensen (steeds vaker gedwongen, omdat er geen alternatieve mogelijkheid meer geboden wordt) een toenemend aantal zaken op afstand (o.a. telefonisch of via "chatbots") moeten regelen, waaronder in de medische zorg. Als een doktersassistente of een apotheek belt of e-mailt, heb je zelden de keuze om dat te negeren "omdat het mogelijk om een oplichter gaat". Ophangen plus terugbellen werkt vaak niet goed en leidt tot veel onbegrip, wat weer in jouw nadeel kan werken.
In welke situatie hoe handelen?
Voor veel mensen is het simpelweg te ingewikkeld om te onthouden in welke situaties je meteen moet ophangen en zelf de kennelijke organisatie terugbellen (waarbij, zoals gebruikelijk, je eerst een stem hoort die zegt dat je in de FAQ op de website moet kijken, en daarna een stem die zegt dat het momenteel erg druk is en de wachttijd erg lang). Als je van de betreffende organisatie überhaupt nog een telefoonnummer kunt vinden. Je moet dus maar afwachten of je überhaupt nog een mens aan de telefoon krijgt als je een inkomend gesprek met een potentiële oplichter afbreekt en de organisatie zelf belt.
Datalekken vergroten risico's voor ouderen
De factor "kans" binnen de risico's op bankfraude is enorm vergroot doordat de hele maatschappij vergaand digitaliseert - met als gevolg een absurd aantal datalekken (trend nog steeds stijgend), waarbij vertrouwelijke gegevens (waaronder IBAN's en geboortedatums) van soms enorme aantallen personen in handen van criminelen kunnen vallen. Daardoor kunnen criminelen vooral (kwetsbare) ouderen er eenvoudig uitpikken, hetgeen het "succes" van de criminelen vergroot en hun pakkans verkleint.
Waarschuwen helpt overduidelijk nauwelijks of niet
Ondertussen is het m.i. overduidelijk dat het onvoldoende helpt om dát kwetsbare deel van de bevolking te waarschuwen tegen bankfraude en te hopen dat dit oplichting voorkómt. De meeste slachtoffers zeggen achteraf niet te begrijpen hoe zij in de oplichting konden trappen, want zij waren gewaarschuwd. Ik denk dat wel te begrijpen, zie bovenstaand lijstje met bullets.
"Wij zullen nooit" tenzij toch (zeg nooit nooit)
De vele "wij zullen nooit" leugens helpen ook bepaald niet. Bijvoorbeeld uit https://www.paypal.com/tc/webapps/mpp/security/common-scams:
How to identify real PayPal emails
An email from PayPal will:
• Come from paypal.com. Scammers can easily fake the “friendly name,” but it’s more difficult to fake the full name. A sender like “PayPal Service (zxk1942R3@gmail.com)" is not a message from PayPal. But sophisticated scammers can sometimes fake the full name, so look for other clues.
M.b.t. dat laatste: "Check de SMTP-afzender! Wacht, da's mogelijk tijdverspilling want soms kan ook die vervalst worden". En toen?An email from PayPal will:
• Come from paypal.com. Scammers can easily fake the “friendly name,” but it’s more difficult to fake the full name. A sender like “PayPal Service (zxk1942R3@gmail.com)" is not a message from PayPal. But sophisticated scammers can sometimes fake the full name, so look for other clues.
M.b.t. "An email from PayPal will: • Come from paypal.com": PayPal verstuurt ook e-mails met andere afzenderdomeinnamen, waaronder "mail.paypal.co.uk" (bron: https://cantoriscomputing.wordpress.com/2017/03/04/paypals-emails-encourage-dangerous-habits/comment-page-1/) met in zo'n mail notabene links naar https://epl.paypal-communication.com/.
Eedergenoemde PayPal pagina daarover:
Bogus links in emails
If there's a link in an email, always check it before you click. A link could look perfectly safe like www.paypal.com/SpecialOffers, but if you move your mouse over the link you'll see the true destination. If you aren’t certain, don’t click on the link. Just visiting a bad website could infect your machine.
If there's a link in an email, always check it before you click. A link could look perfectly safe like www.paypal.com/SpecialOffers, but if you move your mouse over the link you'll see the true destination. If you aren’t certain, don’t click on the link. Just visiting a bad website could infect your machine.
Nb. epl.paypal-communication.com heeft een reeks EV-certificaten gehad, toegekend aan "PayPal, Inc.", "San Jose, California, US" - de laatste geldig tot 13 februari 2024 (zie https://crt.sh/?q=paypal-communication.com), dus mogelijk is PayPal gestopt met deze domeinnaam - die (zo goed als zeker) door PayPal zelf geregistreerd is.
Daarbij, in een ouder EV-certificaat voor bovengenoemde domeinnaam (https://crt.sh/?id=144192127) komt ook de, phishy klinkende, domeinnaam paypal-here.com voor, waar nog steeds geldige certificaten voor bestaan (zie https://crt.sh/?q=paypal-here.com&exclude=expired), waaronder dit EV-certificaat: https://crt.sh/?id=9464970985.
In https://us.paypal-here.com/ staat nu:
PayPal Here has been discontinued on September 30, 2023[/quote]Mogelijk is PayPal eindelijk wijzer geworden (nu maar hopen dat zij die domeinnaam niet binnenkort in handen van criminelen laten vallen. Overigens zijn de hierboven aangehaalde teksten identiek aan een snapshot van 11 aug. 2020 (https://web.archive.org/web/20200811231054/https://www.paypal.com/tc/webapps/mpp/security/common-scams).
Oftewel: wat moet je geloven als zelfs banken hun eigen informatievoorziening totaal niet op orde hebben? Het is een illusie om te denken dat iedereen zelf zal kunnen beredeneren, vooral in een stressvolle situatie, dat een bankmedewerker nooit om een pincode zal vragen en ook nooit jouw bankpas zal komen ophalen.
Europese wetgeving zonder "grof nalatig" bullshit?
Toevallig las ik vandaag in https://www.vrt.be/vrtnws/nl/2022/01/25/zo-makkelijk-gaat-digitaal-zakkenrollen-240-euro-gestolen-in-tw/ onder meer (dat ging over "NFC-jatten", maar ik zie geen aanleiding om aan te nemen dat dit niet voor allerlei vormen van oplichting zou gelden):
De geïnterviewden in de reportage kregen vanzelfsprekend hun geld terug, maar wat als dit in het echte leven gebeurt? "Ook dan zou je – onder voorbehoud van onderzoek – vergoed worden", zegt Rodolphe de Pierpont, woordvoerder van bankenfederatie Febelfin aan VRT NWS. "De Europese wet zegt namelijk dat je in geval van fraude zonder medeplichtigheid van het slachtoffer, verplicht moet worden terugbetaald."
Ik denk dat ik binnenkort maar eens op zoek ga naar die Europese wet.Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
