Tweakers · Technologie

iDIN-systeem vatbaar voor misbruik door gebrek aan adrescontrole

Het Nederlandse identificatiesysteem iDIN, dat bankgegevens gebruikt, kan misbruikt worden doordat banken adreswijzigingen niet controleren. Hierdoor kunnen kwaadwillenden gevoelige informatie inzien.

Onderzoek toont aan dat het mogelijk is om via iDIN een vals adres door te geven. Banken controleren niet of een gewijzigd adres klopt. Hierdoor konden kwaadwillenden via diensten als MijnPost van PostNL poststukken inzien of energieverbruik opvragen.

Het is mogelijk om bij banken een ander adres te registreren zonder bewijs van bewoning, waarna dit adres via iDIN aan andere diensten wordt doorgegeven. Dit geldt voor alle aangesloten banken.

Naast post en energieverbruik, kan het spoofen van een adres leiden tot het aanvragen van een digitale afvalpas namens anderen, of andere privacyrisico's.

iDIN is een identificatiedienst die sinds 2016 bankkoppelingen gebruikt. Het systeem verifieert identiteit, maar gebruikers geven enkel een adres door, met de aanname dat banken de identiteit al geverifieerd hebben.

De Nederlandse Betaalvereniging erkent dat banken geen toegang hebben tot de BRP om adressen te controleren en moeten vertrouwen op de opgegeven informatie. Misbruikers zijn wel traceerbaar.

Meerdere diensten, waaronder PostNL, Gaslicht.com en EDSN, hebben adresverificatie via iDIN (tijdelijk) uitgezet en onderzoeken alternatieven.

iDIN stelt dat bedrijven iDIN correct moeten implementeren en dat adresverificatie via iDIN niet altijd voldoende zekerheid biedt. Aanvullende controles zijn wenselijk.

AI-samenvatting op basis van de bron.