Tweakers · Technologie

PostNL en Gaslicht.com stoppen met iDIN na adresfraude

PostNL en energievergelijkers zoals Gaslicht.com hebben de identificatiedienst iDIN uitgeschakeld vanwege misbruik voor adresfraude. De dienst bleek kwetsbaar voor 'adresspoofing', wat privacyrisico's met zich meebrengt.

Via een kwetsbaarheid in iDIN konden gebruikers via de PostNL-app post op willekeurige adressen inzien en via energievergelijkers het jaarverbruik van andere huishoudens bekijken. Tweakers ontdekte dat banken niet controleren of gebruikers daadwerkelijk op het opgegeven adres wonen, wat het misbruik mogelijk maakte.

PostNL heeft de adresverificatie met iDIN stopgezet en biedt een alternatieve verificatie via een code per post. Energievergelijkers die zijn aangesloten bij EDSN, de infrastructuur van netbeheerders, hebben de methode eveneens gestopt na melding.

De kwetsbaarheid kan ook andere organisaties treffen. Zo ontdekte Tweakers dat via afvalinzamelaar Avalex een digitale afvalpas op een vals adres geactiveerd kon worden. Avalex onderzoekt nog of aanvullende maatregelen nodig zijn.

Itsme, de organisatie achter iDIN, stelt dat het probleem ligt bij de implementatie door banken en bedrijven. Ze adviseren bedrijven om aanvullende controles uit te voeren om adrescorrectheid te waarborgen.

AI-samenvatting op basis van de bron.