Achtergrond - Banken controleren adreswijzigingen niet: iDIN-systeem vatbaar voor misbruik

In dit artikel:

Een onderzoek van Tweakers laat zien dat kwaadwillenden via iDIN eenvoudig een vals adres konden laten registreren. Banken verwerken een adreswijziging die klanten zelf doorgeven zonder te controleren of zij daar werkelijk wonen. Het nieuwe adres kan daarna door andere organisaties als bevestigd worden opgehaald.

Daardoor konden onder meer gegevens over ontvangen poststukken bij MijnPost van PostNL en historische energiegegevens via vergelijkingssites worden ingezien. Ook bleek het mogelijk om namens een ander een digitale afvalpas aan te vragen. De informatie kan daardoor privacygevoelige details over bewoners onthullen.

De Nederlandse Betaalvereniging bevestigt dat banken geen directe controle uitvoeren via de Basisregistratie Personen. ING en Rabobank erkennen eveneens dat adresgegevens via iDIN niet altijd actueel of juist zijn. Volgens de sector zijn misbruikers achteraf wel traceerbaar, maar slachtoffers kunnen lastig vaststellen of hun gegevens zijn ingezien.

PostNL en Gaslicht.com hebben de adrescontrole via iDIN inmiddels uitgeschakeld of vervangen door een verificatie per brief. Ook EDSN, dat energiegegevens voor meerdere organisaties beheert, zet de toepassing uit en onderzoekt alternatieven. Afvalinzamelaar Avalex bekijkt aanvullende maatregelen. iDIN, dat onderdeel is van het Belgische Itsme, benadrukt dat organisaties de dienst zorgvuldig moeten implementeren en niet altijd uitsluitend op een adres als verificatie kunnen vertrouwen.