Pincode vernieuwde bankpassen zichtbaar in ING-app: is dat wel veilig?
Omdat er binnekort geen V PAY en Maestro bankpassen meer worden uitgegeven, wordt je bankpas vervangen door een Visa Debit- of Debit Mastercard-pas. Zit je bij ING en heb je al zo’n vernieuwde pas? Dan kun je in de ING-app de pincode van deze bankpas opzoeken. Handig voor wanneer je hem vergeten bent, maar is het ook veilig? Banken adviseren toch om je pincode nergens te noteren?
In basis pincode en bankpas gescheiden houden
Radar kreeg een bezorgd bericht van een ING-klant over deze app-update: “Vandaag mijn nieuwe ING pas ontvangen. Tot mijn grote verbazing staat in de ING-app bij ‘mijn pas‘ nu mijn pincode vermeld. Dit is een serieus veiligheidsissue. De kracht van dit systeem is juist dat de sleutels NIET op 1 plek bewaard worden.”
Hier is Harald Vranken, hoogleraar Cyber Security aan de Open Universiteit, het in basis mee eens. Hij vertelt: “In principe is het niet goed als je je pincode kunt aflezen van je telefoon. De essentie van twee factor-authenticatie is immers dat je je bankpas en pincode apart houdt: als je de pincode op je bankpas noteert, valt het hele concept in duigen. En datzelfde geldt ook als je je telefoon als bankpas gebruikt en je pincode op je telefoon opslaat zonder verdere beveiliging. Die beveiliging is dus essentieel.”
ING staat garant voor beveiliging app
Om te oordelen of je pincode veilig is in de ING-app, moeten we dus kijken naar de beveiliging van deze app. Vranken vertelt: “Een eerste bescherming is de algemene vergrendeling van je telefoon met bijvoorbeeld een code, ontgrendelpatroon of biometrische authenticatie. En om de ING-app te openen moet je vervolgens een mobiele pincode of biometrische authenticatie gebruiken.”
Dat benadrukt ook een woordvoerder van de ING: “Alleen de klant heeft toegang tot de app en kan de pincode inzien. Deze toegang is bovendien beveiligd met een persoonlijke mobiele toegangscode, die de klant geheim houdt. Daarnaast kan de klant de app beveiligen met Face ID of Touch ID. Hierdoor is de pincode van de bankpas net zo goed beschermd als andere functies in de ING App, zoals het doen van betalingen.”
“De bank staat garant voor de beveiliging van de app”, concludeert Vranken. “Ervan uitgaande dat die beveiliging op orde is, is het wel verantwoord om ook je pincode via de app te kunnen opvragen. Dat is in principe veel veiliger dan zelf de pincode leesbaar opslaan als bijvoorbeeld notitie in je telefoon. Een wachtwoordkluis kan een goed alternatief zijn.”
Waarom je je pincode niet moet opschrijven
“ING adviseert klanten nog steeds om hun pincode uit het hoofd te leren. Dat is niet veranderd”, laat de woordvoerder weten.
“De reden dat ING adviseert om de pincode niet op te schrijven, is dat deze dan relatief eenvoudig door onbevoegden kan worden achterhaald. Papier, bijvoorbeeld in een notitieboekje, kan immers worden gelezen door iedereen die er toegang toe heeft.”
“Naast de technische beveiliging is er ook een juridische component”, vervolgt Vranken. “De bank staat garant voor de eigen app, maar bijvoorbeeld niet voor een wachtwoordkluis of andere applicatie die je zou kunnen gebruiken om je pincode te bewaren. Als zo’n applicatie achteraf toch niet veilig is en je pincode lekt daardoor, is het de vraag of jij daarvoor aansprakelijk bent.”
Is het echt 100% veilig?
Toch benoemt de hoogleraar ook mogelijke problemen, zoals ‘shoulder surfing’. Dit is een vorm van fraude of diefstal waarbij iemand ongewenst over je schouder meekijkt naar je telefoon als je je pincode opvraagt (en op die manier dus je pincode kan afkijken). “Of in een ander scenario: dat je onder bedreiging gedwongen wordt je pincode te laten zien.”
“Security is lastig, en het is onmogelijk om iets 100 procent te beveiligen”, gaat hij verder. “Daarnaast is er de afweging tussen beveiliging en gebruiksgemak: soms wordt er aan de ene kant water bij de wijn gedaan, om de andere kant te verbeteren. Hier speelt dit ook: om gebruik van pincodes te ‘vergemakkelijken’, is er een optie om je pincode te kunnen inzien. Het is natuurlijk veiliger als zo’n optie niet bestond. Het is de afweging van de bank om dit toch mogelijk te maken.”