Fraudeurs omzeilen beveiliging ING via Paypal

@geniusboxen, om je statements even op te knippen:

1.) PayPal doet zijn verificatie door het twee malig over te maken van een enkele eurocent.
2.) In deze is het de fout van ING.

1.) als premisse van 2.) is in de logica een non-sequitur, ofwel uit 1.) volgt niet per definitie 2.).
In dit geval totaal niet, integendeel zelfs, en dat zal ik hieronder uitleggen.

Paypal/Click&Buy zijn degenen die de betalingen autoriseren en afschrijven/incasseren.
Je zegt het feitelijk zelf al: PayPal doet hun verificatie door..... de issue zit dus bij: de verificatie door Paypal en Click&Buy. Dit op basis van het feit dat zij aannemen een machtiging van de bankrekeningeigenaar te hebben ingeval de door hun verstuurde betaling/codes correct worden ingevoerd bij het koppelen van een bankrekening aan 1 van hun accounts. Dat Paypal denkt vervolgens gemachtigd te zijn tot afschrijven van bedragen is niet het probleem van ING!
Dit probleem ligt dus wel degelijk bij Paypal en Click&Buy. Zij controleren alleen of iemand zicht heeft op transacties op de bankrekening (ofwel inzage heeft in saldo-informatie), en dus niet - wat ze wel zouden moeten checken - of iemand ook geautoriseerd is om zelf transacties met de betreffende bankrekening uit te voeren! Deze check is heel makkelijk in te bouwen door iemand bijvoorbeeld te vragen het overgemaakte bedrag terug te storten vanaf het genoemde bankrekeningnummer. Zoals het er nu voorstaat met de "verificatie" kan - afgezien van phishing etc - iedereen die toegang heeft tot de bankafschriften of die een (read-only) inzage-machtiging heeft (bijv op een bedrijfsrekening) ook op deze manier frauderen.

Naar alle waarschijnlijkheid komt dit issue overigens ook volledig voor kosten van Paypal en Click&Buy. Bedragen die - zeker zonder machtiging van de eigenaar - via (automatische) incasso van een rekening worden afgeschreven kunnen gewoon worden gestorneerd. En de bank haalt dat geld rucksichtlos terug bij degene die de (automatische) incasso gedaan heeft (in dit geval dus Paypal en Click&Buy). En in dit geval zeker terecht: moeten die hun zaakjes maar beter op orde maken.

De titel van het artikel is m.i. dus ook niet juist. Het zou iets moeten zijn als: "Lekke Paypal/Click&Buy verificatie maakt fraude met bankrekening mogelijk".
Dit is immers geen ING-specifiek probleem. Iedereen met inzage in de af en bijschrijvingen van een bankrekening kan op deze manier frauderen met die betreffende bankrekening -> dankzij de lekke ontbrekende verificatie van rekening-transactie-autorisatie door Paypal en Click&Buy.

<edit>
@ Dlocks, maandag 21 maart 2011 18:00 "Dan nog is het ING die deze manier toestaat."

Er is geen sprake van "ING die deze manier toestaat". Dit is gewoon hoe machtigingen tot incasso op een rekening werken bij any bank: de bank gaat er bij zo'n incasso van uit dat genoemd bedrijf een machtiging heeft gekregen van de rekeninghouder. Het is de verantwoordelijkheid van het bedrijf dat incasseert om te verifieren of (cq: zeker te weten dat) die machtiging daadwerkelijk bij de rekeninghouder vandaan komt, en zo niet is het pech voor het incasserende bedrijf gezien het geld dan door de bank teruggehaald wordt.
Dat is dus precies de reden waarom veel webshops geen mogelijkheid tot eenmalige incasso door hunzelf aanbieden, maar jou vragen om zelf over te boeken. Risico op fraude. En dat is in zo'n situatie hun risico (!) - niet dat van de bank of de rekeninghouder.

<edit2 @mmjjb>

Dat is juist het leuke, PayPal is slechts een derde die de transactie afhandeld! Zij is niet de aanvrager van de incasso, dit doordat zij een Payment Service Provider is.
De aanvrager is in ditgeval de persoon die deze mensen oplicht, paypal verificeerd de transactie, net zoals de bank overigens, zij(paypal) is in geen enkel geval hiervoor aansprakelijk

Wat Paypal hierover schrijft qua positionering is volslagen irrelevant. Paypal is degene die de uiteindelijke opdracht geeft tot incasso van de rekening, dus zij zijn degenen bij wie de bank het geld terughaalt. Dat zij die incasso-opdracht voor een 3e partij uitvoeren is zowel transparant als irrelevant voor de bank.
Dit is hoe het machtigingensysteem werkt: Paypal beweert een machtiging op de rekening te hebben, Paypal boekt het geld van de rekening af, dus het geld wordt ook bij Paypal teruggehaald. Zonder discussie. En Paypal moet vervolgens zelf maar zien dat ze het geld dat ze voor de fraudeur hebben geincasseerd terugkrijgen van die fraudeur.
Niet het probleem van de bank noch dat van de rekeninghouder. Had Paypal de machtiging maar beter moeten verifieren.

[Reactie gewijzigd door Cheetah op dinsdag 22 maart 2011 16:14]