Android-app van Bunq sloeg foto's van identiteitsbewijs onbeveiligd op

De Android-app van de nieuwe Nederlandse bank Bunq bleek foto's onbeveiligd op te slaan. Gebruikers kunnen met een foto van hun identiteitsbewijs een account maken. Dat werd ontdekt door tweaker Geert de Graaf. Bunq zegt dat het probleem is opgelost.

Het is bij Bunq mogelijk om een rekening te openen met een smartphone. Om dat te doen moet met de app een foto van een identiteitsbewijs gemaakt worden. Tweaker Geert de Graaf ontdekte dat hij de foto's die hij voor zijn aanvraag moest maken kon terugvinden in de map 'Android\data\com.bunq.android\files\Pictures'. Omdat de locatie vrij toegankelijk is en de foto's niet versleuteld zijn, zouden kwaadwillende apps in potentie de foto's in deze Bunq-app kunnen benaderen.

De directeur van Bunq, Ali Niknam, stelt tegenover NOS dat de foto's verwijderd moeten worden zodra ze naar de server van de bank zijn gestuurd, maar dat dit door een fout niet gebeurde. Intussen heeft Bunq ook een blog gepubliceerd, waarin het bedrijf meldt dat er een fix is uitgebracht. Gebruikers van de app zouden de update automatisch moeten ontvangen. Ook bestaande foto's zouden na de update verwijderd worden. Volgens Bunq is het probleem niet van toepassing op de iOS-versie van de app.

Bunq profileert zich als "een simpele manier om je vrienden om geld te vragen, de rekening te delen en om te betalen in real time".

Reacties (104)

[The Zep Man]

Let dus op: iemand kan dus met een kopie van je identiteitsbewijs en een kleine investering om een bijbehorende PIN pas te bemachtigen een bankrekening openen om die te gebruiken voor lugubere zaken, zoals verduistering. Zo kan de indruk gewerkt worden dat je een katvanger bent.

Voor kritieke zaken, zoals het openen van een bankrekening, vind ik het helemaal niet erg om even langs te komen om mijn gezicht en mijn identiteitsbewijs te laten zien. Indien nodig mogen zij dan ter plekke een kopie ervan maken.

[Reactie gewijzigd door The Zep Man op 22 juli 2024 19:14]

[ocmer]

Dat kan dus niet. Je moet ook nog geld overboeken vanaf een andere bank vanaf een rekening met dezelfde naam. Ze liften dus mee op de veiligheid van de andere banken.

[CEx]

Dat geldt voor alles rondom identiteitsbewijzen, niet puur deze app.
Sterker nog: ik durf te wedden dat minstens de helft van de bezoekers hier weleens een scan van zijn paspoort, rijbewijs of identiteitsbewijs gemaakt heeft. Grote kans dat deze ook nog eens in de verzonden mail of in 'mijn afbeeldingen' terug te vinden is.

De wet rondom (foto)kopieën is al niet meer na te leven als je geen ontzettende privacy zeur wil zijn op het werk of in de maatschappij.

[Roland684]

Die wet is er ter bescherming. Het is dom als je die aan de kant schuift.

Als een bedrijf vraagt om je pincode zeg je wel "nee", maar als ze vragen om een kopie van je paspoort, zou je "ja" moeten zeggen om geen ontzettende zeur te zijn??

[mhnl1979]

Probeer maar eens een mobiel abonnement af te sluiten zonder een kopie van je identiteitskaart... Belachelijk, maar anders krijg je gewoon geen abonnement!

[Roland684]

Ik laat dergelijken altijd contact opnemen met het verantwoordelijk ministerie en dat heeft er tot nu toe toe geleid dat ze altijd hebben moeten concluderen dat ze geen kopie mochten eisen.

Zelfs bij een notaris en de KvK.

Alleen de SNS-bank heeft volgehouden dat ondanks dat ze geen kopie mogen verplichten en geen verplichting hebben om een kopie op te slaan, ze voor hun eigen bedrijfsvoering het wel eisen en mij anders geen bankrekening gunnen. Ook mocht ik mij niet komen identificeren bij een kantoor, ik moest per se een kopie per post opsturen.
Een half jaar later hebben ze wel excuses gemaakt en verklaard dat ik me wel degelijk bij een kantoor had mogen identificeren, al blijven ze volhouden dat ik daarna alsnog een kopie per post moet sturen.

Puur het feit dat ze alleen een bewijsje willen dat ze mij geidentificeerd hebben, zonder werkelijk een identificatie te doen, is voldoende om geen rekening te willen heben bij deze bank. Iedereen die een kopie van een id-bewijs van iemand vindt, kan een rekening openen op die persoons naam bij de SNS.

[mhnl1979]

Gelijk hebben en gelijk krijgen zijn twee verschillende dingen. Ik kan Tele2 wel verwijzen naar een ministerie, die moeite willen ze niet doen. En geen enkele aanbieder dat wil doen, heb ik dus een probleem. Los van het feit dat ook banken alleen maar procedures kunnen volgen en alleen maar risico's willen afdekken.

[Roland684]

Mijn ervaring is dat ze die moeite vaak wel doen. En de enkele keer dat ze die moeite niet wilde nemen, heb ik zelf contact met het ministerie gezocht, die vervolgens met de tegenpartij contact op heeft genomen om te vertellen dat zij in strijd met de wet werken en hun werkwijze per direct moesten aanpassen.

Je gelijk krijg je wel degelijk en het is niet moeilijk.

Maar je kunt natuurlijk ook bij voorbaat aannemen dat je je gelijk niet gaat krijgen en het niet eens proberen...

[Verwijderd]

Alleen het BSN volstaat al, daarom dat je ook nooit zomaar een kopie van je identiteitsbewijs moet delen, en als je dat wel doet, streep dan BSN door, doet de betreffende partij daar vervolgens moeilijk over kan je ze vragen waarom ze je BSN nodig hebben en dan alsnog besluiten hem te delen (maar 9 van de 10x hebben ze em niet nodig en gebruiken ze em voor interne identificaties, wat niet mag)

[The Zep Man]

Alleen het BSN volstaat al,

Onwaar.

Zo mogen financiële instellingen een kopie van uw identiteitsbewijs maken om te kunnen bewijzen dat zij aan de identificatieplicht hebben voldaan.

En er zijn andere situaties waarbij een volledige kopie van een paspoort gevraagd wordt. Werkgevers zijn een vanzelfsprekend voorbeeld, en dit moeten zij wettelijk ook.

Een ander leuk voorbeeld: in veel gemeentes worden voor trouwerijen de getuigen van te voren geïdentificeerd. Dit mag met een kopie van een paspoort, maar die moet volledig zijn. En gemeentes mogen dit vragen. Het is natuurlijk belachelijk dat een overheidsinstantie hierom vraagt, omdat zoiets ook via DigID zou kunnen. Dat geeft meer zekerheid: een niet gewaarmerkte kopie kan je namelijk ook met Photoshop in elkaar zetten.

[Reactie gewijzigd door The Zep Man op 22 juli 2024 19:14]

[Coumanski]

helaas maak ik het ook mee wanneer ik een auto wil huren. Zonder kopie van mijn rijbewijs cq. paspoort krijg ik gewoon geen auto mee. En dan kun je wel op je strepen staan maar dat betekend dan wel lopen

[SuperDre]

tja, ik vind dat ook helemaal niet zo gek dat ze dat eisen..

[Dorank]

Dan moet je vooral geen paspoort gebruiken, een ongecensureerde kopie daarvan bevat altijd het BSN.

Het 2006/later model rijbewijs heeft het BSN op de achterkant staan. Naast dat ik nog niemand heb kunnen betrappen op het kopieeren van de achterkant zou ik meteen ingrijpen aangezien derden daar niets mee te maken hebben (op aan overheid gerelateerde diensten na).

[noes]

Leuke link. Ze brengen zelfs 4ct in rekening als je een verkeerde PIN code intoetst.

Maar dit is slechts één van de voorbeelden hoe een kopie van een identiteitsbewijs misbruikt kan worden. Ik ben daarom ook vrij huiverig als bedrijven een kopie van mn ID willen hebben.

[The Zep Man]

Maar dit is slechts één van de voorbeelden hoe een kopie van een identiteitsbewijs misbruikt kan worden. Ik ben daarom ook vrij huiverig als bedrijven een kopie van mn ID willen hebben.

Natuurlijk kan de kopie van een identiteitsbewijs gebruikt worden voor vele vormen van criminaliteit waarbij identiteitsfraude toegepast wordt. Ik doelde meer op de context dat deze bank het toestaat om een bankrekening te openen op iemand zijn naam zonder fatsoenlijk diens identiteit te controleren.

[Reactie gewijzigd door The Zep Man op 22 juli 2024 19:14]

[Whatson]

Niet waar. Ze maken gebruik van afgeleide identiteit: er moet een initieel bedrag worden over gemaakt vanaf een NL betaalrekening met exact dezelfde naam.

[Sandwalker]

De individuele gebruiker loopt denk ik niet zoveel risico, omdat er wat zaken moeten samenvallen. Op systeemniveau is het kwalijk dat je gebruik mag maken van een afgeleide identiteit. Je hebt namelijk nergens de koppeling tussen identiteit van de gebruiker en de rekening waar het geld vandaan komt. Een bank kan namelijk niet in de gemeentelijke basisadministratie roethanen. Dat geeft dus het scenario waarbij je een rekening krijgt en een betalingskenmerk om geld over te maken. Het is maar een paar euro, dus je doet het zonder goed na te denken, en als iemand dan ook een scan van je ID heeft - zonder watermerk met beoogd gebruiker - dan wordt er zo een rekening gemaakt op een identiteit die daar zelf geen weet van heeft. Vanaf één zo'n gekraakte rekening zijn vervolgens veel nieuwe rekeningen te maken.
Je zou eigenlijk willen dat je met jouw DigID centraal kon kijken welke rekeningen er allemaal zijn op jouw identiteit - de fiscus weet het al, dus de database is er en hoeft alleen maar ontsloten te worden.
Heeft iemand je identiteit gejat,kun je in ieder geval dat geld wat ze aan het witwassen zijn aan een goed doel schenken of de rekening laten opheffen.

[SgtCaffran]

Sterker nog, ze brengen altijd 4ct in rekening bij een pinbetaling binnen Europa. Of deze nu wel of niet geslaagd is. Echter rekenen ze geen vaste lasten voor een pinpas.

[pietje63]

Geen vaste lasten behalve € 9

[PolarBear]

Dat zijn dus eenmalige kosten (of vaste lasten per 4 jaar, aangezien een pas 4 jaar geldig is).

[Verwijderd]

Betaal liever per kwartaal wat centjes, dan bij elke pin poging te moeten dokken.

[SuperDre]

En laat jouw werkgever dus een kopie van jouw ID moeten hebben......

[martijnve]

Zoals ik het lees zit het zo:

Als je 2 keer een verkeerde pin intypt en dan de goede wordt er 1 keer vier cent in rekening gebracht. Het intypen van een verkeerde pin kost je alleen geld als je daarna de betaling afbreekt.

Dus 4 cent per (poging tot een) transactie.

Dat staat tegenover de veel lagere kosten voor de rekening(en) + pas(sen).

edit: @imade
Jammer dat je meteen op de man speelt. Ik kan lezen, ik weet echter ook dat tekst vaak niet eenduidig is.
Je kunt het zo lezen zoals jij het leest. Maar er staat "als de geldopname mislukt" als ik twee keer een foute pincode intoets en daarna de goede is er maar een geldnopname en die is niet mislukt. Als je echter twee keer een foute code intoetst en daarna de betaling afbreekt is het wel mislukt.

De tekst die je aanhaalt zou kunnen betekenen wat jij zegt maar mijn uitleg lijkt me waarschijnlijker.

[Reactie gewijzigd door martijnve op 22 juli 2024 19:14]

[i-chat]

begrijpend lezen is in deze nogal lastig, want zoals jij het hier neerzet is er nog steeds geen eenduidige interpretatie mogelijk, het kan nog steeds zo zijn dat ze een 'error foute code voor u code nogmaals in' interpreteren als mislukte pinbetaling... of dat ze 3x fout betaal anders, pas als mislukt beschouwen.

[TagForce]

Definieer dan maar eens 'een pinbetaling of geldopname'...

Is dat:
A:) Elke poging om een pincode in te voeren
B:) Elke volledige poging om een transactie te voltooien (dus 3 keer foute pin invoeren en dan de transactie afbreken)

Het feit dat jij er een bepaalde interpretatie van een tekst op nahoudt wil niet zeggen dat dat ook de enige mogelijke interpretatie is... Kijk daarvoor alleen al naar wat verschillende stromingen binnen een godsdienst. Iedereen heeft dezelfde tekst, maar ze interpreteren het allemaal anders.

Gelukkig maken we elkaar nog niet af om interpretatie van Algemene Voorwaarden. Laten we dat zo houden.

[Sorcerer8472]

Dat zit bij andere banken in het maandelijkse bedrag. Bovendien is het zo dat je bij veel zakelijke rekeningen ook voor alles betaalt, hoewel ik het mislukken van een pintransactie daarbij nog niet voorbij heb zien komen.

Ik vraag me ook af of ze dat niet toch beter voor eigen rekening kunnen nemen als klein verlies omdat het nu heel onvriendelijk oogt.

[Verwijderd]

Als ik Bunq klant was, dan had ik mijn pincode bij mij gehouden om geen onnodige kosten te maken en dat is niet de kant die wij op moeten gaan.
Pinnen moet gewoon gratis zijn!
Daarnaast vraag ik mij af of dit wel mag omdat vele winkels en zelfs reclames over pinnen melden dat het 100% gratis zou zijn en dat is bij Bunq dus NIET zo.

[Roland684]

Indien nodig? De wet bepaald gelukkig dat alleen je werkgever, politie/justitie en bepaalde ambtenaren van de gemeente een kopie mogen maken. Verder heeft dus niemand een kopie nodig.

Het is triest hoeveel bedrijven er zijn die geen drol geven om identificatie, maar alleen snel een bewijsje willen dat ze identificatie gedaan hebben, zonder daadwerkelijk ook maar iets gedaan te hebben.

En juist omdat er dit soort bedrijven zijn die genoegen namen met een zelf aangeleverde kopie, is het belangrijk dat je zo min mogelijk kopieen toestaat.

[jsnl]

Bij financiele instelling ID bewijs laten zien, gegevens handmatig overnemen mag.
Kopie maken is vers twee:
https://www.rijksoverheid...ntiteitsbewijs-en-wanneer

[Reactie gewijzigd door jsnl op 22 juli 2024 19:14]

[Whatson]

Nope naast kopie paspoort moet je ook nog via iDEAL een bedrag overmaken naar bunq (min 0.01€) vanaf een betaalrekening met exact dezelfde naam.

[slijkie]

Ik had gister helaas dit gedaan, met Rijbewijs gedaan. Even een toevoeging, er moest ook live een foto gemaakt worden van je gezicht. (ook met ogen knipperen enkele keren ipv foto ervoor houden). Waterdicht is bijna niks. Maargoed zoals op hun website, Publieke beta. De grote banken hebben lak aan alles dus ik vind het prima dat dit initiatief er is om meer concurrentie te maken. Echter zal je als vroege-user goed op moeten letten. Ik ga daarom ook maar een klein deel geld erop stallen en stap niet zomaar (nog) over.

[Salmon]

Uh en hoe zit het voor de rest met tegengaan van identiteitsfraude met deze foto?

Wordt deze ook gewatermarked en bijvoorbeeld BSN afgeplakt zoals de overheid aanraad?

[sys64738]

Nee, das juist niet de bedoeling. Banken zijn verplicht jouw ID compleet, inclusief BSN, in hun administratie te hebben.

Bij andere zaken, zoals het huren van een auto of boeken van hotel moet je altijd wel je BSN onleesbaar maken.

Daarom staat je BSN tegenwoordig ook alleen op de achterkant van je rijbewijs/paspoort, zodat je rustig een kopie van de voorkant kunt afgeven.

[stresstak]

Daarom staat je BSN tegenwoordig ook alleen op de achterkant van je rijbewijs/paspoort,

Maar niet op een ID-kaart. Daar staat het op de voorzijde.

[Johan9711]

Niet meer. Ik heb sinds een maand of 3 een nieuwe ID kaart, en daar staat hij netjes op de achterkant.

[stresstak]

Niet meer. Ik heb sinds een maand of 3 een nieuwe ID kaart, en daar staat hij netjes op de achterkant.

OK. Maar dan nog moet je dus voor- en achterkant fotograferen voor de bank. Dat wordt dus nieuwe hoesjes ontwerpen voor/door de ANWB.

[i-chat]

neej geen nieuwe hoesjes, - ze mogen simpelweg geen foto-kopie (meer) maken van de achterkant... in principe mogen toko's als vodafone niet eens copiën maken maar om een of andere reden - is er na 1 uitspraak van het EHJ wel een download verbod, maar is er na tientallen uitspraken nog steeds geen copy-verbod voor Identiteitsbewijzen voor zaken anders dan de huidige explicite uitzonderings gevallen (overheid), (werkgever) en bankiers. voor de rest is controle van het document voldoende, (ook voor verkopers, verhuurders ed.

[stresstak]

Van justitia.nl

De volgende instanties mogen om een kopie van uw paspoort vragen: overheid, banken, notarissen,
De instanties die hier wel om mogen vragen, moeten de data veilig opslaan en na verloop van tijd (maximaal vijf jaar) verwijderen.Het burgerservicenummer (BSN) is het belangrijkste gegeven voor instanties..

[TagForce]

Ze 'mogen' een kopie maken... Echter mag je dit als klant ook weigeren, en zijn ze niet 'verplicht' een kopie te maken met alle gegevens in tact...
Wat ze wel mogen (wat andere instanties dan je werkgever, de overheid, en banken niet mogen) is je BSN verwerken. Dat kunnen ze ook doen door hem simpelweg te noteren.

Je werkgever, de overheid, casino's en banken zijn verplicht om je te kunnen identificeren aan de hand van je, door de overheid uitgegeven, BSN (voorheen SOciaal FIscaal nummer, wat meteen de reden hiervoor aangeeft). Zij zijn namelijk verplicht om jouw financiele inkomsten en belastingafdrachten te kunnen overleggen aan de belastingdienst. In sommige situaties mag een notaris deze gegevens ook vastleggen. Dan moet het echter wel gaan om belastingbezwaarde documenten (overdrachten van wilsbeschikkingsgiften, eigendomsacten van onroerende goederen, etc).

[stresstak]

Ze 'mogen' een kopie maken...

Ze mogen er om vragen inderdaad, zoals in de eerste zin staat. En als ze aannemelijk kunnen maken dat het BSN ook nodig is mogen ze het over schrijven van me. Maar een kopie moet je zo weinig mogelijk afgeven.

[The Zep Man]

Daarom staat je BSN tegenwoordig ook alleen op de achterkant van je rijbewijs/paspoort, zodat je rustig een kopie van de voorkant kunt afgeven.

Op een nieuw paspoort staat het BSN gewoon in de code in blokletters op de voorkant, onderaan. Zie de laatste cijfers van de laatste lange cijferreeks op de tweede regel.

[Andamanen]

Ook op je paspoort kun je de BSN op de voorkant vinden. In de computer-leesbare code onderaan de pagina.

[dieselb0y]

Het gaat vooral om de watermark! Voor zover ik heb gezien gaat dat niet in de app. ten alle tijden moet je een kopie van je ID-kaart kunnen identificeren om fraude te voorkomen, dus met een simpele tekst die de reden van de kopie beschrijft.

[Roland684]

Nee, banken hoeven helemaal niet jouw ID compleet in hun administratie te hebben. Omdat het een financiele instelling betreft moeten ze wel je BSN noteren, en ze moeten je ge-identificeerd te hebben, maar banken hebben gen verplichting tot het maken van een kopie. De baliemedewerkers heben ook gewoon een formuliertje liggen in het geval je een kopie (terecht) niet toestaat.

[Jay-v]

Indien het nodig is om mijn ID kaart te versturen doe ik daarom meestal zelf een watermerk aanbrengen. Bijvoorbeeld "TBV KPN verlenging dd.mm.jjjj"

Helaas zijn niet alle bedrijven instaat om veilig met dergelijke gegevens of documenten om te gaan. Het is daarom verstandig om zelf maatregelen te nemen.

EDIT:
Jou link niet gelezen. Er is dus blijkbaar een app voor. Quote: "Installeer de KopieID app
Met de KopieID app voorkomt u misbruik met een kopie van uw
identiteitsdocument. Het werkt heel eenvoudig: u maakt via de app een
foto van uw document, dan zet u de datum en het doel van de kopie
erop en ten slotte streept u uw BSN door. Zo kunt u een kopie van uw
document veilig verzenden. Download de App in de App Store, Google
Play Store of Windows Phone Store."

[Reactie gewijzigd door Jay-v op 22 juli 2024 19:14]

[stresstak]

EDIT:
en ten slotte streept u uw BSN door. Zo kunt u een kopie van uw
document veilig verzenden.

De bank wil juist wel je BSN mede omdat dat uniek is.

Leuke andere quote vanaf 'Justitia'..

De reden dat kopieën van identiteitsbewijzen niet zo maar zijn toegestaan is dat een pasfoto en BSN bijzondere persoonsgegevens onthullen: ras, geloof, gezondheid. Het gevaar van een Burgerservicenummer ligt in het feit dat dit nummer uniek is en gebruikt kan worden om bestanden aan elkaar te koppelen.

Huh ? Staat mijn geloof en gezondheid in mijn BSN ??

[Verwijderd]

Bij sommige geloven heb je misschien een bepaalde pet (keppetlje) of gezondheid wat zichtbaar is; waterpokken/ ander soorten zweren kan je ook hebben...

[knakworst]

Die kenmerken zijn soms te achterhalen aan pasfoto (bijvoorbeeld hoofddoek).

[stresstak]

Duh, dat zijn zichtbare kenmerken.

Wantrouwend als we moeten zijn zou ik dan ook wel willen weten wat mn BSN prijsgeeft. Deelbaar door 3 == joods. Derde cijfer een 7 == hiv positief ?
Vooral dat ''en BSN" zet vraagtekens.

[Verwijderd]

Heb jij thuis geen Google soms?

De nummers zijn in het begin uitgedeeld aan mensen op volgorde van toetreden tot de arbeidsmarkt

De nummers beginnend met een 2 zijn doorgaans van mensen geboren na 1987, de nummers beginnend met een 3 aan mensen die na de serie 2 zijn geboren. De nummers beginnend met een 4, 5 en 6 zijn doorgaans toegekend aan nieuw-ingezetenen of mensen die van buitenaf de Nederlandse arbeidsmarkt betreden.

Is toch niet zo moeilijk te vinden dit?

[TagForce]

Lees dan ook even de regel er na, en het stuk tekst wat daar weer op volgt...

Het gevaar van een BSN ligt in het feit dat dit een uniek nummer is (dus identificeert je feilloos, in tegenstelling tot je naam) en dat dit nummer dus gebruikt kan worden om verschillende databases aan elkaar te koppelen (bijvoorbeeld dus van al je financieen, en bijvoorbeeld al je gegevens tussen samenwerkende commerciele instanties indien die dit nummer mogen opslaan).

Daarnaast is een BSN een getal dat aan de 11-proef moet voldoen.
Het 9-cijferige nummer (met voorloop 0 indien het een 8-cijferig sofinummer betreft) moet met de volgende formule deelbaar zijn door 11:
(9*A) + (8*B) + (7*C) + (6*D) + (5*E) + (4*F) + (3*G) + (2*H) + (-1*I) mod 11 = 0
Dus voor het BSN 123456782:
9*1 = 9
8*2 = 16
7*3 = 21
6*4 = 24
5*5 = 25
4*6 = 24
3*7 = 21
2*8 = 16
-1*2 = -2
9+16+21+24+25+24+21+16-2 = 154
154 / 11 = 14 rest 0

Knappe jongen als je daar nuttige informatie in kwijt kunt.

[stresstak]

Dan is iedereen gerust gesteld Het BSN vertelt dus niet per se iets extra's over gezondheid, geloof of ras. Mooi.

Dan nog. Wat vertelt er dan wel iets over mn gezondheid als de foto ook geen enge kwalen vertoont.
?

[TagForce]

Je slaat de spijker op de kop: ALS de foto geen enge kwalen vertoont... Als ie dat wel doet heb je dus een probleem. Het KAN informatie bevatten over persoonlijke eigenschappen, dat wil niet zeggen dat dat in alle gevallen ook zo is.

[stresstak]

Nou zijn heel erg zichtbare kwalen toch al geen geheim. Ik denk echter dat niet per se de foto zoveel zegt of verraden kan, alswel de koppeling van het unieke persoonlijke BSN met allerhande databases.
Dat.! Die koppelingen, die zijn link.
Voorkom dus de verspreiding van je BSN zoveel mogelijk.

[Salmon]

Yup, daaorm linkte ik hem erbij. Toevallig een programmeer projectje gehad met het opslaan van ID's dus ben nu wel wat voorzichtiger met het doorgeven van ID's. De basis is super simpel, jammer dat er nog niet genoeg mensen zijn die de waarde hiervan inzien of kunnen begrijpen.

[stresstak]

Wordt deze ook gewatermarked en bijvoorbeeld BSN afgeplakt zoals de overheid aanraad?

Goed opmerking.! Ik dacht dat ook meteen. Er wordt om vage redenen te vaak om een volledige kopie gevraagd. Ook al is kopieren van ID of paspoort sneller en leesbaarder dan over schrijven. Maar toch, ondanks de verbaasde blikken weiger ik volledige kopieen af te geven.

Tegenwoordig -zoals nu dus- is zelfs een foto verzenden genoeg ? Waar gaat die foto heen en wie kunnen er allemaal bij.?

[Salmon]

Dat dus, hoe lang houden zij de foto? Ik vind het sketchy om een foto van je ID te uploaden zonder voorbewerking eraan te mogen/hoeven doen.

[Verwijderd]

Zolang jij klant bent van Bunq moeten zij al je ID gegevens in hun admnistratie opslaan.

[Ron020]

1) Ik ben geen Bunq gebruiker, hopelijk kan iemand anders jouw terechte vraag of de Bunq app 'watermerkt' beantwoorden.

Maar jouw bijdrage roept ook wat vervolgvragen op:

2) In de link staat een app van de overheid: "KopieID app" (Android/iOS/Win). Het is de bedoeling dat je daar je foto mee bewerkt.
Slaat die app ook een onbwerkte foto op, zodat je die steeds met een andere 'bestemd voor ... + datum" kunt 'overstempelen'? Dat is namelijk wel zo handig, dan hoef je niet steeds opnieuw een foto te nemen. En kun je zo voor je paspoort kiezen (te groot om altijd op zak te hebben) ipv rijbewijs of id.kaart.
De vraag is dan natuurlijk of die app die foto ook beveiligd opslaat en niet hetzelfde fout maakt als Bunq. Wie meldt dat hier even?

3) Kun je in de Bunq app een dergelijke met KopieID app bewerkte foto binnenhalen en verzenden, of moet het een foto zijn die je binnen die Bumq app zelf maakt?
(Dit ingeval de Bunq app je foto niet kan watermerken, zoals Salmon al vroeg en ik bij 1) herhaalde).

4) De vraag of een bank je BSN wel of niet moet hebben wordt hier door de overheid behandeld. Kortweg: bij openen van rekening niet, bij doorgeven van vermogen door de bank aan de Belastingdienst wel. Dat lijkt me een tegenstrijdigheid.
Dat roept dan de vraag op: Is er dan soms een bepaalde grens waaronder vermogen niet hoeft te worden doorgegeven door de bank? Want de Belastingdienst zal anders toch graag van èlke rekening willen weten hoeveel vermogen daarop is gestald en dan moet je in tweede instantie alsnog je BSN aan de bank doorgeven (lekker onpraktisch voor bank en klant)?
Ongeacht wat het antwoord daarop is, op die pagina had wel wat meer info mogen staan om mijn -toch logische?- vervolgvraag gewoon te voorkomen. Afhankelijk van de antwoorden hier zal ik ze dat misschien ook eens gaan suggereren.

[Reactie gewijzigd door Ron020 op 22 juli 2024 19:14]

[Salmon]

Op vraag 2 en 3: Net even getest, de app heeft een folder in InternalStorage/Pictures/KopieID. Daar komen geen (onzichtbare) files te staan, zowel niet als je het process in de app door hebt gelopen als tijdens het doorlopen van de stappen. Dus dat lijkt goed te zijn, in de /Android folder is ook geen folder te zien.

De app van KopieID heeft als laatste stap geen opslaan optie maar een "verzenden naar"/delen met app. Dus als zij Bunq instellen dat deze foto's van andere apps accepteerd zou het kunnen werken.

[Johan9711]

offtopic:
Het is een medetweaker, maar de NOS was eerder

Ontopic: Sinds Android 4.4 kunnen apps in principe alleen maar data opslaan in hun eigen folder, en dus kunnen andere apps niet bij de /android/data//com/*.* van andere apps komen?

[Reactie gewijzigd door Johan9711 op 22 juli 2024 19:14]

[Geert de Graaf]

Dat apps er niet bij kunnen wil nog niet zeggen dat je er met een usb kabeltje ook niet bij kan.

[Richh]

Met een USB kabeltje kan je ook niet bij dat soort folders komen - tenzij je root toegang hebt. Of, zoals Johan9711 al zegt, een lagere Android-versie hebt.

[Geert de Graaf]

In mijn geval gaat dit niet op, ik draai cyanogenmod 13 op de OnePlus One. Ik kan/kon er bij komen door ES file explorer te gebruiken. De app "Root Checker Basic" geeft aan dat ik geen root heb (wat ik wel zou kunnen activeren).

[Johan9711]

Zeker waar, maar dan moet je het toestel fysiek in handen hebben, en dan zal je toch eerst langs een lock screen moeten (meestal). Sowieso kan iemand met fysieke toegang tot mijn toestel mijn telefoonrekening plunderen. Sowieso staat encryptie tegenwoordig in Android standaard aan.

[Reactie gewijzigd door Johan9711 op 22 juli 2024 19:14]

[Richh]

Dat klopt. Gebruik je echter een toestel met een lagere Android-versie, of heb je root-toegang op je smartphone, dan kan je hier wel bij.

[Jonathanb1]

In het artikel van de NOS staat de naam van de medetweaker ook vermeld.

[Verwijderd]

Als ze deze fout hebben gemaakt verwacht ik er nog een hoop meer to be honest. Toont toch wel aan dat er onvoldoende getest is.

[Vihaio]

Precies. Ook als de foto meteen na het versturen verwijderd wordt, staat die alsnog even onversleuteld op je telefoon. Juist bij een bank zou je er van uit moeten kunnen gaan dat alles goed beveiligd is en er niet zulke domme fouten in de software zitten.

[CEx]

Diverse andere online banken eisen dezelfde scan/foto via browser upload of mail....

[binbash.]

Exact. Je zou denken met "Mister TransIP" Ali Niknam als bedenker/oprichter van Bunq, dat de basis kennis internet security wel aanwezig zou zijn. Als ze dit al niet eens voor elkaar hebben. Dan hou ik het wel bij de klassiekere betaal systemen.

[boratnl]

Die angst heb ik nu dus ook nogal. Had vertrouwen in deze app van tevoren door Ali's IT-achtergrond.

[Verwijderd]

IT-achtergrond zegt niets. Blijkbaar is Ali een prutser die alleen eurotekens in de ogen heeft. Het niet denken over en implementeren van de juiste beveiliging is simpelweg goedkoper dan er wel iets mee doen.

[Mezz0]

is het maken van fotokopieen van een paspoort niet illegaal? of met een camera?

even nagezocht en het is af en toe wel mogelijk maar een bedrijf mag er in principe er niet naar vragen.

http://www.justitia.nl/privacy/kopie-paspoort.html

[Verwijderd]

Voor banken geldt een uitzondering die moeten er naar vragen. Zij zijn op grond van de Wet identificatie bij dienstverlening verplicht om de identiteit van een cliënt vast te stellen en dit te kunnen overleggen aan de toezichthouder. Een scan of kopie is toegestaan. Zie voor iets uitgebreider: http://rechtennieuws.nl/1...s-gebruiken-voor-wid.html

[Roland684]

Nee, ze moeten het niet van de wet, maar ze vinden zelf dat ze het moeten. Het CPB heeft vastgesteld dat ze het mogen, niet dat ze het moeten. Dat is wat er in het artikel staat waar jij naar linkt.

Over het algemeen is het verboden een kopie te maken/er om te vragen, maar voor banken is het dus toegestaan (maar niet verplicht).
Ze mogen een kopie maken, mits jij daar mee akkoord gaat, maar er is geen verplichting en jij hoeft het niet toe te staan.

[Ereaser]

En als je er niet mee akkoord gaat kan je naar een andere bank toe en begint het verhaal weer van voor af aan

[Roland684]

Bij de ING en de Rabo is het geen enkel probleem, daar hebben ze gewoon een formuliertje waar je (of de baliemedewerker) wat gegevens op moet invullen.

Bij de Rabo kreeg ik nog wel eerst een zwamverhaal over dat ze liever een kopie maken omdat ze dan geen fouten kunnen maken bij het overtypen, maar als nog te dom zijn om een 10-cijferig getal over te typen, wil je daar misschien je bankzaken niet laten doen. En dus gaf de baliemederwerker maar toe dat ze het gewoon doen omdat het makkelijker is.

[stresstak]

In jouw link wordt gesteld dat banken er wel om mogen vragen en dat juist het BSN van belang is.
Of je dan ook maar klakkeloos een app en een mobieltje moet gebruiken is weer wat anders.

[PhatFish]

Het blijft mij soms verbazen wat voor steken men in het bedrijfsleven laat vallen als het om cybersecurity gaat. Vijf jaar geleden was het nog niet zo'n issue als nu, maar vandaag de dag zijn hackers bijna vaker in het nieuws dan terrorisme en dan zou je er toch voor moeten zorgen dat dit soort zaken getest worden, voordat het live gaat. Alleen al dat er een gevoelig document gedigitaliseerd wordt, moet bij de softwaredesigner alarmbellen laten rinkelen...

Edit: Ze vermelden het wel heel prominent op hun site, dat is dan wel weer netjes gedaan.

Apart businessmodel hebben ze...doelgroep is blutte hipsters? Bedelen bij vrienden wordt aangemoedigd en geld uitgeven wordt weer ontmoedigd, je moet betalen om je eigen geld te kunnen gebruiken...Benieuwd of ze over een paar jaar nog meedoen op de markt

[Reactie gewijzigd door PhatFish op 22 juli 2024 19:14]

[eL_Jay]

Ze zijn erg hip. Ben ze op Uprise start-up festival tegengekomen en ik kreeg daar de indruk dat ze daadwerkelijk anders waren (als in het 'nieuwe' bankieren).
Denk alleen dat ze zich nu wel heel hard in de voet hebben geschoten, want de early-adopters (techies) zitten hier niet op te wachten.

Volgens mij is de achterkant (bestuur) ook uit de klassieke bankenwereld.

[Reactie gewijzigd door eL_Jay op 22 juli 2024 19:14]

[PolarBear]

e moet betalen om je eigen geld te kunnen gebruiken...Benieuwd of ze over een paar jaar nog meedoen op de markt

Ehm, dat moet je bij alle banken. Niet zo gek ook je gebruikt hun diensten om jouw geld te gebruiken. Overigens als je denkt dat de kosten hoog zijn, kijk eens naar de kosten van een zakelijke rekening.

[PhatFish]

Dit is heel erg off-topic. Natuurlijk betaal je bij andere banken ook voor het gebruik van hun dienst, maar het gaat om het perspectief, zakenwereld houden we erbuiten, want Bunq richt zich heel duidelijk op particulieren:

Bij geen enkele andere bank betaal je zo veel per transactie. Als ik even vlug reken zou ik aan pinnen alleen al gemakkelijk €100/jaar kwijt zijn bij Bunq. En cash geld opnemen doe ik ook vaak, dat werkt nu eenmaal beter in de kroeg. Bunq is eigenlijk alleen maar voordelig voor mensen die überhaupt nooit geld hebben, of het niet gebruiken. Ik wil hun businessmodel verder niet de grond instampen ofzo, maar ik vraag mij gewoon af of de markt die zij denken te zien ook daadwerkelijk bestaat.

[Verwijderd]

Ja.. hebben zij nu nog een keuze dan?

[nokiaan958GB]

Ah, dit is toch maar weer een bevestiging van mijn beleid om niet van allerlei bedrijfjes Apps te installeren. Tegenwoordig kan iedereen zogenaamd Apps bouwen: Campings, restaurants, winkels etc. Maar zoals nu weer aangetoond wordt niet altijd genoeg nagedacht over de veiligheid en privacy van de "klant".
Teken aan de wand dat zelf financiele instelling(en) niet genoeg zekerheden blijken te hebben ingebouwd.

[Verwijderd]

Ach iedereen die in Turkije is geweest staat ook in een grote database. Daar pakken ze je paspoort en maken ze er standaard een kopie van bij de douane. Privacy? Bescherming persoonsgegevens? Identiteitsfraude? Nooit van gehoord. Maar goed van een Nederlands bedrijf mag je beter verwachten, zeker van een 'bank'. Het CBP mag van mij een paar ton boete opleggen en de zaak van A tot Z doorlichten.

[Reactie gewijzigd door Verwijderd op 22 juli 2024 19:14]

[Sorcerer8472]

Niet alleen in Turkije hoor. Bijna elk land slaat dat op. In de VS moet je bij binnenkomst je vingerafdrukken (en binnenkort irisscan) afgeven, anders kun je gelijk weer richting vertrekgate. Zou me raar lijken als je niet in een database komt.

[nokiaan958GB]

Dat is ook 1 van de redenen waarom Turkije beslist niet in mijn top 10 van te bezoeken landen staat.

Sterker nog, sinds die pipo de verkiezingen heeft gewonnen ga ik liever naar een Grieks restaurant dan naar de Turk

[Verwijderd]

Ook simpel verwijderen is niet genoeg. Er is de nodige malware die verwijderde items recovert en identiteitsbewijzen zijn natuurlijk de jackpot. Dat een bank zich dit laat gebeuren is een teken aan de wand: wellicht laat je dit bedrijf beter links liggen.

[eM.]

Dus als een commerciële bank een vergoeding vraagt voor diensten, dan is het bedrog?! Want andere banken doen dat niet ?

[stresstak]

Ik ben aangesloten bij de ING... dus kan als ik wil 50 euro pinnen en in contanten krijgen... daar gaan geen kosten vanaf.

Dat is reeds verdisconteerd in de rente.