Criminelen kunnen Netflix-account heractiveren door gebrek aan beveiliging

Criminelen hebben Netflix-accounts die niet meer actief waren opnieuw geactiveerd zonder daarbij te weten met welke gegevens gebruikers betalen. Dat komt omdat Netflix-accounts niet te beveiligen zijn met tweetrapsauthenticatie en Netflix geen bevestiging stuurt van heractivatie.

Betaalgegevens opnieuw invoeren is niet nodig, doordat Netflix de betaalgegevens van gebruikers tien maanden lang bewaart, meldt BBC. Vervolgens hoeven gebruikers bij het heractiveren van het account niet opnieuw betaalgegevens in te vullen om een betaald abonnement af te sluiten. De BBC haalt enkele voorbeelden aan waarbij criminelen hier misbruik van maakten.

De functie is bedoeld om het makkelijk te maken opnieuw betalende klant te worden, maar heeft volgens de BBC als bijwerking dat gebruikers van wie het wachtwoord is gestolen, ineens betalen voor een abonnement dat ze niet zelf hebben afgesloten. Het stelen van het wachtwoord kan via datalekken, waarna criminelen proberen of het Netflix-wachtwoord hetzelfde is als die gebruikers bij andere diensten gebruiken. Zij kunnen geld verdienen aan die praktijk door de toegang tot het account te verkopen.

Netflix had deze manier van fraude kunnen voorkomen door het invoeren van tweetrapsauthenticatie voor accounts en door het sturen van een bevestigingsmail als gebruikers opnieuw een abonnement aanvragen. Beide is momenteel niet mogelijk bij de streamingdienst.

Het is onbekend hoeveel mensen slachtoffer zijn van deze manier van fraude. Netflix geeft geen cijfers en BBC heeft alleen anekdotes van slachtoffers. Netflix gaf in ten minste één geval niet al het geld terug aan een voormalige klant na ontdekking van de fraude. Het is niet mogelijk om een individueel betaalmiddel te verwijderen uit een account, ook niet na deactivatie.

Reacties (70)

[_BladE2k_]

Misschien is het mijn ochtendhumeur maar die titel is wel wat negatief/sensatiezoekend hoor. Iedereen kan zijn/haar account heractiveren zonder betaalgegevens opnieuw in te voeren. 'Criminelen' kunnen - al dan niet via standaardmethodieken, zoals phishing of leaks via andere sites - het wachtwoord misbruiken.

Dat je je account kan heractiveren is niet nieuw, dat je wachtwoorden niet moet hergebruiken op websites is niet nieuw, wat is nog de nieuwswaarde van dit artikel? Dat Netflix het niet toelaat een betaalmiddel te verwijderen?

Enfin, het lijkt mij zinvoller dat de nadruk zou moeten liggen op betere beveiliging, inzet van 2FA (wat het hele probleem met wachtwoorden gokken zou moeten kunnen voorkomen) en inzet van een bevestigingsmail voor het (her)activeren.

[mrfu]

Helemaal mee eens. Echter kan Netflix bijvoorbeeld de laatste 2 cijfers van het (voor hun bekende en opgeslagen) rekeningnummer opvragen ter verificatie.

[antonvdijk]

meestal gebruiken ze 4 cijfers toch, bij 2 is de gokkans net wat te groot.
beetje mierenziften van mijn kant, maar zoiets lijkt me wel een goed idee.

[Arcastin]

4 ja.

Heb zelf gehad dat mijn account ineens werd overgenomen midden in de nacht. Email en wachtwoord verandert dus kon er compleet niet meer bij.
Support heeft mijn account naar mij hersteld en vroegen daar inderdaad om de laatste 4 cijfers van mijn laatste factuurnummer (dus geen rekeningnummer).

[logix147]

Das lekker logisch als je account gehackt is... dan kan men gewoon bij via de site. zou gewoon zo moeten zijn dat je betaalwijze nadien niet zichtbaar is, wel te wijzigen naar wens en bij heractiveringen dus gewoon ook opnieuw 1 cent iDeal betaling laten doen... probleem opgelost. Soms is beetje werk voor de klant ook ter bescherming van diezelfde klant. Zeker als je 10 maanden mijn gegevens bewaard inclusief de machtiging bij de bank.

[Relatief]

Ze moeten gewoon de betaalinformatie verplicht opnieuw laten invullen bij heractivatie. En deze deleten als een gebruiker stopt met de dienst.

[Raan7]

Het is heel erg "hot" op dit moment met alle services en diensten.
Toevallig dat ik afgelopen week dit euvel had met paypal. Ongeauthoriseerd gedrag en effecten ivm bestellingen die via mijn rekening liepen. Het enigste waar ik van baalde is dat ik die limieten niet handmatig in kan stellen, zodat in gevallen zoals dit mijn schade beperkt blijft en ook altijd blijft, maar goed dat ter zijde. ID & laatste cijfers van de IBAN doorgeven en alles wordt teruggedraaid als ze zien dat iemand in Shen Zeng inlogd en ik binnen het uur hier in Nederland is het ook appeltje eitje.

Het zou inderdaad een verplichting moeten zijn op het moment dat je dus een abbonement her-activeerd een nieuwe entry van IBAN of andere betaalgegevens doorgeeft, dit is ook de reden van creditcardmaatschappijen om zo doende fraude tegen te gaan en zo snel mogelijk een nieuwe pas + pasnr en CSV code mee te geven, zoniet een nieuwe IBAN ook bij banken is dat zo. En dan nog te beseffen dat je ten aller tijden sowieso nieuwe bankgegevens kunt toe eigenen met de komst van het "nieuwe" bankenstelsel en sowieso ben je vrij om je bank te kiezen of van welke bankrekening je betaald toch? Ook bij her-activatie?

[Reactie gewijzigd door Raan7 op 23 juli 2024 16:14]

[ricjuh]

Het lijkt me meer logisch dat bij het heractiveren een check wordt uitgevoerd op de betaal gegevens. Zoals de cvc bij een creditcard bijvoorbeeld.

[arnoudwokke]

Enfin, het lijkt mij zinvoller dat de nadruk zou moeten liggen op betere beveiliging, inzet van 2FA (wat het hele probleem met wachtwoorden gokken zou moeten kunnen voorkomen) en inzet van een bevestigingsmail voor het (her)activeren.

Het is beter om dit soort reacties achter te laten in Geachte Redactie. Daar kun je mij makkelijker rechtstreeks aanspreken als je vindt dat een artikel geen nieuwswaarde heeft en daar kan ik er uitgebreid op reageren. Dat doe ik hier niet.

Voor nu houd ik het kort: ik heb de kop en inleiding van het artikel aangepast nav je reactie, want ik vond hem heel waardevol en ben het ermee eens. Ook heb ik een alinea toegevoegd

[bbob]

Hebben jullie onderzocht of het wel avg conform is dat netflix het verwijderen van een betaalmiddel niet toestaat. Onder de avg mag je gegevens laten verwijderen tenzij die wettelijk bewaard moeten worden.
Lijkt mij dat je mag eisen dat een betaalmiddel verwijderd kan worden, als netflix dat niet toestaat kan dat dus een avg overtreding zijn.

[antonvdijk]

ik snap waar je heen wilt, maar aangezien het om betalingen gaat voor een bedrijf heb je sowieso te maken met 7 jaar bewaarplicht voor de belastingdienst. dat ze deze gegevens moeten opslaan, is dus niet de discussie.

het actief aanbieden aan de gebruiker daarentegen valt wel wat voor te zeggen.
alsof ik mijn creditcard aan jou geef met als reden: stel dat ik ooit weer wat bij je koop, dan bespaart me dat het aanleveren van deze gegevens.

naar mijn mening zou deze stap volledig bij de gebruiker moeten liggen met een default: nee.
je ziet het terug bij elke webshop: checkbox met bewaar mijn gegevens voor volgende aankoop.

[hackerhater]

De transacties moeten ze bewaren, het betaalmiddel zeker niet.

[Raan7]

Hun eigen betaalmiddel dan weer wel icm de "gemaakte/gedane" transacties.

Los gezien daarvan der wordt gesproken over 7 jaar bewaarplicht... is dit niet 5 jaar na data?

[hackerhater]

Nee de 7 jaar slaat specifiek op de administratie die je moet bewaren voor de belastingdienst hier in Nederland.

[84hannes]

Ik ben het met @_BladE2k_ eens. Het artikel is niet zo sterk. Maar ik heb, zoals gevraagd, een topic aangemaakt in Geachte Redactie. Nog even mijn mening:

• Gelekte wachtwoorden kunnen misbruikt worden door 'criminelen'.
• Netflix heeft geen tweetrapsauthenticatie.
• Netflix bewaart betaalgegevens.

Geen van deze drie feiten is echt nieuws. De combinatie is een leuk onderwerp voor een achtergrondartikel, maar in mijn ogen ook niet echt nieuws.

[Atomsk]

Dat Netflix een veel gebruikte dienst is, is ook een factor. Een willekeurige calculator app die verkeer afrond is geen nieuws. Wanneer het de voorgeïnstalleerde app van de nieuwste Android versie is wel. Gewoon omdat de impact dan groter is.

[Raan7]

Ik denk dat ze naar het feit toe willen dat accounts verhandelen met streaming en game (entertainment) diensten eraan vast een "Goede business' is voor criminelen. En geef ze eens ongelijk?

Iedereen loopt maar overal zijn gratis hotmail en google email in te vullen alsof ze daar elke week een nieuwe ervoor aanmaken. Als de locker gewist is stappen ze bij het minst geringste over op een nieuw emailadres en pasen die door naar jan en alleman. Totdat je in het gok circuit terecht komt en dan snap je 123 niet zo zeer meer wat er allemaal gebeurd en wat nu wel en niet kan, met het aanmaken van accounts.

_{Geen van deze drie feiten is echt nieuws. De combinatie is een leuk onderwerp voor een achtergrondartikel, maar in mijn ogen ook niet echt nieuws.}

Dan is er op TV helemaal geen nieuws en neem je elk argument voor een illegaal vergrijp aan als vanzelfsprekend.

Ik kan wel lachen om die ene individueel die machteloos zijn geld ziet verdwijnen en dat Netflix weigerd zijn geld terug te geven, waarschijnlijk omdat die nieuwsgierig is geweest en heeft ingelogd om te kijken of de service/product nog werkte en toen heeft die pas zijn gegevens ingezien van zijn abbonement/subscriptie. Tja, verschijn dan maar eens voor de rechter!

[Reactie gewijzigd door Raan7 op 23 juli 2024 16:14]

[majetta]

de titel doet vermoeden dat iedereen die dit doet een crimineel is of een crimineel wordt als zij it doen ?
maar de distinctie ligt bij wie de rechtmatige eigenaar is van de desbetreffende account.

[Sergelwd]

Zware stemmingsmakerij inderdaad, de titel had evengoed kunnen zijn dat Netflix hun beveiliging totaal niet op orde heeft ten nadele van de klant.

[jonathan_glk]

Ik ben slachtoffer geweest van dit soort fraude. Ze hebben mij 3 maanden teruggestort terwijl het meer dan 3 jaar aan de gang was. Aangezien ik een ander Netflix account had viel het mij niet op dat er twee keer per maand werd afgeschreven. Als ik Netflix zag staan dacht ik gewoon "ja dat klopt ik heb netflix". Pas toen ik op gegeven moment mijn Netflix heb opgezegd en ik nog steeds afschrijvingen kreeg ging er een lampje branden. Heel kwalijke zaak dat je met een druk op de knop een abonnement wat je niet zonder reden geannuleerd hebt weer kan activeren.

[polthemol]

wat was hun motivatie dat je maar 3 maanden terug gestort kreeg?

[jonathan_glk]

"wij kunnen niet meer dan 3 maanden doen, voor de rest moet je bij je credit card maatschappij zijn". Mijn credit card maatschappij zei ja had je maar niet je creditcard nummer aan je vriendins account moeten koppelen en ik moet mijn uitgaves bij houden. Je snapt ook wel dat ze zich er uit lullen maar ik heb ook geen poot om op te staan. Ik kan namelijk niks aantonen. Ik kan er niet eens achter komen of het nou de account van mijn ex was want de Netflix medewerker mag mij niet vertellen op wel email adres het account gekoppelt was. Maar ik mag ondertussen wel de rekening betalen.
Edit: uiteindelijk hebben ze zonder mij te vragen het account veranderd naar een alternatief email adres van mij. Omdat ik erop stond dat ik de gegevens van de account moest hebben. Toen hebben ze alle data overschreven en is het originele adres weg. Alleen bij de accounts staat dan wel de naam van mijn vriendin maar al het bewijs is weg omdat ze of geen logs hebben. Of mij geen logs mogen geven of mij geen logs willen geven.

Mijn ex zegt dat ze zeker niet het account heeft opnieuw geactiveert maar het kan wel dat ze slordig met het wachtwoord is omgegaan. Netflix raad mij dan ook aan om mijn ex vriendin aan te klagen. Maar ik denk dat daar dan ook weer niemand gelukkig van wordt.

[Reactie gewijzigd door jonathan_glk op 23 juli 2024 16:14]

[Bart]

Ik weet niet hoor maar ik heb bij toeval gister m'n Netflix geheractiveerd en kreeg gewoon netjes een "welkom terug" e-mail:

Hi Bart

You're all set to start enjoying TV programmes & films.

Your Account Information:

Email
XXX@XXX

Service Provider
‪Netflix International B.V.‬

Plan
Premium

Plan Price
€13,99/month

Payment
VISA: •••• •••• •••• XXXX

We're here to help if you need it. Visit the Help Centre for more info or contact us.
– Your friends at Netflix

[The Zep Man]

Daarom dat je dit soort diensten altijd via een tussenpartij moet betalen (PayPal, kredietkaart...). Dienstverlener gaat over de schreef? Geld terughalen. Ja, je Netflix account zal waarschijnlijk geblokkeerd worden, maar een nieuw account met e.v.t. een nieuw betaalmiddel is zo aangemaakt. Dus als je later ooit wel weer van Netflix gebruik wilt maken is er niets aan de hand.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 16:14]

[P_Tingen]

Zelf betaal ik zoveel mogelijk dingen automatisch, maar eens in de zoveel tijd (zeg 2 á 3 keer per jaar) ga ik op internetbankieren even door alle gemachtigden en gooi ik alles eruit waar ik geen abonnement meer van heb of geen dienst meer van afneem.

Bij Rabo: Mijn overzicht > Zelf regelen > Betaal- en spaarrekening > Incassanten en machtigingen

[JMS 450]

Dit is een lap middel. Root-cause los je hier niet mee op met als gevolg dat de service kosten voor PayPal (komen) en/of credit card om hoog gaan.

Is ergens best wel schandalig dat je je eigen gegevens niet kan (laten) verwijderen. Echter als je je wachtwoorden niet op orde hebt dan schiet je er ook niets mee op. Hoeveel mensen slaan hun betaal gegevens op op hun PC??? Bottom line is dat gemak de mens uiteindelijk niet dient.

[The Zep Man]

Root-cause los je hier niet mee op met als gevolg dat de service kosten voor PayPal (komen) en/of credit card om hoog gaan.

Er zullen altijd PayPal/credit card chargebacks zijn. Zolang die maatschappelijk betaald worden (als service kosten naar de betreffende betaalmaatschappij of als extra abonnementskosten richting een Netflix) valt de schade op individueel niveau mee.

Het is geen oplossing voor het gehele probleem, maar wel voor de individu. Dit is dan ook het enige dat je als individu kan doen, naast het gebruiken van willekeurige wachtwoorden via een wachtwoord manager, bijvoorbeeld.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 16:14]

[sygys]

Je kunt ook gewoon voordat je je account deactiveerd een nieuw wachtwoord instellen wat je nergens anders gebruikt.

[JAVE]

Ik gebruik sowieso unieke wachtwoorden, en dat zou iedereen moeten doen.
Neemt niet weg dat dit erg slordig is van Netflix

[Keypunchie]

Laten we wel realistisch zijn: de maximale schade zijn de maandelijkse kosten van Netflix. Zelfs als het een half jaar duurt is dat hooguit 6x15=90 euro.

En dan heb je zelf al een half jaar niet lopen opletten. Meer realistisch is dat je na een maand of twee a drie eens met de klantenservice contact opneemt. Zelfs als die niet coulant is, kun je de laatste transactie nog storneren. Ben je op zijn slechtst 30 euro kwijt.

Voor Netflix is de overweging het gebruiksgemak tegen veiligheid. Ik snap wel dat ze gezien de maximering van de schade op een paar tientjes, gebruiksgemak laten prevaleren.

[GekkePrutser]

Als je puur kijkt naar monetaire schade ja. Het is erg Nederlands om alles in termen van geld te bekijken

Maar er komt veel meer bij kijken. Gezeur met Netflix om te bewijzen dat je het zelf niet gedaan hebt. Gevoel van onveiligheid. Kans dat het weer gebeurt met alle gezeik vandien.

De aandacht van Netflix voor beveiliging is inderdaad een beetje zorgwekkend. Mijn moeder was haar wachtwoord kwijt en de helpdesk heeft het toen gereset naar iets heel triviaals, 12345 ofzoiets (weet het niet meer precies). En vervolgens niet gevraagd dit te veranderen, of afgedwongen bij de eerste inlog zoals meestal als je een paswoord reset doet.

Vanuit Netflix lekker makkelijk natuurlijk want het gaat hen er alleen maar om dat de klant kan kijken en dus blijft betalen. Hun eigen belang van 'zwartkijken' door onbevoegden staat kennelijk niet hoog op hun prioriteitenlijst. Maar de belangen van de klant: Privacy v.w.b. kijkgedrag en de betaalgegevens e.d., worden hier over het hoofd gezien.

[Reactie gewijzigd door GekkePrutser op 23 juli 2024 16:14]

[Mirved]

Wordt sowieso gedaan als of er iets heel ergs gebeurd. Maar in het ergste geval heeft een crimineel dus een maand netflix (10 euro) voor niks gekeken. De gebruiker waarbij dit gebeurd is dan wel een wijze les rijker. Namelijk zijn wachtwoord is algemeen bekend en hij moet zen wachtwoorden aanpassen.

[pieterdebie]

Ik heb eens gratis Netflix gehad omdat iemand anders per ongeluk een email adres van mij had gebruikt bij het registreren. Volgens Netflix sturen ze geen bevestingsmail bij het registreren

Buiten dat wel zeer tevreden van Netflix.

[cruysen]

Daar zit ook het punt in van dit artikel denk ik. Ze sturen geen bevestingsmail en is het kinderspel om dit te misbruiken.
Bij activeren of heractiveren een bevestingsmail sturen. En dan moet je als crimineel al bij 2 accounts de login raden.

[pieterdebie]

Ik had direct het wachtwoord veranderd omdat ik dacht dat er hackers aan het werk waren. Die personen konden dus al niet meer aan hun account aan (en het was het duurste abbo). Ik deed dit omdat ik dacht dat er hackers aan het werk waren.

Groot was mijn verbazing dus toen de helpdesk mij zei dat dit in feite een legit account was die het verkeerde email adres had ingetypt.

[eric.1]

Bij activeren of heractiveren een bevestingsmail sturen. En dan moet je als crimineel al bij 2 accounts de login raden.

Niet als ook daar hetzelfde wachtwoord werd gebruikt.

[GeforceAA]

Netflix heeft helaas nog geen 2 factor authentication.

[Martinspire]

Dit is het grootste probleem. Zoveel partijen die dat niet doen. Ook veel webshops met betalen op rekening of hoe ze dat overal willen noemen. Even inloggen, bestelling plaatsen die je zogenaamd later op een rekening gaat storten, vreemd adres erbij (wat ze waarschijnlijk ook maar ergens afhalen) en de winkel of gebruiker gaat er wel voor opdraaien. Een beetje barriere om dergelijke toestanden te voorkomen mag wel overal standaard zijn. Zeker nu tegenwoordig overal wel wachtwoorden van op straat komen te liggen.

[The Zep Man]

Een beetje barriere om dergelijke toestanden te voorkomen mag wel overal standaard zijn. Zeker nu tegenwoordig overal wel wachtwoorden van op straat komen te liggen.

• Wachtwoord managers en willekeurige wachtwoorden.
• Een betaalmethode gebruiken met chargeback ondersteuning.

Multi-factor authenticatie is een middel dat kan helpen, maar het is zeker niet de enige oplossing.

[hoi1234]

Netflix is hierin veel te lax man. Iedere zichzelf respecterende dienst heeft tegenwoordig 2FA. De user is inderdaad een schakel, maar Netflix is er eigenlijk nog harder schuldig aan, omdat zij dit soort fraude makkelijk kunnen voorkomen door mails en 2fa in te voeren.

[Unimproved]

Ik zou persoonlijk 2FA juist onhandig vinden op een Netflix account, zeker als de eventuele schade nog geen 2 tientjes is.

[NovapaX]

ze kunnen de 2fa natuurlijk alleen vereisen voor account-wijzigingen e.d.
Dat hoeft dan niet direct voor 'standaard' inloggen

[Martinspire]

Hangt er vanaf hoe lang ze blijven kijken op je account. Als het een emailadres is geweest wat je niet meer gebruikt, dan kunnen de kosten hoog oplopen voordat je het wellicht ziet.

[hoi1234]

Want? Je moet 1x 2fa gebruiken. Het enige is dat het bij een family account wat moeilijker wordt.

[bbob]

2fa is handig maar is hiet niet het probleem.

Het probleem is:

Het is niet mogelijk om een individueel betaalmiddel te verwijderen uit een account, ook niet na deactivatie.

Als je na deactivatie het betaalmiddel verwijderd kan worden hetgeen volgens de avg wel zou moeten. Je mag immers eisen dat bepaalde gegevens verwijderd worden. Als betaalmiddel verwijderd kan worden lukt dit trucje gewoon niet meer.

[84hannes]

• Wachtwoord managers en willekeurige wachtwoorden.

Ik ben dol op de chromecast, maar een ouderwetse afstandbediening gebruiken in plaats van een Smartphone (unlocken, juiste applicatie starten, kost allemaal teveel tijd) dus gebruik ik voor Netflix de ingebouwde ondersteuning van mijn televisieprovider. Nadeel is dat ik het wachtwoord met de afstandbediening in moet vullen. Het zou dan ook best kunnen dat Netflix een van de weinige accounts is waar ik geen sterk/gegenereerd wachtwoord gebruik.

[Bender]

Het ontgaat me wat hier nu echt nieuw aan is.

Als je bij Amazon inlogt, welke bij velen ook geen 2fa heeft, dan staan er ook creditcard gegevens opgeslagen voor direct afrekenen. Net zoals bij vele webshops.
Netflix is niet meer of minder dan de meeste grote andere sites.

[OldButNotSoWise]

Dat is dan je eigen keuze, Amazon vereist bij mij gewoon 2fa via the authenticator app.

[Funky22]

Ik betaal voor zulke dingen altijd met men Prepaid Mastercard, laad ook nooit meer op dan wat ik moet betalen.

[hoi1234]

Zo dat is snel! Ik heb al twee jaar geleden via de chat gevraagd of 2FA mogelijk is. De medewerker leek niet te begrijpen waarom 2FA nodig is, laat staan wat het is. Zeer kwalijk, want bewijs maar dat jij geen abonnement hebt afgesloten.

[Loadjnt]

Ik begrijp dit bericht niet helemaal. Criminelen kunnen alleen iets doen als ze iemands wachtwoord hebben gestolen. Dus iemand die een beetje zijn financiën bijhoudt zal dan merken dat er geld van je rekening wordt afgeschreven terwijl je zelf van mening was geen abbo op netflix te hebben. Nouja dan moet er al een lampje gaan branden.