Belgische banksector werkt aan IBAN‑naamcontrole om fraude tegen te gaan

Belgische banken werken aan een methode om de naam en het rekeningnummer bij overboekingen te controleren, om factuurfraude tegen te gaan. De bankenfederatie kondigt de maatregel aan na een wetsvoorstel van N-VA-Kamerlid Michael Freilich.

Bankenfederatie Febelfin kondigt de IBAN-naamcontrole aan om fraude met facturen tegen te gaan. De federatie hoopt hiermee fraude met overboekingen terug te dringen. De organisatie waarschuwt wel dat dit niet zal helpen tegen andere vormen van fraude, zoals phishing, en dat ondernemers en consumenten waakzaam moeten blijven.

Bij factuurfraude wordt een factuur onderschept en wordt het rekeningnummer aangepast. Hierdoor wordt het bedrag vervolgens naar een rekening van oplichters overgemaakt. Dit is te voorkomen door bij overboekingen te controleren of de ingevulde naam overeenkomt met de rekeninghouder. Het is nog niet bekend vanaf wanneer de Belgische banken de naamcontrole kunnen gaan uitvoeren.

Tegenover Het Nieuwsblad zegt een woordvoerder van de bankenfederatie dat invoering nog in 'de beginfase zit'. Daarnaast zal het systeem in de eerste fase alleen Belgische IBAN's controleren en nog geen buitenlandse rekeningnummers. Om ook de buitenlandse nummers te controleren, wacht de federatie de beslissing van de Europese Commissie af.

De federatie volgt met de maatregel de bankensector in andere landen. Het Verenigd Koninkrijk voerde eerder al een vergelijkbare maatregel in en ook in Nederland voeren een aantal banken sinds een paar jaar deze check uit.

Reacties (57)

[tagersenim]

Volgens mij heeft de Nederlandse ING een dergelijk systeem (als de naam bijna correct is, wordt vermeld: ‘bedoelde u misschien x’). Is zo’n systeem in Nederland in het algemeen al actief?

[Creesch]

Uit het artikel

De federatie volgt met de maatregel de bankensector in andere landen. Het Verenigd Koninkrijk voerde eerder al een vergelijkbare maatregel in en ook in Nederland voeren een aantal banken sinds een paar jaar deze check uit.

[ToolkiT]

Mijn bank (UK) heeft die feature al een poos..
Goede functie, maar soms wel lastig als je niet weet of iemand meisjenaam gebruikt etc..
En soms werkt het niet helemaal goed en krijg je een false negative..
Er word trouwens eerst gevraagd of de rekening van een persoon of bedrijf is en dan de rekening nummer details en de naam en dan krijg je te horen of dat matched (en bij bijna match de correcte details)

[Frame164]

Ongeacht wat ik invul krijg ik eigenlijk altijd de melding dat de formele naam bij de rekenking anders is.

[ToolkiT]

Welke bank is dat?

[wica]

Een paar jaar?
Ik misbruikte deze functie toen al bij de postbank. Ergens begin deze eeuw.

[bartvl]

Dat werkte toen alleen voor giro rekeningen toch?

[CasEbb]

Klopt. Niet-gironummers hadden namelijk een elfproef als 'check'.

[ultimasnake]

Dat was een check of het nummer klopt maar zegt niets over de ontvanger. Als ik nu een Iban invoer met ‘tweakers’ kan het zijn dat wr vervolgens staat bedoelde u ‘Hans Worst’ waarna hopelijk snel bij mensen ene belletje gaat rinkelen

[Frame164]

Dat klopt, maar je moet een paar tikfouten maken voordat je bij een ander geldig nummer uit kwam. Dus de kans dat je het naar het verkeerde nummer overmaakte was vrij klein.

[ultimasnake]

Verkeerd nummer is het probleem niet het gaat om een verkeerde begunstigde. Als jij denkt naar de belastingdienst te mailen maar de rekening is van een persoon of ander bedrijf dan wordt je hier op gewezen en kan je hopelijk de conclusie trekken dat er iets niet pluis is

[Redstone]

Die hadden ook als enige bank geen controle getal.

[vinnie1908]

SurePay zoals het heet; gemaakt van binnen uit Rabobank en daarna carved-out en nu een los bedrijf en binnen alle NL-banken gebracht

[XElD]

Alle banken, behalve BunQ, welke er niet aan mee werkt. Ik kan het weten, een keer opgelicht via een banknummer bij die bank. Toen eens uitgezocht hoe dat kon: je kan daar als klant kostenloos een groot aantal rekeningnummers (gedachte voor elk huishoudpotje een rekeningnummer maar natuurlijk ook erg aantrekkelijk voor andere doeleinden voor sommigen) krijgen waar dus geen naam check plaatsvind als er vanuit een andere banken overgemaakt. Sindsdien kijk ik bij betaalverzoeken altijd of het een BunQ nummer is. Zo ja, jammer dan, maar dan gaat het feestje niet door...

[Reactie gewijzigd door XElD op 25 juli 2024 04:54]

[dennizzz]

De Rabobank en ABN AMRO hebben het in ieder geval ook. Volgens deze site is het lijstje groter.

Rabobank - ABN AMRO - ASN Bank - RegioBank - SNS Bank - ASN Bank - ING - Knab - Bunq

[Reactie gewijzigd door dennizzz op 25 juli 2024 04:54]

[dieAndereGozer]

Ik vraag mij af hoe dat met de AVG zit.

[DaveFlash]

het is al jaren AVG proof, de gebruiker kan namelijk niet in bulk namen of Ibans raden door enkel één van beiden in te vullen en de rest te laten aanvullen, zo werkt het niet, de IBAN naam check is een dienst van Surepay ism de Nederlandse banken, en kan alleen als beiden velden al ingevuld zijn een suggesties doen als er een typefout wordt gemaakt. De typfout dient dan ook heel dicht op de werkelijke iban en naam te liggen, alvorens het systeem de juiste correctie voorstelt. dit is een bewezen systeem, en de afgelopen jaren al meermaals onafhankelijk getoetst aan de AVG. Telkens voldeed dit ook. Dus beste Gozer, u hoeft u hier niet druk om te maken.

[Reactie gewijzigd door DaveFlash op 25 juli 2024 04:54]

[dennisdennis12]

Normaal is dit inderdaad het geval. Er zijn echter ook scenario's - ja, ze zijn zeldzaam - waarbij er geld overgemaakt moet worden naar een andere partij die anoniem wenst te blijven. Bijvoorbeeld, in online experimenten wil je respondenten (soms) betalen voor hun deelname. Dit kan natuurlijk door te vragen om hun IBAN (en die natuurlijk ook op te slaan in een aparte database). Echter, als er een naamcontrole is, dan kun je de respondent niet anoniem houden. (Ja, ik weet dat er meer methoden bestaan dan IBAN. Echter, veel Nederlanders hebben, kennen en/of gebruiken die methodes niet, waardoor ze veel minder laagdrempelig zijn).

[MauserP]

Het is een hulpmiddel wat je als gebruiker kunt negeren. In jouw voorbeeld kan er dus prima naar “Respondent 1” (of welke anonieme referentie er ook gebruikt wordt) overgeboekt worden en zal de IBAN Naam Check melden: Dit rekeningnummer is van een persoon maar niet van Respondent 1.

Vervolgens kun je nog steeds verzenden en wordt het geld overgemaakt. Zoals gezegd is het geen systeem waarmee je de naam die hoort bij een IBAN kunt achterhalen als je deze niet al weet.

[DaveFlash]

dit is een heel gek verhaal, heb hier nog nooit van gehoord als ik eerlijk ben.

[P_Tingen]

Als je geld overmaakt, hoe anoniem is het dan nog? Het is dan toch prima te achterhalen of mis ik nu iets. Kun je een iets concretere situatie schetsen waar dit zou kunnen spelen? Ik kan me er zo geen voorstelling van maken namelijk.

[watercoolertje]

Inderdaad voor AVG werkte het wel minder selectief (iig bij de Postbank/ING) maar dat is met de komst van de AVG dan ook aangepast zodat het voldoet!

[Ome Ernst]

Ja, dat klopt. Zover ik weet, is dit bij alle Nederlandse banken nu actief.

[KingFrogzz]

De Rabobank doet iets vergelijkbaars, dus best kans dat het er nog met zijn dan

[M. Schaap]

Inderdaad, ik kreeg van mijn ING-app laatst ook de suggestie om de naam van de begunstigde (iets) aan te passen nadat ik het IBAN nummer had ingevuld. Fijn dat ze dat doen!

[LongTimeAgo]

Ik dacht al, elke keer als ik een overboeking maak bij de ING wordt ik 'meteen' gecorrigeerd.

[Admiral Freebee]

Omdat ik benieuwd was naar hoe dit in realiteit geïmplementeerd kan worden ben ik gaan kijken bij de bron zelf. Ik was vooral benieuwd naar hoe men gaat omgaan met variaties in het spellen van namen en zaken zoals het weglaten van voornamen bijvoorbeeld.

Op de website van Febelfin vond ik dit:

De implementatie is echter een operationele uitdaging, onder meer omwille van de grote variatie in schrijfwijze van voor- en achternamen en het gebruik van afkortingen (voorbeeld: Janssen; Janssens; Jansen; VZW Janssen;…). Het systeem zal, tot een zekere hoogte, rekening houden met deze variaties.

Ik vraag me nog altijd af hoe men hier mee gaat omgaan in de praktijk. Wordt het een soort van fuzzy matching waarbij een naam een bepaalde score krijgt naargelang hoeveel overeenkomst er is? Of gaat men veelvoorkomende zaken zoals "van" weglaten uit de matching? Firma's met veel voorkomende familienamen gaan nog altijd wel getarget kunnen worden zolang je maar een geldezel vindt met dezelfde familienaam. Voor loodgieter Peeters moet je dan een Peter Peeters vinden

[SMGGM]

Dat is de complexiteit. In België zit je dan ook nog eens met de verschillende talen. NMBS noemt niet alleen NMBS maar ook SNCB. Dan heb je ook nog bedrijven die een naam hebben die zeer commercieel aantrekkelijk is (Chimay, SPA, Café onder de kerktoren,...).

sis-id in Frankrijk gaat in Serin (dat is een lijst met alle bedrijven in Frankrijk) een matching proberen doen op de naam van het bedrijf en geeft dan de bedrijfs ID terug zodat de gebruiker kan nakijken of de matching wel degelijk hetgeen was dat ze hadden verwacht. Als alternatief kan het bedrijf het bedrijfs ID opgeven om niet afhankelijk te zijn van woord matching.
Hun product is wel gericht op de bedrijfsmarkt waardoor dit in die wereld wel werkt.

[Aiii]

Het is vrij simpel, als ik een IBAN invoer en daarbij een naam invul, dan zegt de Rabobank app of die naam correct is of niet.

https://abload.de/img/img_182046kii.jpg
https://abload.de/img/img_1821likjj.jpg
https://abload.de/img/img_1822orkzd.jpg

[Reactie gewijzigd door Aiii op 25 juli 2024 04:54]

[SMGGM]

Zomaar de naam van de rekeninghouder tonen is vanwege privacy regels niet toegelaten. Wij hebben intern een product dat een gelijkaardige dienst heeft en onze legal laat ons niet toe om dit te doen en ze snappen niet hoe Rabobank die "goedkeuring" wel heeft. Ons vermoeden is dat dit niet GDPR proof is.

Ons product zegt enkel als de combinatie klopt of niet (en dat is al in een grijze zone van wat de privacy wetten toelaten).

[Aiii]

Dat had ik er wellicht bij kunnen zeggen (ik wilde uiteraard geen bankrekeningnummer van een persoon gebruiken in mijn voorbeeld), de suggestie geldt alleen bij bedrijven (vandaar dus geen AVG breuk), bij gewone mensen wordt slechts vermeldt dat de rekening van een persoon is en dat de naam die je invulde niet overeenkomt met de naam van die persoon.

https://abload.de/img/img_da0496720eab-18wkv9.jpeg

[Reactie gewijzigd door Aiii op 25 juli 2024 04:54]

[DaveFlash]

het is AVG proef, wat je in het screenshot niet ziet, ivm privacy van de rekeninghouder, is dat bovenstaande poster alvorens het nemen van het screenshot een naam heeft ingevuld, enkel dan toen het systeem of het juist is en of er typefouten zijn. zie ook mijn andere comment waart k het e.e.a. uitleg: DaveFlash in 'Belgische banksector werkt aan IBAN‑naamcontrole om fraude tegen te gaan'

[bigbadbull]

is het niet eerder omgekeerd .
voorbeeld NR + belastingsdienst => systeem haalt er uit dat het wel eens voor de belastingsdienst kan zijn maar zie dat het opgegeven rekeningnr naar een Albanees bedrijf met BE nr gaat => geef melding.

[Anoniem: 85014]

In België hebben wij ook de zogenaamde gestructureerde mededeling die alle Belgische banken ondersteunen. In de EU is er de Creditor Reference gebaseerd op de ISO11649. Waarom wordt dit niet vaker in de rest van de EU ondersteund? Wanneer ik facturen uit het buiteland krijg vraagt men bijna altijd enkel het factuur-nr in een normale mededeling te vermelden. Nooit een ISO11649.

Bovendien, waarom voegt men aan de berekening niet velden zoals het bedrag en het rekeningnummer van de ontvanger toe?

[sir_huxley]

Het gebruik van een gestructureerde melding brengt kosten met zich mee. Dit is echter een veld dat te vinden is in de iso 20022 specificatie: https://en.m.wikipedia.org/wiki/ISO_20022
<strd><ref>…

Een gestructureerde melding gaat niet direct fraude tegenhouden. Dan moet er een heel systeem omheen worden opgetuigd:
Banken zouden in dat geval moeten controleren of betalingen op bankrekening zonder een "gestructureerde betalingsovereenkomst" geblokkeerd moeten worden. Maar bijvoorbeeld ook het omgekeerde dat enkel betalingen met een gestructureerde melding ontvangen mogen worden. Dit zorgt voor een hoop afspraken dat mss nog wel binnen hetzelfde land te regelen is, maar internationaal vaak niet.

In Noorwegen hebben ze een systeem dat ongeveer zo functioneert.

Veel kleine facturen worden echter met vipps betaald. Dit is een systeem dat meestal aan een mobiel nummer is gekoppeld. Bij invoer van het nummer krijg je automatisch de naam te zien van de wederpartij. Ofschoon je zo in theorie alle namen aan nummers kunt koppelen wordt de api begrensd hoevaak je een nummer/naam op kunt vragen.

[MartijnHavinga]

Dat lijkt heel veel op het "betalingskenmerk" dat we in Nederland kennen sinds het acceptgiro tijdperk.

[Anoniem: 85014]

Het probleem lijkt mij dat dit meestal iets is dat enkel in één bepaald land zo werkt, en dan binnen dat land redelijk toegepast wordt. Maar dat het niet hetzelfde is over de hele EU, waardoor de meeste bedrijven en burgers het uiteidelijk niet kennen (de systemen van 27 verschillende landen kennen is niet eenvoudig genoeg voor nonkel Jos en zijn bomma).

M.a.w. dit zou overal gelijkgetrokken moeten worden. Over de gehele EU.

[robvanwijk]

M.a.w. dit zou overal gelijkgetrokken moeten worden. Over de gehele EU.

Het is niet dat je ongelijk hebt, maar gevalletjes "de EU vertelt de lidstaten dat ze hun interne zaken helemaal om moeten gooien" zijn zelden populair. Kijk maar hoe hard mensen hebben lopen klagen over de overstap naar IBAN. En dat was (voor mensen, ik heb het even niet over software) nog relatief simpel. Als mensen opeens op een wezenlijk andere manier hun overboekingen moeten gaan doen, dan is het gezeik over niet-verkozen bureaucraten die hun eigen zin willen doordrijven weer eindeloos (en voor 99% zal het onzin zijn waar geen hout van klopt, maar wie laat zich daar door tegenhouden!?).

Een mooie oplossing bedenken is leuk; een manier verzinnen om die oplossing ook daadwerkelijk ingevoerd te krijgen, zonder dat iedereen boos op je wordt, dat is pas echt een kunst...

[SMGGM]

Kip en ei, veel bank applicaties ondersteunen het niet dus wordt het weinig gebruikt. De kracht van een gestructureerde mededeling is immers dat er een sumcheck op zit. Als de bank applicatie er geen ondersteuning voor heeft moet de gebruiker het invoeren als mededeling en is de grote kracht van de sumcheck weg.
Veel landen zitten overigens met hun eigen smaakje van de gestructureerde mededeling dat welbekend is en in de lokale bank applicaties is daar dan wel een controle op. 1 bedrijf dat deze ISO standaard zal volgen heeft dus eigenlijk benadeeld worden.

In het betaalverkeer dat mijn bedrijf verwerkt is er amper gebruik van deze ISO standaard (en wij behandelen iets van een 3 miljoen betalingen per dag).

[Anoniem: 85014]

Dan denk ik dat de oplossing is om hier EU wetgeving voor te maken en het te verplichten.

[jayjay_seal]

In België hebben wij ook de zogenaamde gestructureerde mededeling die alle Belgische banken ondersteunen.

Daar ben je ook niets mee. Het is gewoon een code. Verder zit daar niet veel achter... tenminste hoe het nu gebruikt wordt.

Gewoon een berekening van de eerste paar cijfers van de mededeling (lees het artikel maar eens goed). Het checkt niets, alleen of de code in zijn geheel klopt.

Deze soort mededeling is er gekomen om betalingen automatisch te kunnen verwerken. De eerste tien cijfers zijn vrij te kiezen en zijn bijvoorbeeld een klantennummer of een factuurnummer. De laatste twee cijfers vormen het controlegetal dat verkregen wordt door van de voorgaande tien cijfers de rest bij Euclidische deling door 97 te berekenen (de zogenaamde modulo 97*). Een uitzondering hierbij is wel: Indien de rest 0 bedraagt, dan wordt als controlegetal 97 gebruikt.

maar dat doe je al met het rekening nummer en de 11-check.... eigenlijk doe je "dubbel" werk en zorg je er alleen voor dat de betaling in het systeem van de ontvanger het juiste nummer krijgt zodat het gelinkt kan worden aan jou. Het beveiligd niets, je mag nl zelf de eerste 10 cijfers bepalen en de laatste 2 getallen zijn modulo*97.

Als er een slimmerik is die zelf zijn eerste 10 getallen bepaald en dan de berekening maakt... dan sta je nog nergens.

[etrans]

IBAN-Naam Check https://surepay.nl/services/iban-naam-check-voor-Bedrijven/

[timmie1]

Dit is sinds het begin van internetbankieren bij Postbank(Nu ING) mogelijk geweest voor overboekingen naar andere klanten. Er werd automatisch gecontroleerd of de ingevulde naam van de begunstigde overeenkwam met de naam die bij het Postbank rekeningnummer hoorde. Zo nieuw is het idee dus niet. Maar goede zaak dat het nu voor interbancair verkeer ook mogelijk is. Nu nog een Europawijde introductie...

[Jantjo]

Het idee is zeker niet nieuw. Maar wel de uitvoering.
Het voorbeeld wat jij gaf was alleen van toepassing op oude ING rekeningen (nml Naar Nummer controle) dit waren rekeningen met een lengte van max. 7 cijfers (xxxxxxx).
Later werden er binnen de ING ook rekeningnummers met 9 cijfers gehanteerd (echter waren dit alsnog intern 2 losse systemen), maar daar gold deze naam nummer controle niet voor. Rekeningen met 9 cijfers (10 cijfers met het voorloopnummer erbij opgeteld) werkten met de controle (11 proof/ elfproef). Dat was een formule met om na te gaan of een rekeningnummer 'correct' was. Echter was was dit geen controle op de combinatie van naam en nummer.

De complexiteit nu zit hem voornamelijk in het controleren van IBAN nummers van andere banken (met name niet Nederlandse banken) omdat je die controle of bij die betreffende bank zelf moet gaan doen OF eventueel opvragen bij een centraal systeem waar deze gegevens bekend zijn.

[Reactie gewijzigd door Jantjo op 25 juli 2024 04:54]

[La1974]

Die zeven cijfers waren van de Postbank (Giro).

Die negen van de NMB.

Die zijn leert gefuseerd tot ING. Vandaar de twee verschillende systemen.

[Jrnr601]

Ik vraag me af, als de bank een suggestie doet bij een "bijna" kloppende naam van begunstigde, dit niet kan misbruikt worden om geautomatiseerd een lijst op te stellen met IBAN en rekeninghouder door over alle belgische IBAN's te itereren, wat dan weer gebruikt kan worden voor phishing oid. Hopelijk geeft de implementatie niet te snel 'suggesties' en is er een cooldown als er abnormaal veel verzoeken worden gedaan.

[Reactie gewijzigd door Jrnr601 op 25 juli 2024 04:54]

[batjes]

Lijkt me toch wel dat een bank wel kan opvangen als er ineens tig miljard requests per bankrekening nummer vanuit bepaalde gebruikers bij ze aankomt?

Ik krijg alleen een melding dat het niet klopt of een suggestie als ik een tikfoutje hebt gemaakt. Niet dat ik jrnr601 invoer bij willekeurig bankrekening nummer en dan te zien krijg "Deze behoort toe aan Jan Jansen".

[Bender]

En in hoeverre is dit te bruteforcen door bank rekening nummers te lopen op een ajax request?

[this]

Ajax request? Dat is nu al een term die ik heel lang niet meer gehoord heb .
Maar inderdaad, ik zie hier ook wel een mogelijkheid tot misbruik in door gewoon alle bankrekeningnummers af te lopen.
Maar in Nederland is dit toch al van toepassing of niet?

[Maarten_E]

Dacht eerlijk gezegd dat dit al Europees was uitgerold met in de invoering van IBAN, maar kwam er recent achter in België dat dat dus niet zo was. Beiden ING maar zowel de QR-code werkte niet onderling en ik kreeg geen controle van de naam bij invoeren IBAN. Best irritant, zeker in het buitenland.

[Blokker_1999]

Het is niet omdat 2 banken onder dezelfde commerciele naam vallen en onder dezelfde holding vallen dat er intern ook maar enige overeenkomst is. Het kunnen verder 2 totaal losstaande entiteiten zijn. En de betaalsystemen in Belgie zijn nu eenmaal anders dan in Nederland.

[Frame164]

Waar ik persoonlijk nog steeds een beetje moeite mee hebt is dat mijn bank persoonlijke informatie deelt met andere partijen. Juridisch zal het allemaal wel kloppen, maar toch.

[Blokker_1999]

Dat zal zeer beperkt zijn en zeer strak afgebakend. Zeker financiele gegevens mogen zij niet zomaar doorgeven zonder jouw toestemming.

[La1974]

Draai hem om. Anonimiteit is in het betalingsverkeer vaak ook niet gewenst ivm fraude.

Fraudeurs komen al te vaak weg met hun daden vanwege privacy.

Ieder verhaal heeft twee kanten.

[mutley69]

Dit systeem zou best overal ingevoerd worden - als het gebruik strikt beperkt wordt tot fraude-bestrijding - dan is dat zeker GDPR-compliant.