Logius verwijdert 3154 DigiD-accounts die werden verhandeld op Genesis Market

Logius heeft vorige maand 3154 DigiD-accounts verwijderd. De accounts in kwestie werden verhandeld op darkwebmarktplaats Genesis Market, zo meldt de overheidsinstantie. De betrokkenen zijn inmiddels op de hoogte gesteld.

Er werden gegevens van ruim twee miljoen mensen verhandeld op Genesis Market, waaronder die van 50.000 Nederlanders. Dat meldt Logius, de overheidsorganisatie die de DigiD-dienst beheert. Van een deel van de Nederlanders werden ook hun DigiD-inloggegevens verhandeld en daarom heeft Logius die accounts 'preventief verwijderd' ter voorkoming van identiteitsfraude. Het is niet bekend of de gegevens zijn misbruikt. De slachtoffers zijn op de hoogte gesteld.

Volgens Logius worden DigiD-accounts vaker verwijderd. Gebruikers worden dan per briefpost op de hoogte gesteld over wat er is gebeurd en wat de vervolgstappen zijn. Dat is ook bij deze actie gebeurd. "Een aantal mensen heeft gebeld met Logius. Zij waren positief over deze actie", schrijft de overheidsinstantie.

Genesis Market werd eerder dit jaar opgedoekt door de FBI en Europol, onder meer in samenwerking met de Nederlandse politie. De criminele website werd op 5 april offline gehaald tijdens 'Operation Cookiemonster'. Bij die operatie zijn ook zeventien Nederlanders opgepakt die betrokken zouden zijn bij het platform. Deze week werd nog een 32-jarige Nederlander opgepakt. Dat was de vermoedelijk grootste Nederlandse gebruiker van het criminele handelsplatform.

Reacties (71)

[ro8in]

Hoe kan een digiD account verhandeld worden? Is toch 2 factor authenticatie? Is dan de sleutel van de telefoon app buit gemaakt of iets?

[emile]

Nee hoor. Dat hoeft niet. Voor sommige toepassingen volstaat inloggen met gebruikersnaam en wachtwoord. Voor Belastingdienst Toeslagen bijvoorbeeld. Gek genoeg is het pas vanaf 1 januari 2024 verplicht om daar ook sms-controle ingeschakeld te hebben.

[Mizgala28]

2024 pas?

Gelukkig heb ik jaren geleden op DigiD zelf ingesteld dat er altijd minimaal een sms controle is voor mijn account.

Maar ik dacht dat de verplichting ervan al langer het geval was, blijkbaar niet dus.

[wildhagen]

Gelukkig heb ik jaren geleden op DigiD zelf ingesteld dat er altijd minimaal een sms controle is voor mijn account.

Dat is al beter dan alleen username/password, maar 2FA met SMS is zelf ook niet echt veilig. Beter is het om de DigiD app te gaan gebruiken. Dat is nog een trapje veiliger dan 2FA met enkel SMS.

Ik gebruik zelf alleen nog maar de app van DigiD voor alles wat ik doe, ook al bieden ze andere mogelijkheden. Mijn gegevens wil ik zo veilig mogelijk houden.

Maar ik dacht dat de verplichting ervan al langer het geval was, blijkbaar niet dus.

Nee, is nog niet ingevoerd, zie nieuws: Overheid gaat inloggen bij DigiD met alleen wachtwoord afschaffen

[Tao]

En wat als ze dan je smartfoon hacken..? Ik heb liever geen apps die dit soort gegevens bevatten op m'n foon staan. Heb ook geen bank-app om die reden. Alles gewoon thuis op de desktop met 2FA.

[oef!]

Ik denk dat je op een Windows systeem eerder slachtoffer wordt van malware dan op een telefoon. Grote security incidenten vinden tradioneel plaats op pc's en servers, niet op telefoons.

Geüpdate smartphones worden over het algemeen niet gehacked (erg moeilijk) en apps komen altijd uit een afgeschermde store waardoor 99% van het puin weggefiltert is.

Ten slotte wordt het wereldwijd beschouwd als een veilig platform, anders zouden we helemaal geen medische, bank of digid-achtige apps hebben.

[FONfanatic]

Dat is een kwestie van waar criminelen denken makkelijk en snel veel buit te kunnen halen. Men richt zich eerder op netwerken van bedrijven en overheden dan op een foon van een puber want bij die valt minder te halen.

[SED]

Heel veel merken smartphones krijgen al lang geen updates meer en zijn daarmee inherent onveilig.
Helaas is een fatsoenlijke update policy voor android nog steeds een illusie.
Computers daarentegen krijgen met zeer grote regelmaat updates.
Ik ben het dus niet met je eens.

[Centauriprime]

Volgens mij is het makkelijk om een Windows, Linux of Mac te besmetten.

Als je al menig up to date ios of android weet te unlocken moet je daarna nog de pincode van de app weten.

[Bor]

Die pincode is in veel gevallen niet zo sterk maar te Google (bv geboortedatum of hierop gebaseerd) en te phishen. Hoewel een (extra) beveiligingslaag is een pincode vaak een relatief zwakke beveiliging.

[FONfanatic]

Vandaar dat ING ook je IP- en MAC-adres van je toestellen trackt, en de locatie. Privacy in ruil voor geld veilig laten beheren.

[jongetje]

En als ze je desktop hacken?
En hoe doe je 2FA dan? Je kunt juist op je pc werken en is je telefoon juist de de 2e factor. In de vorm van SMS of de app.

[Tao]

Heb voor thuis een scanner om bij inloggen bij een bank telkens een 6-cijferig getal in te vullen.
Knappe hacker die dat weet te omzeilen.
Bij DiGiD is dat eenzelfde aantal getallen via SMS.

[Reactie gewijzigd door Tao op 23 juli 2024 09:41]

[mindcrimemike]

Ik doe juist alles met de bank-app om die reden. Vergeet niet dat bij fraude banken willen dat je aantoont dat je je PC maximaal veilig hebt gehouden. Ga d'r maar aanstaan. Bij je telefoon is dat makkelijk. Simpelweg updates bijhouden.

[kabelmannetje]

hoe wil je precies de telefoon hacken van bijvoorbeeld mjinheer A. de Groot te Lutjebroek? Dat is voor dit soort diefstal echt een onmogelijke opgave.

[Bruin Poeper]

Er is onlangs iemand veroordeeld omdat hij de politie bij een verkeerscontrole ook even wou kijken wat er zijn tasje zat.Dat weigerde hij.
https://www.oozo.nl/nieuw...jn-quad-weg-80-uur-taakst

Nou zal er wel wat meer aan de hand zijn geweest, maar "in tasje kijken" kan je 1:1 vervangen door "in telefoon kijken".
Google maar even op "agent veroordeeld".
Voorbeeld: https://nos.nl/artikel/23...n-taakstraf-voor-omkoping

Niet om de politie in het algemeen zwart te maken. Maar het zijn net mensen. Dat ze in een machtspositie zitten maakt jou kwetsbaar.
Jouw telefoon is veilig zolang jij hem bij je hebt.
Als je hem uit handen moet geven wordt het een heel ander verhaal!!!

[SED]

Hij is niet zozeer veroordeeld voor dat tasje maar voor de levensgevaarlijke actie met zijn quad.

[Bruin Poeper]

Dus, de politie houdt mensen aan die op deze lijst staan aan. En gaat dan dreigen en laat mensen via DigiD inloggen op hun telefoon...

Dat zei ik niet; jij verdraait de zaak. Niet de politie als geheel, maar individuele agenten kunnen dat.
En zeker over de grens of 'andere officials' kunnen je dwingen hen in je telefoon te laten kijken.

Telefoon inleveren en laten inzien komt voor.
Van de agenten 999:1000 maken geen misbruik van hun machtspositie, maar 1:1000 agenten kan er wel iets meer mee.

Er zijn maar 3154 accounts verwijderd he, terwijl er toch zo'n 10 miljoen DigiD accounts moeten zijn. De meeste agenten zullen dus wel een schoon geweten hebben.

[Reactie gewijzigd door Bruin Poeper op 23 juli 2024 09:41]

[kabelmannetje]

Je hebt het op geen enkele manier aannemelijk gemaakt dat de politie personen op deze gelekte lijst, aanhoudt en hun telefoon inkijkt. Dus, dit is totale fantasie.

[kabelmannetje]

Logisch, dat claim ik niet.

Jij claimt dat "Als je wordt aangehouden door de politie vragen ze nogal eens je telefoon... en kunnen ze je overbluffen (of soms met iets meer dwang/geweld) om in te loggen.
Agenten en beveiligers wéten wat boeven willen weten.".

Ik heb je gevraagd dat aannemelijk te maken door een link naar goede journalistiek. Dat heb je niet geleverd en dus niet aannemelijk gemaakt.

[Reactie gewijzigd door kabelmannetje op 23 juli 2024 09:41]

[Bruin Poeper]

....
Ik heb je gevraagd dat aannemelijk te maken door een link naar goede journalistiek. Dat heb je niet geleverd en dus niet aannemelijk gemaakt.

Maak zelf je huiswerk!

[kabelmannetje]

Opnieuw, je hebt het niet aannemelijk gemaakt.

[Xfade]

Na 6 jaar wordt dat wel een beetje tijd.

[Frame164]

Er wordt teveel naar burgers geluisterd. Anders was het allang ingevoerd.

[Sheean]

Het is ook (nog) niet mogelijk als je geen eigen smartphone hebt. Bijvoorbeeld bij jonge kinderen. Was toch wel handig dat ik geen aparte smartphone hoef te kopen voor een kleuter om te kunnen inloggen.

[killerfreak]

Dat hoeft ook helemaal niet. Een sms'je kunnen ontvangen is voldoende. Zoals ook staat uitgelegd in het gelinkte artikel. Dus zelfs je 101 jarige oma met een mobieltje van 20euro kan dat. Nergens voor nodig dat dit zo lang heeft moeten duren.

[blissard]

Sterker, het hoeft helemaal niet je eigen toestel te zijn. Ik kan die sms-check prima doen voor de digid van mijn kinderen op mijn toestel.

[gaskabouter]

Nou... Even namens oma. Het moet ook begrijpelijk blijven. Er is een behoorlijk spanningsveld aan het ontstaan tussen veiligheid en de, opgelegde, digitalisering van de samenleving. Wat voor ons vanzelfsprekend of zelfs laakbaar is maakt een voor een groot deel van de bevolking erg moeilijk om te gebruiken....

[vgroenewold]

Ja, aan de andere kant echter kom je zo nooit vooruit, dan zit je met een half-half digitale overheid die ik juist erg irritant vind. In Denemarken waar ik gewoond heb is alles digitaal, alle post en alle communicatie en dat zal hetzelfde probleem hebben gegeven, maar als je doorzet dan leert uiteindelijk iedereen het wel. De papieren molen is net zo goed ingewikkeld.

[gaskabouter]

Nou... Tien procent is laag geletterd bijvoorbeeld. Als wij in mijn ziekenhuis gaan controleren of mensen als informatie hebben begrepen kom je echt bedrogen uit. Toch krijgt dat hem weinig aandacht. Met de digitalisering zal dat probleem zeker niet kleiner worden. Maar mensen zullen niet snel toegeven dat ze het niet snappen of weten niet bij wie ze moeten zijn. Die kloof in de samenleving is echt een groeiend probleem.

[logix147]

Zolang er niet nog een “loket” is waar je als burger zijnde jezelf kan melden voor echte hulp is volledig digitalisering onmogelijk. Denk aub ook even aan mensen die wegens fysieke beperkingen niet altijd even digitaal goed onderlegd zijn. In de software wereld kun je als blind persoon bijvoorbeeld lang niet zo productief werken als een iemand met zicht. Haal bij die laatste weer een paar aangeboren handen weg en je snapt dat soms e.e.a. tijd kost om digital te gaan. Los hiervan zou je allang bijv een soort 2FA moeten kunnen doen dmv een chip in je paspoort/rijbewijs/id kaart en dan ook nog username/PW EN de DigiD app bijv. voor de mensen die dat willen. Dat is meer een soort 3FA dan maar op zaken die gerelateerd zijn aan m’n burgerschap - denk aan online een legitimatie bewijs aanvragen zie ik zat mogelijkheden dat ik geen 2 trips fysiek hoef af te leggen naar burgerplein om iets te noemen. Het is lastig het goed te doen voor 18-20 miljoen mensen.

[vgroenewold]

Ik zou gewoon eens bij de buren kijken, zoals Denemarken, daar is alles digitaal. Je hebt opt-in opties om fysieke post e.d. te krijgen, maar standaard is dat niet zo. Werkt echt zoooo fijn. Natuurlijk zullen er altijd mensen zijn die daar problemen mee hebben, maar dat hebben ze ook met de papieren neem ik aan. Die zul je dan hulp moeten bieden. De efficientie echter die ik in Denemarken heb gezien (er zullen vast ook issues zijn) was verademend.

[mbovenka]

Je kunt je voor een nieuwe installatie van de DigiD app al wel authenticeren met de NFC chip in je password/ID kaart (paar maanden geleden gedaan toen ik een nieuwe telefoon kocht). Dat is toch een stuk makkelijk dan dat tapdansje met een op papier opgestuurde PIN code zoals vroeger...

[logix147]

Ik bedoel meer dat die Chip ook iets doet in het authenticatie proces als ik bijvoorbeeld een aanvraag doe op het burgerplein (ID/paspoort/rijbewijs/uittreksel/etc) of als ik bij een telecom partij een aanvraag wil doen dat ik doormiddel van de chip in die bewijzen kan laten zien dat ook ik daadwerkelijk een abonnement ga aanvragen.

- De slijterij hoeft mijn leeftijd niet te zien, alleen mijn chip en een groen lampje 18/21+ check.
- Hotels inchecken,
- Bankrekening aanvragen etc.

Zo kan je eindeloze technische mogelijkheden ermee bedenken - alleen word er nog vrij weinig mee gedaan.

Als je dit voor bepaalde dingen zelf kan aangeven dat je bijvoorbeeld wilt bevestigen op je app dat je handeling X wilt uitvoeren - ik zou er meteen voor tekenen. Dan heb je een zeer lastig te omzeilen beveiliging want de kans dat je iemands telefoon + pincode + pin van de app van digid (als je die hetzelfde maakt heb je 'pech') + fysieke chipvan het document bij elkaar weet te sprokkelen is toch wel klein.

[FONfanatic]

Zo ook bij ING, en iDin. Banken die het toezicht van de AFM aanvaardden lopen voor op Logius en BiZa.

[Polderviking]

Ik snap niet waarom ik er niet gewoon een TOTP token aan mag hangen.
Ik mag nu alleen kiezen tussen SMS, wat om security redenen niet ideaal is, of die (zoveelste) losse app wat ik om praktische redenen niet ideaal vind.

[Mopperman]

Of sinds kort middels nfc op je rijbewijs/id-kaart of paspoort !

[Reactie gewijzigd door Mopperman op 23 juli 2024 09:41]

[mrdemc]

Dat is ook met de app

[skimine]

Maar het kan dan wel weer zonder smartphone:

Gebruikers die geen mobiel apparaat hebben met NFC-lezer, kunnen hun identiteitsbewijs ook scannen via een NFC-kaartlezer die verbonden is met een computer. Dan moet de gebruiker de DigiD app installeren op zijn computer. De DigiD app voor op de computer is beschikbaar voor Windows (10) en MacOS (vanaf 10.15).

(Via link gepost door @Mopperman )

[arjan1995]

Wow, een NFC-lezer aan een computer hangen en dan de digid-app gebruiken...

Dat klinkt echt als iets wat niemand ooit gaat gebruiken, tenzij het voor bepaalde acties verplicht wordt.

[AceAceAce]

Ligt een beetje aan de use case. Ik weet dat je bijvoorbeeld voor het digitaal overschrijven van het voertuigkenteken op iemand anders zn naam, DigiD Hoog nodig is, wat inhoud dat je je chip van je paspoort/rijbewijs scant. Of dat dat tijdens de use case is, of dat je voorag je DigiD instance eenmalig moet opwaarderen naar DigiD Hoog, weet ik niet meer.

[GreatDictator]

Iemand die geen mobiel heeft zal waarschijnlijk ook geen computer met NFC-lezer kunnen gebruiken. Mijn oma in elk geval niet.

[Mizgala28]

Ik heb zoveel bonje met die app gehad, voorlopig wil ik die app niet zien.

_{issues met opzetten voor mijn ouders, en zelf ook issues gehad op 2 Android telefoons (LG A12 en Samsung op A13) en met een iPhone (op iOS 16)}

[FONfanatic]

Bij mij draait de DigiD-app als een tierelier op een A13. Wat wel minder goed gaat in de app is de app gebruiken voor een gezamenlijke belastingaangifte waarbij je dus twee BSN-nummers moet opgeven en digitaal dossiers aan elkaar moet verbinden. Daar is het hoe dat te doen erg techneutisch in elkaar gestoken.

[NLKornolio]

Kan je na gebruik van de digid app helemaal niet meer op het knopje alleen sms verificatie drukken dan?

[rookie no. 1]

Hou eens op met die apps (zga.) af te dwingen, zeker als het alleen op Android of iPhone kan. Zwaar irritant en vooral verontrustend. Dat moet niet nodig zijn!

[JJ Le Funk]

ja waarom geen open source authenticator. de DigID app is erg omslachtig met 3 dubbele code toepassing.

[Yggdrasil]

Dat is nou precies waarom ze die app gebruiken. Er zit meer verificatie in dan bijv. TOTP ondersteunt. Misschien dat er met Passkeys wel weer een sterk genoeg alternatief is, maar dat is nog niet breed genoeg ondersteund.

[Lennyz]

Precies dit. Als ik mijn zorgdossier wil inzien moet ik een app installeren. Het bedrijf dat dit verzorgt voor mijn huisarts biedt namelijk geen optie aan via de webbrowser. Een app installeren moet altijd optioneel zijn en geen verplichting. De enige reden dat dit gebeurt is omdat er dan extra tracking kan plaatsvinden.

Digid moet nooit uitsluitend met een app toegankelijk zijn.

[ro8in]

Oh wat gek ik wist niet eens dat dit nog kon. Ik gebruik het altijd met de App als 2 factor authenticatie. Vind het bijna bizar dat voor een login methode waarmee je toegang kan krijgen tot zoveel gevoelige informatie zij nog steeds de minder veilige opties bieden. Dat zou echt niet meer moeten kunnen anno 2023..

[wildhagen]

Je hebt ook nog de methode met alleen username/password: https://www.nederlandwere...gebruikersnaam-wachtwoord

Die wordt weliswaar steeds minder geaccepteerd, maar hij is er nog wel.

[Aaargh!]

Wat ik vooral een vreemde gang van zaken vind is dat als je een 2e factor hebt ingesteld deze alsnog optioneel is. Ik snap dat je het instellen van een 2e factor optioneel maakt, maar als je 'm ingesteld hebt dan verwacht je toch dat ie altijd gebruikt moet worden om in te loggen, anders is het niet heel nuttig.

[stefanass]

Of de 2FA altijd gebruikt moet worden is iets dat je wel kan instellen voor je DigiD, maar dit is niet verplicht of automatisch.

[Yggdrasil]

Je kunt instellen dat ie altijd gebruikt moet worden. Daarnaast is het afhankelijk van de beveiligingseisen van de site die je bezoekt. Er zijn er al best veel die minimaal 2FA vereisen. Vanaf 2024 wordt dat het minimum voor alle sites.

[EnigmaNL]

Telefoons + inloggegevens verkopen.

[Gwaihir]

Op de meeste plaatsen is nu 2 factor authenticatie, inderdaad. Maar ja, dat is natuurlijk voor een grote groep mensen véél te ingewikkeld. Dus is voor een ander machtigen géén 2fa nodig.. .

[wildhagen]

Lijkt me terechte actie van Logius. Je wil gewoon niet dat die accounts straks voor allerlei vormen van identiteitsfraude gebruikt kunnen (blijven) worden, met alle potentiele gevolgen vandien voor de eigenaar.

Dan maar even een nieuw account aanmaken. Is even vervelend, maar is in ieder geval een stuk veiliger.

Volgens Logius worden DigiD-accounts vaker verwijderd.

Dat mag je wel zeggen. In 2015 werden er zelfs 15.000 verwijderd, dus nog een veelvoud van wat er nu speelt, zie bijvoorbeeld https://www.binnenlandsbe...egens-misbruik-verwijderd

Ook toen ging het al om (mogelijk) misbruikte accounts overigens.

[kodak]

Logius stuurt de gedupeerde dan een brief met de post. Daarin staat wat er is gebeurd, wat de vervolgstappen zijn om weer veilig zaken te kunnen doen met de overheid en een telefoonnummer voor als iemand nog vragen heeft.

Op het GoT staan reacties dat er naar de slachtoffers per brief nauwelijks gecomminuceerd is en telefonisch er ook weinig details gegeven worden. Natuurlijk kan het toevallig om andere situaties gaan, maar wat hebben de slachtoffers dan wel aan details vernomen zonder via nieuwsberichten maar te moeten raden dat het om deze handel en gerelateerde malware ging?

[Qwerty-273]

Ben benieuwd of daar ook DigiD’s van mensen die in het buitenland wonen tussen zaten. Vroeger moest je dat nog regelen fysiek via een balie in NL. Tegenwoordig kan dat deels via videobellen of anders via een select aantal balies in het buitenland, maar makkelijk is anders.
https://www.digid.nl/buitenland

[jongetje]

Maar waarom het account verwijderen? Een nieuw wachtwoord en reset van de security tokens zou toch al voldoende moeten zijn zodat je je gebruikersnaam kunt behouden.

[ikjelle]

Ik weet niet zeker hoe het precies zit aan de achterkant, maar ik weet wel dat als je je wachtwoord kwijt bent, je een nieuwe DigiD krijgt/aan moet vragen. Daarop worden dan de gegevens van je oude worden overgezet. Niet even een makkelijke reset dus (kan veiligheidseisen zijn of de manier waarop de software in elkaar zit).

[jongetje]

Dat is bizar, er is dus een hele database vol met gebruikersnamen die ooit zijn gebruikt en niet meer kunnen worden gebruikt vanwege mensen die hun wachtwoord kwijt zijn geraakt.

[ikjelle]

Afgezien van het feit dat dit op een enigszins vergelijkbare manier gebeurt met emailadressen die niet meer in gebruik zijn en dat er een gigantische hoeveelheid aan verschillende gebruikersnamen beschikbaar is, kan ik me voorstellen dat die lijst na een bepaalde tijd vrij wordt gegeven. Denk niet dat het een groot probleem oplevert in de praktijk.

[jongetje]

Hoe vaker mensen hun wachtwoord kwijtraken, hoe ingewikkeldere gebruikersnaam ze moeten kiezen want er is ook al veel in gebruik...

Stel je heet Jan Brink en janbrink is al ingebruik, dan wordt het JanBrinkDenHaag. Maar dan vergeet je je wachtwoord, Dan wil je Janbrink1973, maar die is al ingebruik door JanBrink uit 1973. Dan moet je Janbrinkdenhaag1973 oid kiezen. Of al creatiever gaan worden met namen.

[ikjelle]

Zou goed kunnen dat er alleen aan de achterkant een nieuwe DigiD aan gekoppeld wordt (zie ook FONfanatic hieronder), dus dan is dit probleem er niet echt voor de eindgebruiker. Aan de achterkant neem ik aan dat er überhaupt geen gebruikersnamen, maar unique identifiers/iets ander gebruikt worden.

[FONfanatic]

Je krijgt door Logius elke keer eenzelfde gelijkluidend tijdelijk wachtwoord toegestuurd dat je binnen een dag moet wijzigen in een eigen wachtwoord. Ik heb dat uitgeprobeerd, de twee brieven bewaard. Er wordt gecontroleerd of je je wachtwoord wijzigde, uiteraard niet waarin. En vervolgens vergeten mensen hun verzonnen wachtwoord of gaan er onzorgvuldig mee om: slaan het als platte tekst op in notities, schrijven het op geeltjes enz., of je wachtwoordmanager hashet en salt het onvoldoende.

[FrostyPeet]

Dit lijkt me weer zo'n overheidsmaatregel die, als het fout gaat, de burger het zelf mag uitzoeken.

1) DigID "verplicht" maken, want efficiënt. Alternatieven vrijwel onmogelijk maken. Eerst gemakkelijk maken met naam+wachtwoord, daarna steeds meer "beveiliging" toevoegen zoals 2FA of inloggen met je nieuwe rijbewijs.
2) Als de DigID "lekt" gewoon wissen, de burger ziet maar hoe hij aan een nieuwe komt.
3) Bij een storing door "brakke" of verouderde ICT infrastructuur, zoekt de burger het maar uit hoe deze zijn overheidszaken kan regelen.