Itsme herkent inlogpoging op nieuwe telefoon en waarschuwt bank voor fraude

De itsme-identificatieapp herkent wanneer een gebruiker wil inloggen met een nieuw toestel en nieuw telefoonnummer, en deelt deze informatie met banken. Die kunnen dan bepalen of er misschien sprake is van fraude en bijvoorbeeld een betaling uitstellen. Itsme is te zien als de Belgische versie van DigiD en nam recent iDIN over.

Als gebruikers de itsme-app met een nieuw toestel of een nieuw telefoonnummer gebruiken, kan dit wijzen op misbruik, schrijft itsme. Ook als een nieuwe gebruiker meteen meerdere acties na elkaar uitvoert, kan het gaan om ongebruikelijke activiteit. De identificatieapp gaat die informatie geanonimiseerd delen met banken.

Het idee is dat banken daarmee kunnen bepalen of de betalingen risicovol zijn of niet. De bank kan die betalingen dan vertragen of zelfs weigeren. Dit proces loopt geautomatiseerd en moet de gevolgen van fraude beperken. Als geld al is overgeschreven, kan het lastig zijn om dat geld weer terug te krijgen.

Notificatie tijdens het bellen

Deze functie wordt vanaf donderdag ingezet. Itsme werkt aan en introduceert andere fraudebestrijdingsfuncties. Een daarvan is een notificatie wanneer de app merkt dat de gebruiker belt tijdens het inloggen. Zo wil de app bankhelpdeskfraude voorkomen. Daarbij doen criminelen zich voor als de helpdesk van een bank en zetten zij slachtoffers telefonisch onder druk om betalingen uit te voeren.

De notificatie toont in het geval van een telefoonoproep een pop-up die waarschuwt voor mogelijke oplichting. De melding blokkeert de actie niet; mensen kunnen dus nog steeds geld overmaken. De verificatieapp hoopt wel dat gebruikers meer stilstaan bij de transactie en zich gaan afvragen of er geen sprake is van fraude.

Verder gaat itsme als standaardinstelling inloggen met QR-codes gebruiken en kan de app straks de NFC-chips van identiteitskaarten lezen om in te loggen bij banken. Itsme is een van oorsprong Belgische dienst, die inmiddels internationaal werkt en onlangs ook het Nederlandse iDIN overnam.

Reacties (66)

[Annihlator]

Als je niet toevallig precies al weet wat Itsme is/doet, *knip*

"Itsme is een van oorsprong Belgische dienst, die inmiddels internationaal werkt en onlangs ook het Nederlandse iDIN overnam."
Lijkt het wat in te leiden, *knip*

Wat is Itsme?
Waarom zou het in de positie moeten zijn om fraude te bestrijden? etc.

Ah, dit artikel *knip*
review: Amerikanen kunnen niet bij data DigiD, maar wel toegang dwarsbomen via Solvinity
*knip*

[Reactie gewijzigd door AlphaRomeo op 5 februari 2026 14:56]

[Hayte]

Ik merk dat ik de Nederlandse kennis van itsme wat had overschat, ik heb een zin toegevoegd aan de inleiding. In principe is het te zien als een Belgische variant van DigiD, waarmee je op overheidssites en dus ook banken kan inloggen.

[Reactie gewijzigd door Hayte op 6 februari 2026 10:57]

[Arjan90]

Eigenlijk gaat het zelfs nog verder dan dat, omdat Itsme ook een dienst is die gebruikt kan worden voor zgn. gekwalificeerde handtekeningen in tegenstelling tot IDIN en DigiD.


In België mag een arbeidsovereenkomst namelijk niet zondermeer digitaal ondertekend worden, dat moet volgens de QES waar Itsme aan voldoet. Daardoor heeft Itsme een nog bredere toepassing dan DigiD omdat het voorziet in een elektronische handteking met juridisch dezelfde waarde als een "natte" handtekening.

[supersnathan94]

Het is aan de ene kant briljant dat ze wat aan fraudegevoeligheid van dergelijke zaken willen doen, maar aan de andere kant slaat het gewoon hard door in een onhoudbare situatie waarin het zetten van een handtekening gewoon altijd weer geld kost.

Een handtekening via eID is bijvoorbeeld een gekwalificeerde elektronische handtekening.

Maar ook via een app als itsme® is dit het geval.

Een handtekening gezet op een papier en dan ingescand en doorgestuurd? Dat voldoet niet aan deze vereisten.

Leuk dat dit mag, maar vervolgens is er dan weer een stuk ondersteunende wetgeving wat pas sinds 2023 daadwerkelijk uitvoerbaar is, die het echt rechtsgeldig maakt:

Volgens de Wet op Arbeidsovereenkomsten is een arbeidsovereenkomst die elektronisch is ondertekend met behulp van een elektronische handtekening die is gemaakt via de elektronische identiteitskaart (of een ander instrument dat aan dezelfde veiligheidsvoorwaarden voldoet) gelijkwaardig aan een arbeidsovereenkomst met handgeschreven handtekeningen. Als de arbeidsovereenkomst elektronisch wordt ondertekend, moet bovendien een exemplaar van de overeenkomst worden gearchiveerd bij een erkende dienstverlener van elektronische archivering.

Het pijnpunt betreft deze laatste voorwaarde: ondanks de inwerkingtreding van de tekst in 2007 was tot voor kort geen enkele dienstverlener van elektronische archiveringsdiensten erkend. Sinds eind 2023 is er nu één erkende dienstverlener voor elektronische archivering (Elektronische handtekening en andere vertrouwensdiensten | FOD Economie (fgov.be).

Gelukkig is er sinds 2016 gewoon Europese wetgeving die er iets beter bij staat.

Sinds 2016 voorziet een Europese verordening (die dus boven de Belgische wetgeving staat) in de voorwaarden voor de geldigheid van elektronische handtekeningen. Het niet gebruiken van een erkende elektronische archiveringsdienst heeft geen invloed op de geldigheid van handtekeningen die voldoen aan de voorwaarden van deze verordening.

Je hebt dus niet per se ItsMe meer nodig. Docusign mag ook.
https://www.nkvk.be/post/kunnen-we-eindelijk-arbeidsovereenkomsten-elektronisch-ondertekenen

[stuiterveer]

Je kunt het wat dat betreft vergelijken met kennis van Nederlanders over Bancontact, of Belgische kennis over iDeal of DigiD. Ja, we spreken gedeeltelijk dezelfde taal, maar dat betekent niet per definitie dat we weten wat aan die kant van de grens gebeurt. We komen er zelf letterlijk nooit mee in contact, tot we zelf in dat land wonen.

[Annihlator]

Allerbelangrijkst: enige begeleidende tekst (wat ook gerust een terugverwijzing mag zijn naar een eerder artikel bijvoorbeeld) zou enkel positief zijn in die voorbeelden.

Voorbeeld vanuit mijnzelf is dat ik tot op heden ten dag geen-een vorm van digitale identificatie gebruik, dus al die namen van die diensten zeggen mijn (op functioneel niveau) zo goed als niks en ik durf aan te nemen dat er meer mensen zijn die niet op voorhand al volledig bekend zijn met de technieken en bedrijven.

Ik vond daarom ook het artikel wat ik zelf linkte vooral een mooi tegenvoorbeeld, iemand die het al weet kan die alinea's simpelweg overslaan :)

[cricque]

Iedereen kan itsme gebruiken, ze hebben een api. En qua kosten valt dat nog wel mee hoor, 4 euro per gebruiker per jaar ex btw als het mij goed voorstaat. Uiteraard zijn er betere tarieven, maar in principe elke applicatie kan dit gebruiken. De vraag is alleen heb je dit echt nodig. Banken gebruiken dit nu ook al een tijdje, maar bijvoorbeeld de vuilnisophaling en water en electricteit (grote "nuttige" leveranciers) gebruiken dit ook meestal wel. Moesten nu de gemeentes dit ook nog gebruiken, dat zou leuk zijn

[denBoom]

Om dit verhaal goed te begrijpen moet je weten dat itsme in de praktijk de 2FA authenticatie van banken, de toestelletjes die je vroeger van je bank kreeg om transacties te verifiëren, volledig vervangen heeft. De losse authenticatietoestellen bestaan nog maar degene die ik in huis heb hebben al jaren een lege batterij.

Itsme doet wat digiID doet maar ook zo veel meer. Voor veel belgen is het de meest gebruikte 2FA authenticatie app. Ik heb en gebruik TOTP apps zoal authy of google authenticator, maar met afstand mijn meest gebruikte 2FA app is itsme.

Overheid, notarissen, banken, verzekeringen, huisvuilophaling, ziekenhuizen, energiebedrijven, waterleveranciers, postbezorging en dan vergeet ik vast nog enkele toepassingen. Allemaal gebruiken ze itsme als hun 2 factor authenticatie.

[darkjeric]

Niet helemaal juist: Veel van die diensten gebruiken ENKEL Itsme om in te loggen. Dat maakt het een 1FA.

Zeker en vast veiliger dan een 1FA met voorspelbare gebruikersnaam en zwak wachtwoord, maar dat maakt het nog altijd geen volwaardige 2FA in mijn ogen.

[Alex3]

*overschat

[Hayte]

Die ja, dank

[xxs]

Klik op het door jezelf aangehaalde linkje en je weet wat iDIN en Itsme doen.

[Annihlator]

Die vond ik ook achteraf, vandaar dat dat later in een wijziging toegevoegd is... idealiter had dat meteen al vanuit het artikel zelf gelinkt geweest; dat verandert geenszins.

[Reactie gewijzigd door Annihlator op 5 februari 2026 19:02]

[AnD]

Er is toch ook de app Mygov, zelf nog niet geprobeerd, maar vroeg me af of deze beter is.

[Andros]

Die is in elk geval van de overheid zelf in plaats van private telecombedrijven en banken. Al zijn er intussen best veel diensten die standaard naar itsme vragen, sommigen bieden zelfs geen alternatief meer waardoor velen denken dat je itsme "moet" hebben. De overheid is zelf rijkelijk laat met Mygov eerlijk gezegd.

[Jan VP]

Naast degene die u reeds noemde, is ook de Belgische overheid aandeelhouder van ItsMe.
Zo bekeken is het raar dat ze een concurrerende app maakten, die echter niet internationaal uitgerold wordt.

[_Drum_]

Bedoeling is dat de mygov.be app in de toekomst ook een digitale versie van je identiteitskaart en rijbewijs gaat bevatten

[-Vasa-]

MyGov doet grotendeels hetzelfde als ItsMe. Ik gebruik deze nu in de plaats, voornamelijk uit principe, functioneel is die eigenlijk hetzelfde. In een eerder topic hierover lijkt het het dat MyGov iets trager is, zelf merk ik het niet op een manier dat het mij stoort.

[xxs]

My Gov is van de Belgische overheid, Itsme van een aantal banken.

My Gov is ontwikkeld om geen monopolie voor Itsme te hebben, die Belgen zijn veel slimmer dan die Ollanders. ;-)

[cricque]

Maar de overheid heeft wel itsme flink gesponsord en is bij mijn weten een van de grootste aandeelhouders (of vroeger toch)

[croc]

Ik kan op mijn bank niet inloggen met Mygov, enkel Itsme of kaartlezer. Weinig keuze dus.

[Induslogic]

Dit is een identiteitsapp die voornamelijk in België gekend is en wat te vergelijken is met DigiD in Nederland. Een van de verschillen is dat Itsme zowel bij de overheid als bij private partijen (zoals banken, ziekenfondsen, verzekeraars, ziekenhuizen, notarissen, gewone bedrijven, platforms voor documenten en betalingen, energiebedrijven en telecomproviders) wordt gebruikt.

[Reactie gewijzigd door Induslogic op 5 februari 2026 12:33]

[xxs]

Belgisch toch, staat in het artikel.

[Reactie gewijzigd door xxs op 5 februari 2026 12:16]

[Llopigat]

Ja maar hij komt ook naar Nederland als vervanger van iDIN.

[xxs]

Mooi, dan blijft er een Europees alternatief voor DigiD? Nu nog even de migratie op gang zien te krijgen van DigiD naar itsme voor al die diensten die nu DigiD gebruiken en daarna kan Solvinity verkocht worden.

[Reactie gewijzigd door xxs op 5 februari 2026 12:22]

[Llopigat]

Nee want iDIN/itsme is een commercieel alternatief van de banken. Ik wil niet verplicht worden mijn bank te gebruiken voor communicatie met de overheid. De banken hebben al veel te veel macht over ons.

Als er nog een noncommerciele staatsbank zou zijn zoals de postgiro vroeger zou ik het wel prima vinden want dan zat ik daar natuurlijk gewoon bij (en zou ik die gebruiken voor authenticatie), maar banken hebben mij nu teveel winstoogmerk om te kunnen vertrouwen.

[Reactie gewijzigd door Llopigat op 5 februari 2026 12:30]

[AtHomer]

Je zou eens kunnen kijken naar Triodos Bank. Die hebben wel een winstoogmerk, maar ze zijn ook een B Corp.

[Mathi159]

En bij vermoedelijke fraude neemt de bank natuurlijk contact op met:

Het oude nummer van de persoon

[xxs]

Vandaar dat "De Bank" geen telefoonnummer van mij heeft, als ik gebeld wordt door "De Bank" is het per definitie fraude.

[supersnathan94]

Ja ik be ook steeds meer informatie aan het scrubben en meer aan het doen via Post. Juist met overheid en bank wil je dat soort dingen betrouwbaar hebben. Mail is makkelijk, maar gezien de amerikanen je de toegang gewoon kunnen ontzeggen, of een fout in je spamfilter verwijderd de boel gewoon.


Nee je stuurt maar een brief. Telefoon is te makkelijk te spoofen en mail ook.


Als het urgent is, ben zijn we ook te laat als je belt. Dus maakt dan ook niet meer uit.

[YGDRASSIL]

Totdat ze een factuur uit je brievenbus hengelen en met typex rekeningnummer+naam aanpassen en hem weer terugstoppen. Dan gaat het ook fout. Je moet altijd opletten als je niet belazerd wil worden...

[Thijs_Rallye]

Ja want typex kun je echt niet zien.

[YGDRASSIL]

Als je het goed doet niet. En zeker niet als je er daarna een kopie van maakt en die in de envelop doet....

[Thijs_Rallye]

Gelukkig staat er geen kopieerapparaat naast mijn brievenbus dus daar kom ik dan goed weg.

[eesiediesie]

Ik kreeg vorige week een brief van De Lijn voor de verlenging van mijn abonnement.

Er was alleen een QR code aanwezig om de betaling uit te voeren .

Als iemand mijn brief inscand , QR code vervangt ,terug afdrukt ben ik toch gejost zeker?

Heb maar iingelogd bij de website van de lijn en van daaruit betaald.

Dat inloggen bij de lijn gaat ook nog steeds niet met 2Fa ,Itsme.

Jammer, Engie electrabel is nog maar sinds kort over op itsme.

[supersnathan94]

er valt niets uit mijn brievenbus te hengelen, plus betalingen gaan altijd via automagische incasso die ik instel via de daarvoor bestemde portalen.


Ik ga echt niet zomaar geld over zitten maken en bij verdachte zaken trek ik aan de bel. Rekeningen verwacht ik van een paar partijen en die partijen zijn bekend.

[Pierre52]

Nou als je het over betrouwbaarheid hebt dan is postnl wel het minst betrouwbaar van alle instellingen, je weet wel wanneer je het in de bus gooit maar nooit wanneer het in de bus komt want het kan maar zo bij het oud papier of in het bos ligt.

[supersnathan94]

Absoluut, maar daar is het juridisch niet mijn verantwoordelijkheid. bij Mail wel.

Dus hoewel ik het helemaal eens ben dat PostNL daar erg veel invloed op heeft, kan ik daar Juridisch schijt aan hebben.


Dat is echt een belangrijk onderscheid:

quote: https://www.damste.nl/ken...anmaning-of-brief-gezien/

De vorm maakt in principe niet veel uit, maar een belangrijk eis is dat de verklaring de wederpartij moet hebben bereikt. De mondelinge melding moet zijn gehoord, de brief moet in de brievenbus zijn gevallen en de e-mail moet zijn aangekomen op de server van de wederpartij. Wanneer de ontvangst wordt betwist, dient u in principe aan te tonen dat de verklaring wél is aangekomen bij de wederpartij. Het ligt daarom voor de hand dat een schriftelijke verklaring de voorkeur heeft en dat wordt gekozen voor een verzendmethode met voldoende zekerheid, zoals een aangetekende brief of door betekening door een deurwaarder.

Toevallig heb ik dit probleem net zelf aan de lijve ondervonden. Via hubspot een mail campagne aangemaakt 100% ontvangst! helemaal top, maar geen mail te zien op mijn eigen accounts. Wordt dus door MS, Google en andere partijen gewoon geyeet.


Maar je hebt aan kunnen tonen dat de mail op de server is beland.

Echt juridisch een gigantisch verschil. Bij Post mag, nee MOET PostNL een onderzoek starten en aantonen dat het de brief daadwerkelijk heeft bezorgd.

[Alex3]

Daar is Postnl allerminst vlot mee. Onlangs nog kwamen ze na herhaalde klachten pas in actie toen bewoners een airtag naar zichzelf hadden gestuurd waarna bleek dat alle post in de papiercontainer werd gedeponeerd.

[supersnathan94]

Heel irritant dat soort dingen, maar toont wel aan dat aangetekende post zeker wel zijn toegevoegde waarde heeft.


In juridische geschillen kom je er niet mee weg door gewone post te sturen. Daar koet toch zeker een keer iets aangetekends verstuurd zijn met een duidelijk herkenbare handtekening.


Ik vind het daarom ook echt wel een probleem dat men dit allemaal digitaal is gaan doen op een apparaat waar je echt met de beste wip van de wereld niet fatsoenlijk een handtekening op kunt zetten.

[vverbeke]

NFC-chip van de eID uitlezen is nu al mogelijk, heb ik een tweetal weken terug gedaan om mijn gegevens te updaten toen ik een nieuwe eID kreeg.

[Darida]

Iedereen die ik ken heeft al Itsme gerelateerde phishingpogingen ontvangen. Het is een werkelijke plaag, blij dat ze het zo moeilijker maken

[wiseger]

De itsme-identificatieapp herkent wanneer een gebruiker wil inloggen met een nieuw toestel en nieuw telefoonnummer, en deelt deze informatie met banken.

Banken doen dit toch allang? Ik moet een device eerst bij de bank registreren voordat ik hem kan gebruiken om de banken app mee te draaien.

Had er onlangs nog mee te maken, mijn nieuwe iPhone laadde bij het eerste gebruik de backup van mijn vorige iPhone in. Alles was meteen geïnstalleerd, bijna alles werkte meteen. Maar niet de banken app. Want mijn nieuwe telefoon moest eerst bij de bank geregistreerd worden via de toestel registratie procedure, waarna mijn oude automatisch op ongeregistreerd werd gezet.

[denBoom]

Itsme is de authenticatie die je normaal gebruikt om een bankapp te registreren op een nieuwe telefoon.

Itsme is een alternatief voor bv digi id, maar het is ook de meest gebruikte 2 factor authenticatie, het vervangt bv ook de 2FA toestelletjes die je vroeger van je bank kreeg. De banken krijgen nu een waarschuwing wanneer de gebruikte 2FA app om transacties te verifiëren zelf ook nieuw is.

[wiseger]

Itsme is de authenticatie die je normaal gebruikt om een bankapp te registreren op een nieuwe telefoon.

Niet bij mijn bank, ABNAMRO. Daar gebeurt het via de e.dentifier die de bank mij verstrekt heeft. Volgens mij werken Rabo en ING net zo.

De 2FA die mijn bank gebruikt, is hun banken app. Dat geldt ook voor Rabo en ING. Geen van de grote Nederlandse banken werkt momenteel met Itsme.

[denBoom]

En alle belgische banken gebruiken itsme als volwaardig alternatief voor de losse authenticatie toestelletjes.

[Jan VP]

Sommige banken of allemaal? En op zo'n manier dat een dief er niet langs kan?
(Ik ken het systeem niet, dus ik denk dat mijn bank het niet heeft.)

[wiseger]

ABNAMRO vereist device registratie voordat je de app kan gebruiken. De Rabobank en ING hebben hetzelfde beleid.

Een dief kan er niet langs omdat er tweetraps verificatie nodig is. Een dief moet dan en het identiteitsbewijs hebben en over de inloggegevens beschikken.

Zie https://www.ing.nl/particulier/digitaal-bankieren/app/app-op-nieuwe-telefoon , https://www.rabobank.nl/particulieren/service/online-bankieren/rabo-app-activeren-met-qr-code , https://www.abnamro.nl/en/personal/internet-and-mobile/abn-amro-app/help/activating-abn-amro-app.html

[kiddingguy]

Tekst aangeleverd door, en gesponsord door, Itsme

Wel erg hoog marketing-verkoop-praatjes-gehalte hier. Slecht. Had meer journalistieke inhoud verwacht, en kritsche blik, van Tweakers en/of @Hayte


Of zie ik iets over het hoofd?

[Hayte]

Wees concreet, wat vind je hier 'gesponsord' en 'erg hoog marketing-verkoop-praatjes-gehalte' aan? Ik heb niet zoveel aan deze reactie.

[kiddingguy]

Deze tekst kan zo uit een Itsme foldertje/flyer of van de website gehaald zijn en is m.i. weinig objectief. Erg promotioneel geschreven vind ik.

Just my two cents...
Kennelijk verschillen we hier van mening over.

[zetje01]

Vage tekst.

[enetrati]

Het lijkt allemaal veilig. Maar klinkt voor mij, en ik denk voor meer mensen, als: Wat je ook doet, je zal dus kunst en vliegwerk moeten verrichten om weer bij jouw geld te komen.


Natuurlijk moet veiligheid voorop staan. Maar om de adoptie te laten slagen, mag het best gebruiksvriendelijker.

[EmbarrassedBit]

Ik zie het eerder als een vorm van CYA (cover your ass) compliance. De banken zijn kwetsbaar voor het verwijt dat ze "niet het maximale gedaan hebben wat ze hadden kunnen doen" telkens wanneer iemand opgelicht wordt. De doorsnee persoon percipieert immers geen "prijs" op het vlak van het beperken van digitale autonomie en resilience, aangezien hij of zij dat niet percipieert als publieke goederen die beschermd moeten worden. "handig" en "iedereen gebruikt het" > "je weet toch dat Donald Trump met een bevel Alphabet en Apple kan opdragen de stekker uit deze gatekeeping-apps te trekken...?"

De oplossing lijkt me een maatschappelijke consensus over grenzen die niet kunnen overschreden worden op het vlak van verdachtmaking van de gebruiker. Maar die gaat er niet komen, omdat niemand over principes wil denken en op basis daarvan de digitale infrastructuur wil ordenen.

Een opmerkelijke ironie is ook dat de afgelopen jaren de Covid-wappies, softe wappies en plebeïsche extreem-rechts hard hebben liggen confabuleren over hoe gezondheid en desinformatie de excuses zouden worden om de bevolking intenser te controleren. Nu echter, nu onze vrijheid om geen steeds meer bemoeizuchtige gatekeeping-app te gebruiken om deel te nemen aan het maatschappelijk verkeer steeds meer onder druk komt te staan, is het muisstil uit die hoek. Wanneer de bescherming van onze kapitalisme-punten het excuus is, zijn de grote principes duidelijk heel wat minder absoluut.