OVpay laat ov-reizigers inchecken zonder smartphone te ontgrendelen

OVpay, de opvolger van de Nederlandse OV-chipkaart, heeft nu een nieuwe Express-functie. Gebruikers kunnen met hun smartphone in- en uitchecken in het openbaar vervoer, zonder hun telefoon te ontgrendelen. De functie is optioneel en werkt op iPhones en Android-telefoons.

De Express-functie werkt via Apple en Google Wallet. Gebruikers kunnen die functie inschakelen op hun telefoon door een betaalpas uit hun digitale portemonnee te kiezen. Vervolgens houden ze hun telefoon bij de kaartlezer in het ov om meteen in te checken.

Het is al langer mogelijk om in en uit te checken met een smartphone via Apple Wallet en Google Pay. Voorheen moesten gebruikers daarvoor wel eerst hun telefoon ontgrendelen. De functie moet wel handmatig worden ingeschakeld. Bij gebruikers die dat niet doen, blijft verificatie dus gewoon nodig.

De ondersteuning voor Express staat inmiddels vermeld op de OVpay-website, merkte ook techwebsite Bright op. Eerder bleek al dat de functie in juli beschikbaar zou komen in Nederland. De functie zou overigens ook moeten werken op smartwatches.

OVpay Express inschakelen?

De Express-functie om sneller in te checken moet handmatig worden ingeschakeld op iPhones en Android-telefoons. Dat gaat zo:

Apple Wallet

1. Ga naar de Instellingen-app.
2. Ga naar het menu voor 'Wallet en Apple Pay'.
3. Scrol naar beneden en tik op 'Express-ov-kaart'.
4. Kies een betaalpas; de functie is nu ingeschakeld.

Google Wallet

1. Ga naar de Google Wallet-app.
2. Tik op je foto rechtsbovenin en ga naar 'Instellingen'.
3. Ga naar 'Verificatie-instellingen' en kies 'Ov-betalingen'.
4. Zet 'Verificatie vereist' uit.
5. De functie werkt nu. Je ziet staan welke betaalpas is geselecteerd; die kun je eventueel aanpassen.

De functie zou ook moeten werken op smartwatches, zoals de Apple Watch en Google Pixel Watch.

Bron: Qbuzz (afbeelding ter illustratie)

Reacties (60)

[4tro]

Was er niet laatst een probleem aan het licht gekomen waarbij enorme bedragen konden worden afgeschreven met bepaalde credit cards zonder enige verificatie van de gebruiker?

Dat misbruikte een probleem waarbij de iPhone een betaalterminal op zijn mooie blauwe ogen geloofde dat het een ov-terminal betrof.

Ik voorzie een hele serie nieuwe gelijkaardige problemen.

[R4gnax]

Deze bedoel je?
YouTube: How easy is it to steal $10,000 from a locked phone?

Het probleem is niet dat de iPhone transit-mode implementatie op zijn mooie blauwe ogen gelooft dat een terminal een ov-terminal is. Dat doen alle telefoons en is simpelweg een bitje dat op 1 staat ipv 0.

Het probleem is dat er een tweede bitje is dat aangeeft of een transactie als high-value gemarkeerd is, wat aangeeft dat er on-device verificatie van de eindgebruiker plaats moet vinden. Het is dat bitje dat Apple's iPhone op de bolle ogen gelooft zonder te kijken naar het daadwerkelijke transactiebedrag.

En dit werkt alleen icm Visa en niet Mastercard.
Het return-signaal dat aangeeft dat de transactie is goedgekeurd, bevat ook nog een bit die aangeeft of de transactie met of zonder on-device verificatie is goedgekeurd. De hack in kwestie moet deze van 0 naar 1 terug kunnen flippen om de leugen sluitend te houden.

Mastercard gebruikt asymmetrische cryptografie tussen de card en de reader, die niet toestaat dat het terug-signaal gemanipuleerd kan worden. Visa daarentegen gebruikt zwakkere symmetrische cryptografie die in dit geval dat bitje niet adequaat beschermt.


Apple wijst naar Visa. Visa wijst naar Apple, en stelt verder dat het in de praktijk niet realistisch te misbruiken is en dat ze garant staan als je slachtoffer wordt van deze fraude.

Apple heeft hier gelijk overigens. Je hoort niet naar het transactiebedrag te kijken en je hoort enkel naar de high/low value bit te kijken. Dat komt omdat verschillende landen verschillend classificeren wat een high of low value transactie is. Dat is context gebonden aan de locatie van de payment terminal.
En Visa zou hier tegen kunnen en moeten beschermen omdat het retour-signaal met de goedkeuring kaart-specifieke encryptie kan gebruiken, en dus assymetrische encryptie kan gebruiken die het terug manipuleren van de gebruikersverificatie-bit van 0 naar 1, onmogelijk maakt.
Maar daar heeft Visa geen zin in- want kosten-baten.

[Reactie gewijzigd door R4gnax op 1 augustus 2026 11:33]

[4tro]

Ik doelde ook niet specifiek op de details van de hack, maar meer kans dat het op andere manieren fout kan gaan

[svenM]

Dat Visa die encryptie moet gebruiken is een goed punt. Maar waarom laat Apple niet toe dat de gebruiker zet wat die een high value transactie vindt? Kan die zelf kiezen.

[R4gnax]

Maar waarom laat Apple niet toe dat de gebruiker zet wat die een high value transactie vindt? Kan die zelf kiezen.

Omdat dit plafond vaak in wetgeving van het land in kwestie vastgelegd is.

[svenM]

Maar stel dat ik dat zelf wil riskeren. Ik weet dat er landelijk zaken zijn als transacties groter dan x bedrag moeten gecontroleerd worden.

Maar dit ging over het niet bevestigen van een actie. Waarom kan ik zelf niet zeggen van ok 10 euro is een aanvaardbaar risico, alles groter wil ik moeten bevestigen. Dat kan een pak lager liggen dan de wettelijke bedragen.

[Gropah]

Yup. Was volgens mij bekend geworden door deze veritasium video.

[R4gnax]

Was al bekend sinds 2020~2021 hoor.
Veritasium heeft het alleen mainstream gebracht.

[CAP-Team]

Het is nog steeds wachten tot we iets van een abonnement aan ovpay kunnen koppelen.

[ShadLink]

NS gaat aan het eind van het jaar abonnementen overzetten naar OVPay, maar je blijft wel een pasje houden. Je kan dit dus niet aan je bankpas / creditcard / telefoon koppelen. En daarme is het, voor mij, direct een 100% gefaald systeem. Want het doet straks hetzelfde, voor mij, als de OV chipkaart.

[icecreamfarmer]

Dit dus, voor mijn flex abbo heb ik nog steeds een ov chipkaart nodig.

[roanstrik]

volgend jaar komt er ook een ov-pas die je in je wallet op je telefoon kan zetten, waar dus ook abonnementen op kunnen staan.

[mbovenka]

Dat begint te komen. Ik heb een lokaal (Allgobus/Keolis, Almere) kortingsabonnement voor de bus op OVpay, en mijn woon-werkverkeer (RRReis/EBS) kan nu ook op OVpay.

[jongetje]

Hier heb je wel een punt. Er wordt een compleet nieuw systeem uitgerold. Alleen abonnementen kunnen er nog niet op.

Vervolgens worden vandaag alle gele ov chipkaart automaten uitgezet bij alle punten in winkels. En die dingen zijn juist om je abonnement mee op te halen en op je ovchipkaart te zetten. Nu moet je maar een automaat op een (trein)station.

[Standeman]

Dat is vreemd. Ik check al zeker twee jaar in bij het ov zonder te ontgrendelen. Gebruik daar wel de bankpas op mijn telefoon voor. Waarschijnlijk zit daar het verschil.

[Andros]

Dan check je toch in met je bankpas, niet met je telefoon? Overigens was dat mijn eerste gedachte, veel mensen hebben een telefoonhoesje met bankpas/IDkaart/rijbewijs er in. Als je deze functie inschakelt, hoe vaak zal er met het verkeerde pasje/toestel ingecheckt gaan worden?

[Standeman]

Mijn digitale bankpas, niet mijn fysieke

[ZinloosGeweldig]

De Express-functie werkt via Apple en Google Wallet. Gebruikers kunnen die functie inschakelen op hun telefoon door een betaalpas uit hun digitale portemonnee te kiezen. houden ze hun telefoon bij de kaartlezer in het ov om meteen in te checken.

Ze hebben het toch wel over je betaalpas in de wallet app van je telefoon.

Ik gebruik die feature voor inchecken zonder te ontgrendelen voor OV ook al tijden inderdaad...

[Pieter_621]

OVpay is toch juist de bankpas op je telefoon.

Ik kreeg de optie om verificatie uit te zetten ook al een hele tijd geleden op mijm Android-telefoon. Ik heb het alleen niet gebruikt, maar het leek al wel te kunnen.

[CAP-Team]

Niet persé, je kunt ook je fysieke bankpas gebruiken voor het inchecken

[Pieter_621]

Maar dit artikel gaat over kunnen betalen zonder je apparaat te ontgrendelen. Dus dan is er al een apparaat, en niet een aparte betaalpas.

[The Third Man]

OVpay is enkel gekoppeld aan het concept “betaalkaart” van de bank. Of dat een chip op een stuk plat plastic is of in een digitale wallet van een smartphone staat is voor hen niet relevant. Voor de incheck-poortjes/terminals ook niet.

[wbartels]

Zou het kunnen zijn dat je onbewust gezichtsherkenning gebruikt op je iPhone? Dubbelklik aan knop voor iPay, je kijkt dan meestal vanzelf naar het scherm.

[Marc H]

Nee, telefoon uit je zak en voor de terminal houden is voldoende.

Ik vond dit ook al een vreemd bericht, omdat ik dit al tijden deed. Ik vond het gek dat ik vrijwel iedereen eerst zijn telefoon zag ontgrendelen voordat ze incheckten.

[JBVisual]

Ik wou precies hetzelfde zeggen, ik gebruik mijn iPhone al zeker 2 a 3 jaar op deze manier. De instellingen is al jaren beschikbaar (japan was volgens mij de eerste die dit gebruikte in de metro).
Hoe lang de functie al bruikbaar is weet ik niet, maar echt nieuw is de functie niet te noemen.

Maakt OVpay nun niet gewoon zo’n persbericht om mensen bewust te maken van deze functie?

[zacht]

Yep, ik ook al een aantal maanden. Ik dacht even dat ik gek geworden was. Als ik vervolgens in Google Wallet mijn instellingen bekijk staat 'Verificatie vereist' al uitgevinkt onder OV-betalingen.

[FooLsKi]

Ik gebruik ook mijn digitale bankpas voor OVPay en check ook al tijden in zonder te ontgrendelen. Heb geloof ik 1x de standaard melding gehad dat bij een volgende betaling de telefoon ontgrendeld moest zijn, that's it. Wellicht dat OVPay-e dat laatste voorkomt.

[Robkazoe]

Slightly off-topic. Maar zou het wel fijn en wenselijk vinden als ovpay een eigen NFC implementatie maakt ipv volledig te leunen op twee Amerikaanse big tech bedrijven.

[Blinkin]

Eens. Bij het lezen van Google Wallet haakte ik direct af. Jammer die afhankelijkheid.

[Znorkus]

Zeer on topic wat mij betreft. Eerste dat ik me afvroeg bij het lezen van het artikel - gaan al die transacties dan door de datahongerige handjes van Alphabet? Die het dan met 'location services' en andere vormen van tracking nog eens fijn koppelt aan wie je bent, wie je bezoekt, etc?

[moonlander]

Dat boeit echt 99,999% van de mensen niet, dus waarom zou je moeilijk doen met een eigen implementatie.

[The Zep Man]

Dat boeit echt 99,999% van de mensen niet,

Zaken als privacy en oneerlijke marktposities ook niet. Toch hebben we AVG, DMA, DSA, etc.

Het is fijn als het mensen niet boeit. Dan worden ze ook niet gestoord al zou er meer keuze zijn.

[KoffieAnanas]

Ahh, altijd lekker zo'n dooddoener. 👍

[MulMonkey]

Voor de geïnteresseerden, het koppelen van abonnementen is hard in ontwikkeling. Maar niet alles kan gekoppeld worden aan je betaalpas. Dat vind ik zelf nogal jammer en voelt arbitrair.

https://www.ovpay.nl/service-contact

Ook verdwijnt mede door deze ontwikkelingen binnenkort de mogelijkheid om bij de buschauffeur een kaartje/dagkaart te kopen via PIN. Dit stopt in sommige regio's in elk geval vanaf begin 2027. En ergens snap ik dat, de meeste mensen checken in. En toch is het voor sommige mensen een groot gemis.

[mbovenka]

Waarom? Je kunt toch gewoon met je PIN pas inchecken? En als die niet hebt heb je grotere problemen dan geen buskaartje kunnen kopen lijkt me.

[SampleUser]

Ja, met bankpas in/uitchecken is (bijna) altijd goedkoper dan een kaartje kopen, maar voor kinderen (en soms nog wat andere groepen) zijn er in sommige regio’s kaartjes die goedkoper zijn dan dezelfde reis op normaal tarief.

[jaaoie17]

Gaat het ooit wel komen dan? Dat alle abbo's op de betaal pas kan?

[GameNympho]

Ik ben al gaan lopen en fietsen, geen zin in al die datahonger en het zogenaamde "gemak".

Ik moet van A naar B, ik moet een kaartje kunnen kopen bij de chauffeur en die vraagt ook niet naar mijn gegevens verder.

Daar kom ik aan met gepast geld, gaat ook niet meer Sorry al die "verplichtingen" in naam van dat "gemak" gaat mij te ver.

[MarioRemco]

Nu nog hopen dat ze ook de abonnementen gaan toevoegen, volgens mij ligt dat probleem bij onze grote vrienden van DUO...

Ik dacht dat het inchecken zonder ontgrendelen met de betaalpas al een tijdje kon, ik kon in de wallet app aangeven dat dat mocht.
Zelf heb ik dit uitstaan, sta je in de bus en kom je net met je telefoon langs die paal piept die al.

[4tro]

DUO is van de studiefinanciering, hebben niks met ov-pay te maken in principe. Enige wat ze er mee te maken hebben is dat ze vroegah een studenten reisproduct op de ov chipkaart hadden.

Zullen ze nu anders moeten regelen, maar denk niet dat duo de beperkende factor is, ze zijn afhankelijk van de implementatie door ovpay

[Felidaelynx]

Er loopt toevallig op het moment een pilot met OVpay en het studenten reis product.

2027 moet natuurlijk alles definitief over op OVpay aangezien ov-chipkaart ophoudt per eind 2027

[MarioRemco]

Aah!

Goed punt. Maar waarom werken andere abonnementen al wel op de OVpay kaarten?

[chantalcoolsma]

In Parijs gebruiken ze dit al, ideaal. Gewoon telefoon bij lezer houden en doorlopen. Je koopt vooraf ticket en zet die in je Wallet.

[segil]

Ik gebruik al jaren inchecken zonder te ontgrendelen... met mijn normale OV pas. Ding gaat niet stuk als ik het laat vallen, heeft geen last van een lege accu en werkt altijd.

[bluecupra]

Deze optie is toch niet nieuw in de OVPay app? Zit er al maanden/jaren in naar mijn idee.

Vraag is alleen wel of het wenselijk is om in te schakelen, bij verlies van je telefoon kan een vinder zonder authenticatie onbeperkt reizen, hoeveel moeite is een vingerafdrukscan maken (op een moderne/actuele telefoon) nu werkelijk?

[TTTuck]

Hoe lang ga jij na verlies van je telefoon dan je bankpas autorisatie aan laten staan?

[cracking cloud]

Dit was toch al zo? Ik heb vorige week voor het gereisd met OVpay (via Apple Pay) en hoefde nooit te ontgrendelen. Deed dat de eerste keer wel maar bleek dat mijn incheck niet was gelukt. Gelukkig was er bij aankomst in Leiden een vriendelijke na medewerker die me door het poortje liet gaan.