PostNL en gaslicht.com stoppen met identificatiedienst iDIN vanwege adresfraude

PostNL en energievergelijkingssites als gaslicht.com stoppen met het gebruik van iDIN om adresgegevens van gebruikers te verifiëren. Uit onderzoek blijkt dat de verificatiedienst kan worden misbruikt voor adresspoofing, wat tot privacyrisico's kan leiden. Ook andere diensten die iDIN gebruiken, kunnen kwetsbaar zijn.

Dit nieuws in het kort

• Door de manier waarop PostNL iDIN had geïmplementeerd, konden mensen via de PostNL-app zien welke post er naar willekeurige adressen werd gestuurd.
• Ook konden gebruikers via diverse energievergelijkers, zoals gaslicht.com, het jaarverbruik van andere huishoudens bekijken.
• Beide partijen hebben de iDIN-verificatie.

Tweakers verifieerde na de ontdekking van tweaker Emile Nijssen dat gebruikers inderdaad eenvoudig bij hun bank het adres kunnen spoofen dat iDIN doorgeeft. Banken verifiëren namelijk niet of gebruikers wel echt op het opgegeven adres wonen.

Veel Nederlandse diensten en bedrijven gebruiken iDIN om de adresgegevens van gebruikers te verifiëren. Door die gebrekkige controle was het onder meer mogelijk om het adres in de PostNL-app te wijzigen in een willekeurig adres. Vervolgens konden gebruikers bij de MijnPost-dienst zien welke post er op dat adres werd bezorgd.

Tweakers schreef ook een achtergrondartikel over het probleem.

Wat is iDIN?

IDIN is een Nederlandse identificatiedienst die is ontwikkeld door de Betaalvereniging Nederland in samenwerking met nationale banken en sinds 2016 actief is. De dienst gebruikt een koppeling met de grote Nederlandse banken om de identiteit van een gebruiker te verifiëren. In tegenstelling tot opvolger Itsme en tegenhanger DigiD bewijst de gebruiker niet direct aan iDIN zelf wie hij is, maar via zijn eigen bank. De aanname erachter is dat banken verifiëren wie een gebruiker is. Inloggen via het beveiligde systeem van banken moet aantonen dat de bank de identiteit van de gebruiker al heeft geverifieerd.

PostNL meldt dat het de adresverificatie met iDIN 'naar aanleiding van recente signalen' heeft uitgezet. "Op dit moment kunnen gebruikers hun adres niet via iDIN verifiëren. Zij kunnen hiervoor gebruikmaken van een bestaande alternatieve methode via een brief met verificatiecode, die wordt toegestuurd."

Dezelfde truc was mogelijk met energievergelijkers die zijn aangesloten bij Energie Data Services Nederland (EDSN). Dat is de digitale infrastructuur van de Nederlandse netbeheerders. Onder meer vergelijkingssite gaslicht.com gebruikt iDIN voor adresverificatie. Door hun adres te wijzigen, konden gebruikers het jaarverbruik van ieder huishouden in Nederland opvragen. Nadat Tweakers zijn bevindingen deelde met EDSN, heeft het IT-bedrijf deze verificatiemethode stopgezet. EDSN zegt te kijken naar alternatieven.

Nog meer organisaties vatbaar?

Mogelijk zijn nog veel meer organisaties vatbaar voor misbruik wanneer ze alleen de iDIN-adresgegevens gebruiken, zonder andere verificaties. Tweakers ontdekte ook dat klanten via afvalinzamelbedrijf Avalex een digitale afvalpas voor een vals adres kunnen activeren. Daardoor kunnen klanten afval wegbrengen op andermans naam. Dat bedrijf heeft de iDIN-integratie niet meteen uitgeschakeld, maar zegt te onderzoeken 'of aanvullende maatregelen nodig en proportioneel zijn om mogelijk misbruik verder te beperken'.

Itsme, de organisatie achter iDIN, wijst erop dat het probleem zit in de manier waarop bedrijven als PostNL de dienst hebben geïmplementeerd. Een woordvoerder van de verificatiedienst raadt bedrijven aan om 'aanvullende controles' uit te voeren als ze zeker willen weten dat het adres van de gebruiker klopt.

Via de Avalex-app is het nog mogelijk om een pas aan te vragen op een vals adres.

Update, vrijdag – In het artikel stond aanvankelijk niet vermeld dat iDIN is ontwikkeld door de Betaalvereniging Nederland en de Nederlandse banken. Ook stond er dat Itsme wijst naar banken én bedrijven terwijl Itsme alleen wijst naar bedrijven die iDIN implementeren. Dit is aangepast.

Reacties (63)

[Jedotw]

Recent een implementatie van IDIN gedaan en daar viel iets op dat ook niet door de beugel kan: het BSN kan/wordt in het retour bericht van IDIN meegegeven. DIt mag volgens de wet in het geheel niet. Nadat ik daarop gewezen had, kreeg ik een reactie in de trant van "dat ik blij moest zijn met nog meer zekerheid rond de gebruiker".

[nklerk]

Dit vind ik nogal schokkend. Heb je hier buiten idin melding van gemaakt?

[morphje]

Kort antwoord: nee, dat kan je meestal niet. Tenminste niet als je je baan te grabbel wilt gooien. En ja, dat klinkt als bait, maar met overheidsdiensten en aanverwanten is zo verschrikkelijk veel mis, niet te geloven.

Het begint in de eerste plaats dat de meeste implementatie partijen derde partij zijn. Ze hebben een zorgplicht om een melding te doen naar de eigenaar/opdrachtgever, diens privacy officer moet het antwoord vertalen naar de leverancier en een officiele klacht neerleggen. Indien nodig is de privacy officer nadien ook verantwoordelijk voor het opvolgen en escaleren van de klacht.

Daar zitten zo ongelovelijk veel stappen tussen, tegen de tijd dat het al bij de privacyofficer of CISO ligt is er al zo veel informatie verloren gegaan en verdwijnt de melding in het ronde archief wegens snap het niet, niet belangrijk of welk ander excuus dan ook.

Hier vragen om bewijsstukken is net zo goed onmogelijk, simpelweg omdat consultants gehouden zijn aan geheimhoudingsverklaringen en klokkenluiders kunnen hun fijne baantje wel vaarwel zeggen. Denk je werkelijk dat iemand dat wil riskeren?

[Krahk]

Idin is niet van de overheid maar van de banken zelf. Welke overheidsinstanties bedoel je dan en waarom noem je die hier?

[morphje]

Overheidsdiensten EN aanverwanten, waarbij ik alle dienstverleners die persoonsgegevens brokeren op een hoop veeg. Het probleem met het verantwoordelijkheidsbeginsel is simpelweg dat "overheidsinstanties" kunnen zeggen "ja, niet mijn dienst vriend".

Ik maak dan geen onderscheid tussen bijvoorbeeld Logius (die overigens weer grotendeels door een IT dienstverlener wordt gerunt), de KVK of het ministerie van BZK. Ze leveren gezamelijk data uit, via tussenpartijen en daarna veelal ook weer terug aan andere overheidsdiensten zoals gemeentes.

Maar de gemene deler is wel, dat zodra er een overheidsdienst tussen zit, dat de kwaliteit van de IT dienstverlening heel hard achteruit gaat omdat de overheid of het niet snapt en daarom het proces zelf zover plat slaat dat het waardeloos is. of de overheid het niet snapt en de dienstverlener zoveel mogelijk shortcuts neemt om net aan te voldoen aan een specificatie die de overheid niet snapt en het eindproduct waardeloos is.

En dat is natuurlijk niet zo gek natuurlijk. De hele "overheid IT" hangt aan elkaar van tientallen jaren aan historie en politieke beslissingen.

[thof]

Weet je zeker dat dit niet de 'Bin' was in plaats van een 'Bsn'? Een BSN mag namelijk maar heel beperkt gebruikt worden.

[HenkEisDS]

Wat?! Heb je hier een bron van?

I call bull.

[Reactie gewijzigd door HenkEisDS op 7 oktober 2026 20:05]

[Jedotw]

Ach, het is heel gebruikelijk om meteen BS te roepen: eigen mening en gevoelens gaan boven feiten...

Implementatie via Bluem (dat volgens mij weer gebruik maakt van equensWorldline). In het bericht meerdere velden die niet in de specificatie staan, waaronder consumer.bsn.

[thomasv]

De informatie is iets te specifiek om gelijk BS te roepen Henk.

[HenkEisDS]

Ik heb de api specs erbij gepakt.

https://currencenl.atlass...i/spaces/IIDIFMD/overview

En heb het rapport van de partij die de implementatie heeft gechecked gescanned.

Bull.

[R4gnax]

Het implementatiedocument wat daar gegeven wordt is versie 1.1 gedateerd 24-11-2020, maar de laatste bewerking wordt aangegeven als 01-10-2025. Historische versies inzien werkt niet en levert een vasthangende pagina op.

Dus het wordt heel moeilijk om je op specificaties te beroepen als je niet kunt bewijzen dat die niet achteraf bijgesteld zijn nadat e.e.a. stilletjes aangepast is.

Daarnaast: dat een implementatie iets doet, staat los van of de specificatie zegt dat het dat ook moet doen of niet. Als die twee niet aansluiten heb je mogelijk met een bug van doen.

[Reactie gewijzigd door R4gnax op 7 oktober 2026 21:24]

[Jedotw]

Implementatie via Bluem (dat volgens mij weer gebruik maakt van equensWorldline). In het bericht meerdere velden die niet in de specificatie staan, waaronder consumer.bsn.

[Jeoh]

Bullshit. Heb je enige vorm van bewijs?

[Blokker_1999]

Banken verifiëren namelijk niet of gebruikers wel echt op het opgegeven adres wonen.

Hoezo, banken controleren dat niet? Zijn ze dat niet verplicht met de KYC wetgeving?

[Revolt463]

Precies dit. PostNL en Gaslicht.com gebruiken Idin. Dit systeem geeft een naam en adres terug, welke is vastgesteld door de bank van de gebruiker. Als dit eenvoudig is aan te passen bij de bank zonder verificatie, dan is dit systeem zo lek als een mandje.

[Santanero]

Financiële instellingen zijn conform de Wwft verplicht een persoon te identificeren en de identiteit te verifiëren. Een adres is geen primair persoonsgegeven en daarmee niet direct vereist in KYC. Het maakt wel onderdeel uit van KYC maar is niet verplicht.

Waar financiële instellingen wel op moeten letten is dat je niet zomaar gevoelige informatie per post naar dit adres kan sturen zonder dat je geverifieerd hebt dat de persoon daadwerkelijk op dit adres woont. Anders loop je risico op een datalek.

[Croga]

Nope. KYC gaat over onveranderlijke zaken; wie ben je, waar komt je geld vandaan, wat zijn de risico factoren. KYC gaat niet over veranderlijke zaken zoals je adres.

KYC is er om financiële fraud te voorkomen of op te sporen. Je adres is daar geen factor in en hoeft dus ook niet gecontroleerd te worden.

[mexicanburribo]

Een woordvoerder van de verificatiedienst raadt bedrijven aan om 'aanvullende controles' uit te voeren als ze zeker willen weten dat het adres van de gebruiker klopt.

Is dat zeg maar uhm niet de reden waarom mensen een verificatiedienst gebruiken, zodat ze dat niet zelf hoeven te doen? Slap excuus, zeg dan als itsme meteen dat je er de stekker uittrekt, dat is dan praktischer

[eborn]

Ik zie iDIN altijd meer als een middel om een bedrijf te laten weten wie je bent. De gegevens die vervolgens aan jou identiteit hangen zijn net zo goed of slecht als de controles bij de bank. Ik ben benieuwd in hoeverre deze partijen hiervan op de hoogte waren, of dat het verkocht is als een oplossing voor hun problemen.

[mexicanburribo]

Maar 'te laten weten wie je bent', daar hangt een stuk validatie aan, toch? Anders kan ik tegen service a zeggen zonder enige validatie: joh ik ben jan jansen. En dan vervolgens bij service b, die dan denkt te weten wie ik ben, me dus voordoen als een ander. Zoals nu dus ook bij deze partijen het geval is. Dan heeft idin geen nut, want het is geen SSO oid, het logt je namelijk niet in, maar zou moeten controleren wie je bent

[Finraziel]

Maar wie je bent, dat controleren banken vermoed ik wel een stuk beter. De fout lijkt te zitten in dat er aangenomen werd dat dan óók het adres wel geverifieerd zou worden. Op zich ook niet zo'n gekke aanname, ik had ook wel verwacht dat banken daar ook secuurder mee om zouden gaan eigenlijk. Maar het is strikt genomen niet hetzelfde als je identiteit.

[RoestVrijStaal]

Is het niet iets voor PostNL en andere postbedrijven om samen zelf een soort iDIN op te zetten met de insteek dat een `Aan:` (dus Initialen + tussenvoegsel + achternaam) op dit en dat adres woont?

Het gaat dus om te verifieren dat een persoon mogelijk dat adres als woon of postadres heeft, dus niet zoals bij iDIN of die persoon bestaat.

[Hakker]

Nee want welke naam je op een adres zet is compleet irrelevant Voor de verwerking van post. Het enige waar naar gekeken wordt bij post verwerking is postcode en huisnummer dus bv 1000AA 1

Dat het een postbusnummer is is niet boeiend. Wie er zit is niet boeiend. Hoe je de stad/dorp geeft qua naam ook niet. Wat PostNL, DHL, UPS ed betreft kan heel Nederland op dat adres zitten.

Wie waar woont is een gemeentelijk taak en daar halen banken als het goed is hun data ook vandaan voor hun iDIN. En ja banken hebben hun zaakjes wel een stukje beter op orde dan dat ik het aan postbedrijven zou neerleggen.

[Boedje]

Wie waar woont is een gemeentelijk taak en daar halen banken als het goed is hun data ook vandaan voor hun iDIN. En ja banken hebben hun zaakjes wel een stukje beter op orde dan dat ik het aan postbedrijven zou neerleggen.

Ja, het klopt dat gegevens worden vastgelegd in de BRP waar mensen zijn ingeschreven. Maar dit hoeft niet per definitie een woonadres te zijn. Ook bestaat de zogeheten briefadres voor diegenen zonder vaste verblijfplaats.

Nee, banken zijn naar mijn idee geen afnemers van de BRP want

1 ze gebruiken geen DigiD verificatie wanneer je online je rekeningen wilt inzien/beheren.

2 je geen verhuizing of overlijden hoeft door te geven als het een BRP afnemer zou zijn.

3 als afsluiter....had men geen adresfraude kunnen plegen met iDIN als de BRP direct wordt geraadpleegd door banken.

[TinusH777]

Je postadres is een communicatiekanaal, net als email en telefoonnr.
Bij een adreswijziging hoort de bank (beheerder identiteitgegevens) een activatielink te sturen per post, net zoals gebruikelijk is voor email adres en telnr.
PostNL is geen beheerder van persoonsgegevens, heeft slechts een logistieke rol: een bericht afleveren op een adres. PostNL zou wel een QR-code briefkaartdienst kunnen aanbieden voor o.a. banken.

[Reactie gewijzigd door TinusH777 op 8 oktober 2026 05:34]

[CivLord]

Er bestond ooit iets als een postidentiteitskaart, dat door de PTT werd afgegeven.

Daarmee kon je jezelf identificeren wanneer je bv. paketpost of aangetekende post op het postkantoor af kwam halen. Dat kon je gebruiken wanneer je geen paspoort of rijbewijs had. (In de tijd dat er geen identificatieplicht was en lang niet iedereen een paspootrt of rijbewijs had en een ID-kaart nog niet bestond.)

Hoe je identiteit of adres werd gecontroleerd weet ik niet. Misschien een combinatie van uittreksel uit het bevolkingsregister en een geadresseerd afhaalbewijs.

[Arnie1]

Lekker makkelijk van Itsme om achteraf te wijzen op een verkeerde implementatie en de handen er verder vanaf te trekken.

[Croga]

Wat moeten ze anders doen?

Het is zeker niet alleen itsme die hier blaam treft maar het is zeker óók itsme. Ze hebben een systeem gebouwd om gegevens te controleren maar geen eisen gesteld aan de partijen om deze gegevens ook daadwerkelijk te verifiëren. Dan hebben ze dus gewoon een lek systeem gebouwd.
En als afnemer kun je maar één ding doen als je verificatie systeem onbetrouwbaar is. Dat systeem er uit gooien. Een andere optie heb je niet.

[Paul]

Jeetje, die PostNL-app wordt dus met de dag slechter en slechter... Ze laten al heel lang niet meer zien welke post er bij MIJ bezorgd gaat worden (lees de reviews op de app stores maar na, iedereen klaagt steen en been), maar als ik een ander adres dan mijn eigen invul dan kunnen ze ineens wel laten zien welke post daar bezorgd wordt?

Beste PostNL, als je op andere adressen wel laat zien welke post er komt, laat het dan ook op mijn echte adres zien aub. Wat een aanfluiting is die app, dat mensen die nog gebruiken...

[Jorah_Newstone]

De banken zouden dit toch gewoon kunnen fixen door wanneer je IDIN linkt even een ouderwetse brief met een code naar het adres te kunnen sturen? Tja verificatie duurt dan langer, maar dan heb je dit wel gedicht. Want IDIN zelf werkt wel erg goed.

[Skit3000]

Vervolgens konden gebruikers bij de MijnPost-dienst zien welke post er op dat adres werd bezorgd.

Dat is een beetje naïef. Iemand zou een pakket met bijvoorbeeld drugs ergens verderop in de wijk af kunnen laten leveren op een dag dat die bewoners niet thuis zijn, om daarna (op het laatste moment) het eigen adres als alternatief afleveradres op te geven. Als de politie het pakketje onderschept dan zijn die buren de pineut en niet de crimineel. Als de politie het pakket niet onderschept, wordt het gewoon netjes afgeleverd bij de crimineel thuis zonder dat er ook maar een haan naar kraait.

Hetzelfde met dure bestellingen die zijn gedaan met gestolen creditcards, etc.

[faim]

Drie hypotheek verstrekkers die ik heb (gehad) gebruiken ook allen iDiN voor het inloggen of zelfs wachtwoord vergeten. De laatste raadde zelfs aan om mijn adres bij de bank te wijzigen, omdat ik dan direct kon inloggen ipv vijf dagen op een login per post te wachten.

[Oeroeg]

Het is mij vaker opgevallen dat een "bank statement" of "utility bill" ook kan dienen als bewijs van adres.

Maar je kunt prima een prepaid (eSim) aanvragen op ieder willekeurig adres in Nederland.