PostNL en gaslicht.com stoppen met identificatiedienst iDIN vanwege adresfraude

PostNL en energievergelijkingssites als gaslicht.com stoppen met het gebruik van iDIN om adresgegevens van gebruikers te verifiëren. Dat laten ze aan Tweakers weten. Uit onderzoek van Tweakers blijkt dat de verificatiedienst kan worden misbruikt voor adresspoofing, wat tot privacyrisico's kan leiden. Ook andere diensten die iDIN gebruiken, kunnen kwetsbaar zijn.

Dit nieuws in het kort

• Door een kwetsbaarheid bij iDIN konden mensen via de PostNL-app zien welke post er naar willekeurige adressen werd gestuurd.
• Ook konden gebruikers via diverse energievergelijkers, zoals gaslicht.com, het jaarverbruik van andere huishoudens bekijken.
• Beide partijen hebben de iDIN-verificatie na vragen van Tweakers uitgezet.

Tweakers verifieerde na de ontdekking van tweaker Emile Nijssen dat gebruikers inderdaad eenvoudig de iDIN-verificatiemethode kunnen spoofen via hun bank. Banken verifiëren namelijk niet of gebruikers wel echt op het opgegeven adres wonen.

Veel Nederlandse diensten en bedrijven gebruiken iDIN om de adresgegevens van gebruikers te verifiëren. Door die gebrekkige controle was het onder meer mogelijk om het adres in de PostNL-app te wijzigen in een willekeurig adres. Vervolgens konden gebruikers bij de MijnPost-dienst zien welke post er op dat adres werd bezorgd.

Tweakers schreef ook een achtergrondartikel over het probleem.

Wat is iDIN?

IDIN is een Nederlandse identificatiedienst die sinds 2016 actief is. De dienst gebruikt een koppeling met de grote Nederlandse banken om de identiteit van een gebruiker te verifiëren. IDIN controleert, in tegenstelling tot opvolger itsme en tegenhanger DigiD, niet of de gegevens die de bank heeft ook kloppen.

PostNL meldt aan Tweakers dat het de adresverificatie met iDIN 'naar aanleiding van recente signalen' heeft uitgezet. "Op dit moment kunnen gebruikers hun adres niet via iDIN verifiëren. Zij kunnen hiervoor gebruikmaken van een bestaande alternatieve methode via een brief met verificatiecode, die wordt toegestuurd."

Dezelfde truc was mogelijk met energievergelijkers die zijn aangesloten bij Energie Data Services Nederland (EDSN). Dat is de digitale infrastructuur van de Nederlandse netbeheerders. Onder meer vergelijkingssite gaslicht.com gebruikt iDIN voor adresverificatie. Door hun adres te wijzigen, konden gebruikers het jaarverbruik van ieder huishouden in Nederland opvragen. Nadat Tweakers zijn bevindingen deelde met EDSN, heeft het IT-bedrijf deze verificatiemethode stopgezet. EDSN zegt te kijken naar alternatieven.

Nog meer organisaties vatbaar?

Mogelijk zijn nog veel meer organisaties vatbaar voor misbruik van de kwetsbaarheid. Tweakers ontdekte ook dat klanten via afvalinzamelbedrijf Avalex een digitale afvalpas voor een vals adres kunnen activeren. Daardoor kunnen klanten afval wegbrengen op andermans naam. Dat bedrijf heeft de iDIN-integratie niet meteen uitgeschakeld, maar zegt tegen Tweakers te onderzoeken 'of aanvullende maatregelen nodig en proportioneel zijn om mogelijk misbruik verder te beperken'.

Itsme, de organisatie achter iDIN, wijst erop dat het probleem zit in de manier waarop bijvoorbeeld banken of bedrijven als PostNL de dienst hebben geïmplementeerd. Een woordvoerder van de verificatiedienst raadt bedrijven aan om 'aanvullende controles' uit te voeren als ze zeker willen weten dat het adres van de gebruiker klopt.

Via de Avalex-app is het nog mogelijk om een pas aan te vragen op een vals adres.

Reacties (14)

[WeeJeWel]

Ik ben die Emile Nijssen, en ik vind wel dat jullie erg met de eer strijken hier hoor...

Dit lek heb ik zelf ontdekt, gemeld bij PostNL, en na geen reactie op mijn LinkedIn gezet. Dat bericht heb ik bij Tweakers gesubmit.

Kort daarna heb ik dat LinkedIn bericht verwijderd op verzoek van PostNL zodat zij meer tijd hadden om het op te lossen. Initieel was mijn responsible disclosure niet bij hen beland.

Maar dat Tweakers dit nu omschrijft als "Tweakers ontdekte na een tip van tweaker Emile Nijssen dat gebruikers eenvoudig de iDIN-verificatiemethode kunnen spoofen via hun bank." vind ik niet zo netjes. Jullie vervolgonderzoek naar o.a. gaslicht.com is wel heel goed, mijn complimenten daarvoor.

edit:
Bedankt voor de nieuwe bewoording!

[Reactie gewijzigd door WeeJeWel op 7 oktober 2026 17:51]

[YannickSpinner]

Ik heb de formulering van die ene zin iets aangepast. Je hebt uiteraard meer dan alleen de tip gegeven, maar een belangrijke opzet voor het artikel. Collega Lumen heeft na je ontdekking bij Bunq overigens geverifieerd dat het inderdaad bij alle andere banken werkt. En hij heeft uiteraard alle geciteerde organisaties gesproken. Volgens mij verdienen jullie beide eer

Vanwege de publieke aard van je reactie voel ik me wel genoodzaakt om te vermelden dat we voor publicatie uitgebreid persoonlijk contact hebben gehad over de vermelding van je naam. Het is niet onze bedoeling om met eer te strijken. Juist daarom hebben we na de verwijdering van je post contact met je opgenomen.

[Reactie gewijzigd door YannickSpinner op 7 oktober 2026 18:03]

[Neo_TGP]

Tweakers is al lang niet meer die gezellige community site die het ooit was, inmiddels gaat het alleen maar om de clicks, en als je dingen zegt die ze niet aan staat wordt je reactie om een of andere flutrede gewoon verwijderd. Daarmee komt ook een bepaalde arrogantie die dus dit soort situaties als gevolg heeft.

Een volgende keer dat je iets onder de aandacht wil brengen kan ik je de DIVD aanraden, die gaan wel fatsoenlijk om met dit soort disclosures.

[nklerk]

Ik dacht al. Dat is toch WeeJeWel van Homey (Athom). Ik kan mij niet voorstellen dat de redactie geen contact gegevens van je heeft. Zelf controleren is niet hetzelfde als ontdekken. Beetje jammer.

De gemiddelde Tweakers prikt hier doorheen gelukkig maar netjes is het allerminst.

@WeeJeWel kan je uitweiden hoe je tot de ontdekking kwam? Vaak is de weg naar een ontdekking interessanter dan de ontwikkeling zelf.

[TijsZonderH]

Ik kan mij niet voorstellen dat de redactie geen contact gegevens van je heeft. Zelf controleren is niet hetzelfde als ontdekken. Beetje jammer.

Dan klopt je eerste instinct want we hebben hier uitgebreid contact over gehad, letterlijk nog deze middag over precies de vraag hoe we aan bronvermelding moesten doen.

Dus als het gaat over netjes of niet netjes dan heb ik ook nog wel wat meningen...

[Jedotw]

Recent een implementatie van IDIN gedaan en daar viel iets op dat ook niet door de beugel kan: het BSN kan/wordt in het retour bericht van IDIN meegegeven. DIt mag volgens de wet in het geheel niet. Nadat ik daarop gewezen had, kreeg ik een reactie in de trant van "dat ik blij moest zijn met nog meer zekerheid rond de gebruiker".

[nklerk]

Dit vind ik nogal schokkend. Heb je hier buiten idin melding van gemaakt?

[mexicanburribo]

Een woordvoerder van de verificatiedienst raadt bedrijven aan om 'aanvullende controles' uit te voeren als ze zeker willen weten dat het adres van de gebruiker klopt.

Is dat zeg maar uhm niet de reden waarom mensen een verificatiedienst gebruiken, zodat ze dat niet zelf hoeven te doen? Slap excuus, zeg dan als itsme meteen dat je er de stekker uittrekt, dat is dan praktischer

[eborn]

Ik zie iDIN altijd meer als een middel om een bedrijf te laten weten wie je bent. De gegevens die vervolgens aan jou identiteit hangen zijn net zo goed of slecht als de controles bij de bank. Ik ben benieuwd in hoeverre deze partijen hiervan op de hoogte waren, of dat het verkocht is als een oplossing voor hun problemen.

[Arnie1]

Lekker makkelijk van Itsme om achteraf te wijzen op een verkeerde implementatie en de handen er verder vanaf te trekken.

[duvekot]

En welke Emile Nijssen was het nou?
@mux of @WeeJeWel

Edit:
Het is dus @WeeJeWel .. zien zijn post hierzo:
WeeJeWel in 'PostNL en gaslicht.com stoppen met identificatiedienst iDIN vanwege adresfraude'

[Reactie gewijzigd door duvekot op 7 oktober 2026 17:31]

[Damic]

het is WeeJeWel in 'PostNL en gaslicht.com stoppen met identificatiedienst iDIN vanwege adresfraude'

[RoestVrijStaal]

Is het niet iets voor PostNL en andere postbedrijven om samen zelf een soort iDIN op te zetten met de insteek dat een `Aan:` (dus Initialen + tussenvoegsel + achternaam) op dit en dat adres woont?

Het gaat dus om te verifieren dat een persoon mogelijk dat adres als woon of postadres heeft, dus niet zoals bij iDIN of die persoon bestaat.

[Chrismaclinux]

En zo zat ik ineens zonder dat ik het wist aan een ander energie Maatschappij vast....wat blijkt de verkoper had per ongeluk mijn huis nr 258 opgegeven in mijn straat maar dat moest zijn 248 ik ben weken bezig geweest om dat duidelijk te krijgen uiteindelijk is alles met terugwerkende kracht weer recht gezet....dus er werd niet naar de naam gekeken