Ongecontroleerde bankadressen maken misbruik van iDIN-koppelingen mogelijk

Banken controleren adreswijzigingen niet: iDIN-systeem vatbaar voor misbruik

De manier waarop identificatiedienst iDIN bij belangrijke diensten werd geïmplementeerd, maakte het eenvoudig om gevoelige informatie over Nederlanders in te zien. Banken controleren niet of een door een klant gewijzigd adres daadwerkelijk klopt. Tweakers kon daardoor een ander adres via iDIN als eigen adres laten doorgeven en vervolgens onder meer zien welke poststukken iemand ontvangt en wat het energiegebruik op dat adres was. Sommige diensten hebben naar aanleiding van de ontdekking hun iDIN-implementatie aangepast of uitgezet om misbruik door kwaadwillenden te voorkomen.

Dat blijkt uit onderzoek van Tweakers naar aanleiding van de initiële ontdekking van het probleem door tweaker Emile Nijssen.

Zo konden klanten van ING via de bankapp een ander adres registreren zonder bewijs dat de rekeninghouder daar woonde. Dat adres werd vervolgens via iDIN aan andere diensten doorgegeven. Na navraag bleek dat dit ook kan bij alle banken die op iDIN zijn aangesloten.

Adres spoofen

Een van die diensten was MijnPost van PostNL. Bewoners kunnen zich daar aanmelden om te zien welke poststukken zij ontvangen. Daarvoor moeten ze hun adres opgeven. PostNL verifieert dat met iDIN. Iemand die een adres via iDIN spooft, kan zo via MijnPost zien welke poststukken een slachtoffer ontvangt. Daar kan gevoelige informatie tussen zitten.

Tweakers heeft ook andere scenario's getest. Zo kunnen gebruikers bij energieverbruiksvergelijkers het verbruik van voorgaande jaren opvragen. Websites zoals gaslicht.com gebruiken iDIN om op te vragen waar iemand woont en zo gegevens van netbeheerders te tonen.

Ook kunnen gebruikers een nieuwe digitale afvalpas aanvragen en zo namens anderen afval wegbrengen. Er zijn meer van zulke implementaties waarbij het spoofen van een adres daardoor problemen of privacyrisico's kan opleveren.

Wat is iDIN?

IDIN is een Nederlandse identificatiedienst die sinds 2016 actief is. De dienst gebruikt een koppeling met de grote Nederlandse banken om de identiteit van een gebruiker te verifiëren. In tegenstelling tot opvolger Itsme en tegenhanger DigiD bewijst de gebruiker niet zelf wie hij is. Gebruikers tonen daarmee alleen een relevant gegeven aan, zoals waar ze wonen. De aanname erachter is dat banken verifiëren wie een gebruiker is. Inloggen via het beveiligde systeem van banken moet aantonen dat de identiteit van de gebruiker al is geverifieerd.

Geen garanties van banken

De Nederlandse Betaalvereniging, de brancheorganisatie voor financiële instellingen, erkent dat er bij een adreswijziging geen extra controle plaatsvindt. "De banken hebben geen toegang tot bijvoorbeeld de Basisregistratie Personen (BRP) om te controleren of een gebruiker op het nieuwe adres woont dat is ingevoerd. Wij moeten daarop vertrouwen", schrijft de brancheorganisatie in een reactie aan Tweakers. "Als gebruikers er misbruik van maken en daarvan wordt aangifte gedaan, zijn ze ook zeer makkelijk te traceren en zeggen de banken de relatie met die klant ook onmiddellijk op."

Gebruikers kunnen echter moeilijk achterhalen wanneer iemand deze kwetsbaarheid heeft uitgebuit. De pakkans is dus laag.

ING zegt in een afzonderlijke reactie tegen Tweakers dat het weet dat adresgegevens via iDIN niet altijd actueel en correct zijn: "Binnen de afspraken rond iDIN geldt dat ING niet kan garanderen dat deze gegevens, waaronder het adres, altijd actueel en correct zijn."

Andere banken bevestigen dat. "Onze klanten kunnen in de Rabo App gemakkelijk zelf hun nieuwe adres doorgeven. De wijziging van het adres wordt daardoor direct verwerkt in het klantprofiel", schrijft de Rabobank in een reactie. ABN AMRO zegt dat ook.

Op de website van iDIN staat dat gebruikers zelf verantwoordelijk zijn voor het doorgeven van het juiste adres. "Kloppen de gegevens niet (of deels), dan moet u dit laten aanpassen bij uw bank. De manier waarop verschilt per bank. Neem daarom contact op met uw eigen bank." Dat gaat dus wel voorbij aan de mogelijkheid van kwaadwillig gebruik.

Diensten zetten adresverificatie uit

Meerdere diensten hebben adresverificatie via iDIN inmiddels uitgezet. PostNL schrijft in een reactie: "Naar aanleiding van recente signalen hebben we uit voorzorg het proces voor adresverificatie aangepast. Op dit moment kunnen gebruikers hun adres niet via iDIN verifiëren. Zij kunnen hiervoor gebruikmaken van een bestaande alternatieve methode via een brief met verificatiecode, die wordt toegestuurd."

Gaslicht.com doet hetzelfde. Een woordvoerder vertelt: "Wij gaan dit verder onderzoeken en we gaan hierover in gesprek met EDSN en iDIN." EDSN staat voor Energie Data Services Nederland. Die organisatie beheert en deelt energieverbruiksdata van netbeheerders.

EDSN gebruikt iDIN op grote schaal bij verschillende organisaties en zet de dienst nu uit, vertelt een woordvoerder: "We zetten de dienst uit en onderzoeken alternatieven."

Verder erkent het afvalinzamelbedrijf Avalex dat het iDIN gebruikt. Dat bedrijf geeft een digitale afvalpas uit op basis van iDIN-adresverificatie.

Een woordvoerder vertelt dat het bedrijf kijkt naar mogelijke maatregelen: "We zullen opnieuw kijken naar de mogelijkheden om de verificatie van het woonadres zo betrouwbaar mogelijk uit te voeren. Daarbij zullen we beoordelen of aanvullende maatregelen nodig en proportioneel zijn om mogelijk misbruik verder te beperken."

Reactie iDIN

IDIN is sinds vorig jaar onderdeel van het Belgische Itsme. Itsme zegt in een reactie aan Tweakers dat bedrijven iDIN op de juiste manier moeten implementeren. Vertrouwen op een adres als verificatiemethode is daarbij niet altijd voldoende.

Volledige reactie van iDIN-beheerder Itsme

"IDIN is niet ontworpen of gepresenteerd als een zelfstandige garantie dat iemand daadwerkelijk op een bepaald adres woont. IDIN geeft bij een adresuitvraag het adres door dat bij de bank van de gebruiker bekend is. Voor organisaties die zekerheid over het huidige adres nodig hebben, is het dan ook wenselijk om aanvullende controles uit te voeren."

"Identificatie kan alleen worden benaderd vanuit de identiteit van de gebruiker. De voorbeelden uit het onderzoek onderstrepen dan ook dat alleen de bevestiging van het woonadres van een persoon onvoldoende zekerheid biedt. Daarvoor zijn ook andere gegevens nodig, zoals een geverifieerde naam."

_{Redactie: Lumen Heijdendael, Yannick Spinner, Eindredactie: Monique van den Boomen}

Reacties (18)

[ComputerGekkie]

Maar waar is IDIN dan wel nuttig voor in dit geval? Ik heb zelf altijd begrepen dat het idee was dat de bank die gegevens al eens heeft gecontroleerd en het zinloos is als iedere partij dat nog eens gaat doen.

Als je niet uit kan gaan van de betrouwbaarheid van die gegevens, welk nut dient het dan?

[Reactie gewijzigd door ComputerGekkie op 7 oktober 2026 17:26]

[Bedge85]

Ik heb in het verleden leeftijdsverificatie voor een online drankhandel geïmplementeerd op basis van iDIN. Ik vermoed dat iDIN daarvoor nog steeds betrouwbaar en bruikbaar voor is.

Gaat in principe heel netjes via iDIN waarbij je als afnemer enkel de informatie via iDIN ontvangt die nodig is. In de situatie van de drankenhandel kregen we enkel door of een gebruiker 18+ is en verder geen adres informatie of geboortedatum.

[Brent]

Ik heb het altijd een vreemde dienst gevonden. Banken, blijf bij je leest.

[ronansoleste]

In de noordelijke landen is het de standaard. Je certificeert ala iDIN je gegevens voor allerlei zaken daar. Een beetje een crossover van iDIN en digid zeg maar. Had opzich het prima gevonden als dat hier ook was geweest. Maar digid is wel logischer uiteindelijk

[The-Source]

Bij de odido hack bijvoorbeeld dat je geen ID informatie moest afstaan. Voor andere zaken nog niet veel nuttige redenen gezien

[KWOAD]

Moeten banken niet gewoon iedere klant maar vertrouwen als die een adreswijziging doorgeeft? Bij de aanpassing van e-mail worden door goede accountsystemen ook e-mails verstuurd naar het oude (ter info) en nieuwe (voor verificatie) e-mailadres. Kan bij postadres ook op die manier. Fysieke post is wel wat duurder, maar ja, een postadres van je bank is ook wel belangrijk. En dan werkt IDIN wel goed.

[Kevinp]

En als je verhuist bent?

Of een woning moet kopen /verbouwen. Ik kon bv niet inloggen bij de hypohteek omdat mijn adres niet klopte omdat ik daar (nog) niet woonde.

Enige oplossing is degene die mensen hier ook hebben. Adres veranderen, inloggen en mogelijk weer terug veranderen omdat je anders andere issues hebt.

[KWOAD]

Als je verhuisd bent dan krijg je netjes een brief met verificatiecode op je nieuwe adres. En wellicht krijgen de inwoners van je oude adres ook een brief waar ze weinig mee kunnen zonder aanvullende informatie die de rekeninghouder wel kent.

[The Zep Man]

"Als gebruikers er misbruik van maken en daarvan wordt aangifte gedaan, zijn ze ook zeer makkelijk te traceren en zeggen de banken de relatie met die klant ook onmiddellijk op."

Dat is enkel reactieve beveiliging, niet preventief. Voor een systeem waarop anderen vertrouwen voor verificatie is alleen reactief niet voldoende. Voor een verificatiesysteem moet je... verifiëren, niet vertrouwen.

[DigitalDr]

Hé grappig. Ik wilde een paar dagen terug mijn nieuwe adres bevestigen aan PostNL, dit bleek met iDin te moeten. Toen heb ik mijn adres aangepast in mijn profiel bij de bank, waarbij het me al verbaasde dat er geen controle plaatsvond. Toen kreeg ik de wijziging doorgevoerd bij PostNL, waarna ik foto's kan zien van post die naar mijn adres onderweg is.

Heel vreemd eigenlijk. iDin is gebouwd op het idee dat banken betrouwbare gegevens bieden, maar als banken die gegevens niet controleren krijg je een hele idiote situatie.

[ManiacsHouse]

Maar dan moet je toch beveiligd toegang hebben tot bank? Dat kan toch niet iedereen zomaar doen op jouw rekening.

[Steno]

Het gaat erom... Ik vul in mijn bankomgeving jóuw adres in .. en tadaa ik kan doen alsof ík daar woon en bijv. post checken.

[Jeffrex]

Ik vind het maar raar dat organisaties IDIN hiervoor gebruiken. IDIN is om je te identificeren. Niet om je adresgegevens te verifiëren. Deze partijen hebben zitten slapen en onvoldoende onderzoek gedaan. Daadwerkelijk checken wie iemand is en leeftijd lijkt mij het primaire doel. Dat heeft de bank ook gecontroleerd en vastgelegd. Maar alle informatie die personen kunnen aanpassen zouden gewoon niet gedeeld mogen worden om fraude tegen te gaan. Nu zullen mensen in de meeste gevallen hun eigen adres opgeven. Misschien dat banken ook alert kunnen zijn als klanten vaak van adres wisselen? Neemt mijn punt niet weg dat wat mij betreft het adres checken enzovoort niet het doel is van IDIN. Dan denk ik eerder aan een soort oplossing via DigiD waar daadwerkelijk via de overheid de adres gegevens geverifieerd kunnen worden.

[Zilla]

Wanneer je je adres bij een bank veranderd, dan verwacht ik dat je een brief krijgt (op het nieuwe adres) met een code waarmee je je nieuwe adres moet bevestigen? Tot die tijd wordt nog je oude adres doorgegeven.

Blijkbaar werkte dit anders?

[Quilt]

Kon je zo ook de (historische) kwartierwaarden van andermans stroomverbruik zien?

[bazzi]

Waar is nou het bericht van Emile Nijssen nou heen?

Gevonden, onder het andere bericht!

[Reactie gewijzigd door bazzi op 7 oktober 2026 18:45]

[Eegee]

nieuws: PostNL en gaslicht.com stoppen met identificatiedienst iDIN vanwege adresfraude

[Nickkname]

Lijkt me dat dit precies is waar je Yivi voor kan gebruiken? Je laadt vanuit je gemeente je adres in Yivi en deelt dat vervolgens met bijv. PostNL.