Mijn Nuon: gevaar voor gegevensmisbruik?

[Anoniem: 500486]

Ik wil graag een ervaring delen over Mijn Nuon en advies vragen over hoe ik dit verder moet benaderen.

Vanmorgen ontving ik kort na elkaar 2x een aanmeldbevestiging voor Mijn Nuon. Deze heb ik echter zelf niet aangevraagd. Iemand anders heeft dit dus mogelijk op mijn naam aangevraagd. Dit is vooral opvallend omdat er bij de aanvraag een klantnummer nodig is. Overigens weet ik 100% zeker dat het echte Nuon mails zijn, het verzendende IP (naar mijn eigen mailserver) is een echt Vattenfall IP dat ze vaker gebruiken voor e-mail communicatie.

De activatiemail zelf is vervolgens vrij slecht op orde; de activatielink bevat alleen mijn e-mail adres als persoonlijke waarde, dat is dus heel makkelijk te achterhalen voor anderen. Nu heb ik hier via de chat contact over gezocht met Nuon, met de volgende bijna hilarisch slechte reactie tot gevolg.

Wat denken jullie?

Welkom bij Nuon live chat. Een ogenblik alstublieft. Eén van onze medewerkers staat u zo spoedig mogelijk te woord.

U chat nu met Rosanna

Rosanna: Welkom! U chat met Rosanna. Ik help u graag verder met uw vraag. Mag ik vragen wat uw naam is?

U: Richard van Looijen

Rosanna: Goedemiddag.

U: Goedemiddag, ik ontving vanmorgen 2 e-mails, om 09:42 en 09:47 (die ook echt door een vattenfall server zijn verzonden) met daarin een link om mijn aanmelding voor Mijn Nuon te bevestigen. Ik heb mij alleen helemaal niet aangemeld voor Mijn Nuon!

Rosanna: Bent u klant bij nuon?

U: Ja, postcode 1234AA, nr 1.

U: (Straat in Plaats)

U: Ik heb overigens eerder al gebeld, maar na een poosje ophangen omdat ik de wachtstand zat was.

Rosanna: maar u bent klant voor levering bij nuon?

U: Nogmaals: Ja.

Rosanna: Dat was mij nog niet duidelijk/

U: Misschien voor de duidelijkheid; dat is stadsverwarming

U: (dus ook levering)

Rosanna: Ik zie dat u warmte heeft via ons en gebruik maakt van mijnnuon.

U: Ik heb in verband met een eerdere storing contact gehad met uw klantenservice (en daarna storingsdienst), waar mij werd aangeraden Mijn Nuon aan te vragen omdat ik dat niet had. Ik heb toen aangegeven daar nog wel een keer naar te kijken, maar ik heb daarop niet gehandeld

U: Kunt u zien per wanneer Mijn Nuon en op wiens verzoek voor mij is ingeschakeld?

Rosanna: Dit kan ik niet zien, wel dat u mijnnuon heeft, maar waarschijnlijk is het dan nog niet geactiveerd.

Rosanna: vandaar die mailtjes

U: Precies, alleen ik heb dat niet aangevraagd.

U: Kunt u het in ieder geval voor mij uitschakelen? Als ik mijn nuon wil schakel ik dat zelf wel in. Daarnaast kan hier dus sprake zijn van iemand die een misbruik poging doet.

U: Opvallend is ook de dubbele (maar verder identieke) mail, met precies 5 minuten er tussen. Wellicht een fout in de automatisering?

Rosanna: Het is zeker niet misbruik, het is een gratis service. ik kan het niet afmelden omdat u niet niet bent aangemeld.

Rosanna: Als ik u opzoek in het systeem bent u niet aangemeld voor mijnnuon, dus kan ik het niet afmelden.

U: Ok, maar u zei net "Rosanna: Dit kan ik niet zien, wel dat u mijnnuon heeft, maar waarschijnlijk is het dan nog niet geactiveerd."

U: Waar zag u dat dan?

U: 1 Stap terug: ik maak mij zorgen om de toegankelijkheid en mogelijk misbruik (bv. door een opzegging of iets dergelijks in te vullen) van Mijn Nuon op mijn aansluiting.

U: Ik heb daar goede reden voor; ik heb een activatiemail (zelfs dubbel) met daarin een activatielink die geen extra veiligheid biedt. Dit is namelijk: http://www.nuon.nl/system...tion.jsp?username=[e-mail] (NIET klikken AUB!). Dat kan natuurlijk iedereen eenvoudig invullen.

U: Ik zie daarnaast dat bij de aanmelding van mijn nuon een klantnummer ingevuld moet worden. Ik heb dat formulier niet ingevuld en Nuon zou dat ook niet vanzelf moeten doen. Wat is er aan de hand?

Rosanna: Opzeggen kan iedereen voor u doen, niet via mijnnuon.

U: ... sorry?!

Rosanna: U heeft geen mijnnuon.

Rosanna: Opzeggen kan iemand doen als hij of zij voorletter en geboortedatum heeft.

U: Mevrouw, even terug naar mijn vraag. Ik ontvang een aanmeldbevestiging voor Mijn Nuon die ik niet heb aangevraagd. Deze e-mail is verzonden door een server die ook echt van Vattenfall is (dus geen scam oid). Aanvragen kan alleen met een klantnummer die alleen ik en Nuon kent en de aanmeldbevestiging is kinderlijk eenvoudig.

U: Ik verwacht dan eigenlijk dat u dit oppakt als veiligheidsincident?

Rosanna: Er is niks aan de hand, u ontvangt de mail alleen omdat dit een gratis extra service is van nuon, activeerd u niks dan gebeurd er ook niks.

U: Ik denk dat u zich vergist. De tekst in het bericht impliceert dat iemand (ik) aan actieve handeling heeft verricht om Mijn Nuon te activeren: "Geachte heer van Looijen, Hartelijk dank voor uw aanmelding voor Mijn Nuon. Bevestig uw aanmelding via de bevestigingslink. Daarna kunt u profiteren van alle voordelen van Mijn Nuon."

U: Gaat u dit voor mij escaleren of zal ik dat zelf doen?

Rosanna: Ik kan niks escaleren, dit is een automatische systeem bericht, wij weten hoe u heet omdat u klant bent, vandaar naar u gerichte email. maakt u geen gebruik ook prima.

U: U snapt het werkelijk niet. Iedereen die mijn e-mail adres kent kan nu toegang verkrijgen tot Mijn Nuon met alle mogelijke gevolgen van dien. Ik dank u voor uw tijd en ga dit proberen anders aan te kaarten.

Rosanna: Wij sturen dit aan u.

Rosanna: Niemand anders!

Rosanna: U weet toch allen uw wachtwoord.

U: Dat snap ik. Dat is juist het probleem, anders maakte ik mij geen zorgen. Ik ken niet mijn wachtwoord want ik heb de aanvraag niet gedaan!

U: Ik ben hier klaar mee mevrouw, dank u.

[markvt]

Misschien kan je ze op de twitter nog even lastigvallen dan heb je de webcare te pakken. Maar wellicht lezen die hier ook mee.

[Salmon]

Dit is gewoon raar en dan dat die Rosanna ook echt totaal het gehele punt mist (ook al kaart je die meerdere keren aan). Zoals hierboven staat, even twitter proberen of nogmaals zo'n live chat proberen?

[naitsoezn]

Maar wat voor veiligheidslek verwacht je hier nu aan te kaarten dan? Jij en Nuon zijn zoals je zegt de enige die jouw klantnummer weten....

Edit: Dat het miepje je niet direct snapt, kan ik nog begrijpen ook, met die enorme blur van (onnodig technische) informatie en meerdere vragen in één zin

[ Voor 37% gewijzigd door naitsoezn op 22-07-2013 16:00 ]

[Anoniem: 500486]

naitsoezn schreef op maandag 22 juli 2013 @ 15:55:
Maar wat voor veiligheidslek verwacht je hier nu aan te kaarten dan? Jij en Nuon zijn zoals je zegt de enige die jouw klantnummer weten....

1 Poststuk uit een brievenbus halen is dus genoeg voor volledige toegang tot mijn gegevens en eventuele vervolgrottigheid (zoals een opzegging).

Daarnaast; er is dus nu een situatie waarin iemand dat klantnummer klaarblijkelijk op de een of andere manier al heeft (de aanvraag is immers ingevuld). De activatielink kan iedereen raden aangezien daar alleen mijn e-mail adres voor nodig is. Met andere woorden: Misschien is het iemand zelfs al gelukt om toegang te verkrijgen, zo theoretisch is dat dus niet.

[naitsoezn]

Anoniem: 500486 schreef op maandag 22 juli 2013 @ 16:00:
[...]


1 Poststuk uit een brievenbus halen is dus genoeg voor volledige toegang tot mijn gegevens en eventuele vervolgrottigheid (zoals een opzegging).

Waarom zou iemand voor jou willen opzeggen? Bovendien blijkt (dat weet ze dan weer wel) uit het antwoord dat iedereen dat nu ook al voor je kant doen, zonder Mijnnuon .

Daarnaast; er is dus nu een situatie waarin iemand dat klantnummer klaarblijkelijk op de een of andere manier al heeft (de aanvraag is immers ingevuld). De activatielink kan iedereen raden aangezien daar alleen mijn e-mail adres voor nodig is. Met andere woorden: Misschien is het iemand zelfs al gelukt om toegang te verkrijgen, zo theoretisch is dat dus niet.

Denk je niet dat het gewoon logischer is, dat er een Nuon-medewerker na je gesprek met de helpdesk gewoon voor jou op de knop "aanvragen" heeft geklikt? Zij hebben immers wel al jouw gegevens (je gaf eerder aan dat je al vaker legitieme mails van ze hebt gehad, dus je mail-adres hebben ze ook). Misschien niet helemaal netjes, idd, maar veiligheidslek?


Edit: Waarom zou een kwaadwillende met een gejat poststuk een mijnnuon-account op jouw email-adres aanvragen? Het email-adres kun je gewoon kiezen om het moment dat je een account aanmaakt

[ Voor 7% gewijzigd door naitsoezn op 22-07-2013 16:04 ]

[Anoniem: 500486]

Kijk eens naar het aanmeldformulier:
https://www.nuon.nl/klantenservice/mijn-nuon/aanmelden.jsp

Ik heb dus geen wachtwoord gekozen, het lijkt me heel raar dat een medewerker een week na het contact met de klantenservice, zomaar Mijn Nuon gaat inschakelen en dat ik dan het wachtwoord niet eens zou kennen?

Daarnaast: 1 poststuk + het kennen van mijn e-mail adres geeft dus volledige toegang. Waarom mensen dat zouden willen doen? Geen idee, maar enige bescherming van persoonsgegevens lijkt me wel redelijk. De activatielink bevat zelfs alleen het e-mail adres!

[Hahn]

Volgens mij snapt zij niet alleen jou, maar snapte jij haar ook niet.

Met dat laatste 'alleen u weet uw wachtwoord toch' bedoelt ze waarschijnlijk dat als jij een account aanmaakt voor mijnNuon, dat je dan nergens meer zorgen over hoeft te maken, want dan kan alleen jij erin (omdat alleen jij het wachtwoord weet).

[naitsoezn]

Anoniem: 500486 schreef op maandag 22 juli 2013 @ 16:06:
Kijk eens naar het aanmeldformulier:
https://www.nuon.nl/klantenservice/mijn-nuon/aanmelden.jsp

Ik heb dus geen wachtwoord gekozen, het lijkt me heel raar dat een medewerker een week na het contact met de klantenservice, zomaar Mijn Nuon gaat inschakelen en dat ik dan het wachtwoord niet eens zou kennen?

Daarnaast: 1 poststuk + het kennen van mijn e-mail adres geeft dus volledige toegang. Waarom mensen dat zouden willen doen? Geen idee, maar enige bescherming van persoonsgegevens lijkt me wel redelijk. De activatielink bevat zelfs alleen het e-mail adres!

Dat lijkt me persoonlijk helemaal niet raar, maar jah.... Ik vind het persoonlijk dan wel weer raar als iemand jouw email-adres zou gebruiken om jouw mijnnuon-account te kapen. Lijkt me logischer om daar gewoon een ander email-adres voor te gebruiken...

[ Voor 4% gewijzigd door naitsoezn op 22-07-2013 16:10 ]

[boombes]

Volgens mij heb je haar niet begrepen.

Ik denk dat het volgende is gebeurd:
Je wordt aangeraden om mijn nuon te gaan gebruiken door xxxx en daarna is er een actieve aanrading / aanmelding via xxxx bij nuon terrecht gekomen waarop jij de uitnodiging in je mail box krijgt. En die 2x kan idd gewoon een foutje zijn.

xxxx is in dit geval de net leverancier of die gene die toen bij je thuis geweest is

[Anoniem: 500486]

naitsoezn schreef op maandag 22 juli 2013 @ 16:10:
[...]

Dat lijkt me persoonlijk helemaal niet raar, maar jah.... Ik vind het persoonlijk dan wel weer raar als iemand jouw email-adres zou gebruiken om jouw mijnnuon-account te kapen. Lijkt me logischer om daar gewoon een ander email-adres voor te gebruiken...

Beste naitsoezn, zou je misschien even je e-mail adres en klantnummer, of gelijk maar wachtwoord, bij je energieleverancier willen posten? What can go wrong? Het internet is een gezellige plek toch?

[Anoniem: 500486]

Goed, blijkbaar ben ik paranoia? Bij mij gaan persoonlijk alle alarmbellen af bij dit soort situaties. Als iedereen dit gewoon normaal vind zal ik me wel opwinden om niks?

Overigens: De tekst is letterlijk "bedankt voor uw aanmelding", dus het is geen mail met de strekking van "meld u nu aan!".

[gambieter]

Hahn schreef op maandag 22 juli 2013 @ 16:07:
Volgens mij snapt zij niet alleen jou, maar snapte jij haar ook niet.

Met dat laatste 'alleen u weet uw wachtwoord toch' bedoelt ze waarschijnlijk dat als jij een account aanmaakt voor mijnNuon, dat je dan nergens meer zorgen over hoeft te maken, want dan kan alleen jij erin (omdat alleen jij het wachtwoord weet).

Het probleem is dat als iemand het kaapt voordat je dat wachtwoord ingesteld hebt. Maar nog belangrijker: wat als je nu geen MijnNUON wilt? De enige manier om dat dan te voorkomen is je MijnNUON account te activeren en in te stellen. Catch 22.

Omdat dergelijke account automagisch gebruikt kunnen worden voor verstrekkende handelingen en de beveiliging ondermaats is, zou ik hier ook niet gelukkig van worden. Wat mij betreft moet elke actie die vanuit zo'n account wordt ondernomen op meerdere, niet internet-afhankelijke manieren worden geverifieerd.

[ Voor 7% gewijzigd door gambieter op 22-07-2013 16:20 ]

[SirDarkAngel]

Je communiceert als een 'nerd' en dat is niet negatief bedoel, maar ik begrijp dat Rosanne, iemand die bij de klantenservice van Nuon werkt en niet eens voor een IT bedrijf weinig van het gesprek snapt.

U: Mevrouw, even terug naar mijn vraag. Ik ontvang een aanmeldbevestiging voor Mijn Nuon die ik niet heb aangevraagd. Deze e-mail is verzonden door een server die ook echt van Vattenfall is (dus geen scam oid). Aanvragen kan alleen met een klantnummer die alleen ik en Nuon kent en de aanmeldbevestiging is kinderlijk eenvoudig.

Rosanna heeft waarschijnlijk geen idee wat Vattenfall of scam is. Alleen hierdoor is de tekst voor een persoon zonder technische persoon al onleesbaar.

Ik snap wat je probleem is, maar ik denk dat je moet realiseren dat je praat met iemand die waarschijnlijk 0 kennis heeft van computers. Als je met die insteek het gesprek ingaat kom je mogelijk verder (verwacht het niet, maar met wat geduld krijg je hopelijk een bevredigend antwoord).

[Anoniem: 500486]

Goed, akkoord. Ik geef wel veel informatie en er zit wat techniek in. Ik vind echter wel dat ik van een Nuon medewerker mag verwachten dat ze weten wat Vattenfall is. Daarnaast vind ik het ook niet onredelijk om te verwachten dat een medewerker van zo'n organisatie ergens in de verte iets heeft gehoord van phishing/scamming/etc. Ik wilde gewoon de vraag 'is de mail wel echt van Nuon?' voorkomen.

[Douweegbertje]

gewoon een tip; wellicht moet je niet met je nerd-boner bonkend tegen je tafel vanwege je "exploit" naar een één of andere vakantiekracht lopen praten op een chat met halve informatie die ze toch niet snapt.

Dan maak je een fatsoenlijke email, waarin je alles neerzet met een duidelijke uitleg welke je vervolgens naar de juiste persoon stuurt.

[gambieter]

Anoniem: 500486 schreef op maandag 22 juli 2013 @ 16:26:
Ik vind echter wel dat ik van een Nuon medewerker mag verwachten dat ze weten wat Vattenfall is.

Het gaat er niet om wat jij denkt dat ze moeten weten, je zult pragmatisch moeten zijn en proberen je doel te bereiken.

Daarnaast vind ik het ook niet onredelijk om te verwachten dat een medewerker van zo'n organisatie ergens in de verte iets heeft gehoord van phishing/scamming/etc. Ik wilde gewoon de vraag 'is de mail wel echt van Nuon?' voorkomen.

Opnieuw: het gaat er niet om wat jij redelijk en onredelijk vind. Probeer je communicatie aan te passen op het doel wat je hebt

[Barrycade]

Tja krijg je eens service is het weer niet goed. Ik ga inderdaad voor het scenario dat er ergens anders op de helpdesk van Nuon nu iemand uit goeder trouw een MijnNuon account voor je probeert aan te maken.
Terwijl jij stampvoetend en orerend je gelijk probeert te halen bij een andere helpdeskmedewerkster.

Heb je uberhaupt zelf al geprobeerd een account aan te maken en krijg je dan dezelfde e-mail?

Dan zou een logische vraag zijn aan de online chat: heeft soms iemand van Nuon mij aangemeld bij MijnNuon? Ik krijg mailtjes om me aan te melden die ik niet kan plaatsen.

[Anoniem: 500486]

douweegbertje schreef op maandag 22 juli 2013 @ 16:27:
gewoon een tip; wellicht moet je niet met je nerd-boner bonkend tegen je tafel vanwege je "exploit" naar een één of andere vakantiekracht lopen praten op een chat met halve informatie die ze toch niet snapt.

Dan maak je een fatsoenlijke email, waarin je alles neerzet met een duidelijke uitleg welke je vervolgens naar de juiste persoon stuurt.

Goed, je toon is wat lullig. Ik ben niet geïnteresseerd in een "exploit" of wat dan ook, dit gaat niet om aandacht. Ik maak me zorgen om mijn eigen gegevens en vind geen fatsoenlijk antwoord.

Kun je aangeven naar welk adres ik die duidelijke mail mag sturen? Klantenservice@ bouncet namelijk. Ik zou natuurlijk wel het klachtenformulier in kunnen vullen, maar of ik dan in het juiste bakje val?

Ik hoopte gewoon op een antwoord wat een hint zou geven over waar die aanvraag vandaan kwam.

[Douweegbertje]

[e-mail]
[e-mail] (moet volgens mij gewoon werken)

En anders deze (die ik met een beetje google heb gevonden )

[e-mail] IT security manager bij Vattenfall

[jroz2001]

Wat een onbeschofte manier van communiceren zeg... Met dat, en de mega hoeveelheid aan (soms irrelevante) informatie kan ik me voorstellen dat ze jou niet snapt, niet wil snappen en al helemaal niet wil helpen.
Is het tegenwoordig al teveel gevraagd om vriendelijk te blijven als de medewerkster nog helemaal niets fout heeft gedaan?

Ik heb overigens eerder al gebeld, maar na een poosje ophangen omdat ik de wachtstand zat was.

Wat verwacht je nou dat ze gaat doen? Dat ze door gaat geven aan haar manager dat er meer telefonistes moeten komen, omdat je niet direct wordt geholpen telefonisch?

Nogmaals: Ja.

Je zegt nog net niet: 'dom wicht, scroll eens een stuk naar boven daar staat mijn antwoord'. Zij vraagt of je klant bent, een 'ja' of 'nee' en jij komt met 3 regels tekst waarin ze nog moet zoeken of je nou klant bent of niet.

U: Misschien voor de duidelijkheid; dat is stadsverwarming

U: (dus ook levering)

Niet relevant

U: Ik heb in verband met een eerdere storing contact gehad met uw klantenservice (en daarna storingsdienst), waar mij werd aangeraden Mijn Nuon aan te vragen omdat ik dat niet had. Ik heb toen aangegeven daar nog wel een keer naar te kijken, maar ik heb daarop niet gehandeld

Niet relevant voor jou vraag.

U: Ok, maar u zei net "Rosanna: Dit kan ik niet zien, wel dat u mijnnuon heeft, maar waarschijnlijk is het dan nog niet geactiveerd."

U: Waar zag u dat dan?

U: 1 Stap terug: ik maak mij zorgen om de toegankelijkheid en mogelijk misbruik (bv. door een opzegging of iets dergelijks in te vullen) van Mijn Nuon op mijn aansluiting.

U: Ik heb daar goede reden voor; ik heb een activatiemail (zelfs dubbel) met daarin een activatielink die geen extra veiligheid biedt. Dit is namelijk: http://www.nuon.nl/system...tion.jsp?username=[e-mail] (NIET klikken AUB!). Dat kan natuurlijk iedereen eenvoudig invullen.

U: Ik zie daarnaast dat bij de aanmelding van mijn nuon een klantnummer ingevuld moet worden. Ik heb dat formulier niet ingevuld en Nuon zou dat ook niet vanzelf moeten doen. Wat is er aan de hand?

What the hell? Wat moet een klantenservice medewerker hier nou opzeggen.

Ik ben hier klaar mee mevrouw, dank u.

Ik denk dat ze hier blij mee was, met zoveel informatie verwacht jij dat ze maar even de juiste info eruit vist. Denk je dat jij de enige bent die gebruik maakt van hun chatfunctie? Ze moet dus nog meer klanten te woord staan, dus al die overbodige info zorgt ervoor dat het gesprek zeer inefficiënt is, en dat zij er dus niets meer van snapt.

Ontopic: Het verificatiesysteem is zeker niet de veiligste. Ik zou dus toch eens navragen hoe het komt dat jij die mailtjes hebt gekregen terwijl je je niet hebt aangemeld, maar dan op een normale manier.

[SinergyX]

Ik zie het vrij simpel:
Iemand heeft 2x (of 1x met systeemfoutje) een aanmelding gedaan met jouw emailadres, eigen gekozen wachtwoord en mogelijk een ander klantnummer (of stiekem wel de jouwe).

Kan natuurlijk zijn dat iemand gewoon verkeerde email heeft gebruikt (lijkt erop, weet ik veel wat), en dit dus 2x probeerde omdat hij geen bevestiging kreeg.

Zij geeft aan dat er geen mijnnuon actief is op jouw klantnummer, waaruit ik redelijk kan zeggen dat dus iemand met een ander klantennummer én jouw email (typfoutje?) geregistreerd heeft.

In zo'n situatie (athans, dat zou nu mijn conclusie zijn) had ik HEEL anders het gesprek in gegaan, en zeker niet op deze manier.

Geen idee trouwens wat je meer kan bij de mijnnuon, opzeggen kan je al lange tijd voor een ander doen als je wat info hebt (en je kan dit altijd binnen x dagen terugdraaien - was nummer 1 techniek van die 'energieboeven').

[ Voor 14% gewijzigd door SinergyX op 22-07-2013 17:37 ]