Mogelijke beveiligingslek KPN .Verlengen heel eenvoudig

[densoft]

Hallo allemaal,

In september 2018 is er een door een medebewoner(zoon met lichte beperking) wonend op hetzelfde adres een mobiel abonnement verlengt met een toestel. Het contract stond op naam van de ouder. Dit heeft hij zelf kunnen uitvoeren door via deze website van KPN : http://mobielshop.kpn.com/verlengen . Door alleen het mobiele nummer in te voeren met als verificatie een code per SMS is het zeer eenvoudig zonder medeweten van contractant een abonnement te verlegen met een toestel. Er wordt totaal geen check uitgevoerd om te kijken of dit door de contractant wordt uitgevoerd. Ook bij afleveren van het toestel (PostNL) wordt er geen legitimatie gevraagd, alleen maar een handtekening die door iedereen gezet mag worden. Volgens KPN is dit normaal en is er geen extra check nodig omdat dit online is gebeurt met toestelverificatie. Extra legitimeren is bij verlengen van een abonnement niet nodig is. Ook niet als er dus een lening wordt afgesloten voor het toestel. Ik dus KPN verteld dat ik dit wel heel raar vond dat er een lening afgesloten kan worden zonder bij aflevering een ID check uit te voeren, zodat het vast staat dat de contractant dit heeft gedaan.

Maar nu komt het. Door dit voorval heb ik dus een aardige beveiligingslek gevonden op de verlengingscheck website van KPN. Ik wilde weten hoe makkelijk het was om zomaar iets te verlengen met alleen als verificatie een telefoon. Ik ben zelf een IT-specialist en schok hiervan hoe eenvoudig deze verlengingscheck misbruikt kan worden. Ik zal niet in details vertellen hoe het in zijn werk gaat, maar met alleen een fysiek toestel van een buurvrouw,collega, enz waarvan je het (KPN)telefoonnummer weet kun je alles bestellen zonder dat diegene het weet, of het niet zo snel door heeft. Ook zie je hier alle gegevens van de contractant, wat ook gebruikt kan worden voor andere doeleinde Wat je ook kan veranderen is het e-mailadres voor de track and trace . Ik hoef denk ik verder niet duidelijk te maken wat je hiermee kan doen. Ik heb KPN klachten gebeld over deze mogelijke beveiligingslek en de reactie was wel erg opvallend. "Nou we zullen er eens naar kijken, en ik heb geen idee waar ik dit intern kan melden...

[FirePuma142]

KPN Klachten is niet het juiste kanaal voor responsible disclosure, hoewel ze dat wel behoren te weten als je het mij vraagt.

https://www.kpn.com/algem...iligingskwetsbaarheid.htm

Gezien je omschrijving vraag ik me wel af of dit een kwetsbaarheid betreft, maar dat kunnen ze daar prima beoordelen.

[iklucas]

KPN-CERT is het Computer Emergency Response Team van KPN en neemt de leiding in reageren en acteren op security gerelateerde incidenten op KPN systemen. Het CERT kan gecontacteerd worden via e-mail voor security gerelateerde zaken die effect hebben op KPN systemen. Er kan contact opgenomen worden met KPN-CERT via [e-mail].

https://www.kpn.com/kpn-cert.htm

Beveligingslek kpn en google kan al wonderen doen:)

[DataGhost]

Tsja, dit klinkt een beetje als verbaasd zijn dat je boodschappen kan doen met iemands pinpas als je de pincode ook hebt. Natuurlijk kan het altijd veiliger, maar bij het afsluiten van een telefoon-abo maak je daar doorgaans geen account bij aan. Dat is ook helemaal niet nodig, en mocht je dat wel willen kan je dat later doen. De manier om je dan te authenticeren is door te laten zien dat je fysiek controle over het betreffende telefoonnummer hebt, dmv de telefoon dus. Het is een klein beetje aan de contractant om daar zorgvuldig mee om te gaan, als niet fysiek dan wel door het instellen van codes op de SIM en het toestel.

Je brengt het nu een beetje alsof je bij een hoop persoonlijke data kan met alleen een telefoonnummer, maar je hebt dus ook fysiek het toestel nog nodig, en toegang daartoe.

[densoft]

----

[ Voor 100% gewijzigd door densoft op 06-02-2019 13:34 ]

[jslaman]

Of er een pop up komt hangt af van je instellingen. In veel gevallen is het raadzaam om sms'jes als afgeschermde content in te stellen zodat deze niet op je lockscreen worden getoond.

[DataGhost]

Dat kan je ook gewoon beveiligen zodat dat zonder code niet lukt. Verder nog uit de algemene voorwaarden, art 7.1:

7.1 U bent verantwoordelijk voor het gebruik van uw dienst
Als u een dienst van ons afneemt, bent u als klant verantwoordelijk voor het gebruik. Ook als iemand
anders uw dienst gebruikt en u dat niet weet of er geen toestemming voor hebt gegeven. Alle kosten
door het gebruik van uw dienst betaalt u. [...]

23.1 Gebruik van uw SIM-kaart
[..]
U moet de SIM-kaart zo goed mogelijk beschermen tegen onbevoegd gebruik, diefstal of beschadiging. De beveiligingscodes van de SIM-kaart moet u geheimhouden. U mag deze niet op of in de buurt van de SIM-kaart bewaren.

[ Voor 23% gewijzigd door DataGhost op 06-02-2019 11:59 ]

[HollowGamer]

@densoft Ik raad mensen ook aan om een telefoon nooit meer te gebruiken en weg te gooien.

Beetje flauw. Wat wil je nu eigenlijk met deze discussie? Dat je een expert bent geloven we graag, maar mocht je geloven dat dit een (nog te ontdekken) beveiligingsgat is, meld dit dan gewoon bij KPN.

[ Voor 52% gewijzigd door HollowGamer op 06-02-2019 11:41 ]

[densoft]

Eigenlijk wil ik helemaal niets bereiken. Alleen een discussie voeren over het makkelijk verlengen van een Abbo zonder dat de contractant het weet en dat de verificatie wel heel erg makkelijk is. En in de voorwaarde staat inderdaad dat het voor eigen verantwoording is als iemand anders van de dienst gebruikt maakt. Maar dat is alleen over de dienst en niet over een aankoop van een telefoon, of eigenlijk een lening. Dit zonder enige controle hiervan.Een lening afsluiten met als verificatie een sms naar telefoon is wel apart te noemen En het is gemeld bij KPN, Alleen die geeft geen reactie tot nu toe. De autoriteiten persoongegevens vonden dit overigens wel apart. Onderzoek loop nog.

[densoft]

DataGhost schreef op woensdag 6 februari 2019 @ 11:29:
Natuurlijk kan het altijd veiliger, maar bij het afsluiten van een telefoon-abo maak je daar doorgaans geen account bij aan. Dat is ook helemaal niet nodig, en mocht je dat wel willen kan je dat later doen. De manier om je dan te authenticeren is door te laten zien dat je fysiek controle over het betreffende telefoonnummer hebt, dmv de telefoon dus. Het is een klein beetje aan de contractant om daar zorgvuldig mee om te gaan, als niet fysiek dan wel door het instellen van codes op de SIM en het toestel.

Je brengt het nu een beetje alsof je bij een hoop persoonlijke data kan met alleen een telefoonnummer, maar je hebt dus ook fysiek het toestel nog nodig, en toegang daartoe.

Er is ook geen Mijn KPN aangemaakt. Dit is ook niet nodig. Alleen een telefoonnummer en een SMS verificatie is genoeg.

Wil je voortaan de wijzig-knop gebruiken? Twee posts onder elkaar plaatsen binnen 24 uur is niet gewenst.

[ Voor 5% gewijzigd door rens-br op 08-02-2019 09:27 ]

[DataGhost]

densoft schreef op woensdag 6 februari 2019 @ 12:16:
[...]


Er is ook geen Mijn KPN aangemaakt. Dit is ook niet nodig. Alleen een telefoonnummer en een SMS verificatie is genoeg.

Dat bedoelde ik ook te zeggen, je maakt bij het afsluiten van je abo geen account aan. Als je dan toch iets online wilt wijzigen (of een account wil aanmaken dus) is SMS-verificatie de enige manier om aan te tonen dat je controle over het nummer hebt.

[densoft]

Ik heb het ook getest met een telefoonnummer en een Mijn KPN account, maar dan ook is de Sms verificatie het enige wat nodig is. Je hoeft niet in te loggen via Mijn KPN om iets te wijzigen of te bestellen

[DataGhost]

densoft schreef op woensdag 6 februari 2019 @ 12:12:
En in de voorwaarde staat inderdaad dat het voor eigen verantwoording is als iemand anders van de dienst gebruikt maakt. Maar dat is alleen over de dienst en niet over een aankoop van een telefoon, of eigenlijk een lening. Dit zonder enige controle hiervan.

Mja, de voorwaarden en gevolgen zijn ongeveer gelijk voor een creditcard, dus heel gek is het niet enige eigen verantwoordelijkheid te verwachten. Enige verschil is dat er wat meer en directere awareness is over de gevolgen dus dat mensen minder geneigd zijn deze rond te laten slingeren.

[Matszs]

Die sms verificatie is toch genoeg? Wordt dan ook naar het nummer gestuurd waar het abonnement over gaat? KPN wilt het voor klanten niet te ingewikkeld maken (klantnummers, wachtwoorden, etc etc) blijkbaar.

[Grannd]

Als ze de verificatiestappen veel strenger zouden instellen denken ze hoogstwaarschijnlijk (een hoop) geld mis te lopen.
Het hypothetische geval waarbij misbruik wordt gemaakt van deze situatie wat KPN nu niet voorkomt is:

Via phishing achterhaalt een aanvaller de activatiecode van onbekende en vervolgens bestelt de aanvaller op hun naam abonnementen met toestellen. Dit moet je al op zo'n manier doen dat het anoniem blijft.
Vervolgens moet je ook nog ervoor zorgen dat de bijbehorende toestellen worden afgeleverd op een manier waarbij zijn/haar identiteit ook verborgen blijft en niet terug te herleiden is. Want ten allen tijde geldt: Als KPN weet waar dat toestel naartoe is gegaan kunnen ze de schade zo achterhalen.

Ik snap wel dat KPN dat risico neemt.

[densoft]

Net KPN gesproken en gaven toe dat de verlengingschecker beveiliging risico's met zich mee brengen. het is blijkbaar meerdere keren gebeurt dat dit niet goed ging. Je kunt jezelf zo goed wapenen zoals simcodes en wachtwoorden, maar met zo'n simpele handeling is er niets aan te doen. Behalve dat de contractant ook zijn verplichtingen en verantwoordelijkheid heeft, heeft KPN dit ook. Die moet zorgen dat het redelijk waterdicht systeem heeft. Nu blijkt dat er zonder ID controle dit nooit heeft mogen gebeuren. Ik heb voorgesteld dat ze dit soort dingen alleen via de MijnKPN inlogcodes moeten gaan doen net zoals andere providers en niet alleen maar via een 06 nummer. Ze weten overigens ook dat het fraude gevoelig is en dit is nog in onderzoek

[densoft]

Grannd schreef op woensdag 6 februari 2019 @ 13:59:
Als ze de verificatiestappen veel strenger zouden instellen denken ze hoogstwaarschijnlijk (een hoop) geld mis te lopen.
Het hypothetische geval waarbij misbruik wordt gemaakt van deze situatie wat KPN nu niet voorkomt is:

Via phishing achterhaalt een aanvaller de activatiecode van onbekende en vervolgens bestelt de aanvaller op hun naam abonnementen met toestellen. Dit moet je al op zo'n manier doen dat het anoniem blijft.
Vervolgens moet je ook nog ervoor zorgen dat de bijbehorende toestellen worden afgeleverd op een manier waarbij zijn/haar identiteit ook verborgen blijft en niet terug te herleiden is. Want ten allen tijde geldt: Als KPN weet waar dat toestel naartoe is gegaan kunnen ze de schade zo achterhalen.

Ik snap wel dat KPN dat risico neemt.

Zo anoniem hoeft het niet hoor. Door het e-mailadres aan te passen krijg je de track en trace van PostNL. Dan is het wachten voor de deur dat het busje komt en onderschep je het toestel. PostNl heeft namelijk het pakketje ook gewoon voor de deur afgegeven en niet aangebeld....

Wil je voortaan de wijzig-knop gebruiken om iets toe te voegen? Twee posts onder elkaar plaatsen binnen 24 uur is niet gewenst.

[ Voor 5% gewijzigd door rens-br op 08-02-2019 09:28 ]

[Grannd]

Ja, dan weet KPN precies naar welk e-mailadres de mails zijn gegaan.

Tuurlijk, dat valt te anonimiseren met ProtonMail.

Maar dan moet je een fysiek adres opgeven waar je ook daadwerkelijk zelf aanwezig bent om het toestel op te halen.

Tuurlijk, dan gebruik je een katvanger of hoop je dat de bewoner niet thuis is en je het toestel, met een smoes zonder ID, bij de lokale PostNL bent op kan halen.

Maar als je zo ver gaat, dan kan ik je vertellen dat er veel eenvoudigere manieren zijn om via fraude toestellen te regelen. Zonder dat je het risico loopt dat KPN bij je aan komt bellen om het toestel terug te vragen.
En dan heb je eerst dus sowieso ook nog een 06-nummer van KPN (die verlengbaar is) nodig én moet je de activatiecode onderscheppen zonder dat de eigenaar van het toestel het door heeft.

Ik vind het mooi dat KPN aangeeft aan een betere oplossing te werken, maar ik snap ook goed dat ze het tot op dit moment op deze manier hebben ingeregeld. Uiteindelijk is alles fraudegevoelig.

[ Voor 23% gewijzigd door Grannd op 06-02-2019 14:47 ]

[MAX3400]

densoft schreef op woensdag 6 februari 2019 @ 12:27:
Ik heb het ook getest met een telefoonnummer en een Mijn KPN account, maar dan ook is de Sms verificatie het enige wat nodig is. Je hoeft niet in te loggen via Mijn KPN om iets te wijzigen of te bestellen

Ik val altijd over dit soort tests (en het gedrag hoe sommige mensen hun telefoon maar alles laten zien).

Je mag zo mijn 06 testen; daar kan je niks mee. Sterker nog, als jij mijn telefoon hebt gevonden & je wil je test nogmaals uitvoeren, lukt het ook niet want die notificatie krijg je niet op mijn lockscreen.

Dus, in 99.999% van de tests die jij uitvoert, zit het probleem dus tussen stoel & smartphone; iedereen die alle notificaties altijd maar op alle schermen tegelijk laat zien, is niet handig bezig.

Recentelijk een vergelijkbaar topic over Facebook-resets. Ja, als je een 06 van iemand weet, kan je een account reset/activation aanvragen. Maar je aanvraag faalt dus als je de notificatie niet kan lezen op een (locked) smartphone.

[densoft]

MAX3400 schreef op woensdag 6 februari 2019 @ 14:47:
[...]

Ik val altijd over dit soort tests (en het gedrag hoe sommige mensen hun telefoon maar alles laten zien).

Je mag zo mijn 06 testen; daar kan je niks mee. Sterker nog, als jij mijn telefoon hebt gevonden & je wil je test nogmaals uitvoeren, lukt het ook niet want die notificatie krijg je niet op mijn lockscreen.

Dus, in 99.999% van de tests die jij uitvoert, zit het probleem dus tussen stoel & smartphone; iedereen die alle notificaties altijd maar op alle schermen tegelijk laat zien, is niet handig bezig.

Recentelijk een vergelijkbaar topic over Facebook-resets. Ja, als je een 06 van iemand weet, kan je een account reset/activation aanvragen. Maar je aanvraag faalt dus als je de notificatie niet kan lezen op een (locked) smartphone.

Helemaal met je eens, wat blijkt : Het meerdere deel heeft geen lock op berichten. Hier op mijn afdeling zijn er al 25 mensen die dit niet hebben. En waarom zou je eigenlijk? SMS bevat eigenlijk zelden gevoelige informatie en de meeste gebruikers hebben niets te verbergen. En als je dan toch die ene keer een verificatiecode krijgt is dat vaak i.c.m. met een gebruikersnaam en wachtwoord die je moet invoeren op een website. Dan moet je die ook nog eerst weten.

[jslaman]

densoft schreef op woensdag 6 februari 2019 @ 15:02:
[...]

SMS bevat eigenlijk zelden gevoelige informatie en de meeste gebruikers hebben niets te verbergen.

Wordt SMS tegenwoordig nog gebruikt voor andere doeleinden dan verificatiecodes ontvangen?

[densoft]

Er zijn nog genoeg instanties die SMS nog gebruiken. Ik krijg per SMS afspraken van het ziekenhuis, tandarts en zelfs van de opticien. Ook van de fietsenmaker als mijn fiets gemaakt is

[ Voor 16% gewijzigd door densoft op 06-02-2019 15:12 ]

[Rukapul]

Beveiliging (security) is meer dan alles doen om iets te voorkomen. KPN kan er bijvoorbeeld voor kiezen dit risico te dragen en transacties ongedaan te maken. Zonder dit soort nuance valt dit niet per se als (ernstig) beveiligingslek te duiden.

Natuurlijk zou het dienstverleners als KPN sieren om meer controles in te bouwen, met name om opties te geven voor verschillende soorten handelingen. _{zie hoe het best lang geduurd heeft op mobiele apparaten om e.e.a. voor kinderen af te schermen zoals aankopen.} Een duidelijke use case zou zijn om bij het aangaan van een dienst aan te geven hoe er gecommuniceerd en geidentificeerd zou moeten worden. Dan kun je bij het aangaan van een contract voor een derde bijvoorbeeld aangeven dat verlenging via het account van de aanvrager moet lopen en niet via het telefoonnummer van wie dan ook toevallig dat toestel in handen heeft.

[CyPh]

Rukapul schreef op woensdag 6 februari 2019 @ 15:16:
Dan kun je bij het aangaan van een contract voor een derde bijvoorbeeld aangeven dat verlenging via het account van de aanvrager moet lopen en niet via het telefoonnummer van wie dan ook toevallig dat toestel in handen heeft.

Volgens mij, als ik het mij goed herinner, teken je bij het originele (particuliere) contract ook ervoor dat je zelf de gebruiker bent

[densoft]

Rukapul schreef op woensdag 6 februari 2019 @ 15:16:
Beveiliging (security) is meer dan alles doen om iets te voorkomen. KPN kan er bijvoorbeeld voor kiezen dit risico te dragen en transacties ongedaan te maken. Zonder dit soort nuance valt dit niet per se als (ernstig) beveiligingslek te duiden.

Natuurlijk zou het dienstverleners als KPN sieren om meer controles in te bouwen, met name om opties te geven voor verschillende soorten handelingen. _{zie hoe het best lang geduurd heeft op mobiele apparaten om e.e.a. voor kinderen af te schermen zoals aankopen.} Een duidelijke use case zou zijn om bij het aangaan van een dienst aan te geven hoe er gecommuniceerd en geidentificeerd zou moeten worden. Dan kun je bij het aangaan van een contract voor een derde bijvoorbeeld aangeven dat verlenging via het account van de aanvrager moet lopen en niet via het telefoonnummer van wie dan ook toevallig dat toestel in handen heeft.

De oplossing is simpel. Geen verlenging via telefoonnummer en SMS verificatie, maar gewoon via je account gegevens (Mijn KPN). En dan natuurlijk niet je inloggegevens bekend maken aan je kinderen of wie dan ook.

[MAX3400]

densoft schreef op woensdag 6 februari 2019 @ 15:31:
[...]
En dan natuurlijk niet je inloggegevens bekend maken aan je kinderen of wie dan ook.

Volgens mij moet je dit sowieso niet doen en, uit mijn hoofd, zijn kinderen tot 21 jaar oud & thuiswonend alsnog de verantwoording van de ouders/verzorgers bij bepaalde handelingen (financieel, crimineel, etc).

Maar, zoals gezegd, uit mijn hoofd. Wetboek zegt hier meer over.

[Question Mark]

densoft schreef op woensdag 6 februari 2019 @ 15:31:
[...]


De oplossing is simpel. Geen verlenging via telefoonnummer en SMS verificatie, maar gewoon via je account gegevens (Mijn KPN). En dan natuurlijk niet je inloggegevens bekend maken aan je kinderen of wie dan ook.

Of je geeft de unlockcode van je telefoon niet vrij...

Overigens heeft KPN een specifieke abonnementsvorm voor kinderen. In dat geval had dat abonement wellicht beter gepast. Weet je of verlenging daar ook volgens dezelfde procedure werkt?

[densoft]

Question Mark schreef op woensdag 6 februari 2019 @ 15:43:
[...]

Of je geeft de unlockcode van je telefoon niet vrij...

Overigens heeft KPN een specifieke abonnementsvorm voor kinderen. In dat geval had dat abonement wellicht beter gepast. Weet je of verlenging daar ook volgens dezelfde procedure werkt?

Omdat de kinderen niet ouder zijn dan 18 is het voor hun niet mogelijk om zelf een abonnement af te sluiten.
Dus hebben ze een abonnement op de ouders naam. Ze hebben inderdaad abonnementen voor kinderen, maar die zijn wel erg magertjes. Maar de kinderen kunnen dus zelf met een 06 nummer hun contract verlengen op naam van contractant zonder melding. En het probleem is dan minder erg als het alleen het contract zou zijn, maar met een toestel van €900,- wordt er een lening afgesloten. Dit zou nooit met een simpele SMS mogen gebeuren en dat ook zonder verdere controle. De lening wordt dan ook BKR geregistreerd. En volgens mij moet er aan de deur dan wel de gegevens gecontroleerd moeten worden van contractant en een handtekening gezet moeten worden om de lening te voltooien.

[Question Mark]

Je beantwoord mijn vraag niet....

Je schetst een situatie waarin een aanvrager op zijn naam een contract afsluit met bijbehorend toestel, en de aanvrager geeft vervolgens dat toestel én alle info om dat toestel te gebruiken aan een kind. Dat laatste is wel een keuze van de aanvrager...

Nu heeft KPN ook speciale kinderabonementen die eigenlijk bedoeld zijn voor de situatie die je schetst.

Mijn vraag is nu kan met een dergelijk kinderabonnement ook een ander dan de aanvrager (lees ouder) een contractverlenging aangaan? Uit je TS blijkt nl. niet dat je dit scenario ook getest hebt.

Als bij een kinderabo niet mogelijk is dat een kind zelf kan verlengen, dan heeft in mijn ogen KPN de zaken prima op orde.

[ Voor 8% gewijzigd door Question Mark op 06-02-2019 20:14 ]

[densoft]

Om je vraag te beantwoord : JA dat kan. Bij KPN hebben ze het over kinderabonnementen, maar zijn eigenlijk gewone abonnementen. Omdat kinderen onder de 18 jaar geen contract mogen afsluiten worden alle abonnementen gewoon toegevoegd aan de contractant. Zie hier : https://www.kpn.com/mobiel-abonnement/kinderen.htm

Wat ook nog het leuke hiervan is dat ze allerlei tips geven over ongewenste aankopen. Daar staat het verlengen van abonnementen met toestel niet bij vermeld. https://www.kpn.com/belee...ruik-van-het-internet.htm

[Question Mark]

densoft schreef op donderdag 7 februari 2019 @ 07:49:
Bij KPN hebben ze het over kinderabonnementen, maar zijn eigenlijk gewone abonnementen. Omdat kinderen onder de 18 jaar geen contract mogen afsluiten worden alle abonnementen gewoon toegevoegd aan de contractant. Zie hier : https://www.kpn.com/mobiel-abonnement/kinderen.htm

Maar dat zegt nog steeds niks over het feit of verlenging bij een "kinderabonement" al dan niet administratief anders verwerkt wordt.

Ik weet dat een minderjarige geen contract af mag sluiten, en vanuit dat oogpunt is het niet meer dan logisch dat de ouder afnemer wordt. Het kan alleen best wel zo zijn dat een "kinderabonement" niet met een simpel sms-je te verlengen is, en dat daarvoor andere procedures gelden. Of dat zo is, is nog steeds niet duidelijk.

Of ik moet ergens flink overheen lezen, maar dan hoor ik het graag.

[densoft]

Laat ik het zo zeggen. Als je via deze link : https://www.kpn.com/mobiel-abonnement/kinderen.htm door klikt naar abonnementen, wordt je doorgelinkt naar de gewone abonnementen. Tijdens de bestel procedure wordt er nergens gevraagd of het om een kinder abonnement gaat. Verder is er ook hierover niets te vinden in de algemene voorwaarden. Ik weet niet of als je het telefonisch regelt dit wel kunt aanpassen. Maar ik gok erop dat de verlengingschecker hierin geen onderscheid in maakt.

[Hielko]

densoft schreef op woensdag 6 februari 2019 @ 16:05:
[...]


Omdat de kinderen niet ouder zijn dan 18 is het voor hun niet mogelijk om zelf een abonnement af te sluiten.
Dus hebben ze een abonnement op de ouders naam. Ze hebben inderdaad abonnementen voor kinderen, maar die zijn wel erg magertjes. Maar de kinderen kunnen dus zelf met een 06 nummer hun contract verlengen op naam van contractant zonder melding. En het probleem is dan minder erg als het alleen het contract zou zijn, maar met een toestel van €900,- wordt er een lening afgesloten. Dit zou nooit met een simpele SMS mogen gebeuren en dat ook zonder verdere controle. De lening wordt dan ook BKR geregistreerd. En volgens mij moet er aan de deur dan wel de gegevens gecontroleerd moeten worden van contractant en een handtekening gezet moeten worden om de lening te voltooien.

Bij T-Mobile kwam deze maand toen ik verlengde met een nieuw toestel op afbetaling erbij inderdaad ook gewoon een mannetje aan de deur om mijn ID te bekijken en een handtekening te bemachtigen. Lijkt mij ook wat twijfelachtig wat KPN doet als alleen een SMS'je voldoende is.