Verantwoordelijkheid bij digitale fraude

[MJV]

Vorige week werd bekend dat de ING overgaat tot het vergoeden van geleden schade bij klanten die slachtoffer zijn geworden van zgn. QR fraude. (Zie ondermeer hier: https://opgelicht.avrotro...nten-ing-extra-kwetsbaar/).

Mensen werden offline/online benaderd met een te scannen QR code, i.p.v. een te betalen bedrag gaven zij de tegenpartij toegang tot hun bankrekening omdat de QR code niet voor een enkele transactie was, maar voor het toevoegen van een tweede apparaat. Na het scannen van de code was in de ING app wel zichtbaar dat er iets anders 'onder' de code zat, maar, blijkbaar niet duidelijk genoeg. Schoorvoetend geeft ING toe dat er wellicht teveel voor gebruiksgemak is gekozen.

Wat ik me hierbij afvraag, is waar de verantwoordelijkheid ligt?

Enerzijds, verantwoordelijkheid klant: Klanten kregen een melding, en hadden ook uit andere signalen op kunnen maken (context, benaderd op straat bijvoorbeeld) dat er iets niet in de haak was.

Vroeger (>10 jr geleden) ben ik ook eens benaderd op straat door iemand die even cash nodig had, en als ik mijn bankrekeningnummer zou geven zou ik het dubbele nog die dag gestort krijgen. Ook niet in de haak, geen technologiecomponent maar stel dat ik dat gedaan had was ik mijn geld kwijt geweest.

Anderzijds, internet bankieren en alles wat daarbij komt kijken (QR codes, e.dentifiers, etc) is dermate complex dat je niet van de klant kunt verwachten dat hij/zij alles nog snapt. Je hebt als bank dus een zorgplicht om een app zoveel mogelijk dicht te timmeren, ook als dat ten koste gaat van gebruiksgemak.

Wat vinden julllie?

[F_J_K]

Hier is IMHO geen zwart-wit antwoord, maar een set grijstinten. De klant heeft verantwoordelijkheden, de bank heeft verantwoordelijkheden. En de bank moet afwegingen maken tussen gebruiksgemak (te moeilijk en digibeten kunnen er niets mee) en beveiliging (te makkelijk en digibeten zien hun geld verdwijnen). Als de bank een fout maakt of duidelijk die afweging heeft gemaakt te veel in het nadeel van beveiliging, dan is het niet vreemd dat de bank zich aansprakelijk voelt (na druk uit de media) of bij grove fouten via de rechter.

Overigens, ook als de bank fraude terugbetaald, komt dat geld uiteindelijk bij de klanten vandaan. Bij veel terugbetaalde fraude zullen 'simpelweg' de kosten omhoog gaan.

Ik vind zelf dat gebruiksgemak veel te veel de boventoon voert nu men afstapt van e.dentifiers, rabo readers, etc. Heel Nederland is er aan gewend, dan is er nu van af stappen m.i. erg de verkeerde keuze, ondanks gebruiksgemak van 1-click-purchasing.

Ja het is irritant dat je dat ding bij je moet hebben, de batterij leeg kan gaan op vakantie, etc. Maar beveiliging is er niet voor niets. Opa zou zeggen: wees blij dat je niet meer je papieren cheque-boek ziet wegregenen of per overboeking in de rij hoeft te staan.

[Verwijderd]

F_J_K schreef op donderdag 12 september 2019 @ 09:48:
Ik vind zelf dat gebruiksgemak veel te veel de boventoon voert nu men afstapt van e.dentifiers, rabo readers, etc. Heel Nederland is er aan gewend, dan is er nu van af stappen m.i. erg de verkeerde keuze, ondanks gebruiksgemak van 1-click-purchasing.

Een vraag die bij gebruiksgemak vs. veiligheid wezenlijk kan zijn is de frequentie waarmee je een handeling moet doen.

De motorkap van een auto moet je meestal openen met een schakelaar aan de bestuurderszijde, de motorkap komt dan iets omhoog en daarna moet je vaak nog een palletje aan de binnenzijde van de motorkap met je vingers vinden en een schuifje overhalen. Dat is uit veiligheidsoverwegingen onhandig, maar je hoeft dan ook niet dagelijks onder je motorkap te kijken als het goed is. (Zou wel handig zijn als je de ruitenwisservloeistof wat makkelijker kan bijvullen, maar dat terzijde )

Als ik het goed begrijp gaat het bij de QR-fraude om het genakkelijk registreren van een nieuw device. De bank heeft de statistieken, maar ik vraag me af of dat vaak wordt gedaan.

Een bank/app maker moet dus inschatten:
- is dit een frequente handeling die zo belangrijk is dat je die altijd met omwegen moet uitvoeren
- kan de gebruiker de risicoinschatting zelf maken? (Een voorbeeld is de schuifknop waarmee je zelf kan bepalen vanaf welk bedrag een bankapp begint te vragen om een 2e (of 3e) factor authenticatie of de beveiliging met wel/niet biometrie (helaas zelden beide).
- is het een optie die wordt opgengesteld met een verwijzing naar veilig gebruik (“goed opletten”) in de AV