Hoe bankrekening kinderen veiligstellen tegen fraude

[nielsn]

Op welke manier kan ik mijn rekeningen (persoonlijke betaalrekening, persoonlijke spaarrekening, gezamenlijke betaalrekening, spaarrekeningen van de kinderen) zo inrichten om bij fraude de schade te beperken.

Zelf zat ik er aan te denken om bijvoorbeeld de spaarrekeningen van de kinderen bij een andere een andere bank onder te brengen dan de overige rekeningen.

Hoe hebben jullie dit ingericht? Of zijn jullie van mening dat ik me teveel zorgen maak?

[Icephase]

Tegen welke fraude wil je ze beschermen? Phishing oid?

In het algemeen zou ik zeggen dat banken zelf meer aan fraudepreventie doen dan ik ooit zelf zou kunnen, dus ik heb alles bij 1 bank zitten. Lekker makkelijk. Ben ik dan zelf onvoorzichtig met wachtwoorden en mails e.d. tja dan is het mijn eigen schuld. Maar dat risico is net zo groot bij of ik nou bij 1 of bij 20 banken zit lijkt me.

[Voor 75% gewijzigd door Icephase op 19-03-2021 13:39]

[Douweegbertje]

Ik ben er niet helemaal in thuis maar mijn ouders hadden de spaarrekening van mij, op mijn naam gezet, welke pas op mijn 18e vrij kwam.

Daarnaast heb ik mijn eigen spaarrekening zo, dat hier alleen iets mee kan gebeuren als ik fysiek naar kantoor ga en mij identificeer + handtekening zet.

[nielsn]

Phishing en skimming vooral.

Zou zonde zijn wanneer bijvoorbeeld mijn vriendin te goeder trouw 1 cent overmaakt waarna al de rekeningen worden leeggehaald.

[Davidshadow13]

@nielsn wat voor fraude heb je het hier over? Fraude door de bank zelf of via phising of scams etc. De belangrijkste punten die ik zou doen zijn:

1. Niet meer dan 100k per bank die onder dezelfde bankvergunning valt i.v.m. depositogarantiestelsel
2. Saldo op rekeningen waar een betaalpas is gekoppeld tot minimum noodzakelijk beperken.
3. Vaste lasten vanaf een betaalrekening zonder betaalpas zodat die niet leeggetrokken kan worden c.q. als geldelzel ingezet worden moeilijker is.
4. Spaarrekeningen apart openen per betaalrekening.

[jeroenkb]

Dan is spaarrekeningen bij ander bank idd een goede oplossing.

En een beperkt bedrag op de algemene rekening houden

[mitalp]

nielsn schreef op vrijdag 19 maart 2021 @ 13:40:
Phishing en skimming vooral.

Zou zonde zijn wanneer bijvoorbeeld mijn vriendin te goeder trouw 1 cent overmaakt waarna al de rekeningen worden leeggehaald.

Ik geloof niet dat dit een realistisch scenario is. Ik vraag me daarom af of je je niet te veel of onterecht zorgen maakt.

[Lethalis]

nielsn schreef op vrijdag 19 maart 2021 @ 13:40:
Phishing en skimming vooral.

Dan kan het idd interessant zijn om spaarrekeningen gescheiden te houden van betaalrekeningen. Nadeel is alleen dat banken niet altijd even blij daarmee zijn en graag willen dat je ook de betaalrekening bij ze hebt.

Phishing heb je zelf nog wat controle over, maar skimming is idd irritant. Ik heb al meerdere keren gehad dat mijn pas uit voorzorg was geblokkeerd door de bank. Alleen maar omdat ik had gepind bij een treinstation, of bij een bioscoop (beide in Rotterdam, blijft de beerput van NL).

Tsja. Er is nooit geld afgeschreven, maar het is wel irritant als je op vakantie ergens in the middle of nowhere bent en die friggin' pas het niet meer doet (been there, done that, moest mijn vriendin destijds alles laten voorschieten ).

[Rukapul]

nielsn schreef op vrijdag 19 maart 2021 @ 13:35:
Op welke manier kan ik mijn rekeningen (persoonlijke betaalrekening, persoonlijke spaarrekening, gezamenlijke betaalrekening, spaarrekeningen van de kinderen) zo inrichten om bij fraude de schade te beperken.

Zelf zat ik er aan te denken om bijvoorbeeld de spaarrekeningen van de kinderen bij een andere een andere bank onder te brengen dan de overige rekeningen.

Hoe hebben jullie dit ingericht? Of zijn jullie van mening dat ik me teveel zorgen maak?

1. scheidt dagelijkse betaalrekeningen van niet-dagelijks vermogen zoals spaarrekeningen en beleggingsrekeningen. Zorg dat die laatste alleen naar de betaalrekening als tegenrekening kunnen overmaken (=standaard).
2. kies een bank die andere toegangsmiddelen gebruikt voor fysieke betalingen (met pas en PIN) en digitaal. De ING heeft dit bijvoorbeeld. De Rabobank heeft dit niet.

En ja, ik pas bovenstaande toe. De Rabo mag de grijpstuivers verdienen op de betaalrekening maar het vermogen zit elders om bovenstaande reden.

[eamelink]

@Rukapul heeft er elders wel wat over geschreven.

Eén van de maatregelen die je kan nemen, is het scheiden van de toegangsmiddelen die je op dagelijkse basis gebruikt (pinpas, geauthenticeerde apps op een telefoon, pincode) van de middelen die toegang geven tot grote bedragen.

Rabobank scoort daar bijvoorbeeld slecht; omdat met de spullen die je dagelijks gebruikt (bankpas en pincode) en die relatief gemakkelijk zijn te stelen, je volledige toegang krijgt tot je rekening. Met die twee dingen kan een aanvaller betaallimieten verhogen, spaarsaldi naar betaalrekeningen overzetten en wegboeken.

Ook geauthenticeerde apps van bevoorbeeld beleggingsinstellingen kunnen gevaarlijk zijn, zeker als tegoeden heel snel kunnen worden weggeboekt naar een betaalrekening waar ook een geauthenticeerde app voor op een telefoon zit. Vraag jezelf af; hoe snel kan jij geld wegboeken, en welke middelen heb je daarvoor nodig?

[edit]
_{Schreef @Rukapul zelf ook al drie seconden geleden}

[Voor 3% gewijzigd door eamelink op 19-03-2021 13:46]

[Panini]

nielsn schreef op vrijdag 19 maart 2021 @ 13:40:
Phishing en skimming vooral.

Zou zonde zijn wanneer bijvoorbeeld mijn vriendin te goeder trouw 1 cent overmaakt waarna al de rekeningen worden leeggehaald.

Ha, ik denk dat je gisteravond de aflevering van Bait hebt gezien? Wel goed dat je er actief over na gaat denken.

Maar het verschilt best per bank welke maatregelen mogelijk zijn. Je kan bij sommige banken je spaarrekening loskoppelen van je betaalrekening.

Het begint trouwens ook met awareness bij je vriendin . Dus zou daar vooral mee beginnen en met haar praten over verschillende manieren van phishing.

mitalp schreef op vrijdag 19 maart 2021 @ 13:44:
[...]
Ik geloof niet dat dit een realistisch scenario is. Ik vraag me daarom af of je je niet te veel of onterecht zorgen maakt.

Er zijn phishing scenario's die hier specifiek op gericht zijn, en nog eens erg simpel uit te voeren zijn. Dus zo onterecht zijn die zorgen niet.

[Voor 9% gewijzigd door Panini op 19-03-2021 13:49]

[nielsn]

Bedankt voor al de antwoorden.

Ik heb de aflevering van Bait niet gezien. Wel heb ik hier al eens eerder over nagedacht. Toen ik vandaag tijdens het scrollen op een nieuws pagina een hier een stuk tekst over zag werd ik hier weer aan herinnerd.

Het is natuurlijk zeer vervelend wanneer je dit overkomt. Zeker wanneer je relatief eenvoudig de schade had kunnen beperken door er eens kritisch naar te kijken.

[mitalp]

Panini schreef op vrijdag 19 maart 2021 @ 13:47:
[...]
Er zijn phishing scenario's die hier specifiek op gericht zijn, en nog eens erg simpel uit te voeren zijn. Dus zo onterecht zijn die zorgen niet.

Dat je één cent overmaakt, waarna al je rekeningen worden leeggehaald? Hoe dan?

[Panini]

mitalp schreef op vrijdag 19 maart 2021 @ 14:08:
[...]

Dat je één cent overmaakt, waarna al je rekeningen worden leeggehaald? Hoe dan?

1. Na het klikken op de link wordt er gevraagd met welke bank je wilt betalen.
2. Daarna wordt je naar een inlogpagina van een phishing site geleid die lijkt op de homepage van jouw bank. Daar wordt gevraagd om gegevens in te vullen.
3. Alle gegevens die je daar in vult krijgt de scammer te zien. Ondertussen verkrijgt hij/zij toegang tot je rekening en ben je al het geld kwijt.

[noslen]

Rukapul schreef op vrijdag 19 maart 2021 @ 13:45:
[...]

1. scheidt dagelijkse betaalrekeningen van niet-dagelijks vermogen zoals spaarrekeningen en beleggingsrekeningen. Zorg dat die laatste alleen naar de betaalrekening als tegenrekening kunnen overmaken (=standaard).
2. kies een bank die andere toegangsmiddelen gebruikt voor fysieke betalingen (met pas en PIN) en digitaal. De ING heeft dit bijvoorbeeld. De Rabobank heeft dit niet.

En ja, ik pas bovenstaande toe. De Rabo mag de grijpstuivers verdienen op de betaalrekening maar het vermogen zit elders om bovenstaande reden.

En als je de dagelijkse betalingen doet met een rekening bij een andere bank? Ik heb alles bij de Rabo, maar voor dagelijkse betalingen gebruik ik ABN.

[The Realone]

Panini schreef op vrijdag 19 maart 2021 @ 14:13:
[...]


1. Na het klikken op de link wordt er gevraagd met welke bank je wilt betalen.
2. Daarna wordt je naar een inlogpagina van een phishing site geleid die lijkt op de homepage van jouw bank. Daar wordt gevraagd om gegevens in te vullen.
3. Alle gegevens die je daar in vult krijgt de scammer te zien. Ondertussen verkrijgt hij/zij toegang tot je rekening en ben je al het geld kwijt.

Hoe dan? Als ik inlog met de Rabobank bijvoorbeeld dan werkt dat met MFA en kan ik na die login nog geen grote hoeveelheden geld overboeken naar andere rekeningen. De Rabo scanner geeft ook aan waar de login voor bedoeld is (inloggen, geld overmaken, toestel registreren, etc). Nu weet ik niet hoe het bij een andere bank is, maar dit lijkt me redelijk veilig. In het ergste geval komen ze dus in je account en dat is het dan.

[mitalp]

Panini schreef op vrijdag 19 maart 2021 @ 14:13:
[...]


1. Na het klikken op de link wordt er gevraagd met welke bank je wilt betalen.
2. Daarna wordt je naar een inlogpagina van een phishing site geleid die lijkt op de homepage van jouw bank. Daar wordt gevraagd om gegevens in te vullen.
3. Alle gegevens die je daar in vult krijgt de scammer te zien. Ondertussen verkrijgt hij/zij toegang tot je rekening en ben je al het geld kwijt.

Ok, ik zal er geen welles/nietes discussie van maken. Er zit zeker een kern van waarheid in. Bovenstaande is bij mijn bank volgens mij niet letterlijk mogelijk, dan heb je ook nog mijn telefoon nodig.

Het topic zelf zet mij toch ook wel aan het denken, ik heb alles bij één bank staan. Ik heb zojuist toch maar eens een rekening bij een andere bank geopend..

[Hackus]

nielsn schreef op vrijdag 19 maart 2021 @ 13:35:
Op welke manier kan ik mijn rekeningen (persoonlijke betaalrekening, persoonlijke spaarrekening, gezamenlijke betaalrekening, spaarrekeningen van de kinderen) zo inrichten om bij fraude de schade te beperken.

Zelf zat ik er aan te denken om bijvoorbeeld de spaarrekeningen van de kinderen bij een andere een andere bank onder te brengen dan de overige rekeningen.

Hoe hebben jullie dit ingericht? Of zijn jullie van mening dat ik me teveel zorgen maak?

Veelal ben je via ING de pineut, en zij werken amper mee voor vergoeding.

[Panini]

The Realone schreef op vrijdag 19 maart 2021 @ 14:24:
[...]


Hoe dan? Als ik inlog met de Rabobank bijvoorbeeld dan werkt dat met MFA en kan ik na die login nog geen grote hoeveelheden geld overboeken naar andere rekeningen. De Rabo scanner geeft ook aan waar de login voor bedoeld is (inloggen, geld overmaken, toestel registreren, etc). Nu weet ik niet hoe het bij een andere bank is, maar dit lijkt me redelijk veilig. In het ergste geval komen ze dus in je account en dat is het dan.

Ik kan het uitleggen, maar beeld doet het beter denk ik:

https://www.npo3.nl/bait/18-03-2021/POW_04931922

Vanaf ong. 12:00 tonen ze de methodiek in het filmpje.

mitalp schreef op vrijdag 19 maart 2021 @ 14:25:
[...]


Ok, ik zal er geen welles/nietes discussie van maken. Er zit zeker een kern van waarheid in. Bovenstaande is bij mijn bank volgens mij niet letterlijk mogelijk, dan heb je ook nog mijn telefoon nodig.

Het topic zelf zet mij toch ook wel aan het denken, ik heb alles bij één bank staan. Ik heb zojuist toch maar eens een rekening bij een andere bank geopend..

Niks mis met een discussie over het onderwerp. In de reacties hierboven zie je dat het ook niet voor elke bank op dezelfde manier zal gaan. Bij sommige phishing methodes vragen ze om je pincode op de site, en vervolgens om je bankpas op te sturen. Methodiek van phishing wordt dus aangepast aan de bank.

[Furion2000]

mitalp schreef op vrijdag 19 maart 2021 @ 14:25:
[...]


Ok, ik zal er geen welles/nietes discussie van maken. Er zit zeker een kern van waarheid in. Bovenstaande is bij mijn bank volgens mij niet letterlijk mogelijk, dan heb je ook nog mijn telefoon nodig.

Het topic zelf zet mij toch ook wel aan het denken, ik heb alles bij één bank staan. Ik heb zojuist toch maar eens een rekening bij een andere bank geopend..

Kijk bait van gisterenavond en je kunt zelf beoordelen wat er wel/niet mogelijk is bij je bank....


On topic:
Rekening scheiden is 1 en zou slim zijn imo om het mogelijk verlies laag te houden, maar nog belangrijker. Je kunt kinderen het beste beschermen door ze niet zelf te beschermen, maar ze te leren hoe ze zichzelf beschermen en ze zelf die verantwoording geven. Neem ze bijv. mee in jouw leerproces en kijk samen naar bait van gisteren.

[Rukapul]

noslen schreef op vrijdag 19 maart 2021 @ 14:18:
[...]


En als je de dagelijkse betalingen doet met een rekening bij een andere bank? Ik heb alles bij de Rabo, maar voor dagelijkse betalingen gebruik ik ABN.

Als je de pas+PIN van de ene rekening dan veilig thuis bewaart is dat al een flinke stap.

Nog een stap veiliger is om diensten te gebruiken die beperkt zijn tot een vaste tegenrekening. Dan zit het geld vast achter twee losse beveiligingen. (=defense in depth)

Overigens zou ik voor kinderrekeningen in standaard situaties een simpeler aanpak hanteren: fungeer zelf als verzekeraar van het geld van de kinderen, aannemende dat het vermogen van de kinderen in het niet valt van het eigen vermogen.

[The Realone]

Panini schreef op vrijdag 19 maart 2021 @ 15:05:
[...]


Ik kan het uitleggen, maar beeld doet het beter denk ik:

https://www.npo3.nl/bait/18-03-2021/POW_04931922

Vanaf ong. 12:00 tonen ze de methodiek in het filmpje.

Goed, dat verhaal gaat dus in ieder geval bij de Rabobank al niet op, tenzij je zelf niet oplet. De Rabo Scanner geeft duidelijk aan dat de code bedoelt is voor toestelregistratie en geeft vervolgens zelfs nog een extra waarschuwing dat je enkel door moet gaan als je zelf een toestel aan het registreren bent.

[Lethalis]

Panini schreef op vrijdag 19 maart 2021 @ 15:05:
[...]
Ik kan het uitleggen, maar beeld doet het beter denk ik:

https://www.npo3.nl/bait/18-03-2021/POW_04931922

Vanaf ong. 12:00 tonen ze de methodiek in het filmpje.

Dat is wel nasty, als ze hun eigen telefoon aan jouw rekening weten te koppelen.

Uiteindelijk blijft het advies dan toch om aparte rekeningen te hanteren voor betaal- en spaarrekeningen. Geen idee in hoeverre je die echt los van elkaar kunt houden.

Bij de ABN Amro zie ik ook alles bij elkaar gewoon. Geen idee of dat anders kan. Misschien eens vragen.

[Panini]

The Realone schreef op vrijdag 19 maart 2021 @ 15:42:
[...]


Goed, dat verhaal gaat dus in ieder geval bij de Rabobank al niet op, tenzij je zelf niet oplet. De Rabo Scanner geeft duidelijk aan dat de code bedoelt is voor toestelregistratie en geeft vervolgens zelfs nog een extra waarschuwing dat je enkel door moet gaan als je zelf een toestel aan het registreren bent.

De gemiddelde gebruiker neemt die waarschuwingen absoluut niet in acht. Die ramt gewoon op de akkoord knop uit automatisme.

Groot gedeelte waarom phishing werkt is natuurlijk onoplettendheid van de gebruiker. Deze zou namelijk al bij het bezoeken van de website kunnen zien dat de url niet klopt.

[The Realone]

Panini schreef op vrijdag 19 maart 2021 @ 15:45:
[...]

De gemiddelde gebruiker neemt die waarschuwingen absoluut niet in acht. Die ramt gewoon op de akkoord knop uit automatisme.

Groot gedeelte waarom phishing werkt is natuurlijk onoplettendheid van de gebruiker. Deze zou namelijk al bij het bezoeken van de website kunnen zien dat de url niet klopt.

Dat is wel heel kort door de bocht. Als iemand dat wil doen moet ie eerst een code weten te bemachtigen om in te loggen, die kunnen ze dus redelijk eenvoudig bemachtigen doordat iemand op een phishing pagina een betaling doet. Dat houdt het op, want om te registreren moeten ze vervolgens nog een code weten te bemachtigen waarbij de gebruiker dus duidelijk te zien krijgt wat er aan de hand is.
Ze zetten nog net geen melding in het scherm "Pas op, ga niet door want je wordt gephisht!".
Maar inderdaad, als je meerdere codes gaat generen en die in blijft vullen en ondertussen die melding en waarschuwing negeert dan kan het fout gaan. Dan ben je wel echt een lompe hark, heeft weinig met het gebrek aan kennis te maken.

[mitalp]

Ik heb het filmpje van Bait gekeken. Geraffineerde aanpak, zou ik zelf mogelijk ook in kunnen trappen. Afhankelijk van hoe strak alles door de oplichter georkestreerd is, hoe snel ik zelf iets wil afhandelen en de omvang van de betaling. Maar met name dat laatste kan hier een grote valkuil zijn.

Mijn ouders volgen ieder jaar een cursus voor 'senioren op internet', omdat ze beseffen dat ze kwetsbaar zijn voor online oplichting. Het duurt niet meer zo lang, dan moet ik zelf zo'n cursus volgen

[Furion2000]

The Realone schreef op vrijdag 19 maart 2021 @ 16:00:
[...]


Dat is wel heel kort door de bocht. Als iemand dat wil doen moet ie eerst een code weten te bemachtigen om in te loggen, die kunnen ze dus redelijk eenvoudig bemachtigen doordat iemand op een phishing pagina een betaling doet. Dat houdt het op, want om te registreren moeten ze vervolgens nog een code weten te bemachtigen waarbij de gebruiker dus duidelijk te zien krijgt wat er aan de hand is.
Ze zetten nog net geen melding in het scherm "Pas op, ga niet door want je wordt gephisht!".
Maar inderdaad, als je meerdere codes gaat generen en die in blijft vullen en ondertussen die melding en waarschuwing negeert dan kan het fout gaan. Dan ben je wel echt een lompe hark, heeft weinig met het gebrek aan kennis te maken.

[Afbeelding]

[Afbeelding]

Vraag eens aan een UI/UX designer hoe de gebruikt 9/10x klikt zonder na te denken. Benoem de fout en je voelt je lomp, maar dat is altijd nadien. Sinds ik wat gebruikers filmpjes heb gezien van onze UI/UX designer ben ik al een heel stuk voorzichtiger geworden met iemand een 'lompe hark' noemen.

Met dit soort statements leg je jezelf wel druk op, want als je in de verre toekomst zelf faalt, dan zal dat best hard aankomen

[bwerg]

TL;DR: zorg dat je bankiert via zo'n losse scanner, en controleer altijd goed de meldingen op die scanner. De rest mag bij wijze van spreken vergeten.

Panini schreef op vrijdag 19 maart 2021 @ 15:05:
[...]


Ik kan het uitleggen, maar beeld doet het beter denk ik:

https://www.npo3.nl/bait/18-03-2021/POW_04931922

Vanaf ong. 12:00 tonen ze de methodiek in het filmpje.

Die tweede factor in de vorm van een speciaal bankier-apparaatje is echter gewoon behoorlijk waterdicht, dus als je gewoon op het schermpje van de reader bevestigt wat je aan het doen bent kan er echt niks misgaan. In het voorbeeld in het gelinkte filmpje bevestigen ze dus ook gewoon doodleuk dat er een nieuwe telefoon wordt gekoppeld terwijl ze denken dat ze inloggen of geld overmaken. Oftewel, je trapt in een scam-website en je controleert ook nog je reader niet. Tsjah, het houdt ergens op met maatregelen vanuit de bank, natuurlijk.

Hooguit zouden ze het bedrag of het koppelen van een nieuwe telefoon opvallender kunnen maken, maar ja, daar wen je ook weer aan. En de onopvallendere gegevens worden nog onopvallender.

Waterdicht, mits goed geïmplementeerd. Maar dat is al weer jaren geleden, en zo'n fout zal niet ontstaan in een scanners die via een cameraatje werkt.

[Voor 14% gewijzigd door bwerg op 22-03-2021 09:39]

[The Realone]

Furion2000 schreef op maandag 22 maart 2021 @ 08:59:
[...]


Vraag eens aan een UI/UX designer hoe de gebruikt 9/10x klikt zonder na te denken. Benoem de fout en je voelt je lomp, maar dat is altijd nadien. Sinds ik wat gebruikers filmpjes heb gezien van onze UI/UX designer ben ik al een heel stuk voorzichtiger geworden met iemand een 'lompe hark' noemen.

Met dit soort statements leg je jezelf wel druk op, want als je in de verre toekomst zelf faalt, dan zal dat best hard aankomen

Ik snap je punt, maar er zijn natuurlijk wel grenzen. Ik heb, net als iedereen, weleens doorgeklikt op een melding die achteraf toch wat extra aandacht nodig had. Maar doe ik dat bij iets waarvan je bij voorbaat al weet dat het aandacht vereist (online betaling) en negeer vervolgens meerdere signalen en waarschuwingen dan mag je het beestje best bij de naam noemen vind ik. Dat men het dan nog steeds fout doet kun je op een bepaald punt de UI/UX designer niet langer kwalijk nemen.

En eigensluit is onderstaande het punt dat ik wilde maken. De beveiliging bij banken is door de meet genomen prima. Kan het beter? Altijd, dat is een continue proces. Het kan ook altijd veiliger, maar vaak lastiger als je het ook nog bruikbaar moet houden.

Icephase schreef op vrijdag 19 maart 2021 @ 13:37:
In het algemeen zou ik zeggen dat banken zelf meer aan fraudepreventie doen dan ik ooit zelf zou kunnen,

[Rukapul]

The Realone schreef op maandag 22 maart 2021 @ 12:32:
De beveiliging bij banken is door de meet genomen prima. Kan het beter? Altijd, dat is een continue proces. Het kan ook altijd veiliger, maar vaak lastiger als je het ook nog bruikbaar moet houden.


[...]

Een beveiligingssysteem moet je ontwerpen rekening houdend met de mogelijkheden en beperkingen van de menselijke actoren die er onderdeel van zijn. En dan geen denkbeeldig perfect opererende actor, maar de werkelijke actor en daarvan dan niet het gemiddelde maar de minst vaardige groep.

De meeste banken voldoen op dit moment absoluut hier niet aan. Het is gewoon een grote usable security faal. In veel opzichten is het zelfs slechter geworden de afgelopen jaren.

Daarom is het voorstel voor een losse spaar/belegrekening met vaste tegenrekening ook zo goed: het is met 2 zinnen uit te leggen dat vermogen achter twee beveiligingen zitten die niets met elkaar te maken hebben.

[The Realone]

Rukapul schreef op maandag 22 maart 2021 @ 12:49:
[...]

Een beveiligingssysteem moet je ontwerpen rekening houdend met de mogelijkheden en beperkingen van de menselijke actoren die er onderdeel van zijn. En dan geen denkbeeldig perfect opererende actor, maar de werkelijke actor en daarvan dan niet het gemiddelde maar de minst vaardige groep.

Maar je vergeet erbij te zeggen dat het daardoor geen perfect systeem kan worden. Juist als je rekening moet houden met verschillende niveaus van vaardigheden zul je ook ergens concessies moeten doen. Want ik let zelf vrij goed op, dus als ik door de meest bizarre hoepels moet springen om een betaling te doen is het systeem dus niet werkbaar voor mij. Veiliger misschien, maar waardeloos in gebruik.

In het voorbeeld wat ik eerder aanhaalde met de Raboscanner en de scam van het overnemen van iemand's account mag een bank de verantwoordelijkheid best bij de persoon zelf leggen. En nogmaals, het gaat mij er dan om dat er meerdere codes gegenereerd moeten worden en er zeer duidelijke meldingen gegeven wordt waar je mee bezig bent. Het equivalent van "Let op! Je steekt zonder te kijken een drukke straat over, weet je zeker dat je dit wil doen?".

Daarom is het voorstel voor een losse spaar/belegrekening met vaste tegenrekening ook zo goed: het is met 2 zinnen uit te leggen dat vermogen achter twee beveiligingen zitten die niets met elkaar te maken hebben.

Klopt, dat werkt inderdaad voor dit specifieke geval, maar voor veel mensen is dit al niet praktisch en zullen er daarom vanaf zien. Handig zaken bij 1 bank, met 1 app en 1x de kosten. In het geval van de kinderen van de TS zou ik veel meer tijd en energie stoppen in bewustwording van het belang en gevaar dan dit minieme risico af willen dekken en rekeningen bij meerdere banken openen.
Want stel dat ze al onvoorzichtig genoeg zijn om niet met 1 account om te kunnen gaan, hoe moet dat straks als ze een Paypal account, credit card, beleggingsrekening, Bitcoin, etc hebben?

[rr7r]

Rukapul schreef op vrijdag 19 maart 2021 @ 15:28:
[...]

Als je de pas+PIN van de ene rekening dan veilig thuis bewaart is dat al een flinke stap.

Apple Pay lost dit ook op. Android zal ook zoiets hebben.

[Rukapul]

The Realone schreef op maandag 22 maart 2021 @ 13:08:
In het voorbeeld wat ik eerder aanhaalde met de Raboscanner en de scam van het overnemen van iemand's account mag een bank de verantwoordelijkheid best bij de persoon zelf leggen. En nogmaals, het gaat mij er dan om dat er meerdere codes gegenereerd moeten worden en er zeer duidelijke meldingen gegeven wordt waar je mee bezig bent. Het equivalent van "Let op! Je steekt zonder te kijken een drukke straat over, weet je zeker dat je dit wil doen?".

Tja, uit empirisch onderzoek blijkt dat het niet werkt. Mensen zijn hiervoor niet geschikt.

Wat je dan moet doen is niet stug volhouden dat het wel werkt, maar naar de tekentafel terug en iets bedenken wat wel werkt met mensen.

* Rukapul denkt terug naar de geschiedenis van wachtwoorden en dat het vele jaren heeft geduurd voordat het emprische onderzoek van Carnegy Mellon en anderen eindelijk verandering in beleid en standaarden resulteren.

[fwiffo]

Rukapul schreef op maandag 22 maart 2021 @ 14:51:
[...]

Tja, uit empirisch onderzoek blijkt dat het niet werkt. Mensen zijn hiervoor niet geschikt.

Wat je dan moet doen is niet stug volhouden dat het wel werkt, maar naar de tekentafel terug en iets bedenken wat wel werkt met mensen.

Mensen snappen niet dat de codes gelijk staan aan geld. Veel geld.
Als ik aan jou vraag: Mag ik 5000 euro van je, dan maak je me ook voor gek uit.
Dat is niet anders dan "mag ik een code van je"

De zwakte hier zit niet in de technologie, maar in de mens. De vraag is of de bank hier verantwoordelijk is.
De onderliggende vraag is of de mens voldoende geinformeerd is om deze beslissing bewust te maken. Blijkbaar niet, dus is dit niet zozeer een beveiligings-faal maar een marketing-faal.

Maar getuige dat er mensen zijn die hun pinpas en code afgeven aan moneymules en dan versteld zijn dat hun rekening ook nog 's geplunderd wordt betwijfel ik of voorlichting hier ooit voldoende zal zijn. Er zijn mensen die echt alleen maar van een stok leren.

[Theo]

Om enige vorm van zekerheid in te bouwen zou je ook wat geld op een bepaalde beleggingsrekening kunnen zetten. Bij de ABN zijn er begeleid-beleggingsfondsen waar je met heel laag risico (en bijna nul rente) het geld kan stallen. Een detail van zo'n rekening is dat het een paar dagen kost om het geld van de beleggingsrekening naar de betaal/spaarrekening over te zetten. Als je nu gescammed/geskimmed wordt dan trekken ze de stuivers van de betaalrekening leeg, maar door het 'tijdslot' van zo'n 5 dagen kunnen ze niet bij het echte geld dat je er hebt staan.

[Jake]

fwiffo schreef op dinsdag 23 maart 2021 @ 09:32:
Maar getuige dat er mensen zijn die hun pinpas en code afgeven aan moneymules en dan versteld zijn dat hun rekening ook nog 's geplunderd wordt betwijfel ik of voorlichting hier ooit voldoende zal zijn. Er zijn mensen die echt alleen maar van een stok leren.

Zoals altijd, de beste beveiliging is: anderen in "de kudde" die kwetsbaarder/dommer/slomer/etc. zijn. Zij worden het slachtoffer van de "leeuwen", terwijl de rest door kan .
[/Cynisch]

Of anders: je slot op de je voordeur hoeft ook alleen maar een stukje beter te zijn dat dat van de (over)buren. Zolang er nog mensen intrappen en hun pas met pincode opsturen, dan zal er weinig energie worden gestoken in het proberen te misleiden van mensen die wél redelijk goed opletten.

Ik vind echter wel (/ ook) dat het eigenlijk veel te makkelijk is om mensen te misleiden. Als je de ABN of Rabo als voorbeeld neemt: het lijkt wel veilig, want moeilijk, moeilijk: veel codes met veel stappen. Maar het komt onderaan de streep neer op "pas + pincode = onbeperkte toegang" (dan kan je zonder veel beperking alles overmaken...) (hetgeen @Rukapul natuurlijk steeds wijselijk opmerkt).

Eigenlijk is het best wel raar, dat je dus bij deze grootbanken om minder gebruiksgemak zou moeten gaan vragen...

Voor mij zou een systeem waar je (bijv.) 3 passen hebt goed kunnen werken: mijn vrouw en ik beiden één pas voor dagelijks gebruik. Daarnaast één master-pas voor toegang tot de aanvullende rekening(en), zoals sparen en beleggen, dan hoeft er niet eens een vertraging te zijn bij overmaken van "verborgen" spaarrekening naar betaalrekening, want de dagelijkse pas (en daarmee de app op je telefoon) kan er toch niet bij. Effectief hetzelfde als je vermogen bij een andere bank stallen, maar dan met als voordeel dat de master-pas 'gewoon' overal bij kan).

Maar aan de andere kant:

rr7r schreef op maandag 22 maart 2021 @ 14:20:
Apple Pay lost dit ook op. Android zal ook zoiets hebben.

Dit lost (potentieel) een groot stuk op, hierdoor kan je de pinpas thuis laten (kan die ook niet worden geskimmed of gestolen). Al merk ik dat ik (hoewel ik alles met mijn telefoon betaal) ook nog vaak mijn bankpas nog bij me heb (gewoon omdat die in mijn portemonnee zit)...

[toolkist]

Jake schreef op dinsdag 23 maart 2021 @ 12:07:
[...]

Zoals altijd, de beste beveiliging is: anderen in "de kudde" die kwetsbaarder/dommer/slomer/etc. zijn. Zij worden het slachtoffer van de "leeuwen", terwijl de rest door kan .
[/Cynisch]

Of anders: je slot op de je voordeur hoeft ook alleen maar een stukje beter te zijn dat dat van de (over)buren. Zolang er nog mensen intrappen en hun pas met pincode opsturen, dan zal er weinig energie worden gestoken in het proberen te misleiden van mensen die wél redelijk goed opletten.

Ik vind echter wel (/ ook) dat het eigenlijk veel te makkelijk is om mensen te misleiden. Als je de ABN of Rabo als voorbeeld neemt: het lijkt wel veilig, want moeilijk, moeilijk: veel codes met veel stappen. Maar het komt onderaan de streep neer op "pas + pincode = onbeperkte toegang" (dan kan je zonder veel beperking alles overmaken...) (hetgeen @Rukapul natuurlijk steeds wijselijk opmerkt).

Eigenlijk is het best wel raar, dat je dus bij deze grootbanken om minder gebruiksgemak zou moeten gaan vragen...

Voor mij zou een systeem waar je (bijv.) 3 passen hebt goed kunnen werken: mijn vrouw en ik beiden één pas voor dagelijks gebruik. Daarnaast één master-pas voor toegang tot de aanvullende rekening(en), zoals sparen en beleggen, dan hoeft er niet eens een vertraging te zijn bij overmaken van "verborgen" spaarrekening naar betaalrekening, want de dagelijkse pas (en daarmee de app op je telefoon) kan er toch niet bij. Effectief hetzelfde als je vermogen bij een andere bank stallen, maar dan met als voordeel dat de master-pas 'gewoon' overal bij kan).

Maar aan de andere kant:
[...]

Dit lost (potentieel) een groot stuk op, hierdoor kan je de pinpas thuis laten (kan die ook niet worden geskimmed of gestolen). Al merk ik dat ik (hoewel ik alles met mijn telefoon betaal) ook nog vaak mijn bankpas nog bij me heb (gewoon omdat die in mijn portemonnee zit)...

en dan stop ik die masterpass in mn portemonnee en, omdat ik de pin niet vaak gebruik, de code op een briefje in diezelfde portemonnee en ben ik mn geld nog kwijt.
Geen enkel systeem is bestand tegen mensen die niet nadenken.

[Jake]

toolkist schreef op dinsdag 23 maart 2021 @ 12:52:
en dan stop ik die masterpass in mn portemonnee en, omdat ik de pin niet vaak gebruik, de code op een briefje in diezelfde portemonnee en ben ik mn geld nog kwijt.
Geen enkel systeem is bestand tegen mensen die niet nadenken.

Dat klopt helemaal, maar ik bedoelde het ook niet als waterdichte oplossing, maar als iets voor mij zou kunnen werken (vandaar het begin met "Voor mij").

[rr7r]

Het heeft alles te maken met kosten. Als een bank wil, dan zou een bank het zo kunnen inbouwen dat je rekeninghouder laat kiezen hoe veilig hij het wilt. Bovenop pas+PIN zou je nog een 2e zescijferige code of wachtwoord kunnen eisen bij inloggen (als 2e stap). Kan je optioneel uit- of aanzetten, wat de klant wilt. Maar waarom zo klantvriendelijk? Kost geld. Nee one size fits all lekker goedkoop.

[Voor 11% gewijzigd door rr7r op 23-03-2021 14:18]

[Joris748]

jeroenkb schreef op vrijdag 19 maart 2021 @ 13:41:
Dan is spaarrekeningen bij ander bank idd een goede oplossing.

En een beperkt bedrag op de algemene rekening houden

Wij hebben een spaarrekening bij verzekeraar A, ik kan alleen geld overmaken naar een vaste tegenrekening. In dit geval onze betaalrekening bij bank B.

Daarnaast staat er op de rekeningen van onze kinderen alleen leergeld. Waarvan het wel vervelend, maar geen ramp is, als het in verkeerde handen valt. Het echte geld voor hun toekomst (studeren, etc), staat bij een verzekeraar (op een spaarrekening met vaste tegenrekening).

[Voor 26% gewijzigd door Joris748 op 23-03-2021 14:29]