ING verstuurt nieuwe bankpassen aan zijn klanten. Wie de vernieuwde pas activeert, ziet iets opvallends. In de ING-app staat bij ‘mijn pas’ voortaan de pincode vermeld. Een klant schrok daarvan en trok bij consumentenprogramma Radar aan de bel. Volgens hem ontstaat zo een serieus veiligheidsprobleem. Hij wijst op het uitgangspunt achter het systeem: de sleutels horen niet op één plek te liggen. Zijn bankpas en zijn pincode leven nu immers allebei in dezelfde omgeving. De vraag die daaruit volgt is simpel. Hoe veilig is een pincode die zichtbaar wordt op een telefoonscherm? Radar legde die vraag voor aan een deskundige. Ook op securityforum Security.nl ontstond een levendige discussie over de wijziging.
Harald Vranken is hoogleraar Cyber Security aan de Open Universiteit. Hij geeft de bezorgde klant in de basis gelijk. Het is volgens hem niet goed als je je pincode van je telefoon kunt aflezen. Vranken legt de essentie van tweefactorauthenticatie uit. Je houdt je bankpas en je pincode juist bewust gescheiden. Wie zijn pincode op zijn bankpas schrijft, laat dat hele concept in duigen vallen. Precies hetzelfde geldt voor de telefoon. Gebruik je je toestel als bankpas, dan hoort de pincode daar niet onbeveiligd op te staan. De beveiliging rond die code is dus essentieel, benadrukt de hoogleraar. Zonder extra drempels verdwijnt het voordeel van twee losse factoren.
Radar noemt vooral het risico van meekijken over de schouder. Iemand die naast je staat, kan het scherm zien. De pincode ligt dan alsnog op straat. Bezoekers van Security.nl wijzen erop dat de app zelf goed op slot zit. Alleen de klant opent hem met biometrie, zoals een vingerafdruk of gezichtsherkenning. Toch beschermt die drempel niet tegen ogen in de buurt. Afkijken is een oude truc van pasjesrovers. Zij loeren traditioneel bij de geldautomaat of de betaalautomaat mee. Daar tikt de klant de code vinger voor vinger in. Volgens meerdere reageerders blijft dat het grotere risico. Wie zijn code opzoekt in de app, doet dat bovendien meestal niet aan de pinautomaat.
De pincode verschijnt niet zomaar in beeld. De klant kiest eerst een betaalpas in de app. Daarna tikt hij bewust op de optie om de pincode te tonen. Vervolgens verschijnt een nagebootst kraslaagje op het scherm. Pas na een paar keer vegen wordt de code leesbaar. ING bouwde daarmee de vertrouwde papieren pincodebrief na. Die brief kwam vroeger in een ondoorzichtige envelop of onder een echte kraslaag binnen. Zo’n laag laat direct zien of iemand anders er al aan zat. Deskundigen noemen dat een tamper-evident methode. De digitale variant kopieert dat idee, maar mist de fysieke bescherming van papier. Een schouderblik vervangt in feite het openen van de envelop.
Niet iedereen ziet de wijziging als een verslechtering. Op Security.nl noemt een reageerder het netto een vooruitgang. De papieren brief bij een vergeten pincode werkt namelijk traag. Klanten wachten drie tot vier dagen op post. In die periode doen zij lastig boodschappen, en op vakantie helpt de brief helemaal niet. De app lost dat probleem binnen enkele seconden op. Bovendien vergelijkt de reageerder de oude praktijk met een opgevouwen briefje in de portemonnee. Die gewoonte is aantoonbaar onveiliger dan een code achter biometrie. Hij trekt de vergelijking door naar het bedrijfsleven. Een verstandige IT-afdeling rolt tegenwoordig een wachtwoordmanager uit. Daarmee voorkomt zij dat medewerkers wachtwoorden in Excel-bestanden op een gedeelde schijf zetten.
De kwestie past in een bredere ontwikkeling bij banken. Steeds meer betaalfuncties verhuizen naar de smartphone. Klanten betalen al met hun telefoon in de winkel. Zij ontgrendelen die betaling met hun gezicht of vingerafdruk. Daardoor vervaagt het onderscheid tussen de pas en de code steeds verder. Toezichthouders eisen bij online betalingen nog altijd twee onafhankelijke factoren. Banken moeten die eis blijven waarmaken, ook binnen één apparaat. Zij lossen dat op met beveiligde chips en versleutelde opslag in de telefoon. De vraag blijft of een leesbare pincode in dezelfde app daarbij past. Vranken plaatst daar hoorbaar een kanttekening bij. Hij noemt de beveiliging rond zo’n code niet voor niets essentieel.
De discussie draait dus om een klassieke afweging. Gemak en veiligheid trekken hier aan hetzelfde touw. ING kiest voor snelle toegang tot de code, met biometrie en een kraslaagje als drempel. Critici wijzen op het principe dat bezit en kennis gescheiden horen te blijven. Beide standpunten bevatten een kern van waarheid. Voor klanten telt vooral hun eigen gedrag. Open de pincode alleen op een plek zonder meekijkers. Vergrendel de telefoon met een sterke code en zet biometrie aan. Maak nooit een screenshot van de code en deel hem met niemand. Wie zijn toestel verliest, blokkeert de pas onmiddellijk via de bank. Zo blijft het risico beperkt, ongeacht waar de pincode staat.
