PostNL en energievergelijkers zoals gaslicht.com zijn gestopt met het verifiëren van adresgegevens via iDIN. Uit onderzoek van Tweakers blijkt dat gebruikers via hun bank een ander adres kunnen opgeven, omdat banken niet controleren of iemand daar daadwerkelijk woont. Ook andere organisaties met een vergelijkbare implementatie lopen mogelijk risico.
Tweakers onderzocht de kwestie na een ontdekking van tweaker Emile Nijssen. De website verifieerde dat gebruikers de adresverificatie via iDIN eenvoudig kunnen omzeilen door bij hun bank een ander adres op te geven. Banken controleren namelijk niet of een klant werkelijk op het opgegeven adres woont. Omdat veel Nederlandse diensten en bedrijven iDIN gebruiken om adresgegevens te verifiëren, kan dat gevolgen hebben voor de privacy van burgers. De bevindingen zijn terug te lezen in het onderzoek van Tweakers.
Post van andermans adres inzien
Bij PostNL kon een gebruiker het adres in de app wijzigen in een willekeurig ander adres. Via de dienst MijnPost was daarna zichtbaar welke post op dat adres werd bezorgd. PostNL meldt dat het de adresverificatie via iDIN naar aanleiding van recente signalen heeft uitgeschakeld. Gebruikers kunnen hun adres nog wel verifiëren via een bestaande alternatieve methode: een brief met een verificatiecode.
Energieverbruik van huishoudens opvraagbaar
Dezelfde werkwijze was mogelijk bij energievergelijkers die zijn aangesloten bij Energie Data Services Nederland (EDSN), de digitale infrastructuur van de Nederlandse netbeheerders. Onder meer gaslicht.com gebruikt iDIN voor adresverificatie. Door het adres aan te passen, konden gebruikers het jaarverbruik van elk huishouden in Nederland opvragen. Nadat Tweakers zijn bevindingen met EDSN had gedeeld, heeft het IT-bedrijf deze verificatiemethode stopgezet. EDSN onderzoekt welke alternatieven er zijn.
Afvalpas op een vals adres
Volgens Tweakers zijn mogelijk meer organisaties kwetsbaar wanneer iDIN onjuist is geïmplementeerd. Klanten van afvalinzamelbedrijf Avalex kunnen bijvoorbeeld een digitale afvalpas activeren voor een vals adres. Daarmee kunnen ze afval op naam van iemand anders wegbrengen. Avalex heeft de iDIN-integratie niet direct uitgeschakeld. Het bedrijf geeft aan te onderzoeken of aanvullende maatregelen nodig en proportioneel zijn om misbruik verder te beperken.
Itsme wijst naar implementatie
Itsme, de organisatie achter iDIN, stelt dat het probleem ligt bij de manier waarop partijen als banken en PostNL de dienst hebben ingericht. Een woordvoerder adviseert bedrijven aanvullende controles uit te voeren als ze zeker willen weten dat het adres van een gebruiker klopt.
De dienst iDIN is sinds 2016 actief en is gekoppeld aan de grote Nederlandse banken om de identiteit van gebruikers te verifiëren. Anders dan opvolger itsme en DigiD controleert iDIN niet of de gegevens die de bank aanlevert kloppen. Voor organisaties die iDIN inzetten voor adresverificatie betekent dit dat de dienst op zichzelf geen zekerheid geeft dat iemand daadwerkelijk op het opgegeven adres woont.
Het volledige rapport is te lezen via onderzoek van Tweakers.
