Security Professionals - ipfw add deny all from eindgebruikers to any

ONVZ blundert met iDeal betalingen in de mail

07-05-2018, 20:56 door Anoniem, 25 reacties
Nieuw doelwit voor phishers...

ONVZ heeft nog nooit van phishing gehoord blijkbaar. Tegenwoordig stoppen ze betaalmogelijkheden direct in de email, iDeal nog wel. Iets dat andere bedrijven eindelijk beginnen te snappen dat je dat NIET moet doen. Het is wachten totdat de phishers deze stommiteit ontdekken en gaan gebruiken.

Te triest voor woorden. Security besef: nul.
Reacties (25)
08-05-2018, 07:41 door Anoniem
Door Anoniem: Nieuw doelwit voor phishers...

ONVZ heeft nog nooit van phishing gehoord blijkbaar. Tegenwoordig stoppen ze betaalmogelijkheden direct in de email, iDeal nog wel. Iets dat andere bedrijven eindelijk beginnen te snappen dat je dat NIET moet doen. Het is wachten totdat de phishers deze stommiteit ontdekken en gaan gebruiken.

Te triest voor woorden. Security besef: nul.

Verzekeraar DELA stuurde me een poos geleden een vergelijkbare mail, ik heb ze er fijntjes op gewezen dat ik er niet van gediend was en heb ze verzocht om mijn email adres te verwijderen en facturen per post te sturen.


Overigens is het besef er wel maar het risico ligt gewoon bij de klant dus iedereen die wel op de link in de mail klik is mooi meegenomen. Gevalletje schijt aan de klant.
08-05-2018, 10:13 door Anoniem
Alsof je zelf geen verschil kan maken tussen een legitieme email, en een nep email.
08-05-2018, 11:19 door karma4
Bankrekening nummers naar wie je zou moeten betalen horen gewoon publiekelijk bekend te zijn.
Traceerbaarheid herleidbaarheid. Niets is zo vervelend als een rekeningnummer waarvan je niet kan zien waar het bij hoort.
tikkie terug? Gewoon een rondje met flapje.
08-05-2018, 11:33 door Anoniem
iDeal stelt voorwaarden aan de organisatie die betaallinks aan klanten stuurt:
Regels voor het gebruik van een iDEAL-betaalverzoek
• U dient vooraf aan uw klant kenbaar te maken dat achteraf met iDEAL betaald kan worden en u dient vooraf af te spreken wat de betaalvoorwaarden zijn.
• U geeft aan met welk kanaal u het iDEAL-betaalverzoek verstuurd. Het dient dus altijd een betaallink te zijn die uw klanten via het afgesproken kanaal verwachten.
• De betaallink die u verstuurt dient voor de consument duidelijk herkenbaar te zijn als een bericht afkomstig van uw bedrijf. Indien u gebruik maakt van een externe partij die voor u uw betalingsverkeer afhandelt, dan moet u dat vooraf duidelijk maken aan uw klant.
• De betaallink moet uw klant naar uw betaalpagina (de zogenaamde landingspagina) leiden. De klant mag nooit direct doorgeleid worden naar de internet- of mobiel bankieromgeving van zijn bank.
• Op de betaalpagina moet een beschrijving van het product / de dienst worden getoond, waarbij uw klant zelf iDEAL selecteert om te betalen.
• De mogelijkheid tot betalen op uw betaalpagina dient te verlopen na het verstrijken van de door u meegegeven expiratieperiode van de bestelling (het aanbod) of na een succesvolle transactie van de klant.
• De link (URL) om de iDEAL-betaling te initiëren mag geen persoonlijke of transactie-informatie bevatten.
• U dient uw betaalpagina met SSL of gelijkwaardige beveiligingsmiddelen te beveiligen. Dit houdt in dat de adresregel (URL) altijd begint met https:// zodat uw klant de identiteit van uw betaalpagina of die van uw betaal- dienstverlener kan verifiëren.
https://www.ideal.nl/cms/files/Factsheet_iDEAL_betaallink_NL.pdf

ONVZ moet dit dus pas doen als ze vooraf met je hebben afgesproken dat ze dat doen, en er moet op verschillende punten in het proces voor de klant te verifiëren zijn dat ze op de goede plek zitten. Als ONVZ niets met je had afgesproken heb je een goede reden om te klagen.

Het probleem met phishing is natuurlijk dat een heleboel mensen geen idee hebben hoe ze wat dan ook moeten controleren. Maar ik heb het idee dat een flinke groep van die mensen best wat vaardigheden op dat gebied zou kunnen leren als de heersende verwachting niet was dat het allemaal zonder enige kennis en inspanning moet kunnen. Ik heb zelfs hoogintelligente mensen meegemaakt die ten enenmale verdommen om bij computergebruik na te denken omdat ze ervan overtuigd zijn dat dat niet nodig hoort te zijn. Maar volgens mij zit er echt een grens aan wat je nog kan beveiligen als de norm is dat iedereen als een kip zonder kop maar wat doet. Daar staat dan weer tegenover dat zo'n betaallink een voorbeeld van het zo makkelijk mogelijk maken en dus van het faciliteren van dat kip-zonder-kop-gedrag is. Ik vind dit lastig.

Als je kijkt hoe de beveiliging van betaalverkeer zich heeft ontwikkeld in de loop van de jaren dan zie je dat men niet voor absolute perfectie gaat maar wel voor het niet groot laten worden van problemen. Denk aan de maatregelen tegen skimmen en de overgang van magneetstrip naar chip. Dat betekent dat je de botte pech kan hebben dat er iets misgaat en dat je daar geld aan kwijtraakt (banken kunnen dan keihard zijn), maar ook dat de kans dat het je daadwerkelijk gebeurt erg klein is (banken zijn wel degelijk gevoelig voor de reputatieschade die ze oplopen als dit te vaak in Radar te zien is).

Persoonlijk vind ik het niet teveel moeite om na te gaan of een URL klopt, of betaalgegevens kloppen, om een digipass of zo te gebruiken, en om alles dubbel te checken. Het kost me minder tijd en moeite dan een overschijfformulier of acceptgiro op de post doen. Die mentaliteit en de bijbehorende vaardigheden overbrengen op anderen gaat me helaas niet altijd even goed af, er zijn opvallend veel mensen die verontwaardigd raken bij het idee dat ze er zelf iets kleins moeten doen om ellende te voorkomen, dat vinden ze achterhaald.
08-05-2018, 11:34 door Anoniem
Door karma4: Bankrekening nummers naar wie je zou moeten betalen horen gewoon publiekelijk bekend te zijn.
Traceerbaarheid herleidbaarheid. Niets is zo vervelend als een rekeningnummer waarvan je niet kan zien waar het bij hoort.
tikkie terug? Gewoon een rondje met flapje.

Je mist volledig maar dan ook volledig het punt wat gemaakt hier wordt.
08-05-2018, 12:35 door Anoniem
Ik heb ze vorig jaar al schriftelijk 'verzocht' om dit niet te doen. Ze houden zich niet aan de voorwaarden van iDeal, ik zal iDeal eens benaderen.

Er is vooraf geen toestemming gevraagd. De mail is platte email. Tot overmaat van ramp wordt er niet rechtstreeks aan ONVZ betaald maar aan een derde partij (epic fail).

transaction.acceptemail.com.

Wat een gepruts.

Om het gepruts nog erger te maken: ze versturen herinneringen voordat de betaaldatum verstreken is. Dubbel gepruts.
08-05-2018, 13:05 door Anoniem
Sterker nog, de partij die wordt gebruikt staat niet op de lijst geaccrediteerde partijen. Boeiend.
08-05-2018, 16:40 door karma4 - Bijgewerkt: 08-05-2018, 17:00
Door Anoniem: Je mist volledig maar dan ook volledig het punt wat gemaakt hier wordt.
De volledige uitleg kun je bij 11:33 anoniem teruglezen, let op het donkere blok met de gequote voorwaarden.
Tikkie terug is van de abn/amro ing en rabo heeft ook zoiets in de app zitten. Fraude heef meerdere gezichten, staar je niet blind op techniek https://www.fraudehelpdesk.nl/nieuws/naam-betaal-app-tikkie-misbruikt-phishing/

Eens kijken wat er achter acceptemail.com zit
https://financieel-management.nl/artikel/dutch-fintech-awards-robert-der-kinderen-maakt-met-acceptemail-ontvangen-en-betalen-van-rekeningen-per-email-mogelijk Het positioneert zich als opvolger van de papieren accept giro op een manier van de bovengenoemde bank eigen benadering. PSD2 GPR met de dataportabiliteit zou het sterker kunnen maken.


Ik heb de ervaring dat ze me snake mail sturen en overzicht voor het hele jaar ik check het extra nauwkeurig en betaal dan voor het hele jaar. Simpel eenvoudig, een keer jaarlijks te doen en verder geen gezeur meer.
08-05-2018, 16:55 door Anoniem
ze versturen herinneringen voordat de betaaldatum verstreken is

Da's toch klantvriendelijk, tenzij je een verhoging wil betalen ? Of rekenen ze ook alvast extra kosten, zonder dat de betaaldatum verstreken is ? Liever een herinnering voordat je extra kosten krijgt, dan erna ?
08-05-2018, 18:31 door Anoniem
karma4: lees eens wat verder dan je neus kort is. Tikkie is van een bank, en staat daarmee op de lijst geaccrediteerde bedrijven. Dat staat acceptmail niet. Wie er ook achter zit. PSD2 is alleen van toepassing als het bedrijf over een banklicentie (en dus onder toezicht van ECB staat) beschikt. En raadt eens, acceptmail heeft die niet.
08-05-2018, 19:03 door Anoniem
Het grootste probleem van iDeal is dat het veilig is. Voor de banken en de ontvangers wel te verstaan, niet voor de gebruikers. Die worden immers niet beschermd, in tegenstelling tot Nederlandse creditcard betalingen.
08-05-2018, 20:12 door Anoniem
Door karma4:
Door Anoniem: Je mist volledig maar dan ook volledig het punt wat gemaakt hier wordt.
De volledige uitleg kun je bij 11:33 anoniem teruglezen, let op het donkere blok met de gequote voorwaarden.

Echt Karma, ga fietsen man. Je post alleen om het posten als iemand je er dan op wijst dat je het niet begrepen hebt geef je als antwoord dat diegene naar een post moet kijken die nog niet eens gedaan/zichtbaar was.
08-05-2018, 21:09 door Anoniem
Door Anoniem: Ik heb ze vorig jaar al schriftelijk 'verzocht' om dit niet te doen. Ze houden zich niet aan de voorwaarden van iDeal, ik zal iDeal eens benaderen.

Er is vooraf geen toestemming gevraagd. De mail is platte email. Tot overmaat van ramp wordt er niet rechtstreeks aan ONVZ betaald maar aan een derde partij (epic fail).

Als je die voorwaarden bekijkt zie je dat het niet nodig is om jou toestemming te vragen, het is alleen nodig aan jou mede
te delen dat het betalen op deze manier gaat gebeuren.
Je kunt het daar niet mee eens zijn maar wat dan de vervolgstappen worden zal er vanaf hangen wat voor product het om
gaat. Je ziet bijvoorbeeld wel dat verzekeraars budgetpolissen aanbieden (om bovenaan te komen bij prijs vergelijkings
sites) waarbij in dat geval jouw opties beperkt zijn. Kies je een iets duurder product dan kan er ineens veel meer. Dat
kan bijvoorbeeld ook gaan over het sturen van papieren polissen of rekeningen per post, waarbij dit bij de goedkoopste
versie dan alleen per mail of "mijn blabla" site kan.
Ik kan me wel voorstellen dat ONVZ dan niet ingaat op je gedrein over het anders willen, of dat ze er afwijzend op reageren.
08-05-2018, 23:14 door karma4
Door Anoniem:
Echt Karma, ga fietsen man. Je post alleen om het posten als iemand je er dan op wijst dat je het niet begrepen hebt geef je als antwoord dat diegene naar een post moet kijken die nog niet eens gedaan/zichtbaar was.
Als er eerst op de persoon gespeeld wordt en dan zo'n prachtig antwoord van een andere anoniem er voor staat wat verwacht je dan. Zoiets heet karma. Fietsen is heel goed met dit weer, relax man oefen je meditatie om in andere sferen te komen.

karma4: lees eens wat verder dan je neus kort is. Tikkie is van een bank, en staat daarmee op de lijst geaccrediteerde bedrijven. Dat staat acceptmail niet. Wie er ook achter zit. PSD2 is alleen van toepassing als het bedrijf over een banklicentie (en dus onder toezicht van ECB staat) beschikt. En raadt eens, acceptmail heeft die niet.
Als intermediair om gegevens technisch door te sluizen hoef je echt geen bank licentie te hebben.
Voor beheer van betalingen in belang van de klant wel een financiële dienstverleners vergunning
als waterdragen die niet betrokken is bij de betaling zelf (dat speelt hier) is dat allemaal niet van toepassing.

De echte betaling gebeurt door ideal https://www.currence.nl/producten/ Het is een samenwerking van de nederlandse banken. Wat er gebeurt met acceptemail is een vervanging van de voorgedrukte acceptgiro naar wat anders. Die acceptgiro's werden acht niet bij de banken gedrukt. Het is iets waar ik ooit best wat mee van doen had. Die verandering is best leuk om in te duiken. Je mag best zeggen dat ik niet de beste link had.

Ipv negatief te zijn dat het niet goed is en anders zou moeten kun je ook kijken wat er nu speelt met wie waar zit.
Een beter https://www.accepteasy.com/nl/over-ons Het bedrijf heeft een nieuwe naam en blijkt veel groter te zijn.
Gelukkig komt de zelfde naam weer mee. Ze noemen een hele rits klanten en dat is ook terug te vinden.
Ogone is igenico geen duidelijke relatie maar die is te koppelen. Ik zou graad de accepteasy ideal relatie vinden.
08-05-2018, 23:45 door Tha Cleaner
Door Anoniem: Tot overmaat van ramp wordt er niet rechtstreeks aan ONVZ betaald maar aan een derde partij (epic fail).

transaction.acceptemail.com.

Wat een gepruts.

Waarom is dit gepruts? Persoonlijk vind ik dit juist een voordeel. Veel meer (integratie) mogelijkheden wat een hoop zelfbouw scheelt. (wat ook nog eens fout kan gaan). Juist dit soort dingen wil je eigenlijk uitbesteden aan partijen die er verstand van hebben om dit soort transacties aan te bieden, even ongedacht de andere issues

Om het gepruts nog erger te maken: ze versturen herinneringen voordat de betaaldatum verstreken is. Dubbel gepruts.
Of juist een herinnering om jou er op te attenderen dat je mogelijk nog niet betaald hebt?
09-05-2018, 07:22 door Anoniem
Door Anoniem:
ze versturen herinneringen voordat de betaaldatum verstreken is

Da's toch klantvriendelijk, tenzij je een verhoging wil betalen ? Of rekenen ze ook alvast extra kosten, zonder dat de betaaldatum verstreken is ? Liever een herinnering voordat je extra kosten krijgt, dan erna ?

Let op dat het sturen van een herinnering een juridische actie is, de vereiste voor een volgende juridische stap! En nee, dat is niet klantvriendelijk, zeker niet als er in het betaalverzoek al 2 verschillende data staan ('betaal binnen 5 dagen" en vervaldatum die bijna een maand verder ligt.

Het was overigens inderdaad een fout.

@Tha cleaner: prachtig: zonder verdere aankondiging geld overmaken aan een derde partij, waarbij het lijkt of het overgemaakt wordt aan ONVZ. Handig. Moeten we vaker doen. Ooit van phishing gehoord? Wat zijn ook al weer de kenmerken van phishing? En hoe zit het met accreditatie? Die ontbreekt. Nog meer phishing kenmerken dus.
09-05-2018, 07:27 door Anoniem
Door Anoniem:
Door Anoniem: Ik heb ze vorig jaar al schriftelijk 'verzocht' om dit niet te doen. Ze houden zich niet aan de voorwaarden van iDeal, ik zal iDeal eens benaderen.

Er is vooraf geen toestemming gevraagd. De mail is platte email. Tot overmaat van ramp wordt er niet rechtstreeks aan ONVZ betaald maar aan een derde partij (epic fail).

Als je die voorwaarden bekijkt zie je dat het niet nodig is om jou toestemming te vragen, het is alleen nodig aan jou mede
te delen dat het betalen op deze manier gaat gebeuren.

Uit de voorwaarden:
• U dient vooraf aan uw klant kenbaar te maken dat achteraf met iDEAL betaald kan worden en u dient vooraf af
te spreken wat de betaalvoorwaarden zijn.

Af te spreken betekent toch echt toestemming hebben.


Je kunt het daar niet mee eens zijn maar wat dan de vervolgstappen worden zal er vanaf hangen wat voor product het om
gaat. Je ziet bijvoorbeeld wel dat verzekeraars budgetpolissen aanbieden (om bovenaan te komen bij prijs vergelijkings
sites) waarbij in dat geval jouw opties beperkt zijn. Kies je een iets duurder product dan kan er ineens veel meer. Dat
kan bijvoorbeeld ook gaan over het sturen van papieren polissen of rekeningen per post, waarbij dit bij de goedkoopste
versie dan alleen per mail of "mijn blabla" site kan.
Ik kan me wel voorstellen dat ONVZ dan niet ingaat op je gedrein over het anders willen, of dat ze er afwijzend op reageren.

ONVZ is geen budget aanbieder, integendeel, ze zijn een van de duurdere aanbieders (en met reden: volledige restitutiepolis). Prijsvergelijkers? Laat me niet lachen, daar koop je je plaats.

En ze zijn volgens de voorwaarden van iDeal verplicht om een andere betaalwijze te accepteren. Zonder discussie, en dat doen ze dan ook.
09-05-2018, 08:54 door Anoniem
iDeal is een "cure looking for a disease" oftewel een oplossing voor een niet bestaand probleem.

Buiten iDeal zijn er werkelijk genoeg opties om een betaling te doen. Dus dat ding afschaffen
09-05-2018, 13:33 door Anoniem
Door Anoniem: iDeal is een "cure looking for a disease" oftewel een oplossing voor een niet bestaand probleem.

Buiten iDeal zijn er werkelijk genoeg opties om een betaling te doen. Dus dat ding afschaffen
Zoals?

Ik heb ooit een Paypal-account gehad en heb dat weer afgesloten toen ik merkte dat ik vaker e-mails met lappen tekst aan gewijzigde voorwaarden ontving dan ik er betalingen mee deed. Ik lees voorwaarden. Ik heb ooit een creditcard gehad en die heb ik weer afgeschaft omdat ik aan ondertekenen via een apart apparaatje (digipass en dergelijke) de voorkeur geef en de creditcard nooit bleek te gebruiken. Verder heb ik bewust geen smartphone om een heel scala aan redenen, dus eventuele betaal-apps die daarop beschikbaar zijn gaan het voor mij ook niet wezen.

Sinds de opkomst van webwinkels (internet had ik voor er webwinkels waren) heb ik welgeteld drie keer een artikel online willen kopen dat ik niet met iDeal kon betalen. Eén keer heb ik Paypal gebruikt (daarvoor heb ik toen die account geopend), één keer heb ik het geld naar een Duitse rekening overgeboekt en één keer heb ik toch nog een alternatieve verkoper gevonden die wel iDeal ondersteunde.

Welke alternatieven voor iDeal ken jij die voor mij zouden werken?
09-05-2018, 18:46 door Anoniem
Best gek

Want ONVZ komt op digitaal gebied (website) met security en privacy als 1 van de besten uit de bus.
https://www.security.nl/posting/559554/Test+Verzekeraar+Websites+op+Security+%26+Privacy+%28%232%29
De meesten kunnen daar nog een puntje aan zuigen.

Foutje van ONVZ?
10-05-2018, 07:37 door Anoniem
Door Anoniem: iDeal is een "cure looking for a disease" oftewel een oplossing voor een niet bestaand probleem.

Buiten iDeal zijn er werkelijk genoeg opties om een betaling te doen. Dus dat ding afschaffen

Zoals iemand eerder ook al vraagt, welke dan? Nogal een stevige uitspraak zonder verdere ondersteuning.
10-05-2018, 10:45 door Anoniem
Door karma4:
Door Anoniem:
Echt Karma, ga fietsen man. Je post alleen om het posten als iemand je er dan op wijst dat je het niet begrepen hebt geef je als antwoord dat diegene naar een post moet kijken die nog niet eens gedaan/zichtbaar was.
Als er eerst op de persoon gespeeld wordt en dan zo'n prachtig antwoord van een andere anoniem er voor staat wat verwacht je dan.

Je kan weer niet lezen, het antwoord van 11:33 was niet zichtbaar toen 11:34 gepost werd.
10-05-2018, 11:07 door Anoniem
Door Anoniem:
Door Anoniem: iDeal is een "cure looking for a disease" oftewel een oplossing voor een niet bestaand probleem.

Buiten iDeal zijn er werkelijk genoeg opties om een betaling te doen. Dus dat ding afschaffen

Zoals iemand eerder ook al vraagt, welke dan? Nogal een stevige uitspraak zonder verdere ondersteuning.

Al eens aan een "gewone" credit card gedacht zoals bv VISA????
10-05-2018, 13:04 door karma4
Door Anoniem: ...Je kan weer niet lezen, het antwoord van 11:33 was niet zichtbaar toen 11:34 gepost werd.
Ik kan uitstekend lezen.
Ik zeg dat ik weet dat de persoon het nog niet gezien kon hebben en dat het een perfecte post om 11:34 was.
Nu blijf jij doorzeuren dat ik het niet gezien en beseft zou hebben. Dan lach ik me toch rot.
10-05-2018, 14:04 door Anoniem
Door karma4:
Door Anoniem: ...Je kan weer niet lezen, het antwoord van 11:33 was niet zichtbaar toen 11:34 gepost werd.
Ik kan uitstekend lezen.
Ik zeg dat ik weet dat de persoon het nog niet gezien kon hebben en dat het een perfecte post om 11:34 was.
Nu blijf jij doorzeuren dat ik het niet gezien en beseft zou hebben. Dan lach ik me toch rot.
Fijn dat je mijn post van 11:34 perfect vond, maar stop allebei om het als materiaal voor gekibbel te gebruiken, alsjeblieft.

@Anoniem: dat die post er nog niet stond wil niet zeggen dat hij niet aangehaald kan worden om iets te verduidelijken.

@karma4: als je het zo'n perfecte post vond, overweeg dan eens om zelf van begin af aan duidelijk genoeg te zijn om niet voortdurend wat anderen in je posts lezen tegen te moeten spreken.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.