In het verhaal van Tros Radar wordt gemeld dat iemand over de schouder kan meekijken en daardoor de pincode kan inzien, dus ondanks het feit dat alleen de bankklant de app kan openen met biometrie. De pincode afkijken is een methode die door pasjesrovers wel vaker werd toegepast.

De pasjesrovers kijken typisch op de plek waar je de pincode "moet" laten zien - de geldautomaat of andere betaalautomaat , en je daar die vinger voor vinger intikt.

Dat lijkt me een nog steeds het grotere risico dan meekijken op de telefoon als je op de plek gaat waar de pincode van de pas staat .
(otoh - degenen die de pincode moeten opzoeken zullen dat typisch naast de plek doen waar ze 'm nodig hebben).

Pincode staat bepaald niet voor "kwam toevallig in het scherm" .

In de ING app selecteer je een betaalpas, kies je de optie "show pin" , en dan krijg je een gesimuleerd kras-vlak waar je met een paar keer vegen de code ziet . (of je kiest meteen daar onder weer de show-pin optie).

Het is heel duidelijk nagebouwd van de papieren pincode brief , waarin de pincode in ondoorzichtige envelop of idd onder een kras-vlak verstuurd werd , mooie analoge 'tamper-evident' methode .

Ik denk dat het netto wel een win is : de papieren "pincode vergeten" brief is natuurlijk erg vertragend (lekker dan - drie of vier dagen geen boodschappen kunnen doen ) , nog meer op vakantie .
Plus dat het veel veiliger dan het opgevouwen papiertje in de portemonnee .

Een verstandige IT afdeling installeert tegenwoordig ook een password manager , om de excelletjes op de afdelingsshare te voorkomen.

Die pincode is alleen zichtbaar als je de pas selecteert, klikt op de knop ‘laat pincode zien’ en vervolgens op een nieuw scherm het veld “leeg krast”.

Het is niet zo dat je pincode direct zichtbaar is voor iedereen, je moet daar drie verschillende handigen voor doen.

Je kunt de PIN opvragen / bekijken in de app, maar het is niet zo dat deze standaard zichtbaar is bij elk gebruik. M.a.w. wanneer iemand de smartphone met app gebruikt om via NFC te betalen, dan kan die PIN niet zomaar door een omstander gezien worden.

Niet dat het geheel onmogelijk is, maar dan moet er A) sprake zijn van een betaling waarbij de PIN ingegeven moet worden, B) je moet de PIN op dat moment niet meer uit het hoofd weten, C) je gaat deze opzoeken, waarbij je via een andere PIN of biometrische controle toegang krijgt tot de app, en dan moet een aantal stappen / schermen doorgegaan worden om die PIN in beeld te krijgen.

Plus dat je vlak daarna die pin gaat laten zien op het toetsenbord van de terminal of geldautomaat , dus in dat kijkende omstander scenario is het nogal lood om oud ijzer.

Beter dan het gefrummel met een briefje in de portemonnee.

Dit is straatroven en huisovervallen (al dan niet door nepagenten of andere babbeltruc) bevorderend.

Ik leg het altijd uit als dat de PIN code op je bankpas voor de offline wereld is. Die hoef je nooit in te tikken op je eigen of een andere computer. Betalen op een smartphone uitgezonderd.

Kennelijk vindt ING het wel nuttig om je PIN code in de online wereld te tonen. Lijkt mij dat bankmedewerkers en zo er ook bij kunnen als dat 'handig' is. Het staat immers in een database van ING, anders kan de App die niet weergeven. Mijn bank zegt dat mijn bank nooit om pincodes of andere beveiligingscodes zal vragen. Bij ING hebben ze een andere afweging gemaakt. Kennelijk mag dat.

ING heeft ook het systeem dat je PIN code voor internetbankieren met de scanner los staat van de PIN code voor pinnen met de bankpas. Andere banken maken dat onderscheid niet.

En ze besparen een postzegels als je per ongeluk je PIN code vergeet.

Nee, er volgt helemaal niet uit dat de ING om een pincode zal gaan _vragen_ .

En evenmin volgt dat helpdesker er bij kunnen .
Net zo goed als het versturen per carbon-envelop ook niet betekende dat de helpdesk er dus ook bij kon.

Lijkt mij dat je logica mankeert, maar kennelijk kan dat .


De andere banken hebben een generieke scanner die koppelt met de bankpas . De ING scanner doet niks met de pas, maar is een tokengenerator (die je de eerste keer aan je rekening koppelt ) en daarna een gepersonaliseerd stand-alone device is beveiligd met een eigen pincode .


En de dagen doorlooptijd (steeds langer nu postnl steeds minder bezorgdagen heeft) waarin oma geen boodschappen meer kan doen . En bieden ze een erg veel veiliger alternatief voor het briefje in de portemonee .