Bijna 200 miljoen euro aan fraude bij betalingen, vooral meer phishing

Die “snelle betalingen” zijn vooral snel voor de oplichter; voor het slachtoffer begint dan het loket-circus met formulieren en wachttijden. Banken hebben jaren geroepen dat alles veiliger werd, maar ondertussen duwen ze mensen de app in en noemen ze het eigen schuld als je één keer in paniek op een link klikt. Zet die overboekingen boven een paar honderd euro standaard op een korte wachttijd, of geef tenminste een echte terugboek-knop; dit is nu gewoon een verdienmodel van ellende.

Wie het ziet, ziet het: ze willen dat alles “direct” en alleen nog via je telefoon gaat, en dan zijn mensen verbaasd dat criminelen daar ook op springen… alsof oma met een bibberhand in een app veiliger is dan gewoon even naar de balie. En DNB roept rapporten maar ondertussen wordt cash en menselijk contact eruit gedrukt, want data = controle en banken besparen personeel, succes met je “eigen verantwoordelijkheid” als de helpdesk na 45 minuten eindelijk opneemt!! Ik was zelf ook zo, dacht dat digitalisering vooral gemak was, maar het is vooral een snelkookpan voor ellende en niemand die echt aansprakelijk is.

Hier op het land betalen we ook steeds meer via tikkies en snelle overboeking, maar wat me opvalt: de oplichter zit vaak al in je telefoonboek, gehackt account van een buurman of “loonwerker” met een nieuw nummer. Banken kunnen wel roepen eigen schuld, maar waarom kan ik bij een nieuw rekeningnummer niet standaard 24 uur “koelperiode” aanzetten, net als bij marktplaats, dan ben je dat geld niet in 10 seconden kwijt. En maak het voor mensen simpel: als je twijfelt moet je met 1 knop kunnen pauzeren, nu ga je eerst 3 menu’s door terwijl de stress je kop leegmaakt.

Juridisch gezien blijft het rare gat dat bij een gewone incasso wél storno kan en bij een “geautoriseerde” overboeking vrijwel niks, terwijl de bank de UX de facto zo frictieloos mogelijk maakt. Dan krijg je straks meer claims over zorgplicht en misleidende interface (“u betaalt naar Jan Jansen” terwijl het een mule-account is), mits banken niet standaard naam-nummer-controle en duidelijke waarschuwingen afdwingen. En nee, dat is niet alleen ‘eigen schuld’, want de bank kiest bewust voor snelheid boven controle.

Wat ik mis in deze discussie: waarom is het nog steeds normaal dat je in je bankapp een nieuw IBAN kunt plakken en “verzenden” zonder dat je eerst een fatsoenlijke contextcheck krijgt zoals “dit rekeningnummer is pas 3 dagen oud / ontvangt vandaag al 40 betalingen / staat op naam van iemand anders dan in je contacten”. Als je als bank wél realtime alles kan score’n voor marketing en krediet, dan kan je ook realtime frictie toevoegen op verdachte patronen ipv achteraf zeggen dat je “zelf hebt geautoriseerd”.

even nuchter: dat hele “bank kan niks doen want jij hebt geautoriseerd” klopt misschien juridisch, maar technisch kunnen ze wél veel meer aan de voorkant, alleen kost dat frictie en dus klantenservice/omzet. En waarom hoor je niemand over simswaps en die rommel bij telecomproviders, als je iemands nummer overneemt ben je zo de bankapp in… daar moet ook gewoon harder op gecontroleerd worden.

Iedereen zit op “wachttijd” te hameren, maar de olifant is dat dit geld vaak binnen minuten via 3 landen en een crypto-exchange weg is, en dan kom je dus in een EU/SEPA + AMLA/FiU moeras waar elke schakel naar elkaar wijst. Pak het bij de ontvangende kant: verplicht realtime beneficiary-checks én harde aansprakelijkheid voor banken die mule-accounts laten draaien alsof het een webwinkel is, anders blijft het gratis cashen voor criminelen. En ja, telecom/simswap is hier de achterdeur: zolang providers met een belscriptje een nummer kunnen overzetten, kun je in de bankapp frictie stapelen tot je blauw ziet.