Interferenties

Verkeerd banknummer op betaalopdracht
De uitslag van een kort geding in Almelo van dinsdag 29 september j.l. haalde alle bladen en alle radio- en tv-zenders. Het verhaal was dan ook smakelijk. Een man uit Wageningen had op een  betaalopdracht een verkeerd banknummer ingevuld en als gevolg hiervan werd 43 duizend euro  overgemaakt naar de verkeerde begunstigde. Deze dame had onmiddellijk het geld geïncasseerd en verteerd. Naast het rapporteren van deze kwestie kwamen enkele verslaggevers ook nog met de waarschuwing dat dit voorval toch maar weer eens aantoonde dat iedereen betaalopdrachten zeer nauwkeurig moest invullen.

Het journaille had zijn werk weer eens niet goed gedaan. Een klein onderzoekje mijnerzijds leverde de volgende informatie op: de bank van de man is de SNS-bank en de overschrijving werd gedaan naar een oud-Postbankrekening van de ING. En dat laatste was precies de informatie die ik verwachtte. In tegenstelling tot alle andere Nederlandse bankrekeningnummers zijn oud-Postbankrekeningnummers totaal niet beveiligd tegen verschrijvingen. De journalisten hadden moeten melden dat men alleen met overschrijvingen naar oud-Postbankrekeningen van ING heel erg secuur moet zijn. Uiteraard zou dit – en terecht – tot enorme imagoschade voor de ING-bank hebben geleid.

Rechtzaak Almelo
Op dinsdag 29 september 2009 diende een kort geding in Almelo over verschrijving van één cijfer in een Oud-Postbanknummer, waardoor 43 duizend euro bij de verkeerde persoon terecht kwam. Zie hier de ANP-video:

httpv://www.youtube.com/watch?v=NUZNXhsxPuc

Aan het einde van dit bericht kom ik met aanbevelingen die het betaalverkeer veiliger zouden maken. Vooral de  ING moet snel orde op zake stellen en kan om verdere imago-schade te voorkomen maar het beste alle gedupeerden buiten de publiciteit om schadeloos stellen. Intern dienen ze een aantal malussen uit te delen.

Onveilige oud-Postbankrekening
Alle bankrekeningen, behalve oud-Postbankrekeningen, zijn goed beveiligd tegen verschrijvingen van het banknummer. Alleen heel grove verschrijvingen leiden soms tot ellende. Simpele verschrijvingen worden door de bank herkend (hoe dat in zijn werk gaat, leg ik verderop uit). Die beveiliging van de banknummers is zo goed dat naam- en adrescontroles niet nodig zijn en inderdaad ook niet worden uitgevoerd. Maar de oud-Postbanknummers kennen die beveiliging niet. De ING kan geen enkele verschrijving van een oud-Postbankrekening herkennen. Elke verschrijving levert een andere, bestaande rekening op. Om die reden zou de ING altijd op dergelijke bankoverschrijvingen naam- en adrescontrole moeten uitvoeren. Dankzij die Almelose rechtszaak weten we dat die noodzakelijke controle achterwege wordt gelaten. Een klein navraag op mijn werk leverde op dat menig houder van een oud-Postbankrekening te maken heeft gehad met spookoverboekingen, die later weer werden hersteld door de Postbank of ING.

Beveiliging banknummers
Banknummers van rekeningen courant, behalve die van de oud-Postbanknummers, bestaan uit 9 cijfers. Andere rekeningen, zoals spaarrekeningen kunnen uit 10 cijfers bestaan. Al deze rekeningnummers voldoen aan de elfproef, die hierna wordt uitgelegd.

Elfproef
Bij de elfproef wordt aan een te controleren getal een controlecijfer toegevoegd. Dit extra cijfer zorgt ervoor dat het originele getal aangevuld met het controlecijfer, voldoet aan de elfproef. De test wordt als volgt uitgevoerd: het laatste cijfer (het controlecijfer) wordt met met 1 vermenigvuldigd, het op één na laatste met 2, enz.. Al deze getallen worden opgeteld. Alleen als het resulterende totaal door 11 deelbaar is, hebben we te maken met een geldig banknummer. Als we door 11 delen moet de rest van de deling dus 0 zijn.

Voorbeeld: banknummer 123456789.  Dit is slechts een voorbeeld en niet bedoeld een werkelijk bestaand banknummer te representeren. De elfproef levert op:
(9+16+21+24+25+24+21+16+9)/11 =165/11 =15 met rest 0. Dit is dus een nummer dat de elfproef doorstaat. Maar als u in dat nummer één cijfer verandert (zeg maar door een simpele verschrijving) voldoet het nieuwe nummer niet meer aan de elfproef. Ook als u twee nummers verwisselt (een andere mogelijke verschrijving) voldoet het nummer niet meer aan de elfproef. Pas als er nog ernstigere verschrijvingen plaatsvinden, is het mogelijk dat een nummer wordt geproduceerd dat echt bestaat.

Als u, dronken of in een jolige bui, negen willekeurige nummers invult gaat het in 10 van de 11 gevallen nog goed, omdat u dan een niet-bestaand nummer produceert.

Afwezigheid van enige test voor oud-Postbanknummers
Bij de oud-Postbanknummers is de situatie vreselijk. Elke verschrijving levert een ander bestaand Postbanknummer op. Dat betekent dat elke betaalopdracht gecontroleerd zou moeten worden op naam- en adresgegevens van de begunstigde. De ING laat deze, absoluut noodzakelijke, controle blijkbaar achterwege.

Is het niet mogelijk om elke oud-Postbanknummer met wat getallen aan te vullen tot een veiliger normaal 9-cijferig bankrekeningnummer. Ja, dat kan. Erger nog dat doet de ING zelf al op acceptgiro’s. Daar wordt een uitgebreider banknummer geproduceerd dat aan een gewogen elfproef voldoet.

Gewogen elfproef
In een gewogen elfproef worden andere getallen dan 1,2,3,4,5,6,7,8,9 gebruikt als gewicht. Er zijn vele mogelijke gewichten te bedenken, maar de in bankkringen gebruikelijke gewogen elfproef maakt gebruik van de volgende gewichten: 2, 4, 8, 5, 10, 9, 7, 3, 6, 1. Voor getallen met meer dan 10 cijfers herhalen deze getallen zich.

Als we een getal hebben dat we willen voorzien van een controlegetal met de gewogen elfproef rekenen we het controlegetal uit door de som van alle producten uit te rekenen. Zeg dat dat A is. Dan delen we A door 11 en behouden de rest, die we B noemen. Nu krijgen we het controle getal C door B van 11 af te trekken: C=11-B. Als C=10  maken we C gelijk 1 en als C=11  maken we C gelijk aan 0. Het aldus verkregen controlegetal voegen we aan de linkerzijde toe van het te controleren getal. In de volgende alinea wordt een voorbeeld gegeven.

Gewogen elfproef voor oud-Postbanknummers
Hoe maakt ING van een oud-Postbanknummer een veilig banknummer met 10 cijfers? Dat doen ze met de gewogen elfproef. Het oud-Postbanknummer wordt eventueel aangevuld met voorloopnullen tot een getal van 7 cijfers. Hiervoor wordt dan het controlegetal geplaatst en daarvoor weer twee nullen.

Voorbeeld: oud-Postbankrekening 2445588, inderdaad het nummer van de Belastingdienst in Apeldoorn. Dit wordt C2445588 met C het te bepalen controlegetal:

Dus A=203. Nu delen we door elf: A/11 = 18 met rest 5, d.w.z: B=5
C=11-B=6

Dus het controleerbare nummer wordt 62445588, wat met de twee voorloopnullen een heus 10-cijferig banknummer geeft dat veilig is voor verschrijvingen: 0062445588. Dat laatste nummer treft u ook werkelijk aan rechtsonder op de acceptgiro’s van de belastingdienst.

Acceptgiro’s
Hoe weet ik dat dit de procedure is? Die informatie wordt geleverd door Acceptgiro BV, een dochter van Concurrence, een samenwerkingsverband van een aantal Nederlandse banken. Op een acceptgiro staat helemaal onderaan de enige regel die gebruikt wordt bij de machinale verwerking. Die regel bevat het betalingskenmerk, plus de bankrekening van de debiteur en die van de crediteur. Je zou zeggen dat machinaal lezen van voorgedrukte cijfers van vooraf bepaalde afmetingen en vooraf bepaalde toegelaten spaties heel veilig is. Zo veilig dat er geen controle op zou hoeven te worden uitgevoerd. Toch worden op die regel van de acceptgiro wel degelijk controle uitgevoerd, en niet één maar drie controles:

1. Op het betalingskenmerk. Dit kenmerk moet aan de gewogen elfproef voldoen en het eerste cijfer van het betalingskenmerk is dus een controlecijfer.
2. Bankrekening van de debiteur. Als het een reguliere bankrekening betreft, moet dit nummer voldoen aan de elfproef. Als het een oud-Postbanknummer betreft, moet het voldoen aan de gewogen elfproef. Daar wordt dus niet het gewone onveilige oud-Postbanknummer voor gebruikt, maar wel degelijk de veilige uitgebreide versie.
3. Bankrekening van de crediteur. Controle identiek aan wat er met de rekeningnummer van de debiteur plaatsvindt.

Nu moet u zich dus realiseren dat op de veel moeilijker te interpreteren handgeschreven opdrachten naar oud-Postbankrekeningnummers geen enkele controle plaatsvindt.

Oud-Postbanknummers corrigeren
Als je de veiligheidskleppen aanschouwt die ook de ING nodig vindt voor acceptgiro’s, vraag je je af waarom ze nog die oud-Postbanknummers handhaven. Ze kunnen ze zo omzetten naar de uitgebreidere nummers die aan de gewogen elfproef voldoen. En we weten dat die nummers vrij te gebruiken zijn, want ze worden door de ING zelf gebruikt op de acceptgiro’s. En de rekeninghouders van oud-Postbankrekeningen moeten die geringe, eenvoudig uit te rekenen, complicatie maar slikken in hun eigen belang.

IBAN (International Bank Account Number)
Het wordt nog gekker als je de IBAN-nummers van oud-Postbankrekening nummers onderzoekt. Het IBAN-nummer wordt gebruikt in internationaal betalingsverkeer. Dat nummer bestaat uit het nationale bankrekeningnummer (9 of 10 cijfers) met een aantal letters en cijfers ervoor die de bank identificeren. Aan het geheel wordt een controlegetal toegevoegd bestaande uit twee cijfers. Dat wil zeggen dat er op een IBAN-nummer twee controles uitgevoerd kunnen worden: de elfproef op het ingesloten banknummer en de IBAN-test op het geheel. Behalve dan bij de IBAN- nummers van oud-Postbankrekeningen. In plaats van daar de uitgebreidere versie te gebruiken van het oud-Postbanknummer dat aan de gewogen elfproef voldoet (geen rekeninghouder die het verschil zou merken) gebruikt ING het originele oud-Postbanknummer aangevuld met een stelletje nullen ervoor. Er kan op een IBAN-nummer van een oud-Postbankrekening maar één test worden toegepast, met minder bescherming tegen verschrijvingen.

Controleren van creditcardnummers
Ook creditkaartnummers, uit welk land ook afkomstig, hebben een controlecijfer. De creditkaartnummers zijn vaak lang: 15 of 16 cijfers is normaal. De eerste cijfers bepalen de organisatie en de bank. Het allerlaatste cijfer is het controlecijfer. De test waaraan de creditkaartnummers moeten voldoen heet de Luhntest.

De Luhntest werkt als volgt: we moeten optelsom maken waaraan elk cijfer van het te controleren nummer een bijdrage moet leveren. Inspecteer de cijfers van rechts naar links. De bijdrage van het eerste, derde, vijfde enz.  cijfer van rechts is het cijfer zelf. De bijdragen van de andere cijfers zijn iets ingewikkelder: verdubbel elke tweede cijfer; dus de tweede van rechts, de vierde van rechts en de zesde van rechts, enz. worden verdubbeld. Het aldus verkregen getal is de bijdrage aan de totale optelling, tenzij het resterende getal van die verdubbeling groter is dan 9, d.w.z. uit twee cijfers bestaat, dan worden die twee cijfers opgeteld tot één cijfer.

Voorbeeld van een getal: 1234567.

Het resultaat van de Luhnoptelling is in dit geval 31. Een nummer voldoet aan de Luhnproef als het resultaat van deze optelling deelbaar is door 10. Het getal 1234567 faalt voor de proef want we houden de rest 1 over bij deling door 10. Vervangen we de 7 door een 6, d.w.z. we bekijken getal 1234566, dan wordt de optelling 30 en dat is wel deelbaar door tien, waardoor dit nieuwe getal wel aan de Luhnproef voldoet.

Internetbankieren
Hoewel internetbankieren redelijk veilig is, doen zich daar nieuwe mogelijkheden voor tot verschrijvingen. Ik weet niet wat voor nerds de banken in dienst hebben als website-ontwikkelaars, maar veiligheid is blijkbaar niet hun hoogste prioriteit.

Onveiligheid bij internetbankieren met ING
Dat ING begrijpt dat er iets niet in de haak is met de onveilige oud-Postbanknummers blijkt wel uit het feit dat als je internetbankiert bij ING en je een overschrijving wilt doen naar een oud-Postbankrekening, de webserver van ING de naam en adres van de begunstigde toont. Dat lijkt veilig, maar is het niet. De combinatie van banknummer en naam en adres van een privépersoon is de eerste stap voor criminelen naar identiteitsdiefstal. Buitenstaanders moeten nooit geautomatiseerd banknummers aan naam en adressen kunnen koppelen, zelfs niet als die buitenstaanders een ING-rekening hebben.

Automatische invulling (autocomplete)
Internet browsers maken gebruik van automatische invulling. Dat kan heel handig zijn. Je hebt bijvoorbeeld al eens eerder op dezelfde site dezelfde gegevens ingevuld. Je hoeft die gegevens niet een tweede keer uitgebreid in te vullen. De browser heeft uw gegevens onthouden. De volgende keren hoef je maar één karakter in te typen en de browser geeft je meteen één mogelijkheid, of een aantal  mogelijkheden in een zogenaamde combobox. Je klikt en klaar is kees. Dat voorkomt veel moeizaam getyp. Maar is ook heel gevaarlijk.

Het probleem met die automatische invulling is dat die keuzes die de browser u suggereert niet meer controleerbaar zijn. Ze zijn al eerder gecontroleerd en voldoen dus aan alle tests. De suggestie van automatische invulling voor het bankrekeningnummer bevat altijd een bestaand bankrekeningnummer. Helaas niet altijd het nummer van degene naar wie u iets wil overmaken.

De banken moeten die automatische invulling afzetten. Dat kan op verschillende manieren. Als de whizzkids van de banken dat niet kunnen, wil ik ze wel helpen.

Adresboek
Men kan de persoon die bankiert via internet veel beter helpen door de faciliteiten van het adresboek uit te breiden. Om één of andere werkelijk stupide reden is bijvoorbeeld bij de Rabobank het aantal adressen in het adresboek beperkt tot een idioot laag aantal.

Het adresboek is heel veilig en heel handig. Met één klik wordt in de overschrijving alles automatisch ingevuld: banknummer en naam en adres. En altijd in de goede combinatie.

Aanbevelingen

1. Alle oud-Postbanknummers worden omgezet naar de uitgebreidere versie die aan de gewogen elfproef voldoet.
2. Alle gedupeerden worden door ING schadeloos gesteld aangezien het oude systeem onverantwoord en gammel is.
3. Indien ING niet aanbeveling 1 ter harte neemt, adviseer ik iedere houder van een oud-Postbankrekening om die rekening op te zeggen, dan wel alleen maar te gebruiken voor kleine bedragen.
4. In dien ING niet tot  compensatie overgaat, ligt er een taak voor consumentenorganisaties om hun leden te adviseren de ING de rug toe te keren. Advocaten van gedupeerden moeten ook bijdragen aan de imago-schade voor ING.
5. Websites van internetbankieren dienen veiliger te worden gemaakt door hele grote adresboeken toe te staan en door het automatisch invullen uit te sluiten.
6. In de lijst van gerelateerde berichten, staan ook berichten met aanbevelingen.

Mijn verwachting
Ik denk dat de banken zich van dit bericht niets zullen aantrekken. Dat geeft niet want ik zorg er wel voor dat de informatie secuur zal worden bezorgd bij de verantwoordelijken.  Advocaten kunnen dan later met veel meer succes nieuwe gedupeerden verdedigen, met uiteraard navenante imagoschade voor de desbetreffende banken.