Gratis shoppen door gat in betalingsysteem iDeal

Bandieten kunnen gratis spullen bestellen door een betaalbevestiging te simuleren bij de goedkopere versie van iDeal. Bij iDeal is dit bekend, maar zij doen hier niets aan. Bij de goedkopere versie blijkt het mogelijk om het betalingsproces te verstoren, waardoor iemand zonder betaling spullen kan bestellen. Mits de verkoper vertrouwt op de betalingsbevestiging van iDeal.

Het betaalsysteem iDeal is bij de meeste banken in twee soorten te verkrijgen: een goedkope versie voor de kleine webshops en een duurdere variant voor de grote webshops.

‘Handleiding’ om zonder betaling artikelen te bestellen Via het webforum Digitalplace.nl heeft een anonieme deelnemer beschreven hoe het mogelijk is om zonder betaling artikelen te bestellen. Het blijkt erg eenvoudig te zijn. Op de betaalpagina van een webshop staat in de broncode een verwijzing die de betalingsbevestiging aan de klant toont en een e-mail naar de verkoper stuurt.

De webpagina mag alleen opgeroepen worden nadat een klant in de betaalomgeving van iDeal is geweest en de transactie succesvol heeft afgerond. Door de URL direct vanaf het besteloverzicht in de browser aan te roepen gedraagt de website zich alsof dat inderdaad gebeurd is.

"Je kunt met deze iDeal variant niet nagaan of de waarde van de status-parameter in de URL ook de werkelijke status is", legt Martijn Wieringa van PHP Solutions en eigenaar van iDeal-Simulator.nl uit. Daarom is het eenvoudig om te frauderen. De URL aanroepen is genoeg en er vindt geen verdere controle plaats.

'Goedkope iDeal niet onveilig'
Ondernemers die ervan uitgaan dat de bevestigingsmails kloppen, zullen de bestelde artikelen dan versturen. Zowel iDeal als de banken geven volgens de anonieme tipgever aan dat het betalingsoverzicht in de omgeving van de bank betrouwbaar is. De bevestiging van de goedkope iDeal-versies zijn dat echter niet.
Een woordvoerder van Currence, het bedrijf dat iDeal beheert, bevestigt dit ook. Volgens hem is de mogelijkheid om de betaalpagina te omzeilen inherent aan de instapversies van iDeal en was dit al langer bekend. Hij bestrijdt echter dat de instapdienst onveilig is: "Zowel de light versie als de uitgebreide versie zijn veilig. Een kleine verkoper met weinig transacties kiest bewust zelf voor deze goedkope versie, waarbij hem ook wordt verteld dat hij altijd de status van de betaling moet checken, bijvoorbeeld via het dashboard".

Betalingen handmatig nakijken
Kleine Ondernemers weten dat zij handmatig moeten nakijken of een bestelling daadwerkelijk betaald is. In het overzicht van de bank zal een bestelling niet voorkomen of de status cancelled hebben als er gesjoemeld is.
De duurdere varianten van iDeal zijn bedoeld voor webshops die zoveel bestellingen krijgen dat het ondoenlijk is om alles na te gaan. Daarbij zijn de betaalbevestigingen dus wel betrouwbaar. Ook bedrijven die online diensten verkopen die direct beschikbaar zijn moeten van deze variant gebruikmaken.

Aanpak en prijs verschilt per bank
ABN Amro is in dit verhaal een buitenbeentje. In tegenstelling tot andere banken als Rabobank, ING en Frieslandbank sturen zij helemaal geen betaalbevestiging bij hun eigen goedkope variant van iDeal.

Ondernemers moeten daar dus uit zichzelf kijken naar het overzicht van betalingen. Zij krijgen geen mailtje dat aangeeft dat er eventueel een bestelling is gedaan. Dat vermindert de verwarring die kan ontstaan over zo'n mail. Opvallend genoeg is iDeal Easy van ABN Amro één van de duurdere instapabonnementen voor iDeal. De ondernemer betaalt geen maandelijks bedrag maar moet wel 70 cent per transactie afrekenen aan de bank.

Bij de andere banken ligt dit bedrag op 65 cent per transactie, met uitzondering van de ING. Daar betaalt een ondernemer slechts 50 cent per transactie maar is hij wel 20 euro per maand aan vaste abonnementskosten kwijt. Dat is ongeveer hetzelfde als concurrerende banken rekenen voor het uitgebreide pakket, al is een klant daar vaak nog eenmalige kosten kwijt.

Bron: webwereld