ING zit vast aan omstreden Naam Nummer Controle

ING laat de Naam Nummer Controle van Mijn ING intact, ondanks dat het wordt misbruikt om rekeningnummers en namen te oogsten. Andere banken hebben een slimmer controlesysteem.

Deze week bleek dat een veroordeelde oplichter vermoedelijk 1 miljoen rekeningnummers en namen van ING-klanten heeft buit gemaakt. Van 1280 nummers en namen is reeds bevestigd dat hij die heeft bemachtigd via het zogenaamde Naam Nummer Controlesysteem van de internetbankiermodule Mijn ING.

Geen alternatief
De Naam Nummer Controle van ING is een functie die de naam van de begunstigde toont die bij het ingevoerde rekeningnummer hoort, vrdat een klant een overboeking in het internetbankiersysteem voltooit. Maar het probleem is dat in principe de hele database van rekeningnummers en namen kan worden leeg getrokken.

Toch wijzigt ING niets aan het controlesysteem, laat staan dat het offline gaat. Volgens de bank smeken de klanten dat de handige functie blijft behouden. Maar er is nog een andere reden dat ING Naam Nummer Controle handhaaft: er is geen alternatief.

Ouderwetse Postbankgiro's
In het systeem zitten namelijk alleen de rekeningnummers van oude Postbankklanten, niet die van oude (of nieuwe) ING-klanten, bevestigt de ING bank. De Postbank rekeningdatabase is oplopend gevuld met gironummers, dus bijna elke cijfercombinatie is een geldig rekeningnummer. Als een klant bij overboeking per ongeluk een cijfer verkeerd invoert, wordt dus waarschijnlijk een andere Postbankklant de begunstigde.

Het koppelen aan naam is dus de enige manier om te voorkomen dat tikfoutjes leiden tot overboekingen aan de verkeerde of, in het meest gunstige geval, de transactie wordt geweigerd omdat er geen match is tussen naam en nummer.

Dit kwetsbare systeem heeft in 2009 zelfs tot een rechtszaak geleid. Een man had een schrijffoutje gemaakt in een Postbanknummer en prompt kwam 43.000 euro bij de verkeerde terecht. Alleen fysicus Ad Lagendijk had destijds door wat de zwakste schakel was: het systeem van de Postbank.

Elegante 11-toets
Andere banken hebben hier geen last van, zij hanteren een speciale selectie van rekeningnummers die 9 of 10 cijfers lang zijn. Zij kunnen een tikfout in het rekeningnummer (of vroeger een schrijffout op de acceptgiro) er meteen uitpikken omdat het dan geen geldig rekeningnummer meer is. Rekeningnummers van ABN Amro, Rabobank en andere banken voldoen namelijk aan de zogenaamde 11-proef: een elegant en slim rekentrucje.

Dus wie in de internetbankiermodule van ABN of Rabo een tikfout maakt in het rekeningnummer wordt meteen verwittigd, omdat de server direct de 11-toets berekent, nog voor de transactie wordt goedgekeurd. Bij een tikfout is de uitkomst van het sommetje niet deelbaar door 11 en volgt direct een foutmelding want het is geen geldig rekeningnummer.

Wachten op IBAN
De enige manier waarop ING het probleem met de Postbanknummers kan verhelpen is door de nummers uit te breiden met een controlegetal. Maar dit komt neer op een nieuw rekeningnummer. Professor Lagendijk vermoedt dat ING de rit nu uitzit tot de invoering van de Europese IBAN-nummers: bij dit nummer, dat iedereen krijgt, worden zelfs twee toetsen uitgevoerd.