Oplichting met papieren TAN-codes van ING

Bij ING kun je nog steeds geld overboeken met een lijstje TAN-codes op papier. Bijna een miljoen ING-klanten gebruiken nog zo’n lijst, wat een stuk onveiliger is dan de bank zegt. Een crimineel kan het bedrag en rekeningnummer achteraf namelijk nog aanpassen.

Bij ING kun je een overboeking sinds kort goedkeuren via de mobiel bankieren app, maar de meeste klanten gebruiken een zogeheten TAN-code voor de overboeking: een Transactie Autorisatie Code. Die code krijg je via een smsje op de telefoon of haal je van een papieren lijst.
De meeste ING-klanten ontvangen de code per sms, maar bijna 1 miljoen zoeken de 6-cijferige TAN-code op via een ouderwetse papieren lijst aan de hand van het 3-cijferig volgnummer dat bij de overboeking staat. Die cijfercombinatie is één keer te gebruiken. Volgens ING zijn beide kanalen even veilig, maar dat is niet helemaal waar.

De ‘papieren’ codes zijn - in tegenstelling tot de TAN-codes per sms - niet gekoppeld aan de overboeking. Zolang de opdracht nog niet is verstuurd kan iemand het bedrag nog honderden of duizenden euro’s ophogen, afhankelijk van het saldo en de betaallimiet (standaard €5000, op te hogen tot €50.000).

Ook kan het rekeningnummer van de ontvanger worden gewijzigd. Een kwaadwillende moet dan wel de besturing van je computer overnemen zodra de TAN-code is ingetoetst in de digitale bankomgeving. Banken vergoeden je schade in principe niet, omdat je zelf toegang geeft tot je computer en je codes voor inloggen en bevestigen van betaalopdrachten.