Vragen van het lid Sharpe (PVV) aan de minister van Infrastructuur en Milieu over het bericht «Iedereen kan OV-chipkaart kraken» (ingezonden 11 november 2010).

Antwoord van minister Schultz van Haegen-Maas Geesteranus (Infrastructuur en Milieu) (ontvangen 6 december 2010).

Vraag 1

Bent u bekend met de berichtgeving over de mogelijkheid om de OV-chipkaart te kraken?¹

Antwoord 1

Ja.

Vraag 2

Deelt u de mening dat het slechts een kwestie van tijd is voordat er een eenvoudige «Windows hackmethode» op de markt verschijnt waardoor straks iedereen de mogelijkheid heeft om gratis met het openbaar vervoer te reizen en dat het dus, in tegenstelling tot de bewering van Trans Link Systems (TLS), wel de hoogste tijd is om de beveiliging van de OV-chipkaart aan te pakken?

Antwoord 2

TLS heeft mij aangegeven dat al vanaf eind 2008 / begin 2009 op internet software en aanwijzingen beschikbaar waren om de OV-chipkaart te kunnen manipuleren. Ook handleidingen op internet hoe een kaart is te manipuleren, zijn niet nieuw. Deze kunnen in de toekomst mogelijk toegankelijker worden. Desondanks komt fraude op dit moment vrijwel niet voor. Naar aanleiding van het kraken van de OV-chipkaart in 2008 zijn door TLS verscherpte maatregelen genomen om fraude te voorkomen en te detecteren. Zo worden alle transacties met de OV-chipkaarten in de backoffice van TLS gevalideerd, waarbij kaarten indien nodig geblokkeerd worden. Het manipuleren van OV-chipkaarten is strafbaar en kan leiden tot aangifte en vervolging. Daarnaast heeft het Ministerie u bij brief van 10 februari 2010 laten weten dat de sector de migratie naar een volgende generatie OV-chipkaart is gestart (Kamerstukken II, 23 645, nr. 347). Hiervoor ontvangt de sector een financiële bijdrage van mijn departement.

Vraag 3

Wat kan en gaat u eraan doen om de verspreiding van kennis over het kraken van de OV-chipkaart via websites als http://www.ov-chipkaart.org/?page_id=24 tegen te gaan?

Antwoord 3

TLS heeft mij laten weten dat zij het internet en andere media voortdurend in de gaten houdt op informatie over het manipuleren van de chip die wordt gebruikt in de OV-chipkaart. TLS toetst deze informatie op wat wel en niet wettelijk toelaatbaar is. Zo is aanzetten tot fraude bijvoorbeeld ook strafbaar. Indien TLS constateert dat informatie niet toelaatbaar is, wordt gerichte (juridische) actie ondernomen. Aan www.ov-chipkaart.org is om deze reden een waarschuwingsbrief gestuurd.

Vraag 4

Deelt u de mening dat, nu blijkt dat de OV-chipkaart, waarvan TLS destijds heeft gesteld dat de kaart alleen in een laboratorium te kraken zou zijn, nog steeds op zo’n eenvoudige manier te kraken blijkt dat binnenkort iedereen dit toe kan passen, er vraagtekens kunnen worden gesteld ten aanzien van het niveau van de productkwaliteitsbewaking bij TLS?

Antwoord 4

Deze mening deel ik niet. Zie hiervoor ook het antwoord op vraag 2. TLS en de vervoerbedrijven hebben mij aangegeven beveiligingsmaatregelen te hebben genomen in meerdere lagen van het OV-chipkaartsysteem. Daarbij is er veel aandacht voor maatregelen in de backoffice-systemen en het voordurend op niveau houden van de beveiliging. Beveiliging en het voorblijven van «hackers» is een continu proces. 100% beveiliging is daarbij niet te garanderen. In de backoffice-systemen zijn diverse fraudedetectie-mechanismen geïmplementeerd, waardoor manipulatie van een OV-chipkaart kan worden opgespoord en een kaart kan worden geblokkeerd. Fraude is strafbaar en wordt vervolgd. De kans op fraude is daarmee al met al gering. TLS heeft mij bovendien verzekerd dat mocht een reiziger desondanks gedupeerd raken door fraude, deze reiziger schadeloos wordt gesteld. Daarnaast is begin 2010 het migratieproces gestart naar een volgende generatie OV-chipkaart, die een hoger beveiligingsniveau heeft.

Vraag 5

Vindt u ook niet dat de geloofwaardigheid van TLS, waarvan de drie topbestuurders gezamenlijk bijna € 650 000,– aan salaris ontvangen, nu echt ter discussie staat, helemaal na de laconieke reactie van een woordvoerder van TLS op Radio 1, die aan gaf dat «dit geen nieuws is» en dat er «tot nu toe nauwelijks fraude is gepleegd» en dat het bedrijf daarom dan ook geen reden ziet om actie te ondernemen?

Antwoord 5

Zoals ook in het antwoord op de vragen 2 en 4 is aangegeven was de informatie uit het bericht van RTL niet nieuw. Daarnaast is er voortdurende aandacht voor de beveiliging en het op niveau houden daarvan. Ook is de migratie naar een nieuwe kaarttechnologie begin 2010 van start gegaan.

Vraag 6

Deelt u de mening dat het tijd wordt – ondanks het feit dat u geen directe zeggenschap heeft over TLS – en dat er genoeg redenen zijn (zowel financieel als maatschappelijk) om dit bedrijf op een zo kort mogelijke termijn aan een grondige onafhankelijke performance-evaluatie te onderwerpen? Deelt u bovendien de mening dat TLS hierin het voortouw dient te nemen? Zo ja, bent u bereid op basis van de uitkomsten van deze evaluatie harde conclusies te trekken?

Deelt u de mening dat het korten op de irrealistisch hoge salarissen van dit verliesgevende bedrijf, indirect gefinancierd met belastinggeld, een gelegitimeerde eerste logische stap is en daarom ook zo snel mogelijk moet worden gerealiseerd?

Antwoord 6

Zoals in voorgaande antwoorden is aangegeven is beveiliging en het nemen van maatregelen om fraude te voorkomen en beheersen een continu proces. Ook is migratie naar een nieuwe generatie OV-chipkaart gestart. Ten aanzien van TLS: u bent bij brief van 23 november jl. geïnformeerd over de opdracht aan de Commissie-Meijdam (kenmerk VENW/BSK-2010/191795). In het kader van de inrichting van permanente structuur wordt onder meer gekeken naar de rol en verantwoordelijkheden van alle betrokken partijen, waaronder TLS.

Overigens heeft het Ministerie van Infrastructuur en Milieu geen mogelijkheden om rechtstreeks bij TLS in te grijpen omdat TLS een private onderneming is.

---

1 RTL, «Iedereen kan OV-chipkaart kraken», 11 november 2010.