Vragen van het lid Krol (50PLUS) aan de Minister van Financiën over mogelijke veiligheidsrisico’s van pinpassen waarmee contactloos betaald kan worden (ingezonden 8 februari 2016).

Antwoord van Minister Dijsselbloem (Financiën) (ontvangen 7 maart 2016).

Vraag 1

Heeft u kennisgenomen van het bericht dat een onderzoek van de Consumentenbond uitwijst dat met contactloos betalen veel grotere bedragen ongemerkt blijken te kunnen worden afgeschreven dan banken en consumenten denken?

Antwoord 1

Ja.

Vraag 2

Is het waar dat banken beweren dat contactloze betalingen boven de € 50 niet mogelijk zijn, maar dat dit feitelijk wél mogelijk is, en dat derhalve contactloos rollen voor bedragen veel hoger dan € 50 in principe mogelijk is?

Antwoord 2

Nee. Bij contactloze betalingen moet bij bedragen boven de 25 euro altijd de pincode worden ingetikt. Bij bedragen tot en met 25 euro is een pincode meestal niet nodig. Om te verhinderen dat een dief langdurig zonder pincode met een gestolen betaalpas¹ kan betalen, geldt een cumulatieve limiet van 50 euro. Wanneer de pashouder achter elkaar kleine bedragen zonder pincode contactloos betaalt en al die bedragen bij elkaar opgeteld de 50 euro overschrijden, dan moet hij alsnog de pinpas in de automaat steken en zijn pincode intikken. Deze limiet geldt voor onbepaalde tijd, dus ook als de betalingen zonder pincode over meerdere dagen gespreid zijn.

De mogelijkheid bestaat echter voor de klant, bij sommige banken, om de limiet voor contactloos betalen te verhogen naar maximaal 250 euro. De Consumentenbond merkt hierover op dat banken niet altijd juist uitleggen of en wanneer de betaalpas bij een contactloze betaling in de betaalautomaat gestoken moet worden. Klanten krijgen soms van hun bank te horen dat bij betalingen vanaf 50 euro de betaalpas altijd in de automaat gestoken moet worden. Indien een klant ervoor gekozen heeft zijn limiet te verhogen is dit niet juist. Vanuit de Betaalvereniging Nederland («BVN») heb ik begrepen dat de banken hebben toegezegd hun uitleg aan pashouders op dit vlak te verbeteren.

Vraag 3

Is het waar dat het aanvragen en misbruiken van een mobiel betaalapparaat hiervoor vrij eenvoudig is?

Antwoord 3

Nee. Om met een contactloze betaalautomaat te kunnen frauderen, moet de dader zich inschrijven bij de Kamer van Koophandel en een betaalrekening hebben. De fraudeur moet zijn betaalautomaat bovendien laten registreren voordat er betalingen mee gedaan kunnen worden. Betalingen worden niet direct op de bankrekening van de fraudeur bijgeschreven, daar gaat minimaal één werkdag overheen. De pakkans bij misbruik van de automaat is daardoor hoog, en ik schat in dat deze vorm van fraude voor criminelen niet erg lonend zal zijn.

Vraag 4

Is het waar dat contactloos digitaal zakkenrollen voorkomen kan worden door een speciaal beschermend hoesje om de contactloze pin-pas met NFC-chip te doen, maar dat niet alle banken deze hoesjes standaard – vergezeld van een waarschuwing – verstrekken?

Antwoord 4

Dat is waar. Een speciaal beschermend hoesje zorgt ervoor dat het niet meer mogelijk is om automatisch verbinding te maken tussen de betaalautomaat en de pinpas.

In werkelijkheid is het onwaarschijnlijk dat op deze manier ongemerkt contactloze betalingen door criminelen gedaan kunnen worden. Tot op heden is deze vorm van fraude dan ook nog niet voorgekomen. Volgens informatie van de BVN blijkt dat contactloze betaling alleen mogelijk is als de betaalpas op minder dan vijf centimeter afstand van de betaalautomaat wordt gehouden. Wanneer een contactloze betaalpas samen met andere contactloze passen is opgeborgen (zoals een OV-chipkaart, toegangspas of andere contactloze betaalpas), is het zeer onwaarschijnlijk dat daarmee ongemerkt contactloos kan worden betaald. Een betaalautomaat raakt dan in de war van alle signalen van de verschillende contactloze passen.

Vraag 5 en 6

Bent u bereid banken aan te spreken op mogelijke contactloze betalingen boven de € 50, en banken te vragen mogelijke veiligheidsrisico's te laten «repareren»?

Bent u bereid banken te vragen standaard beschermende hoesjes te leveren bij nieuwe contactloze betaalpassen, vergezeld van gedegen voorlichting over de mogelijke gevaren van het bij zich dragen van de pas zonder beveiligende houder

Antwoord 5 en 6

Ik heb regelmatig overleg met banken en andere financiële instellingen om de financiële dienstverlening te kunnen verbeteren. Een belangrijk onderdeel hierin is dat veiligheidsrisico’s, waaronder die welke betrekking hebben op contactloos betalen, tot een minimum beperkt worden. Burgers moeten immers veilig hun transacties kunnen verrichten. Ik denk graag met de banken mee om deze risico’s te beperken, maar het is uiteindelijk aan de banken zelf om hier gehoor aan te geven en eventuele risicomaatregelen te implementeren.

---

1 In geval van diefstal of verlies van de betaalpas, dient de consument dit zo snel mogelijk te melden bij zijn bank. De bank blokkeert dan direct de betaalpas, zodat een eventuele crimineel er niet meer mee kan betalen, ook niet contactloos en ook niet mét pincode.