Naar NS.nl

OV Pay vrij gemakkelijk te kraken

  • 14 April 2023
  • 70 reacties
  • 5225 Bekeken
H
Reputatie 7
Badge +1

Zojuist op RTLZ een topic dat OV-pay dus vrij gemakkelijk is te omzeilen en gratis te reizen. Ik vraag mij zo langzamerhand toch af hoe kan dit nu weer. Er zijn al zoveel dingen fout gegaan de afgelopen jaren. Ik noem als voorbeelden het groepsticket, de E-tickets en het jongerenkaartje. Ik zag in een reactie van Sander dat hieraan eindelijk gewerkt wordt. Maar nu blijkt dus het nieuwe systeem OV-Pay dus ook weer compleet lek te zijn. Dit kan je je betalende klanten gewoon niet verkopen. 

Hoe is het mogelijk dat dit toch zo is ingevoerd en dus wederom weer niet goed getest is?

https://www.rtlnieuws.nl/nieuws/nederland/artikel/5376425/gratis-openbaar-vervoer-reizen-fout-ovpay

70 reacties

T

ik denk toch echt dat je je systeem aan zult moeten passen aan de rest van de wereld i.p.v. het omgekeerde te verwachten 

Het RTL-Z artikel suggereert dat men bij TLS dan gewoon die hele bank kan uitsluiten van OVpay.

Dat las ik ook ja. Ik denk eigenlijk dat dit alleen voor Nederlandse banken/kaarten geldt (in samenwerking met de Betaalvereniging) en niet voor zoiets virtuele visa's en mastercards van bijvoorbeeld Revolut. Maar goed, ik kan er hier naast zitten

Het lijkt me dat ze gewoon kunnen beslissen met wie ze wel/geen zaken wensen te doen. Er zijn ook veel bedrijven die bijv. American Express niet accepteren.

Wellicht moet je alleen debitkaarten van Nederlandse banken accepteren, in het buitenland is het altijd lastig je geld terug te halen. Revolut wordt in Nederland vooral door buitenlanders gebruikt, frauderen kan dan vrij makkelijk zonder risico.

J

Kan een moderator even reageren?

https://www.bnr.nl/podcast/bnr-mobility/10463795/waarom-2022-het-jaar-van-ovpay-wordt

En wat voor een reactie wil je precies hebben?

Dat het systeem vanaf morgen is aangepast natuurlijk ;) Ik hoop dat je begrijpt dat we dat willen ;)

Robert B
Badge +3

Poortjes en paaltjes zouden moeten werken zoals bij een tankstation (even geduld aub… u kunt nu tanken bij pomp x) maar dat duurt nog wel even voordat ze dat kunnen.

Of je gewoon doorlaten en daarna bij controle in de trein door de mand vallen (payment not approved). Maar ja, jij hebt niets fout gedaan tenzij er opzet in het spel is.

Dat laatste (die mislukte incasso) is op dit moment pas de volgende dag aan de orde, too little too late.

Alles hier post ik op persoonlijke titel, ben geen NS medewerker.
Robert B
Badge +3

Revolut wordt in Nederland vooral door buitenlanders gebruikt, frauderen kan dan vrij makkelijk zonder risico.

Terecht dat buitenlanders soms uitwijken naar een Revolut of (voorheen gratis) Bunq account.

Omdat ze anders niet bij NS terecht kunnen voor bijv. een abonnement, want iDeal nodig… 😥

(maar dat is semi off-topic, want wordt natuurlijk gewoon voor betaald)

Alles hier post ik op persoonlijke titel, ben geen NS medewerker.
iMark
Reputatie 7
Badge +3

Het hele systeem met poortjes is niet gebouwd op het snel verifiëren van bankgegevens zoals er wel borg kan worden weggezet bij een onbemensd tankstation. 

Eigenlijk is het te bezopen voor woorden dat de olieboeren wel weten regelen dat er zonder te betalen getankt wordt en dat OVpay een gammel systeem installeert waarbij relatief makkelijk gefraudeerd kan worden. Het lijkt erop dat het OV door nogal naïeve types wordt geleid. Dit in tegenstelling tot de olieboeren.

Ik vraag me trouwens af of er in Londen vergelijkbare problemen zijn. Daar kunnen ook betaalkaarten, creditcards en virtuele kaarten op telefoons gebruikt worden om te reizen. 

W

Dus als ik het goed begrijp authoriseert de bank de transactie niet op het moment van inchecken omdat het te veel tijd kost? 

Wat gebeurd er dan zodra je incheckt? Hoe weet de kaartlezer dat de kaart op dat moment geldig is? 

Als de kaart op dat moment geldig is dan kan je later op de dag toch sturen dat kaart (of token) 123 met pasnummer 456 om 13:56 uitgecheckt is en het 5 euro kost? De bank kan toch zien dat die kaart toen actief was en het geld afschrijven? 

 

Ik mis iets en/of snap iets niet in het systeem:)

R
Reputatie 7

Ik vraag me trouwens af of er in Londen vergelijkbare problemen zijn. Daar kunnen ook betaalkaarten, creditcards en virtuele kaarten op telefoons gebruikt worden om te reizen. 

Dat zal vast wel.

Bij een busmaatschappij in Zuid-Engeland hebben ze al zoveel schade dat bepaalde banken vorig jaar al zijn geblokkeerd: 

https://www.finextra.com/newsarticle/40858/fraud-spike-forces-bus-company-to-ban-online-banks-and-cut-mobile-contactless-limits

iMark
Reputatie 7
Badge +3

@Rene74 Bedankt voor de link. 

De fraude in Essex zit wel behoorlijk anders in elkaar dan de fraude met OVpay.

Het ging daar om het afrekenen in de bus van losse kaartjes, waaronder dure abonnementen. Het betaalsysteem in de bussen deed geen check bij de bank alvorens de betaling te autoriseren. Dat werd pas aan het eind van de dag gedaan wanneer de bus in de garage stond. Er is toen voor kaarten van bepaalde banken, waaronder tot mijn verbazing ABNAMRO, een limiet van GBP 10 ingesteld.

Bij het gebruik van OVpay met betaalpas of creditcard wordt een incheck geregistreerd en aan het eind van de reis een uitcheck. Pas wanneer die gegevens bekend zijn kan de ritprijs worden vastgesteld. Het zou niet zo vreemd zijn wanneer bij het inchecken bijvoorbeeld €25 zou worden gereserveerd. Staat dat niet op de rekening dan kun je niet inchecken. Maar daar zal het poortjes- en pacltjessysteem wel niet op berekend zijn. Of duurt het veel te lang waardoor er rijen bij de toegangspoortjes ontstaan. Ook geen wenselijke situatie. Het autoriseren van een betaling (of reservering) kost 10-15 seconden.

Ik heb nog niets kunnen vinden over fraude in Londen met het reizen met kaarten van bijvoorbeeld Revolut zonder geld op de kaart. Ik heb op de community van Revolut wel een draadje gevonden over het gebruik van een Revolut-kaart bij TfL.
https://community.revolut.com/t/tfl-london-underground-authorisation-question/27611/3
Blijkbaar wordt er een een minimumlimiet van GBP 1,50 aangehouden om te kunnen inchecken. Was eerst GBP 10. Dus zonder geld op de kaart zou je niet moeten kunnen reizen in Londen.

W

@Rene74 Bedankt voor de link. 

De fraude in Essex zit wel behoorlijk anders in elkaar dan de fraude met OVpay.

Het ging daar om het afrekenen in de bus van losse kaartjes, waaronder dure abonnementen. Het betaalsysteem in de bussen deed geen check bij de bank alvorens de betaling te autoriseren. Dat werd pas aan het eind van de dag gedaan wanneer de bus in de garage stond. Er is toen voor kaarten van bepaalde banken, waaronder tot mijn verbazing ABNAMRO, een limiet van GBP 10 ingesteld.

Bij het gebruik van OVpay met betaalpas of creditcard wordt een incheck geregistreerd en aan het eind van de reis een uitcheck. Pas wanneer die gegevens bekend zijn kan de ritprijs worden vastgesteld. Het zou niet zo vreemd zijn wanneer bij het inchecken bijvoorbeeld €25 zou worden gereserveerd. Staat dat niet op de rekening dan kun je niet inchecken. Maar daar zal het poortjes- en pacltjessysteem wel niet op berekend zijn. Of duurt het veel te lang waardoor er rijen bij de toegangspoortjes ontstaan. Ook geen wenselijke situatie. Het autoriseren van een betaling (of reservering) kost 10-15 seconden.

Ik heb nog niets kunnen vinden over fraude in Londen met het reizen met kaarten van bijvoorbeeld Revolut zonder geld op de kaart. Ik heb op de community van Revolut wel een draadje gevonden over het gebruik van een Revolut-kaart bij TfL.
https://community.revolut.com/t/tfl-london-underground-authorisation-question/27611/3
Blijkbaar wordt er een een minimumlimiet van GBP 1,50 aangehouden om te kunnen inchecken. Was eerst GBP 10. Dus zonder geld op de kaart zou je niet moeten kunnen reizen in Londen.

Revolut geeft ook aan dat ze delayed transactions van offline terminals (wat de incheck en uitcheck) poortjes zijn niet mogen weigeren. Ze zijn zelf specifiek dat dit ervoor kan zorgen dat je rood komt te staan. Dit kan een paar dagen duren. Dus eigenlijk snap ik niet hoe je je kaart kan verwijderen en dan niet gecharged zou kunnen worden.

 

Tenzij je je account opoffert. Dan kan je het een paar keer doen binnen die paar dagen en dan ben je je account kwijt.

T

Het hele systeem met poortjes is niet gebouwd op het snel verifiëren van bankgegevens zoals er wel borg kan worden weggezet bij een onbemensd tankstation. 

Bij een tankstation is het niet erg als de verificatie 10 seconden duurt, in het OV dat natuurlijk onwerkbaar.

P
Reputatie 2

Het hele systeem met poortjes is niet gebouwd op het snel verifiëren van bankgegevens zoals er wel borg kan worden weggezet bij een onbemensd tankstation. 

als je in Vlaanderen incheckt in tram of bus dan wordt er direct  gecheckt (dit gaat net zo snel als inchecken in Nederland) of je genoeg geld/bestedingsruimte hebt om je rit te betalen en vervolgens afgeboekt/gereserveerd. Bij onvoldoende saldo kun je niet inchecken. Het kan tegenwoordig dus wel degelijk

Voor elke rit doorheen de dag wordt er 2,50 euro gereserveerd

In Brussel wordt er 7,50 euro gereserveerd. Als je niet minstens 7,50 euro beschikbaar hebt op je rekening hebt, dan kom je bijvoorbeeld niet door de metropoortjes.

Om te kunnen reizen via contactloos betalen, wordt er tijdelijk een bedrag van € 7,50 gereserveerd op je rekening. Dit bedrag komt overeen met het maximale dagtarief. Het is mogelijk dat je deze reservering van € 7,50 ziet verschijnen in het overzicht van je transacties. Het resterende bedrag wordt weer vrijgegeven op het moment dat het correcte bedrag werd berekend, zo’n 2 à 3 werkdagen later. Maak je geen zorgen, enkel je gemaakte ritten worden aangerekend.

iMark
Reputatie 7
Badge +3

Dat lijkt me een stuk beter geregeld dan OVpay. 

J

Misschien hebben ze daar geen poortjes (in tram en bus in ieder geval niet). Dan is het geen probleem als het wat langer duurt. Maar kunnen ze in NL dan niet gewoon het poortje standaard openen terwijl de reservering nog niet is gedaan? Een slimme jongen komt nu ook al makkelijk door de poortjes heen zonder vervoerbewijs.

P
Reputatie 2

Misschien hebben ze daar geen poortjes. Dan is het geen probleem als het wat langer duurt. 

In Brussel hebben ze wel degelijk poortjes, bij de metro en soms ook bij de premetro. Het duurt ook niet langer. Ik heb geen idee waar je vandaan hebt dat het (te) lang zou moeten duren bij poortjes, maar het is totale onzin

R
Reputatie 4

Op reddit las ik:

Of de methode die ze volgens toepassen in de London Underground: als een kaart voor het eerst gebruikt wordt authoriseer je online een paar seconden nadat iemand ingecheckt is. Wordt dat geweigerd? Dan kom je er op je bestemming niet meer uit totdat je op een andere manier betaald hebt.

 

Ik heb niet meer context dan dit, maar dat lijkt mij een methode die het probleem oplost, niet voor extra vertraging zorgt, én te implementeren is zonder dat nieuwe hardware nodig is...

T

Maar kunnen ze in NL dan niet gewoon het poortje standaard openen terwijl de reservering nog niet is gedaan? 

Dit lijkt me de dwaasheid ten top.

W

Op reddit las ik:

Of de methode die ze volgens toepassen in de London Underground: als een kaart voor het eerst gebruikt wordt authoriseer je online een paar seconden nadat iemand ingecheckt is. Wordt dat geweigerd? Dan kom je er op je bestemming niet meer uit totdat je op een andere manier betaald hebt.

 

Ik heb niet meer context dan dit, maar dat lijkt mij een methode die het probleem oplost, niet voor extra vertraging zorgt, én te implementeren is zonder dat nieuwe hardware nodig is...

Waarom zou dat het probleem oplossen? 

Maak een tijdelijke kaart aan, check in, een paar seconde later wordt er een reservering geplaatst op je account omdat het de eerste keer is, dan zit je in de trein, krijg je controle (alles goed), check je uit, de betaling wordt uitgevoerd einde dag. De tweede keer is die authorisatie er niet en verwijder je je kaart nadat je uitgecheckt bent. En de derde, en de vierde, …

Het zou me niks verbazen als het probleem overal speelt bij offline terminals en dan 1x per een clearing. Tenzij de uitgevende bank offline terminals blokkeert on dit soort situaties te voorkomen of de terminal een bank blokkeert omdat tijdelijke kaarten toegestaan zijn.

 

Tijdelijke kaarten zijn bij mijn weten ontworpen voor online aankopen, niet voor offline terminals 

serial
Reputatie 1

Dit gaat natuurlijk uit de hand escaleren in Nederlands, dus de oplossing laat zich raden:

Revolut zal wel uitgesloten worden van OVPay, tot ze een technische oplossing hebben gevonden (eg. reservering op de rekening). 

 

Henk_NL

Tsja, viel allemaal wel weer te verwachten. Maar och heden wat heb ik vaak moeten horen dat ik te negatief tegenover TLS en de gaande ontwikkelingen sta. Want dat wil men allemaal niet horen natuurlijk.

 

T’is net als de keuze om met brakke beveiliging te werken rondom de OV-chipkaart zelf: men lost het domweg niet op. Dat speelt al 10+ jaar, het is dat er een paar jaar terug eens twee Alkmaarse gasten voor zijn opgepakt, anders was er ook al 10+ jaar geen vervolging.

Waarom vandaag doen wat je morgen ook kunt uitstellen? Think human.
Philned
Reputatie 6

Wie goed zoekt vind de nodige aanbieders. Er bestaan veel meer betaalsystemen met virtuele kaarten dan die van Revolut, allemaal werken ze min of meer het zelfde, met uitzondering van het deel van iDeal wat de meesten niet hebben. Veel van die virtuele kaarten kunnen aan een willekeurig bankrekeningnummer hangen en er zijn er ook een aantal die helemaal losstaan van bankrekeningen, dus volledig anoniem. De enige controle is een sms code naar het nummer dat je opgeeft. Dat zijn volledig virtuele rekeningen, die "laad” je vanaf een willekeurige bankrekening/creditcard/moneytransfer of iets dergelijks op met ongeveer 20 cent administratiekosten, hierdoor wordt de kaart geactiveerd en kan je hem voor onder andere OVPay gebruiken. Die 20 cent ben je kwijt als je een virtuele kaart verwijdert. Banken blokkeren zie ik niet zo snel gebeuren, de strijd aangaan met Apple, Google, Visa en Mastercard lijkt mij wat problematisch.
De NS zal zijn geld evengoed wel krijgen, ik denk niet dat TLS/OVPay de vervoersbedrijven kan laten opdraaien voor hun fouten…..

iMark
Reputatie 7
Badge +3

Ik heb overigens uit de documentatie van MIVB/STIB opgemaakt alleen prepaidkaarten gecheckt worden of er wel €7,50 opstaat, het equivalent van een dagkaart in Brussel. In Vlaanderen is het nog simpeler. Daar wordt meteen €2,50 gereserveerd. 

Die poortjes in Brussel zijn waarschijnlijk niet veel slimmer of dommer dan de poortjes in Nederland. Het grote verschil met NS is natuurlijk dat de maximumbedragen per dag veel lager zijn.

De tijd zal leren hoe ernstig de fraude is en hoe goed de strijd tegen de fraude gevoerd kan worden. Ik vind het wel een beetje suf dat deze problematiek pas besproken wordt nadat het nieuwe betaalsysteem is uitgerold. Blijkbaar zitten de vervoerders als aandeelhouders van TLS ook maar een beetje te suffen. Je zou verwachten dat vervoerders bovenop de de ontwikkelingen zouden zitten. De opbrengsten moeten via TLS binnenkomen.

 

Robert B
Badge +3

De (nieuwe) CiCo’s in bussen hier zijn onlangs wel trager geworden, wat zou kunnen duiden op een of andere ‘verificatie’. Helaas niet op gelet of het bij uitchecken ook langer duurt.

Maar bij een ov-chipkaart (Flex) zijn ze net zo traag, dus dat lijkt me niet gerelateerd. Zal het eens proberen met een kaart op saldo.

Alles hier post ik op persoonlijke titel, ben geen NS medewerker.
Robert B
Badge +3

Dat speelt al 10+ jaar, het is dat er een paar jaar terug eens twee Alkmaarse gasten voor zijn opgepakt, anders was er ook al 10+ jaar geen vervolging.

Die gasten kwamen uit Utrecht, en volgens https://nos.nl/artikel/2336040-utrechters-die-ov-chipkaart-hackten-moeten-mogelijk-33-000-euro-betalen kregen ze 120 uur taakstraf plus 33.000 euro betalen.

https://www.rtlnieuws.nl/tech/artikel/5156561/ov-chipkaart-gratis-reizen-ov-chip-kaartlezer-saldo-verhogen spreekt over bijna 15.000 euro plus die taakstraf.

Hoe dan ook, het heeft nogal wat voeten in de aarde gehad voordat die gepakt werden. Een toerist die een paar weken sjoemelt met OVpay komt er wel mee weg, vermoed ik.

Alles hier post ik op persoonlijke titel, ben geen NS medewerker.
rvdborgt
Reputatie 7
Badge +1

Ik vind het wel een beetje suf dat deze problematiek pas besproken wordt nadat het nieuwe betaalsysteem is uitgerold.

Dat weten we niet. Het komt nu pas in de openbaarheid maar het kan goed zijn dat dit een bekend risico is dat OVpay vooralsnog bereid is te nemen.

Sander-VH
Reputatie 6

Ik vraag me trouwens af of er in Londen vergelijkbare problemen zijn. Daar kunnen ook betaalkaarten, creditcards en virtuele kaarten op telefoons gebruikt worden om te reizen. 

Dat zal vast wel.

Bij een busmaatschappij in Zuid-Engeland hebben ze al zoveel schade dat bepaalde banken vorig jaar al zijn geblokkeerd: 

https://www.finextra.com/newsarticle/40858/fraud-spike-forces-bus-company-to-ban-online-banks-and-cut-mobile-contactless-limits

heel goed, dit moeten ze bij ons ook snel gaan doen. We hebben veel ellende met jongerendagkaarten fraude waar ontzettend veel e-tickets massaal gedeeld worden. Nu gaan ze allemaal deze techniek gebruiken. :(

Ik ben altijd bereid om te helpen. Ik ben alleen geen klantenservice medewerker, maar een van de vele hoofdconducteurs die NS kent. Alles wat ik hier plaats doe ik op persoonlijke titel.

Reageer


Voorwaarden