Klimaatinstallaties en chillers in Turkije
Wat gebeurt er eigenlijk met een betaling tussen het moment waarop iemand een bedrag bevestigt en het moment waarop het op de speelrekening staat? Achter die handeling zitten meerdere lagen beveiliging, van de versleutelde verbinding tot de bevestiging via de eigen bank. In dit stuk komt aan bod welke lagen er zijn, wie ze verzorgt, hoe sterke authenticatie en 3D Secure werken en wat een keuring van speelsystemen wel en niet met betaalveiligheid te maken heeft. Zo wordt duidelijk welke maatregel op welk moment een rol speelt, en bij wie de verantwoordelijkheid ligt, nog voordat een bedrag is bijgeschreven.
Wat betaalbeveiliging omvat
Betaalbeveiliging bestaat uit meerdere lagen die elk een eigen taak hebben. De verbinding wordt versleuteld zodat gegevens onderweg onleesbaar zijn, de gebruiker moet zich bewijzen met meer dan alleen een wachtwoord, en de bank en de aanbieder controleren of een opdracht past bij het gebruikelijke patroon. Geen enkele laag is op zichzelf voldoende; de kracht zit in de combinatie, waarbij een zwakke schakel wordt opgevangen door een andere. Voor de gebruiker is dat grotendeels onzichtbaar, omdat de meeste controles op de achtergrond verlopen.
Een overzicht van de lagen:
| Versleutelde verbinding | Gegevens onderweg onleesbaar maken | Een slotje in de adresbalk |
| Authenticatie | Vaststellen dat de betaler echt is wie hij zegt | Bevestiging via de eigen bank of app |
| Extra bevestiging bij kaarten | Een tweede controle op de kaartbetaling | Een scherm van de bank |
| Controle op afwijkingen | Verdachte opdrachten opmerken | Soms een melding of blokkade |
Sterke authenticatie via de eigen bank
Binnen de Europese Unie schrijft de betaalrichtlijn PSD2 sterke klantauthenticatie voor bij elektronische betalingen. Daarvoor moet de betaler zich met minstens twee onafhankelijke kenmerken kunnen legitimeren: iets wat hij weet, iets wat hij bezit of iets wat bij hem hoort, zoals een vingerafdruk. In de praktijk gebeurt dat in de omgeving van de eigen bank, via een app of een apparaat, en niet bij de aanbieder die het bedrag ontvangt. De aanbieder krijgt alleen te horen dat de betaling is goedgekeurd en voor welk bedrag. Omdat de bevestiging bij de bank gebeurt, is een gestolen wachtwoord alleen meestal niet genoeg om een opdracht te geven.
Creditcards en risicosignalen
Er geldt geen algemeen verbod op creditcards voor kansspelen in Nederland. Wel kan het gebruik van krediet voor een aanbieder een signaal zijn dat meer aandacht vraagt voor de situatie van de speler. Dat past bij de verplichting van aanbieders om op risico’s te letten en te beoordelen of een speler zijn of haar stortingen kan dragen.
3D Secure als extra bevestiging
Bij kaartbetalingen is 3D Secure een extra stap: de bank vraagt de betaler om de transactie te bevestigen, vaak via een app of een eenmalige code. Zonder die bevestiging wordt de betaling in de regel niet verwerkt. Online casino’s tonen hun aanbod meestal als een rooster van tegels, met bovenaan een zoekbalk. Een blik op Casino Partypoker maakt zo’n rooster zichtbaar.
Keuring van speelsystemen is een aparte laag
De keuring van speelsystemen volgens Keuringsschema 2.1, dat sinds 1 oktober 2024 geldt, heeft een eigen doel. Een aangewezen instantie toetst of het spel eerlijk en volgens de regels werkt, bijvoorbeeld in de manier waarop uitkomsten tot stand komen. Het gaat niet over de beveiliging van betalingen of van persoonsgegevens. Een gekeurd spel zegt dus iets over het spelverloop en niet over de bescherming van het betaalverkeer.
Een versleutelde verbinding herkennen
Een versleutelde verbinding is meestal snel te herkennen aan het adres in de browser, dat met https begint, en aan het slotje naast de domeinnaam, vlak voor de rest van het adres. Het slotje bevestigt dat het verkeer tussen apparaat en server wordt beschermd, zodat onderweg niemand kan meelezen.
Het slotje zegt echter niets over de betrouwbaarheid van de site zelf, want ook sites met een andere bedoeling kunnen er een hebben. Daarom blijft het zinvol om de domeinnaam zorgvuldig te lezen en alleen in de omgeving van de eigen bank of betaalapp een betaling te bevestigen.
Kenmerken van een beveiligde betaalomgeving:
- Een adres dat met https begint.
- Een domeinnaam die klopt met de naam van de dienst.
- Een bevestiging die loopt via de eigen bank of betaalapp.
- Een duidelijke vermelding van het bedrag en de ontvanger voordat de betaling wordt bevestigd.
Opkomst van beveiligde betaalstandaarden
Online betalen is in korte tijd veranderd van het invullen van kaartgegevens in een formulier naar een bevestiging in de omgeving van de bank. Daarbij zijn standaarden ontstaan die de uitwisseling tussen aanbieder, bank en betaler regelen. De Europese regelgeving legde vast welke lagen minimaal aanwezig moeten zijn, waardoor de beveiliging minder afhankelijk werd van de keuze van een partij.
Beveiliging die meebeweegt met nieuwe dreigingen
Beveiliging is nooit af, omdat oplichters hun methoden aanpassen. Daardoor worden systemen regelmatig herzien en kunnen aanbieders en banken nieuwe controles toevoegen, al naar gelang de signalen die zij opvangen. Voor gebruikers blijft een aantal gewoonten gelijk: alert blijven op berichten die om een code vragen en een betaalopdracht alleen bevestigen als die zelf is gestart.
Stappen bij een verdachte betaalopdracht:
- Bevestig de opdracht niet en sluit het scherm.
- Controleer in de app of op het afschrift van de eigen bank of er al een bedrag is afgeschreven.
- Neem via de gebruikelijke kanalen contact op met de bank.
- Wijzig zo nodig het wachtwoord en bewaar berichten of schermafbeeldingen.
Betaalbeveiliging bestaat dus uit meerdere lagen die samen werken: versleuteling, sterke authenticatie, extra bevestiging bij kaarten en toezicht op afwijkingen. De keuring van speelsystemen is een aparte laag die over het spel zelf gaat. Wie de lagen kan onderscheiden, kan beter inschatten welke maatregel waarvoor dient.
