Een wachtwoord alleen is voor veel accounts niet meer genoeg, en dat geldt ook voor accounts waarop geld staat, zoals een speelrekening bij een online kansspelaanbieder. Tweestapsverificatie voegt een tweede controle toe tussen het invoeren van een wachtwoord en toegang tot het account. Dit stuk legt uit wat die extra stap inhoudt, hoe codes, apps en sms werken, welke rol betalingen via de eigen rekening en de controle van identiteit spelen en hoe phishing te herkennen is en waarom een legale aanbieder het uitgangspunt van een veilig account vormt. Ook komt aan bod wat te doen bij een vermoeden van misbruik.
Wat tweestapsverificatie precies inhoudt
Tweestapsverificatie, ook wel tweefactorauthenticatie genoemd, combineert twee verschillende soorten bewijs dat iemand de rechtmatige gebruiker is. Meestal gaat het om iets wat de gebruiker weet, zoals een wachtwoord, en iets wat hij bezit, zoals een telefoon waarop een code verschijnt. Een tweede mogelijkheid is een kenmerk van de persoon zelf, zoals een vingerafdruk. Omdat de twee bewijzen uit verschillende categorieen komen, volstaat een gestolen wachtwoord op zich niet om in te loggen: een aanvaller moet ook de tweede factor in handen krijgen.
Meldingen over inlogpogingen en sessies
Een melding over een inlogpoging laat weten dat er iets met het account gebeurt, bijvoorbeeld een nieuwe inlog op een onbekend apparaat. Dat is iets anders dan de sessiemelding die vergunde aanbieders elke 30 minuten tonen: die geeft informatie over de speelduur en de ingestelde limieten en heeft dus een ander doel. Een inlogmelding beschermt het account tegen misbruik door anderen, een sessiemelding helpt de speler het eigen spelen te overzien.
De werking van codes, apps en sms
Er bestaan verschillende methoden voor de tweede stap. Bij een sms-code stuurt het systeem een eenmalige code naar het telefoonnummer van de gebruiker. Bij een authenticatie-app genereert de app zelf codes die kort geldig zijn. Een derde variant is een fysieke beveiligingssleutel of een biometrisch kenmerk. Elke methode kent eigen aandachtspunten: een telefoonnummer kan verloren gaan, een app vraagt om een bewuste installatie en een sleutel moet veilig worden bewaard.
Betalingen die alleen via de eigen rekening lopen
Bij een vergunde aanbieder verlopen alle transacties via de speelrekening. Stortingen komen van de eigen betaalrekening van de speler en zijn daardoor traceerbaar, uitbetalingen gaan terug naar de eigen rekening, anonieme betaalmiddelen zijn niet toegestaan en een negatief saldo is niet mogelijk. Daarnaast vraagt PSD2 binnen de Europese Unie om sterke klantauthenticatie bij betalingen, een tweestapsbevestiging, en kaartbetalingen kunnen via 3D Secure een extra bevestiging bij de bank vragen.
Legaal aanbod als veiligheidskader
Een account is alleen veilig bij een aanbieder die er mag zijn. Online kansspelen mogen uitsluitend worden aangeboden door houders van een KOA-vergunning, verleend door de Kansspelautoriteit (KSA), en die houder moet zijn gevestigd in de Europese Unie of de Europese Economische Ruimte. De Kansspelwijzer op de website van de KSA is het overzicht om dat na te gaan. Meldingen over illegaal aanbod en fraude kunnen bij de KSA worden gedaan, ook anoniem.
Controle van identiteit als beveiligingslaag
Voor een speler wordt toegelaten, stelt de aanbieder identiteit en leeftijd vast, met 18 jaar als ondergrens, en raadpleegt hij CRUKS, het Centraal Register Uitsluiting Kansspelen. Die controles beschermen niet alleen de speler, maar ook een account tegen misbruik door een ander.
De controles en maatregelen in een overzicht:
| Identiteit en leeftijd (minimaal 18 jaar) | Voordat een speler wordt toegelaten | De aanbieder |
| Raadpleging van CRUKS | Voor toegang, verplicht sinds 1 oktober 2021 | De aanbieder |
| Sterke klantauthenticatie (PSD2) | Bij betalingen binnen de Europese Unie | De betaaldienstverlener |
| 3D Secure | Bij kaartbetalingen, via de bank | De bank |
| Sessiemelding | Elke 30 minuten tijdens het spelen | De aanbieder |
Bij vermoeden van misbruik direct handelen
Bij een verdachte inlogmelding of een transactie die niet van de gebruiker zelf is, helpt snel handelen. Het wachtwoord wijzigen en contact opnemen met de klantenservice van de aanbieder zijn de eerste stappen, en de klantenservice is ook het eerste aanspreekpunt voor een klacht. Als dat niet tot een oplossing leidt, kan het Juridisch Loket een volgende stap zijn. Voor klachten over een vergunde aanbieder bestaat geen vaste procedure bij de KSA, maar de KSA neemt wel meldingen aan over fraude.
Phishing herkennen voor het inloggen
Phishing is een poging om inloggegevens of verificatiecodes te achterhalen via een nagemaakte pagina of bericht. Kenmerken zijn een link die naar een afwijkend webadres leidt, een afzender die niet past bij de aanbieder, spelfouten en druk om snel te reageren. Een controle van het webadres voor het invoeren van gegevens is daarom een goede gewoonte, evenals het typen van het adres of het gebruik van een eigen bladwijzer. Het slotje in de browser laat zien dat de verbinding is versleuteld (TLS), maar zegt niet dat de website betrouwbaar is: ook een nagemaakte pagina kan een slotje hebben. Of een aanbieder vergund is, valt na te gaan in de Kansspelwijzer.
Een sterk wachtwoord kiezen en beheren
Een sterk wachtwoord is lang, bestaat uit een combinatie van tekens en wordt niet voor meerdere diensten gebruikt. Een wachtwoordmanager kan helpen om voor elk account een uniek wachtwoord te bewaren zonder dat de gebruiker ze allemaal hoeft te onthouden. Hergebruik is de grootste zwakte, omdat een uitgelekt wachtwoord dan meerdere accounts opent.
Waarom accountovername een bekend risico is geworden
Accountovername, waarbij een ander toegang krijgt tot een account, is een bekend risico bij vrijwel elke online dienst. De oorzaak is vaak dat een wachtwoord bij een andere dienst is uitgelekt en opnieuw wordt geprobeerd. Daarom heeft een uniek wachtwoord zoveel nut, en daarom werkt een tweede factor als extra drempel. Een voorbeeld van een aanbieder is Casino Spinogrino, en voor elk account geldt dat de beveiliging begint bij de keuze van de gebruiker.
Hoe inlogbeveiliging verder kan verschuiven
De ontwikkeling van inlogbeveiliging verloopt breed: verificatie via biometrie en apparaten neemt toe en wachtwoorden verliezen aan belang. Welke vorm in het kansspelaanbod komt, valt niet te voorspellen. Wat vaststaat, is de basis: identiteit en leeftijd worden vooraf vastgesteld en betalingen blijven traceerbaar.
Tweestapsverificatie voegt een tweede controle toe aan een account, naast de verplichte controle van identiteit, leeftijd en CRUKS. Betalingen via de eigen rekening, sterke klantauthenticatie en een vergunning van de KSA vormen samen het kader.