Hoe bindend is een bestelling met je moeders duim?

Een zesjarig meisje heeft voor 250 dollar Pokémon-artikelen besteld met haar moeders iPhone, las ik in SFgate. Ze ontgrendelde de telefoon door haar moeders duim te gebruiken terwijl die sliep. Gelukkig voor het verhaal bleek de order retourneerbaar, maar het riep bij mij wel de juridische vraag op: zit je er aan vast als ouder, als je kind zo een bestelling plaatst?

Een kind van zes kan niet rechtsgeldig een overeenkomst sluiten met een winkel natuurlijk. Tenzij je zegt dat het normaal is voor zesjarigen om voor 250 dollar aan speelgoed te kopen (art. 1:234 lid 2 BW). Daar verandert het gebruik van moeders duim -of pincode, of lijst met TAN-codes, of portemonnee- niets aan. De ouders kunnen die transactie onder Nederlands recht dus zonder enig probleem terugdraaien.

Lastig wordt het alleen wel als de winkel zegt “Nee, niet het kind maar u de ouder heeft die bestelling geplaatst, het was immers uw telefoon waarmee de betaling werd geautoriseerd”. Bij dit soort bestellingen zal de bestelinformatie immers op naam van de vader of moeder staan, en inderdaad is er een betaalmiddel van de ouder gebruikt. De bal ligt dan bij de ouder in kwestie om te bewijzen dat het niet haar was maar het kind dat op die knop drukte. En dat lijkt me nog knap ingewikkeld.

In het verleden hebben we deze discussie ook gehad bij gebruik van ouderlijke creditcards, of smartphones waar recent de pincode nog was ingevoerd. Juridisch maakt het weinig verschil dat nu een vingerafdruk is gebruikt. De bewijsproblematiek wordt er volgens mij niet wezenlijk anders van. Hoe toon je aan dat je kind jouw duim pakte, dat is hetzelfde als hoe je aantoont dat je kind jouw creditcard overtypte of jouw telefoon gebruikte binnen de 20 minuten voordat de pincode weer gevraagd wordt.

Verschil in de praktijk is natuurlijk wel dat je bij die andere betaalmiddelen iets kunt doen. Je creditcard kan in een afgesloten tas. Je telefoon kun je handmatig vergrendelen. Je TAN-codes kun je op een hoge plank leggen. Maar wat doe je met je duim als je in slaap valt? Dit schijnt sleepjacking te heten, en volgens mij is het nog best lastig om dat probleem met biometrische authenticatie op te lossen.

Arnoud

14 reacties

  1. Lijkt me een typisch geval van jammer; zit je gewoon aan vast (los van het retourrecht natuurlijk). Je kan immers ook de TouchID voor aankopen uitzetten. Aan gemak hangt een prijskaartje en hangen risico’s. Maar voor het gemak vergeten veel mensen dat.

  2. Weer een voorbeeld van hoe biometrie meer problemen creëert dan dat het oplost. En je kan een nieuwe credit-card of een vervangende lijst met TAN-codes aanvragen, maar je kan geen nieuwe vingerafdruk aanvragen. Op de What the Hack conferentie in 2005 werd al live getoond hoe je van een plaatje van een vingerafdruk (afstoffen van een glad oppervlak of een goede foto) een latex copie kan maken waarmee je vingerafdruk scanners om de tuin kan leiden. En laat je je vingerafdrukken nu net overal achterlaten, vooral op de apparaten die je er mee wilt beveiligen. We zijn willens en wetens een totaal onveilige technologie aan het invoeren. Pure snake-oil, al die fingerprint readers op je apparaten, niet gebruiken!

    1. <Je kunt prima biometrische gegevens gebruiken om personen te identificeren. Voorbijvoorbeeld grensbewaking, identificatie van slachtoffers of politieopsporing dus nuttig.

      Voor beveiliging zijn biometrische gegeven maar beperkt zinvol. Je kunt biometrische gegevens gebruiken om niet vitale zaken te beveiligen of bij belangrijke gegevens als aanvulling op andere beveiligingmethode als onderdeel van een gelaagde beveiliging. Voor telefoons is biometrische beveiliging vrijwel altijd wel voldoende tenzij je beschikt over staatgeheimen op die telefoon of zoiets waardoor iemand met resources zou kunnen proberen om de biometrische beveiliging van de telefoon te doorbreken. Het voorbeeld uit het artikel is toch meer een grappig uitzonderingsverhaal. Daar zit in de realiteit volgens mij maar zeer weinig risico.

    2. En je kan een nieuwe credit-card of een vervangende lijst met TAN-codes aanvragen, […]

      Dat met die papieren TAN-codelijsten is overigens door de Postbank (pardon, ING) al vele, vele jaren geleden afgeschaft. Ca. 10 jaar, denk ik. Of het bestaande klanten die het altijd al hadden nog kan, weet ik niet, maar voor nieuwe MijnING-gebruikers niet meer.

      Goed, maar het is maar een voorbeeld en het gaat om het principe natuurlijk.

      1. Als je een beetje doordrukt:

        Ik heb geen mobile telefoon en als ik die voor Uw dienstverlening nodig heb dan verwacht ik dat U die mij verschaft…
        Kun je nog steeds TAN codes krijgen. Tenminste dat was twee jaar geleden zo.

      2. Mijn moeder heeft deze maand nog een nieuwe TAN lijst ontvangen van de Postbank, dus ja. De TAN lijsten zijn er nog steeds. Waarom niet met mobieltje? mijn moeder is 74 en is deels verlamd na een herseninfarct maar geestelijk nog 100%. Een mobieltje kan ze niet gebruiken omdat die te ingewikkeld voor haar zijn met teveel toetsen en knopjes en menu-opties. Ze heeft wel een laptop die ze gebruikt om online bij een paar vaste webwinkels te bestellen en om haar geldzaken te regelen.

        Ze doet ruim twee jaar met haar TAN lijst…

        En als je aangeeft bij de bank dat je geen mobieltje hebt en dus geen SMS berichten kunt ontvangen dan denk ik dat je nog steeds een TAN lijst kunt krijgen…

  3. Het probleem is uiteindelijk eenvoudig, Biomedische identificatie is niet genoeg om iemands indentiteit te waarborgen.

    Voor beveiliging wordt eigenlijk altijd drie factor principe gebruikt: ‘Something you know’, ‘Something you have’ en ‘Something you are’. Een wachtwoord, toegangspas en retina scanner samen zijn genoeg om iemands identiteit veilig te kunnen bepalen. Omdat elk van deze methoden zijn eigen zwaktes heeft, gebruikt een goed beveiligd systeem ten minste twee van de drie. In dit geval is een vingerafdruk inderdaad veilig zolang niemand bij jou lichaam kan. Het is echter ook een zwakte aangezien een vingerafdruk niet vervangen kan worden en omdat het alleen je vinger vereist, niet jouw bewustzijn (of de rest van jou).

    De kijkers van Demolition Man met Silvester Stallone zullen zich vast nog wel de retina-scanner herinneren.

      1. Biometrie kan volgens mij gelden als identificatie en als authenticatie. Bij identificatie is er een directe beoordeling van het subject nodig. De uitkomst van die beoordeling levert een identiteit(-sbewijs) op dat kan voor identificatie gebruikt worden (door anderen dan de uitgever) in aanwezigheid van het subject. Of het geldt als vorm van autorisatie als het in bezit is van een houder. Een identiteit of identiteitsbewijs kan door het subject zelf worden gebruikt. Bij elke toepassing waarbij aan het subject daarom gevraagd wordt, zoals bij de uitgifte van een authenticatiemiddel. Bij authenticatie is de beoordeling op afstand juist mogelijk omdat eerder de identiteit van het subject is bepaald en gekoppeld aan het authenticatiemiddel. Als voor authenticatie een vingerafdruk wordt gebruikt is het nog steeds geen identificatie omdat op afstand slechts een claim wordt getoetst en niet het subject zelf.

  4. Ik vind het een zwak verhaal. Moet ik echt geloven dat de moeder binnen de 20 minuten time-out van de laatste vingerafdrukverificatie van de iphone zo vast in slaap is gevallen dat ze niet merkte dat haar kind de iphone afpakte en haar vingerafdruk kaapte?

    1. Ik vind het best geloofwaardig. Ik ben zelf ook een enorm vaste slaper en er is best veel nodig om mij wakker te krijgen. Ik heb meegemaakt dat ik gewoon doorsliep terwijl er buiten een brandweerauto met loeiende sirenes buiten stond om mensen wakker te maken doordat er bij de buren brand was uitgebroken. Hoefde zelf gelukkig niet mijn huis uit maar was redelijk verbaast door de enorme drukte nadat ik eindelijk wakker was. (En mijn huisgenoten de buren hadden uitgenodigd zodat ze warm konden afwachten tot de brandweer klaar is en iemand mij eens wakker maakte…)

      Het kan natuurlijk ook zo zijn dat het kind vaker de telefoon van de moeder gebruikte om mee te spelen en dus via de duim ontgrendeld kan worden zodat je hem kunt gebruiken. Als je via diezelfde duim ook bestellingen kunt plaatsen dan kan moeder gedacht hebben dat ze de telefoon alleen ontgrendelde terwijl het kind ermee ging bestellen…

    1. Heeft geen zin in deze situatie omdat voor het bestellen verificatie met vingerafdruk voldoende is. En op zich is dat wel een goede beveiliging, zolang je maar controle hebt over je eigen duim…

      Sowieso heb je maar weinig gegevens nodig om geld van een credit card af te schrijven. Gewoon het nummer, de beveiligingscode op de achterkant van het pasje en de naam van de credit card eigenaar. Er zijn genoeg bedrijven die deze gegevens opslaan zodat ze in de toekomst eenvoudiger geld kunnen afschrijven zonder dat ze je gegevens nogmaals nodig hebben. Je kunt dan weer wel de afschrijving aanvechten en je geld weer terug krijgen maar erg eenvoudig is dat ook weer niet…

      Tja, en kinderen opvoeden? Je moet kinderen ook niet laten spelen met je eigen mobiel maar kunt ze beter een eigen mobiel geven met beperkte mogelijkheden. Alleen heeft de mobiele industrie totaal geen rekening gehouden met minderjarigen die dus zo eenvoudig kunnen bestellen en ze profiteren er eigenlijk ook van…

Geef een reactie

Handige HTML: <a href=""> voor hyperlinks, <blockquote> om te citeren, <UL>/<OL> voor lijsten, en <em> en <strong> voor italics en vet.