Onderzoeker: automobilisten eenvoudig te volgen via populaire parkeerapps

Meer dan een kwart van alle auto’s is eenvoudig te traceren door middel van populaire parkeerapps zoals EasyPark, Q-Park, Indigo Neo, Interparking en APCOA, zo stelt de Belgische beveiligingsonderzoeker Inti De Ceukelaire op basis van eigen onderzoek. Dat meldde Security.nl onlangs. Bij al die apps kun je gemakkelijk kentekens toevoegen, maar zonder controle of je er houder van bent. Zo kun je dus vervolgens parkeeracties van die auto’s inzien. Inti maakte ook een opt-out.

De kern van het onderzoek is verbazingwekkend simpel. Vrijwel iedere parkeerapp biedt de mogelijkheid meerdere kentekens toe te voegen, waarbij geen enkele controle volgt of je daar houder van bent, of dat de eigenaar van die auto het goed vond. Een legitieme reden kan zijn dat je een buurman of vaste klant wilt laten parkeren via jouw app, maar je kunt zo ook mensen stalken (het nummerbord van je ex of die man/vrouw die je laatst klemreed bij de afrit Nieuwegein).

Natuurlijk werkt dat alleen als je vervolgens ook een parkeeractie uitvoert, pas dan zie je (ter controle) de straat of parkeergarage waar de auto is. Door sessies van 1 seconde te doen, voorkwam de onderzoeker dat de slachtoffers zouden zien dat ze al geparkeerd staan (als ze bijvoorbeeld dezelfde app hebben, of doordat de slagbomen opengaan zonder betalen).

Een gebrek bij kentekens is dat je geen verificatie kunt doen, zoals bij 06-nummers of e-mailadressen wel kan. Een systeem dat werkt op basis van kentekens (zoals parkeerapps) heeft dus fundamenteel dit probleem, en daar is geen oplossing voor behalve de RDW zo gek krijgen dat ze brieven gaan sturen naar de kentekenhouder wanneer een app deze wil registreren. (Ik zie dat niet gebeuren.)

De Ceukelaire merkt op dat parkeersessies een onschatbare bron van informatie prijsgeven over bestuurders. “Aan de hand van de parkeerduur, locatie en tijd kan je afleiden wat de persoon daar komt doen. Zo zijn er tijdens het onderzoek personen gelokaliseerd nabij kantoorruimten, winkelcentra, concertzalen, sportcomplexen, casino’s en ziekenhuizen.”
Het onderzoek werd overigens netjes uitgevoerd op kentekens van vrijwilligers die wel eens wilden weten of ze werkelijk getrackt konden worden.

Arnoud

24 reacties

  1. Verificatie zou wel mogelijk zijn op basis van de meldcode, een nummer van vier cijfers dat op het kentekenbewijs staat (en niet toevallig de laatste vier cijfers van het VIN). Die code wordt bijvoorbeeld gebruikt door garages en verzekeraars – en geverifieerd tegen data van de RDW. Ik weet niet hoe de RDW bepaalt wie bij die data mag, maar dit lijkt me een legitiem doel. Probleem is wel dat ook de meeste consumenten van het bestaan niet afweten, juist omdat de meldcode zo zelden gevraagd wordt.

    1. Goeie suggestie! Daar is zelfs een gratis API voor. Het is niet waterdicht, als jij mijn VIN kunt achterhalen dan kun je deze verificatie uitvoeren. Soms staat het VIN op de voorruit bijvoorbeeld, dan zou een spiekende passant het kunnen afkijken. Ik lees hier al tips over het afdekken van dat nummer zodat dieven geen reservesleutel kunnen bestellen (kennelijk gebruiken ze daarbij ook de VIN als controlecijfer).

  2. Natuurlijk werkt dat alleen als je vervolgens ook een parkeeractie uitvoert, pas dan zie je (ter controle) de straat of parkeergarage waar de auto is.

    Niet helemaal. Zo had ik ooit het kenteken van een kennis toegevoegd voor op straat parkeren, niet wetende dat dat ook gekoppeld was aan parkeergarages. Later kreeg ik opeens een email dat ik een parkeeractie was gestart in een garage. Bleek die auto verkocht te zijn aan een ander. De parkeeractie start dan op kentekenherkenning.

    In dat geval was ik er niet heel blij mee dat ik aan het betalen was voor het parkeren van een vreemde, maar het betekent dus ook dat ik automatisch een melding krijg als dat kenteken een garage inrijdt.

  3. Eigenlijk mis ik in je blog een analyse van het privacy aspect Arnoud.

    In hoeverre is het toegestaan dat een bedrijf kentekens verwerkt zonder dat ze zeker weten dat de verwerking met toestemming plaatsvindt?

    Een kenteken kan immers ook herleidbaar zijn naar een persoon voor anderen dan de overheid, zoals een buurman of wie ook maar weet met welk kenteken iemand rondrijdt.

    1. De persoonsgegevens worden vast niet op basis van toestemming verwerkt. De grondslag zal noodzaak voor de uitvoering van de overeenkomst zijn. In hoeverre wijkt de verwerking van het kenteken (als persoonsgegeven) af van de verwerking van de andere persoonsgegevens door de uitbater van zo’n parkeer-app?

  4. Ander idee voor verificatie: Maak een korte video waarin je zowel het nummerbord laat zien, als dat je de auto kan starten. Dan weet je het belangrijkste: de persoon die het aanvraagt heeft controle over de auto die wordt aangemeld. Dit is niet perfect, maar geeft in ieder geval aan dat de eigenaar jouw voldoende vertrouwd om je de sleutels van de auto te geven.

    Ander punt: Verloopt zo’n aanmelding? Want anders kun je de auto ook blijven volgen na verkoop/ blijft je het parkeergeld van de volgende eigenaar betalen.

    1. Ander punt: Verloopt zo’n aanmelding? Want anders kun je de auto ook blijven volgen na verkoop/ blijft je het parkeergeld van de volgende eigenaar betalen.

      Nee. Van mijn (semi-oude, ik moet ‘m nog verkopen) auto heeft het kenteken minimaal 6-7 jaar in mijn Parkmobile app gestaan, tot ik ‘m eerder dit jaar vervangen heb voor m’n nieuwe kenteken. Geen vernieuwing / verificatie nodig. Bij Parkmobile kost het toevoegen van extra kentekens wel een euro.

  5. Ik begrijp niet helemaal hoe dit kan bij straat parkeren. Daar wordt (bij mij althans) de locatie nu juist bepaald door de app op mijn telefoon. Ik zie echt niet hoe de app zelfstandig (zonder de gps functie van de telefoon) zou weten welke straat een bepaald kenteken geparkeerd is. Of mis ik iets ?

    1. Verhip, daar heb je gelijk in. Ja, de app op de telefoon doet locatiebepaling en parkeert dan het opgegeven kenteken op die locatie. Je kunt handmatig een andere locatie opgeven, maar dat is dan blind gokken. Behalve als de auto al elders geparkeerd is bij dezelfde app, dan krijg je dus een foutmelding met zoals ik het begrip de locatie van de andere actie (“staat al op Rokin 1 geparkeerd”).

      Bij parkeergarages krijg je dus een pushbericht van de garage dat je automatisch geparkeerd bent en waar. Dat is dus het grote lek.

  6. Het verbaast me dat we ons hier druk maken om de app terwijl de fundamentelere privacyschending buiten beschouwing wordt gelaten: het publiekelijk zichtbare kenteken. We zouden het ook niet accepteren als de overige verkeersdeelnemers een zichtbaar nummer zouden moeten dragen.

      1. Tja, we hebben ook honderden jaren slavernij gehad voordat we erachter kwamen dat dat niet kon, en vrouwen hebben heel lang minder rechten gehad. Op een gegeven moment komt gewoon het besef: dit kan niet.

        Alleen de laatste 10 jaar is een kenteken daadwerkelijk iets waar je wat aan hebt om iemand te volgen.

        En er speelt ook natuurlijk een historisch aspect. Een Heer bespiedt andere Heeren niet, en zo wel bij toeval, is hij stil over hetgeen hij heeft gezien. Heerencode en Mores, weetjewel. Je ziet wat er van komt als het klootjesvolk privileges krijgt (voordat ik afgebrand wordt door allerlei Wokies: dit is ironisch!)

      1. Gedwongen publieke identificatie van een voertuig is gedwongen publieke identificatie van de eigenaar/bestuurder. En als we de schending van het grondrecht privacy op een dergelijke manier toestaan, dan zijn andere grondrechten ook niet veilig. Zoals CQ al schreef, het is nog niet zo lang geleden dat een verkeerde huidskleur iemand tot eigendom maakte, het verkeerde geslacht je geen rechten gaf en een verkeerde seksuele voorkeur of geloof je in de gevangenis of erger belande. In sommige delen van de wereld is dit nog steeds zo. En een paar “verkeerde” verkiezingsuitslagen en het kan hier ook weer gebeuren. Dus laten we schendingen van grondrechten alleen toestaan als het absoluut noodzakelijk is. En dat is een kenteken in een tijd van politie helicopters en motoren niet.

        Het chassisnummer is prima, dat is alleen bekend bij de eigenaar, garage/fabrikant en de overheid. Dat is vergelijkbaar met een BSN.

        1. Grondrecht op privacy is er, grondrecht op met een auto op de openbare wegrijden is er echter niet. Het is jouw keuze om die auto te kopen en er mee op de openbare weg te willen rijden. Dat in tegenstelling tot huidskleur, geslacht, geloof, seksuele voorkeur. Dus als je geen nummerplaat wilt, dan moet je gaan lopen, fietsen of met het openbaar vervoer. Of in mindere mate een auto huren/van het werk.

          Dus het is een recht om met een auto over de weg te rijden. En aangezien die auto ongeveer een ton weegt en behoorlijk gevaarlijk is, vind ik het niet onredelijk dat je de eigenaar van dat potentiële projectiel moet kunnen achterhalen.

          En als tegenvoorbeeld voor die politie helicopter/motor: Die nummerplaat is nog zeker nuttig, denk aan trajectcontroles, snelheids/roodlicht-controles. Maar ook als een indirecte manier om er zeker van te zijn dat jouw voertuig verzekert is en door de APK komt. Want zonder nummerplaat kan je met elk barrel op de weg gaan rijden zonder op te vallen, nu moet je of a) opvallen zonder nummerplaat, b) geregistreerd staan als niet verzekerd/zonder APK.

  7. Ik begrijp ook niet helemaal wat het onoplosbare probleem is. Zoals Feenstra zegt, zit de GPS op de telefoon. En geeft de app bij aanvang parkeren aan dat en waar een kenteken al elders geparkeerd staat. Oplossing: doe dit niet.

    Dit klinkt een beetje als de ING app de juiste naam toonde bij overmaken naar een rekeningnummer met een verkeerde naam. En klinkt als een grote datalek. Ik hoop dat mijn Yellowbrick dit niet heeft.

  8. Het lijkt mij dat het probleem er niet in zit dat iedereen een kenteken kan registeren, maar dat je daarmee dan andere parkeeracties van dat kenteken kan zien. Als parkeeracties gekoppeld worden aan een account en je alleen acties van je eigen account kan zien, dan maakt het verder niet uit dat je onbeperkt kentekens kan toevoegen om daar nieuwe parkeeracties bij te doen.

    Dan kan je natuurlijk niet meer volautomatisch met je kenteken in de parkeergarage parkeren, maar moet je even in je app aangeven dat je dat nu gaat doen.

    1. Eens, maar dat werkt alleen als het ‘slachtoffer’ ook een account heeft bij die dienstverlener. Als ik de EasyPark app heb en jij een andere, dan kun jij dus op jouw app mijn kenteken toevoegen en ik kom daar niet achter. Ik ben wel benieuwd wat er gebeurt als iemand een parkeergarage binnenrijdt waarbij men met ANPR mensen binnenlaat en er dan twee apps zijn die hiervoor een parkeeractie kunnen starten. Het zou me niet verbazen als beide apps dan actief worden.

      1. Maar waarom zou ik erachter moeten of willen komen dat jij mijn kenteken registreert? Zolang je daar maar niet de parkeeracties die ik start mee kan zien is er niets aan de hand. Betaal vooral zoveel mogelijk voor mijn kenteken, daar heb ik verder geen last van.

          1. Maar als je voor mij betaalt kan je mij nog niet volgen. Lees alsjeblieft eens wat ik geschreven heb. Voor de derde keer: wat ik dus zeg is dat het probleem is dat jij door mijn kenteken te registeren parkeeracties kan zien die ik initieer. Dat is waar we dus vanaf moeten. Het registreren zelf is geen probleem.

            Het is een beetje als met het BSN. We zouden niet moeten proberen om dat geheim te houden, want dat kan helemaal niet. Waar we vanaf moeten is dat je met de kennis van het BSN van iemand anders iets kan wat je niet zou mogen.

  9. Naar mijn weten zijn kentekens gekoppeld aan een auto (behoudens handelaar-kentekens). Kortom, gekoppeld dus aan het chassisnummer, ofwel het voertuigidentificatienummer (VIN). Het staat op een plaatje onder de motorkap en is bij sommige auto’s van buiten zichtbaar bij de voorruit. Ook staat het gewoon op je kentekenbewijs.

    Als die apps het kenteken opvragen, kunnen ze ook bv. de laatste drie cijfers van de VIN opvragen. Dit kan dan vast via het RDW worden geverifieerd want daar wordt die koppeling tussen kenteken en VIN opgeslagen. Dat gaat natuurlijk alleen goed wanneer het niet (eenvoudig) mogelijk is om op een website een kenteken in te kloppen waarna die website het gekoppelde VIN nummer uitspuugt. Een VIN is niet geheim maar kennelijk wel goed genoeg om er bv. laadapps mee te activeren.

Geef een reactie

Handige HTML: <a href=""> voor hyperlinks, <blockquote> om te citeren, <UL>/<OL> voor lijsten, en <em> en <strong> voor italics en vet.