Apple Pay en privacy: zo zit het met de beveiliging van Apple’s betaaldienst

Apple Pay privacy: zo zit het met de beveiliging

Apple Pay werkt op alle Apple-apparaten in combinatie met een bank waar Apple mee samenwerkt. De betaaldienst is niets anders dan een virtuele pas die op je iPhone, iPad, Apple Watch en Mac staat. Maar betekent dit nu dat Apple mee kan kijken in je transacties? Hoe zit het het gebruik van NFC? In dit artikel lees je alles over Apple Pay en privacy.

• Privacy bij instellen
• Beveiliging bij betalen
• Is Apple Pay veilig?
• Apple en gegevens
• Toestel gestolen

Privacy bij instellen
Zodra je je eerste kaart toevoegt aan de Wallet-app voor het gebruik van Apple Pay, versleutelt de app de benodigde gegevens van je kaart (zoals IBAN en uniek kaartnummer) en stuurt dit naar de Apple-servers. Apple decodeert de gegevens, controleert alleen het betaalnetwerk en versleutelt de gegevens opnieuw. Deze versleutelde informatie kan alleen door het betaalnetwerk worden ontgrendeld. Dat betekent dus dat alleen je bank deze gegevens kan inzien, om te checken of de kaart wel geschikt is voor Apple Pay.

Na deze controle maakt de bank voor jouw kaart een zogenaamd apparaataccountnummer. Dit nummer is uniek voor de kaart en het toestel waarop het is ingesteld. Ook dit nummer wordt versleuteld naar Apple verzonden. Apple kan dit nummer en de gegevens niet inzien. Je apparaataccountnummer wordt lokaal opgeslagen in de Secure Enclave, een beveiligd onderdeel in je Apple-toestel dat alleen door het toestel zelf uitgelezen wordt. Dit nummer staat ook niet opgeslagen in iCloud.

Apple voert wel enkele checks door om te kijken of je in aanmerking komt. Je toestel stuurt sommige apparaatinstellingen en gebruikspatronen naar Apple. Denk bijvoorbeeld aan het percentage tijd dat het apparaat in beweging is of het aantal gesprekken dat je bij benadering per week voert. Apple voorkomt hiermee dat er misbruik gemaakt wordt van Apple Pay. Criminelen zouden anders Apple Pay tegelijkertijd geautomatiseerd kunnen inschakelen op een grote hoeveelheid toestellen. Apple gebruikt dit alleen om te checken of je in aanmerking komt en heeft geen inzicht in met wie je belt of andere informatie.

Bekijk ook

Secure Enclave: zo werkt Apple's speciale beveiligingschip in de iPhone, iPad en Mac

De Secure Enclave wordt in recente iPhones, iPads en Macs gebruikt voor beveiligingsfuncties zoals gezichtsherkenning en versleuteling van gegevens. Alles over wat de Secure Enclave is en wat het doet, lees je hier!

Beveiliging bij betalen: zo werkt het
Als je Apple Pay gebruikt in winkels, op het web en in apps, moet je elke betaling bevestigen met een verificatie. Op een iPhone zonder thuisknop is dat Face ID, op een toestel met homeknop gebruik je Touch ID. Lukt dat niet, dan gebruik je een toegangscode om je betaling te bevestigen. Dat betekent dus dat niemand met jouw iPhone, iPad of Mac zomaar een betaling kan verrichten, omdat altijd een verificatie nodig is. Ook bij bedragen die kleiner zijn dan €25 is een verificatie vereist.

Op de Apple Watch is het vereist om een toegangscode in te stellen en draagdetectie in te schakelen. Dat betekent dat als je jouw Apple Watch af doet, er niemand anders een betaling mee kan doen totdat de toegangscode ingevoerd is of de gekoppelde iPhone ontgrendeld is.

Apple Pay maakt voor betalingen gebruik van NFC. NFC werkt alleen op kleine afstanden en kan dus niet op grote afstanden uitgelezen worden. Omdat je altijd eerst moet verifiëren (met Touch ID, Face ID of twee drukken op de zijknop bij de Apple Watch), kan je toestel dus ook niet stiekem uitgelezen worden met een mobiel pinapparaat.

Is Apple Pay veilig?

Ondanks al deze maatregelen is er toch fraude met Apple Pay mogelijk. Daarbij wordt gebruik gemaakt van bots, die de authenticatiecode onderscheppen bij het toevoegen van een nieuwe kaart. Deze codes worden vaak via sms verstuurd, een manier waarvan al langer bekend is dat het onveilig is.

De hack gaat als volgt te werk: de eigenaar van de bankkaart of creditcard krijgt via een telefoontje of sms-bericht een eenmalige code van de bank. Die code moet worden ingevoerd om Apple Pay te activeren. De code komt echter nooit aan bij de eigenaar, maar wordt afgevangen en doorgestuurd naar de hacker. Zo kan ongemerkt jouw betaalkaart aan de iPhone van iemand anders worden gekoppeld.

Normaal gesproken komen banken en creditcardmaatschappijen in actie als er verdachte transacties zijn, bijvoorbeeld als een Nederlandse creditcard opeens voor grote bedragen in Thailand wordt gebruikt. In dit geval is de fraude moeilijker te achterhalen, omdat Apple Pay zo goed dichtgetimmerd is. Apple weet niet wat jij koopt en stuurt alle data meteen door naar VISA en Mastercard. De bank die de creditcard heeft uitgegeven (bijvoorbeeld ABN of ING) krijgt heel weinig betaalgegevens binnen, waardoor de normale anti-fraude maatregelen minder goed werken. Alle info over deze vorm van Apple Pay-fraude lees je in onderstaand artikel. Je kunt je ertegen wapenen door meldingen voor elke transactie in te schakelen, zodat je verder misbruik meteen kunt verijdelen.

Bekijk ook

Nieuwe vorm van fraude treft Apple Pay

Apple Pay is de "makkelijkste" manier om fraude te plegen, zo beweren criminelen. Een ondergrondse bot steelt daarbij de authenticatiecodes via sms, zo valt te lezen in chatgroepen op Telegram. Het geldt voor gewone bankpassen en creditcards.

Apple en gegevens: deze informatie wordt gedeeld
Apple bewaart geen originele kaartnummers van wat voor pas dan ook. Apple heeft dan ook geen toegang tot deze nummers. Alleen een deel van het nummer wordt bewaard (bijvoorbeeld de laatste cijfers van je IBAN), om de kaart te herkennen. Ze worden gekoppeld aan je Apple ID, zodat je ze allemaal eenvoudig toe kan voegen op je apparaten.

Apple heeft ook geen inzicht in je transactie-informatie. Alle betalingen zijn gewone pinbetalingen en hanteren dus ook dezelfde beveiligingsstandaarden. De informatie over wat je koopt en hoeveel je uitgeeft, komt dus niet bij Apple terecht. Alle transacties blijven tussen jou, de winkelier en de bank die voor de verwerking zorgt.

Kortom: deze gegevens zijn niet voor Apple inzichtelijk en worden ook niet opgeslagen:

• Originele nummers van creditcard, bankpassen en prepaidkaarten.
• Transactie-informatie, zoals winkels en aankopen.
• IBAN-rekeningnummer.
• Apparaataccountnummer, om je kaart in te stellen en betalingen te verwerken. Dit is beveiligd opgeslagen op de Secure Enclave.

Deze gegevens kunnen wél door Apple opgeslagen worden en kunnen worden gedeeld met de kaartuitgever:

• Apparaatinstellingen en apparaatgebruikspatronen. Dit is ter controle bij het instellen en om fraude te voorkomen.
• Transactiegegevens bij betaling via apps en op het web. Deze gegevens zijn geanonimiseerd. Het gaat onder andere om het aankoopbedrag bij benadering, de appontwikkelaar en de naam van de app. Deze gegevens worden gebruikt om de diensten te verbeteren.

De Wallet-app toont wel de laatste transacties die je met de Apple Pay-kaart gemaakt hebt. Deze informatie staat niet in iCloud en wordt dus ook niet gesynchroniseerd met andere apparaten. Je ziet alleen een overzicht van betalingen die met dat specifieke toestel gemaakt worden. Wil je alle betalingen zien, check dan de app van jouw bank.

Meer informatie over privacy lees je in Apple’s supportartikel.

Wat kan ik doen als mijn toestel gestolen wordt?
Als je iPhone, iPad, Apple Watch of Mac gestolen is, dan kan je op afstand je kaarten verwijderen. Je voorkomt dan dat iemand die jouw toegangscode weet, onrechtmatige betalingen kan uitvoeren. Dit werkt zo:

1. Ga naar https://www.icloud.com en log daar in met je Apple ID.
2. Krijg je een melding voor de verificatiecode voor tweefactorauthenticatie, dan kan je dit negeren. Klik onderin op het Apple Pay-logo. Zie je dit niet, ga dan naar de Instellingen-app op de iCloud-website.
3. Je komt nu bij een overzicht van je toestellen. Kies het device dat gestolen is. Aan de linker kant zie je een overzicht van je passen. Klik op Verwijder alle.

Een andere manier om Apple Pay te blokkeren is door de verloren modus in te schakelen via Zoek mijn iPhone. In onze gids lees je daar meer over.

ING raadt aan om dan ook je Mobiel Bankieren-app te blokkeren via Mijn ING. Ook adviseert de bank om de alarmlijn te bellen.

Voor meer antwoorden op veelgestelde vragen over Apple Pay, lees je onze Apple Pay FAQ.

Lees ook onze andere artikelen over Apple Pay:

• Apple Pay FAQ: veelgestelde vragen over Apple’s betaaldienst
• Apple Pay instellen op je iPhone, Apple Watch en meer: zo doe je dat
• Zo betaal je met Apple Pay in winkels, apps en op het web
• Welke winkels accepteren Apple Pay?
• Apple Pay bij ING per direct beschikbaar: dit moet je weten
• Apple Pay: het complete overzicht van Apple’s betaaldienst

Bekijk ook

Apple Pay: het complete overzicht van Apple's betaaldienst

Apple Pay is de mobiele betaaldienst van Apple. Bij welke banken werkt Apple Pay, in welke landen werkt het en hoe doe je een betaling? Lees hier alles over Apple Pay in Nederland, de beveiliging en alle aangesloten banken en winkels.