Verificatiecode bij cold call over verlengen abonnement

[Markvl]

Vandaag ben ik benaderd door een onbekend telefoonnummer over het verlengen van mijn Vodafone abonnement. Tijdens het gesprek kreeg ik een SMS met verificatiecode, of ik die even op wilde noemen. Een beetje eigenwijs, maar dat heb ik uiteindelijk niet gedaan. De SMS vermelde namelijk expliciet "Heb je de code niet zelf aangevraagd?", wat ik uiteraard niet zelf gedaan heb. Waarschijnlijk deed de salespersoon aan de andere kant van de lijn dit. Maar weet ik veel met wie ik contact heb, wie zegt dat het geen scammer was?

Daarna bij de klantenservice kreeg ik dezelfde SMS opgestuurd. Vanuit deze context (ik had zelf immers het Vodafone klantenservice nummer gebeld) wist ik in ieder geval dat het waarschijnlijk WEL okee zat, maar ik heb de code alsnog absoluut NIET zelf aangevraagd!

Persoonlijk (en vanuit een professioneel software security standpunt) vind ik dit totaal ontoereikend. We proberen iedereen ervan te overtuigen niet zomaar codes verstuurd over SMS te vertellen aan de telefoon, dat is DE perfecte manier om onder andere je tweede factor voor account veiligheid vrij te geven en ongure types toegang te verschaffen tot verschillende services. Dat is hoogstwaarschijnlijk precies waarom die tekst al in het verificatiecode bericht staat! 

Graag zie ik dit aangepast zodat het ontvangen van dit bericht óf volledig vanuit een gebruiker geïnitieerd is, óf het bericht simpelweg meer inhoud krijgt om de situatie duidelijk uit te leggen (wat verifieert de code? Waarom ontvang ik de code überhaupt?) zodat een klant een goed geïnformeerde beslissing kan maken en zichzelf adequaat digitaal kan beschermen.

Een beetje een principieel verhaal, hopelijk wordt er wel wat mee gedaan.

[Jamyla]

Hey @Markvl 

Ik kan me voorstellen dat je in zo'n situatie de boel in twijfel trekt.

Feitelijk gezien ben jij wel degene die de sms aanvraagt, alleen snap ik dat jouw gedachtegang dit anders ziet.

Om jou als contracthouder te verifieren en je dus inhoudelijk gezien informatie te mogen verstrekken en/of aanpassingen te mogen doen, dienen we een sms verificatie uit te voeren. Dat betekent dat jij 'mogelijk' informatie van ons opvraagt of een wijziging wil doen, en wij de sms versturen naar de contracthouder. Als jij dat dan bent, en de code kan doorgeven, pas daarna mogen we informatie doorgeven.
Kortom, als jij contact met ons hebt en iets nodig hebt ben jij degene die de code aanvraagt. 

Dit kun je alleen omzeilen door met je ID kaart naar de winkel te gaan, daar de verificatie uitvoeren en dan een wachtwoord af te spreken. Dan zullen we ten alle tijde een verificatie met het ingestelde wachtwoord uitvoeren.

[Markvl]

Je uitleg werkt nèt aan in het scenario waarbij ikzelf contact op neem. Die vlag gaat echter totaal niet op wanneer ik uit het niets door een onbekend nummer gebeld wordt.

Met dit impliciete gedoe (“Technisch gezien klopt het…!”) zetten jullie wat mij betreft ook een armzalig voorbeeld. Het zorgt voor verwarring en het leert mensen de verkeerde patronen aan. Alleen al de essentie van jouw uitleg toevoegen aan het SMS bericht zou een stap vooruit zijn.

Het is echt van de zotte dat een groot bedrijf als VodafoneZiggo hier niet de tijd en moeite in kan steken om een oplossing te bedenken die toereikend is. Brengt me aan het twijfelen of de rest van de bedrijfsprocessen net zo houwtje-touwtje in elkaar steken.