Inloggen met DigiD en sms-controle roept veel vragen op

Hoi Rogier,

Ik had beloofd om geen posts meer te plaatsen, maar ik wil naar aanleiding van jouw zeer correcte en begrijpelijke berichtje (dank daarvoor) toch nog eenmaal iets met ZK delen.

Nogmaals, dat er vanuit ZK eisen zijn om fraude, indentieteitsdiefstal en problemen zo veel mogelijk te voorkomen is begrijpelijk, en ik denk dat niemand daar iets op tegen kan hebben (behalve de fraudeurs natuurlijk).

Helaas is de keuze voor de extra SMS-code voor mij niet handig, net als voor vele andere klanten. Het waarom dan niet is hierbij niet belangrijk, we zijn allemaal zelfstandige, vrije, volwassen mensen met onze eigen voorkeuren en gebruiken, dat grondrecht moeten we kunnen houden.

Als alternatief voorbeeld: ING bank gaat vanaf 1 januari ook over op SNS-codes sturen naar mobile telefoons voor het uitvoeren van opdrachten, maar omdat ruim 1 miljoen klanten dit niet willen/kunnen gebruiken, bied ING bank deze klanten een alternatief (sinds deze week bekend gemaakt). Zij leveren een kaartlezer, waarmee de bankpas en pincode gebruikt kan worden. Zijn daar kosten aan verbonden? Dat weet ik nog niet, maar zelfs als dat zo zou zijn, dan is dat niet erg. De klanten krijgen een keuze, en kunnen de voor hen beste optie kiezen. Kiezen ze voor de pinpaslezer, dan betalen ze. Willen ze niet betalen, dat niet, dan kiezen ze maar voor de SMS-code op hun mobieltje.

Nu ligt de bal (keuze) dus bij de klant, en is het bedrijf (ING in dit geval) niet de gebeten hond. Zij bieden een alternatief. In dit geval voel ik mij serieus genomen, en ga er over nadenken wat voor mij het beste is.

In het geval van de SMS-code van ZK krijgen we dit door onze strot geramd, en de meeste mensen (klanten) vinden dit niet fijn.

Ik hoop dat je mijn punt snapt en een reactie kunt geven op mijn 'voorstel' hierboven

Ik ga je nog eenmaal een voorstel doen om de klanten een alternatief te kunnen bieden, maar dat doe ik in een tweede, aparte post. Anders gaan we dingen door de war halen.

Bob.

Hierbij het voorstel van een ZK klant om mensen die GEEN SMS-code willen/kunen gebruiken bij aanloggen in MijnZilverenKruis toch tegemoed te komen.

Ikzelf (en ik denk vele anderen met mij) gebruik access naar MZK voor 90%-95% om alleen te kijken naar stand eigen risio, en mijn eerdere declaraties, en niet om (elke keer) wijzigingen aan te brengen, faude-gevoelige info te raadplegen, of hier wijzigingen in aan te brengen.

Ontwikkel binnen MijnZilverenKruis nou gewoon twee verschillende 'access' niveau's voor iedere kalnt. Laten we deze voor het gemak even 'read-only' en 'write-access' noemen, dat dekt de lading het beste.

Met 'read-only' access kan de klant z'n zorgverbruik, declaraties en stand eigen risico inzien, en het indien (uploaden) van te delcarewren fakturen. 

Wil men echter gegevens gaan veranderen, bankrekeningnummers zien/wijzigen, en meer van dat soort acties waar fraudeurs gek op zijn, vraag dan pas om de extra verificatie. Heeft men die dan niet beschikbaar, dan kan dat altijd nog per post of aan de telefoon worden gedaan voor de klant. Heeft men dit wel beschikbaar, dan kan de klant op dat moment de SMS-code inlogmethode gebruiken. Of de extra security-vraag beantwoorden, welke ik in een eerdere post geopperd heb (wat is je geboortedatum? wat zijn de laatste 3 cijfers van je mobiele nummer, wat zijn de laatste 3 cijfers van de bankrekening waar de maandpremie van afgeschreven word, etc).

Eigenlijk een equivalent van de situatie wat jullie tot voor kort aan konen bieden aan de gebruikens van MZK. twee-traps verificatie, maar dan alleen wanneer het nodig is. Niet standaard elke keer.

Uit eigen ervaring weet ik dat Binck Bank hetzelfde methode toepast voor access op z'n (belegging-) rekeningen, en dat werkt perfect. Wil ik effe snel kijken, inloggen met username en password. Alleen kijken kan geen kwaad. Wil ik echt mutaties maken of gegevens aanpassen (en dus fraude-gevoelige acties doen), dan komt er meer bij kijken dan alleen het password invoeren, en word twee-traps verificatie vereist. Wil ik dat niet, dan kan ik altijd de helpdesk nog even bellen om dat voor mij te doen (en ja, daar zijn kosten aan verbonden, maar dat is dan MIJN keuze, en vind ik dat niet meer dan terecht). 

Ik hoop dat dit verhaal begrijpbaar is, en dat je nu eens een echt actief een voorstel kunt doen aan het team of de personen die bij ZK verantwoordelijk zijn voor dit onderwerp, en dat het in behandeling word genomen, en dat er een terugkoppeling kan worden gegeven via dit forum zodat wij ook weten wat we serieus worden genomen.

Kan dit niet, en worden al onze (als klanten) opmerkingen en suggesties afgewimpled, dan is dat ook prima, maar laat het dan ook even weten op dit forum. De in jouw vorige post geopperde opmerking dat onze suggesties, bezwaren, meningen en voorstellen worden gehoord en bekeken zijn leuk, maar de resultaten van dat bekijken, afwegen, en beslissen zijn op dit moment nog nul, zero, nada en niets. Er veranderd niets, en er staat ook niets op de nominatie om te veranderen (zo ver als mij bekend is natuurlijk).

Dus: We horen graag van jou en je team.

Groet,

Bob.

Oja, dat was ik nog vergeten:

Als ik aan de telefoon met een van de ZK medewerkers spreek en zij willen verifieren dat ze werkelijk met de klant (mij dus) spreken, wat denk je dan dat ze vragen ???

- Wat is uw telefoonnummer?

- Wat is uw postcode?

- Wat zijn de laatste 3 cijfers van het bankrekeningnummer waar de maandpremie vanaf geschreven word?

Komt bekend voor ???

Nou, mij wel. Precies dezelfde vragen als in mijn voorstel voor twee-traps verificatie voor access maar MZK.

Vreemd dat ZK oppert dat dit niet voldoende is om aan te loggen in de website, maar het wel accepteerd als verificatie als ik aan de telefoon ben..........

Graag us reactie, ZK.

Groet,

Bob.

excuses voor de taalfouten. us = uw.

Hoi Bob, fijn dat je zo actief meedenkt!

Ik begrijp wat je zegt. Het idee van 'read-only' en 'write-access' is een interessante! Dit is technisch relatief eenvoudig in te regelen. Echter, we hadden deze gelaagdheid bij het inloggen toegepast bij de introductie van DigiD en SMS. Mijn Zilveren Kruis was toen ook zonder SMS-login te benaderen. Je kon dan alleen basisinformatie inzien en enkele 'onschuldige' voorkeuren aanpassen. Om, bijvoorbeeld, ook bij je declaratiegegevens te kunnen, was inloggen mét SMS benodigd. Het zal je verbazen, maar dit was nu juist een fiasco in het opzicht van klanttevredenheid. Bij het gros van de mensen ging het inloggen fout. Ondanks duidelijke aanwijzingen hierover op de website, kwamen zij snelklikkend terecht in de 'light' variant en konden hierdoor bepaalde gegevens niet inzien. Dit riep vragen en verwarring op. Bovendien bleken verreweg de meeste mensen in te loggen voor de privacygevoelige informatie. Slechts een klein percentage kwam voor de 'read-only' access laag, om het zo te zeggen.

Ik snap dat het niet bevredigend is dat we bij deze ideeën alleen uitleg kunnen geven, en niet de gevraagde aanpassingen kunnen toezeggen. Als het gaat om inloggen met DigiD en SMS zijn die specifieke veranderingen op korte termijn niet te verwachten. Daarover wil ik duidelijk naar je zijn. Dat neemt niet weg dat niks in beton gegoten is. Nogmaals, jouw input en die van anderen staat genoteerd en wordt bij toekomstige doorontwikkeling meegewogen. Ik hoop dat dat je bemoedigt om hier betrokken te blijven bij onderwerpen die je aan het hart gaan.