Vanaf 1 oktober verandert er iets voor Nederlanders die met een gebruikersnaam en wachtwoord willen inloggen bij de Belastingdienst. Naast deze inloggegevens hebben ze straks ook een toegangscode nodig die men per sms ontvangt. Wie iets heeft aan te geven bij de fiscus moet deze sms-controle wel eerst activeren.
Met deze mededeling komt Logius, de ICT-leverancier van de Rijksoverheid.
Logius komt met extra beveiligingslaag met sms-controle
Inloggen bij de Belastingdienst kan op drie manieren: met de DigiD-app, een identiteitskaart met persoonlijke pincode en een DigiD gebruikersnaam en wachtwoord. Aan deze laatste methode wordt vanaf zaterdag 1 oktober een extra beveiligingslaag toegevoegd. Vanaf dan heb je naast een gebruikersnaam en wachtwoord tevens een toegangscode nodig om in te loggen. Deze ontvangen gebruikers per sms.
Zo worden je persoonsgegevens nog beter beschermd, zo zegt Logius. Mochten je inloggegevens op straat belanden, bijvoorbeeld door een datalek of doordat deze via het dark web aan cybercriminelen zijn verkocht, dan is het onmogelijk om in te loggen. Voor sms-controle is namelijk een smartphone met simkaart nodig.
De enige manier om sms-authenticatie te omzeilen, is door middel van SIM swapping. Criminelen kapen dan jouw telefoonnummer en ontvangen dan toegangs- en beveiligingscodes. Met deze informatie kunnen ze inloggen op jouw online accounts.
We regelen steeds meer online
De ICT-dienstverlener zegt nauw met de Belastingdienst te hebben samengewerkt om de overstap naar tweefactorauthenticatie in goede banen te leiden. Logius stelt dat de extra beveiliging noodzakelijk is omdat we onze zaken steeds vaker online regelen.
“Iedereen regelt steeds meer online. Ook met de overheid, het onderwijs, de zorg of pensioenfonds. Vaak gaat het daarbij om persoonlijke gegevens. Veiligheid staat daarbij voorop. Nu, maar ook in de toekomst. Logius zorgt daarom voor veilige manieren van inloggen met DigiD. Zo blijven gegevens goed beschermd.”
Extra aandacht voor specifieke doelgroepen
Logius zegt dat er extra aandacht is besteed aan mensen met beperkte digitale vaardigheden en laaggeletterden. Er zijn verschillende communicatiemiddelen ontwikkeld die getest zijn voor deze doelgroepen.
Voor nabestaanden die niet door de nieuwe tweefactorauthenticatie niet kunnen inloggen op het account van de overledene, is ook een oplossing bedacht. Logius heeft samen met de Belastingdienst een balie geïntroduceerd waar mensen met dit probleem terecht kunnen. “Dit zorgt ervoor dat zij toch de belastingzaken na overlijden kunnen regelen”, zo zegt de ICT-leverancier.
Logius treft vaker veiligheidsmaatregelen
Logius heeft in het verleden meerdere veiligheidsmaatregelen getroffen om privégegevens van Nederlanders beter te beschermen. De afschaffing van betrouwbaarheidsniveau EH1 bij eHerkenning is daar een voorbeeld van. Sinds 1 juli 2021 is het niet langer mogelijk om via deze methode in te loggen bij overheidsinstanties.
“Het stopzetten van betrouwbaarheidsniveau EH1 is bedoeld om veilig online zaken te kunnen blijven doen en privacygevoelige gegevens uit te wisselen op een betrouwbare manier die past bij de eisen van deze tijd”, zo lichtte Logius het besluit destijds toe.
Om gebruik te kunnen blijven maken van eHerkenning, moesten organisaties hun eHerkenningsmiddel upgraden. Momenteel is EH2 het laagste beveiligingsniveau bij eHerkenning. Daarnaast heb je ook nog niveau EH2+, EH3 en EH4.
Update (11 oktober 2022): sms-controle bij DigiD blijft voorlopig nog wel even bestaan. Mocht deze inlogmethode in de toekomst worden uitgefaseerd, dan vindt daar eerst een debat over plaats in de Tweede Kamer. Op korte termijn hoeven Kamerleden zich daar geen zorgen over te maken, zo zei staatssecretaris van Digitalisering Alexandra van Huffelen vorige week tijdens een debat met de vaste commissie voor Digitale Zaken.
Ze benadrukte dat het beveiligingsniveau bij sms-inloggen lager is dan bij andere methoden. Tevens stelde de staatssecretaris dat het verplichten van een smartphone tot uitsluiting kan leiden. “Maar ik begrijp natuurlijk ook heel goed het punt dat u daarover maakte, namelijk: voor het niet met een sms’je inloggen heb je een ander soort telefoon nodig of een ander soort apparatuur, en niet iedereen heeft dat. Daarmee sluit je een deel van de mensen uit, die zo’n toestel bijvoorbeeld niet hebben. Wij komen er dus ongetwijfeld nog over te spreken hoe we daar verder mee willen”, aldus Van Huffelen.
