Fraude in het Te Koop forum

[Goztow]

We zijn wel wat beperkt in de technische mogelijkheden van ons forum. En het moet ook gebruiksvriendelijk blijven voor de eerlijke user.

[Marsmillo]

Ik zie dat topics van het account van fendtje zijn.

Die naam kwam mij bekend voor, ik heb met deze gebruiker naar aanleiding van dit topic via PM contact gehad. Fendtje gaf aan nog een oude CRT scherm te hebben liggen die ik mocht gebruiken, maar onze communicatie is op 10 aug 2025 stilgevallen. Misschien heb ik daar even 5 seconden geluk gehad...

Ik ben denk ik trouwens ook wel langere tijden inactief.
Lees immers ook vaak niet ingelogd mee.

[cadsite]

Ik veronderstel dat iedereen tegenwoordig een gsm heeft.
Misschien kunnen we standaard vragen om koper en verkoper elkaar te laten bellen om af te spreken?

[cptKangaroo]

Op andere verkoopsites komt dit ook voor, en het is me al opgevallen dat men de identiteit van een oplichter geregeld wel makkelijk kan achterhalen maar dat die persoon zich daar dan eigenlijk niks van aantrekt, wegens criminele mindset, jeugdigheid, drugs, etc. en vooral rekenend op de logheid van het Gerecht.

Of er hier een extra stap tussenzit van gehackte/verkochte account, is moeilijk in te schatten. Goztow zou het email adres eventueel eens kunnen checken in de database van https://haveibeenpwned.com/

Vooral blijven aanraden om waakzaam te blijven zoals hier gelukkig gebeurd is (bravo!).

[philippe_d]

Hieronder een kleine opsomming van alle voorstellen :

• 2FA verplicht
• beperken tot gebruikers met een te koop flair
• account blokkeren of op moderated zetten op het Te Koop forum na xx tijd inactief te zijn
• 2FA + verificatielink per mail, om het zoekertje te bevestigen (zoals bij Tweakers)?
• te koop forum regel: max voor 150 euro per overschrijving, alles dat hoger dan dit bedrag is, te betalen bij afhaling
• post in te koop kan enkel gemaakt worden indien de user x posts in y tijd heeft gemaakt op het forum
• land van gepost IP tonen in Te Koop
• if it sounds to good to be true, it probably is (waakzaam blijven)
• een handgeschreven briefje met de gebruikersnaam en datum op de foto van het product verplichten
• niets doen (zoals fishing debat met de banken: verantwoordelijkheid bij de user)
• adviseren voor verkoop met afhaling
• account verificatie via sms: enkel Belgische nummers bv en verplicht 5 dagen wachten na de sms verificatie
• wachttijd nà e-mail adres wijziging.
• koper en verkoper elkaar laten opbellen om af te spreken
• extra regels voor Te Koop Forum (zie 7/7a/7b)

Je kan natuurlijk ook redeneren dat dit een forum is en geen tweedehandsmarkt of dat één geval in al die jaren niet meteen betekent dat alles moet aangepast worden. Er moet bij het implementeren van maatregelen goed nagedacht worden over de implicaties ervan voor alle gebruikers. De maatregelen moeten in verhouding staan tegenover de feiten.

Persoonlijk ben ik ook van deze mening. In de geschiedenis van Userbase is fraude nog nooit eerder gemeld.
Misschien moeten we niet overreageren ...
Ik laat het aan de admins om te kijken wat er eenvoudig mogelijk is om te implementeren (vb locatie IP: aan de verkoper om een verklaring te geven waarom zijn locatie IP niet België is).

[MaT]

2FA verplichten klinkt als een logische zet en zal zeker helpen in het verhinderen van bestaande accounts over te nemen.
Maar ik vrees dat dit een drempel kan zijn voor nieuwe, niet tech-minded gebruikers om hier hulp te komen zoeken. En dat lijkt me een groter doel van userbase dan het verkoopgedeelte.

Misschien is een tussenstap ook mogelijk? Enkel gebruikers die willen verkopen verplichten om 2FA te hebben zodat hun accounts minder gemakkelijk over genomen kunnen worden + een verificatieproces voor nieuwe gebruikers in het verkoopgedeelte.

[Goztow]

een paar bedenkingen in het vet

• 2FA verplicht
• beperken tot gebruikers met een te koop flair geen idee of dit technisch te realiseren is. Sowieso zou onze 2fa wat gebruiksvriendelijker moeten worden alvorens dit te overwegen
• account blokkeren of op moderated zetten op het Te Koop forum na xx tijd inactief te zijn of in het algemeen: account op inactief zetten na x tijd zonder in te loggen, zodat je dan je account moet heractiveren via een e-mail. Met het gevaar dat het e-mailadres niet meer bestaat, natuurlijk. Dit ga ik verder onderzoeken
• 2FA + verificatielink per mail, om het zoekertje te bevestigen (zoals bij Tweakers)? interessant, onzeker of technisch haalbaar is
• te koop forum regel: max voor 150 euro per overschrijving, alles dat hoger dan dit bedrag is, te betalen bij afhaling al geïmplementeerd
• post in te koop kan enkel gemaakt worden indien de user x posts in y tijd heeft gemaakt op het forum beetje "random", sommigen lezen veel maar posten weinig
• land van gepost IP tonen in Te Koop ben dit technisch aan het onderzoeken
• if it sounds to good to be true, it probably is (waakzaam blijven)
• een handgeschreven briefje met de gebruikersnaam en datum op de foto van het product verplichten kan ook met Ai worden gefaket
• niets doen (zoals fishing debat met de banken: verantwoordelijkheid bij de user)
• adviseren voor verkoop met afhaling al geïmplementeerd
• account verificatie via sms: enkel Belgische nummers bv en verplicht 5 dagen wachten na de sms verificatie te grote drempel voor nieuwe inschrijvingen
• wachttijd nà e-mail adres wijziging. technisch moeilijk
• koper en verkoper elkaar laten opbellen om af te spreken kunnen wij niet controleren
• extra regels voor Te Koop Forum (zie 7/7a/7b) al geïmplementeerd

[Sasuke]

Misschien even "my 2 cents": Userbase is NIET verantwoordelijk voor verkopen tussen 2 partijen, ongeacht of het forum gebruikt werd als de initiële aanzet !
Ik ben eerder voorstander dat we gebruikers moeten informeren van de gevaren en hen erop wijzen dat bepaalde zaken "red flags" zijn.
Misschien een header in elk verkoopstopic injecteren met onderstaande info, aangevuld dat men steeds bankrekening nummers, telefoonnummers e.d. moet verifiëren en dat buitenlandse nummers zowiezo een rode vlag zijn ?
- Schaamteloos gepikt van Tweakers:

[Mortov Molotov]

Dat zou kunnen, dat ip was van Singapore. Dat doet me denken aan een andere maatregel nl in het te koop forum systematisch het land van het geposte ip tonen.

Wat met VPN gebruik door de fraudeur?

[Sasuke]

Redenen te meer om géén technische oplossingen te voorzien, want dan komen we in gevaarlijk vaarwater waarbij Userbase aansprakelijk kan worden voor geleden schade als een door ons opgezet systeem toch niet werkt zoals verwacht ... willen we echt niet hebben ! Of gaan we overal een disclaimer injecteren ook ?

[BertG3]

We hebben even intern overlegd, en omdat we als Userbase jullie een zo groot mogelijk gevoel van veiligheid willen geven stellen we voor om het volgende te doen:

Als je als verkoper iets wil verkopen op Userbase, vragen we jou om 1 cent te storten naar ons IBAN nummer, op die manier hebben we een officieel traceringsmiddel en weten we jouw echte naam. Die cent storten wij uiteraard terug als de verificatie is doorgekomen. In de mededeling plaats je jouw Userbase nickname.

We beseffen dat dit eventueel een drempel kan zijn, maar op die manier kunnen we meer garanties geven dat bovenstaande niet opnieuw plaatsvindt.

Wens je uiteindelijk toch nog anoniem te blijven tov de koper, kan dat uiteraard. Wij delen deze info niet met de koper als dit niet noodzakelijk is.

Na verificatie van IBAN is het uiteraard verplicht 2FA aan te zetten, anders kunnen we deze verificatie op lange termijn niet blijven garanderen.

Het is nog een idee, feedback is welkom, indien het goed blijkt te zijn maken we dit een officiële procedure.

Wat betreft "legacy", als je een koop/verkoop hebt gehad in de laatste jaar en 2FA hebt aanstaan ben je approved zonder IBAN-verificatie.

[boonpwnz]

Wat is de IBAN waarop we kunnen storten?

[Goztow]

Momenteel is dit nog een idee dat we aftoetsen, het is dus nog niet in werking.

[Luboli]

Op de honderden verkopen heeft dit zich 1x voorgedaan.
En dan gaan jullie zo persoonsgegevens verwerken (bankrekeningnummer/naam permanent bij de vereniging)?
Wat met aansprakelijkheid dan als er iets mis loopt?
Jullie hebben gecontroleerd, dus jullie zijn verantwoordelijk?

Als ik iets koop en het loopt mis, dan zal ik inzage krijgen in die gegevens of mag de politie die opvragen?
Welke processen ga je daar dan voor opstellen om te garanderen dat dat wettelijk verloopt?
Want bij zoiets heb je gegarandeerd gezaag aan je been.

Het is ook het risico bij tweedehandsverkopen he, gezond verstand doet al veel.

Dat je een paar automatische checks doet voor iemand kan posten, of 2fa, verificatiemail, of een karmasysteem, allemaal goed.
Maar je kan dit niet invoeren en dan nog er bij zetten "userbase is niet verantwoordelijk"

[fuserke]

Heeft phpbb mogelijkheid om passkey te maken?
@Luboli heeft 100% gelijk. Zeer tricky. Gdpr wise zit je met een groot probleem indien je bv een 1 cent overschrijving laat doen. Is maar 1 van de problemen

[BertG3]

Bedankt voor de feedback alvast. Qua gdpr zie ik het probleem niet direct. Enerzijds is dit gerechtvaardigd belang, anderzijds we slaan niets op. De overschrijving komt op de VZW rekening en is daar enkel beschikbaar. We slaan deze iban nergens bij ons op, dit is enkel een menselijke eenmalige verificatie met als gevolg een vinkje in je profiel wanneer een bestuurslid (er zijn maar 4 personen met rechten op de rekening) geverifieerd heeft

[Luboli]

Blijven gegevens die jullie verwerken en zeker ook beheren + opslaan.
Maakt niet uit dat een 3e partij (de bank) deze gegevens bijhoudt, deze blijven onder beheer en opslag van de vzw.
Hebben jullie geen rekeningafschriften bij te houden misschien?

Doe dan maar ook een driestappentoets (verplicht) als je je aan de gdpr wil houden.
Eén van die stappen is dat er geen enkele andere mogelijkheid meer is, en dat je elke mogelijke lichtere manier die bestaat om het doel te bereiken al uitvoerig getest hebt.
Niet het geval hier.

Dat je dit nu allemaal niet wil doen zal niet direct problemen geven, maar wat als het fout loopt en die persoon is woest?

Vergeet ook niet dat jullie waarschijnlijk voor veel andere dingen qua gdpr (en de gewone oude privacywetgeving) niet in orde zijn.
Nogmaals, eigenlijk geen probleem voor ons hier allemaal, tot het er wel 1 is.

De problemen zullen komen als iemand opeens heel hard doorzet en écht zijn gelijk wil halen.

Slecht idee in alle gevallen.

[thepretorian]

Inderdaad, wat @Luboli zegt. Ik denk dat UB de verantwoordelijkheid gewoon bij de (ver)koper moet laten, het is tenslotte geen tweedehandswebsite. Als iemand zijn gelijk wil halen, dan begint daar toch het drama.

Is er trouwens al gekeken naar de nieuwe EU-regels voor online leeftijdschecks? Misschien kun je deze implementeren, zodat nieuwe gebruikers zich éénmalig moeten verifiëren via eID of Itsme, en daarna om de paar maanden een verificatiemail krijgen met een link om hun account actief te houden. Hierbij moet de gebruiker natuurlijk ook al toegang hebben tot deze e-mailinbox.

[Goztow]

Dank voor de feedback, we gaan dat idee a priori terug opbergen.

[Mortov Molotov]

@Goztow ik zou me, samengevat, beperken tot drie zaken in navolging van dat incident met die iphone:

1. 2FA verplicht voor inzage en posten op koop / verkoop gedeelte
2. (wat je al hebt gedaan) regels 7A en 7B toevoegen
3. een disclaimer zoals op tweakers, wat @Sasuke hierboven heeft gepost.

And then be done with it. Tweedehands verkoop = tweedehands verkoop. Userbase.be hoeft niet noodzakelijk mee te surfen op de waan van de dag dat het individu geen verantwoordelijkheid meer draagt voor diens daden.

[sukkelaar]

We zijn wel wat beperkt in de technische mogelijkheden van ons forum. En het moet ook gebruiksvriendelijk blijven voor de eerlijke user.

da's de lastigste
1x een mislukte poging in al die jaren of zijn er ook succesvolle bij?

[franjo]

Als een koper of verkoper zijn kontaktgegevens ( naam, telefoonnummer, adres, email, banknummer) niet geeft stopt het voor mij behalve als er in levende lijve wordt afgesproken maar zonder telefoonnummer doe ik dat ook niet.

[liegebeestig]

De fraude ivm die iPhone is nu toch ook al gedetecteerd als ik het goed begrijp. Dus deze community is al goed beschermd. Zijn we niet aan het schieten op een mug? Bij een 2dehands verkoop moet je altijd uit je doppen kijken, als koper en als verkoper. Gezond verstand. Eigen verantwoordelijkheid. IT middelen kunnen dat menselijke aspect niet vervangen. Ook al denken de overheid en IT'ers vaak anders, denk maar aan de draconische maatregel van leeftijd verificatie.


En technisch. 2fa, zal de link met tapatalk dan nog werken? Ik vrees ervoor.

[splinterbyte]

Als jullie het dan toch over GDPR hebben als er een rekeningnr en naam voorbijkomt, weet dan dat zulke gegevens reeds hier in PMs uitgewisseld worden en blijven staan tot beide partijen ze verwijderen. Deze zitten (wellicht cleartext) in de database en backups en kunnen gelezen worden door de admins als ze willen.

[Goztow]

Of we dat kunnen weet ik zelfs niet maar in ieder geval doen we het niet!

[duizend]

Zijn we niet aan het schieten op een mug?

Yep, en maar discussiëren hoe groot de bazooka moet zijn waarmee we op de mug gaan schieten

Het is in elke organisatie hetzelfde.
Jamma we moeten toch "IETS" doen en dan begint het opbod van regeltjes

Laat het zoals het is, en als je dat echt niet over je hart krijgt, implementeer dan enkel zaken waar je als user geen extra last mee hebt, hoe klein ook.
Anders gaat er hier niet veel meer verkocht worden ... zou jammer zijn!

[Joe de Mannen]

Nu niet voor het één of het ander, maar welk geheim zit er in uw rekeningnummer ?

Wat kan jij , dat ik niet wil, als je mijn nummer hebt ? er geld op storten ?

J.

[sukkelaar]

Zijn we niet aan het schieten op een mug?

Yep, en maar discussiëren hoe groot de bazooka moet zijn waarmee we op de mug gaan schieten

warme oproep om fraudepogingen te melden, en je niet te schamen als je opgelicht bent.
moderatorenteam kan dan zien hoe vaak en bij 1 mislukte poging zou ik nog niets veranderen

+ ergens een kleine handleiding voor koper en verkoper om red flags en no-go's snel te herkennen

[MaT]

Zijn we niet aan het schieten op een mug?

2FA voor accounts die met geldzaken bezig zijn vind ik vandaag de dag nu niet echt schieten op een mug. Er zijn teveel mensen die nog steeds een te gemakkelijk wachtwoord gebruiken en al helemaal bij oude inactieve accounts.

Wat met aansprakelijkheid dan als er iets mis loopt?
Jullie hebben gecontroleerd, dus jullie zijn verantwoordelijk?

Ik zie niet goed waarom extra methodes gebruiken om misbruik moeilijker te maken meer of alle verantwoordelijkheid bij userbase zou leggen. Het is volgens mij nog steeds 'best effort'.

Je kan ook omgekeerd redeneren: is userbase verantwoordelijk voor de gebeurde fraude omdat accounts minimaal beveiligd waren en dus eenvoudig overgenomen konden worden?

[Goztow]

@Goztow ik zou me, samengevat, beperken tot drie zaken in navolging van dat incident met die iphone:

1. 2FA verplicht voor inzage en posten op koop / verkoop gedeelte
2. (wat je al hebt gedaan) regels 7A en 7B toevoegen
3. een disclaimer zoals op tweakers, wat @Sasuke hierboven heeft gepost.

And then be done with it. Tweedehands verkoop = tweedehands verkoop. Userbase.be hoeft niet noodzakelijk mee te surfen op de waan van de dag dat het individu geen verantwoordelijkheid meer draagt voor diens daden.

Dit is waar we naartoe werken momenteel, behalve dat enkel verkopers zouden verplicht worden tot 2fa. Ook ben ik die vlagjes nog aan het bekijken, ik had ooit zo'n extensie gemaakt 12 jaar geleden dus grappig dat dit zou kunnen terugkeren.

[liegebeestig]

Mooi proces om tot relatieve eenvoud en veiligheid en menselijke verantwoordelijkheid te komen.

[Flying]

Zijn die vlagjes enkel zichtbaar daar waar het van belang is? Kan ik als gebruiker dit evenwel uitschakelen? Anderen hoeven niet te weten van waar ik post of op welk land ik mijn VPN heb ingesteld.

[Goztow]

Als het lukt, wat nu nog niet het geval is, dan enkel in het te koop forum. Niemand is verplicht om iets te kopen of verkopen.

Toegevoegd na 33 seconden:
Mogelijks beperkt tot moderatoren.