Kwetsbaarheid in Klarna’s beveiliging

Recent onderzoek door de Consumentenbond heeft aangetoond dat klantenaccounts van de betaalservice Klarna kwetsbaar zijn voor overname en misbruik door derden. In het betalingsproces van Klarna is geen wachtwoord vereist, en er is evenmin een zichtbare tweestapsverificatie nodig, waardoor het voor kwaadwillenden eenvoudig is om toegang te krijgen tot accounts.

Eerste signaal en Klarna’s reactie
Het eerste signaal van deze zwakte werd door de Consumentenbond in september 2020 ontdekt, waarbij het mogelijk was om op naam en rekening van een ander een bestelling te plaatsen en het product naar zichzelf te laten verzenden. Klarna reageerde destijds door te stellen dat het om een incident ging en dat de beveiliging van het systeem op orde was. Ze beloofden gedupeerden hun geld terug te geven als er toch iets misging.

Herhaling en laconieke reactie
In januari 2021 herhaalden onderzoekers van de Consumentenbond opzettelijk het proces door nogmaals tien keer producten via een ander account te bestellen, met succes. Klarna reageerde opnieuw laconiek op deze herhaling van de ontdekte kwetsbaarheid.

Sandra Molenaar, directeur van de Consumentenbond, noemde de reactie van Klarna “bijzonder laconiek” en benadrukte dat alarmbellen meteen hadden moeten afgaan. Na het delen van de resultaten met het tv-programma Kassa, beloofde Klarna maatregelen te treffen, hoewel de precieze details niet bekend zijn.

Advies voor Klarna-gebruikers
Voor consumenten met een Klarna-account raadt de Consumentenbond aan hun communicatiekanalen, zoals e-mails, spamboxen en de Klarna-app, goed in de gaten te houden. Daarnaast wordt geadviseerd om bankafschriften regelmatig te controleren op verdachte afschrijvingen. In het geval van misbruik kunnen consumenten hun geld terugkrijgen door dit bij Klarna aan te geven, mits er aangifte is gedaan bij de politie.