Expert waarschuwt voor fraude met festivalbandjes: dieven kunnen het geld van je bandje stelen

Inti De Ceukelaire deed de test op Werchter Boutique en TW Classic afgelopen weekend. Organisator Live Nation werkt er sinds dit jaar met festivalbandjes met een QR-code. Een service naar de gebruiker toe want festivalgangers kunnen door de code te scannen eenvoudig geld opladen. Gedaan dus met aanschuiven aan de bonnetjesstand of het voortdurend bovenhalen van je bankkaart.

Het systeem blijkt echter nog niet waterdicht te zijn. "Wie geen account aanmaakt, loopt het risico dat iemand anders dat doet en zo met je geld gaat lopen", weet De Ceukelaire. "Het kan eenvoudig: je scant gewoon de QR-code van iemand anders en koppelt een account aan zijn of haar bandje. Daarvoor hoef je zelf niet eens op het festival aanwezig te zijn. Heel veel mensen zetten een foto van hun festivalbandje op sociale media."

Ook een geldige naam of e-mailadres zijn niet nodig, ondervond De Ceukelaire. "Bij het aanmaken van een account werd het e-mailadres op TW Classic en Werchter Boutique niet geverifieerd. Ik snap waarom: ze willen het de festivalgangers zo makkelijk mogelijk maken. Maar hierdoor krijg je wel scenario's waarbij eenzelfde persoon oneindig veel accounts kan kweken."

Eenmaal het bandje gekoppeld, zijn er verschillende opties die de fraudeurs hebben volgens De Ceukelaire. "Je kan bijvoorbeeld tracken wat de festivalganger doet. Via het account kan je alle transacties opvolgen en ook zien waar en wanneer iets besteld werd. Daar kan je op zich niet veel mee, maar het is wel een privacyprobleem waarover festivalgangers geïnformeerd moeten worden."

"Als aanvaller kan je bovendien de credits die nog op het festivalbandje staan, stelen. Na TW Classic of Werchter Boutique kan je bijvoorbeeld een formulier invullen waarmee je het overgebleven krediet op het bandje kan terugvorderen. Daarvoor moet je in het bezit zijn van een code van 6 cijfers, maar die vind je in de hyperlink als je de QR-code scant."

"Of nog erger: het is ook mogelijk om eens je een account hebt aangemaakt, naar de helpdesk van het festival te gaan en daar te vertellen dat je je bandje kwijt bent. Ze zullen dan het bandje deactiveren en je een nieuw bandje geven mét de credits op. Op die manier kan je dus op het festival het geld al stelen."

De Ceuckelaire heeft die laatste optie niet zelf getest, maar baseert zich hiervoor op de FAQ op de website van TW Classic . Daar wordt gezegd dat wie zijn bandje kwijt is en een account heeft, het kan laten blokkeren en de credits kan laten overzetten op een nieuw bandje.

In een schriftelijke reactie aan onze redactie ontkent Playpass/Weezevent (die de cashless toepassingen op Werchter mogelijk maakt) dat het zo eenvoudig is. "We implementeren dit systeem al meer dan 10 jaar overal ter wereld en hebben nog nooit één probleem gehad." Ook Live Nation, de organisator van de festivals, benadrukt dat het niet zo eenvoudig is. "Helpdesk-medewerkers gaan pas over tot het vervangen van verloren bandjes na een uitgebreide procedure."

De Ceukelaire wijst dan weer op het gegeven dat mensen tickets vaak ook voor vrienden kopen en het dus niet onlogisch is dat niet jouw naam op jouw ticket staat. Hij geeft wel toe dat er risico's verbonden zijn aan deze fraude en de hoeveelheid winst mogelijk niet opweegt tegen het risico. "Wie de tegoeden na het festival bijvoorbeeld wil opvragen, moet een IBAN-nummer opgeven en dan ben je natuurlijk traceerbaar."

Bovendien is het niet altijd mogelijk. Wie zelf al een account heeft aangemaakt of met zijn gsm zijn bandje heeft opgewaardeerd, is veilig. Festivals zullen dan hoogstwaarschijnlijk het resterende bedrag automatisch terugbetalen op het rekeningnummer waarmee geld op het bandje werd gezet.