Zelfs zonder pincode of je fysieke bankkaart kunnen criminelen je bestelen: zo werkt de CVC-code
In dit artikel:
Een gewone betaalkaart met een zichtbaar driecijferig CVC‑nummer maakt online fraude verrassend eenvoudig: wie dat nummer en het kaartnummer kent, kan zonder fysieke kaart of pincode betalingen uitvoeren. Binnen de EU geldt voor online betaalingen met een debetkaart de verplichte tweestapsverificatie (strong customer authentication), maar daar bestaan belangrijke uitzonderingen. Voor losse transacties onder ongeveer €30 kan vaak géén extra bevestiging gevraagd worden; bovendien geldt een cumulatieve limiet van €100 waarna wél om extra verificatie wordt gevraagd.
Bankenfederatie Febelfin (Isabelle Marchand) legt uit dat tweestapsverificatie normaal gesproken bestaat uit twee elementen, bijvoorbeeld iets wat je weet (pincode) en iets wat je hebt (kaartlezer, bank‑app, Itsme of biometrie). In de praktijk laten betaalnetwerken zoals Visa en Mastercard echter kleine online aankopen vaak zonder die tweede stap door om het betaalproces laagdrempelig te houden. Bancontact pakt het strenger aan: volgens Laure‑Anne Neven van Bancontact Company wordt voor elke betaling altijd een extra bevestiging geëist en wordt de CVC‑code niet gebruikt.
Het verschil tussen Europese en niet‑Europese webshops maakt het risico groter buiten de EU. De dienstverleners die het betaalverkeer regelen (payment processors) bepalen of tweestapsverificatie wordt afgedwongen; veel van deze spelers hebben wel EU‑entiteiten en vallen daarmee onder Europese regels, maar via niet‑Europese platformen kunnen transacties kwetsbaarder zijn. Het artikel illustreert dat met het voorbeeld van luisteraar Arend, die ongewild zeven betalingen van €212,15 aan het Amerikaanse gamingplatform Roblox zag afgeschreven (totaal €1.485).
Mastercard (Thomas Lechien) benadrukt dat consumentenbescherming binnen hun netwerk voor debet‑ en kredietkaarten gelijk is: zowel fraude als niet‑geleverde of beschadigde goederen vallen onder bescherming. Praktisch wijst hij erop dat procedures bij betwisting verschillen: bij kredietkaarten kun je vaak rechtstreeks een claim indienen via platforms als “Mijn Kaart”, bij debetkaartbetalingen verloopt het via je bank.
Wat kun je doen?
- Blokkeer direct je kaart en meld het verlies/diefstal bij je bank.
- Doe aangifte bij de politie en laat je bank een betwisting/chargeback opstarten.
- Controleer en wijzig wachtwoorden en koppel onnodige kaartgegevens uit webshops.
- Gebruik waar mogelijk Bancontact, bank‑apps, Itsme of virtuele/eenmalige kaartnummers.
- Houd je afschriften in de gaten en activeer notificaties voor transacties.
Kortom: de CVC op je debetkaart vergroot het risico op online misbruik, vooral bij kleine bedragen en bij niet‑Europese handelaren. Banken en betaaldiensten kunnen bescherming bieden, maar consumenten moeten actief stappen nemen om misbruik te voorkomen en snel te reageren bij verdachte transacties.