De laadpassen waarmee eigenaren van elektrische auto’s zich kunnen identificeren bij een laadpaal, zijn kinderlijk eenvoudig te kopiëren. Daardoor kunnen kwaadwillenden hun auto opladen op andermans kosten. Het probleem speelt voor zover bekend bij alle Nederlandse laadpassen en openbare laadpalen.
De passen zijn praktisch niet beveiligd, zegt Dave Maasland van beveiligingsbedrijf ESET, dat er onderzoek naar deed. Op elke pas staat een digitaal serienummer. Het uitlezen daarvan is voldoende voor fraude. De nummers zijn op geen enkele manier afgeschermd. “Het serienummer is het enige wat je hoeft te weten. Het is alsof je met iemands pinpas boodschappen zou kunnen doen als je zijn rekeningnummer weet”, zegt Maasland. Daarmee zijn de laadpassen nog slechter beveiligd dan de eerste versie van de ov-chipkaart. Die was ook te kopiëren, maar daarbij werd nog wel een poging tot beveiliging gedaan.
“De ov-chipkaart moest je daadwerkelijk nog kraken”, zegt onderzoeker Pol van Aubel, die promoveert op de veiligheid van de openbare laadinfrastructuur. “Maar hierbij hoef je alleen een getal uit te lezen”. Het uitlezen van dat getal is eenvoudig. “Je hebt niet zoveel nodig: een smartphone met een speciale app en een lege pas zijn voldoende”, aldus Maasland. In 1,5 seconde is het gepiept en is de laad pas gekopieerd. Wel moet iemand met slechte bedoelingen daarvoor toegang hebben tot andermans pas. Maar omdat het kopiëren zo snel kan, zou dat bijvoorbeeld ongemerkt in een openbare gelegenheid kunnen gebeuren. Er zijn overigens geen aanwijzingen dat dat ook echt gebeurt. “Bij de ov-chipkaart bleek dat achteraf ook wel weer mee te vallen”, nuanceert Van Aubel. “Er was grote paniek over de slechte beveiliging van de ov-chipkaart, maar als we de officiële cijfers moeten geloven was er uiteindelijk nauwelijks fraude”.
In 2017 toonden hackers van het Duitse hackers collectief CCC al aan dat laadpassen in dat land niet goed waren beveiligd. Bovendien waren de laadpalen zelf ook niet goed beveiligd: wie een laadpaal open wist te breken en er een USB stick in stak, kon de laadpaal kraken en bijvoorbeeld de serienummers van laadpassen onderscheppen.
Shell dochter NewMotion, een van de grote uitgevers van laadpassen, zegt bekend te zijn met het probleem. Volgens het bedrijf is de kans op fraude “klein” en wordt er op gecontroleerd. Gebeurt het toch, dan hoeft een klant niet voor de kosten op te draaien, belooft het bedrijf. Fastned, een grote aanbieder van laadpalen langs snelwegen, geeft toe dat de kaarten “niet de best beveiligde techniek” gebruiken. “We letten als bedrijf wel op vreemde transacties”, zegt bestuurslid Niels Korthals Altes.
Wie fraude pleegt, gaat bovendien waarschijnlijk niet vrijuit, verwacht hij. “We hebben camera’s bij onze laadstations, dus als je fraude pleegt, kun je aan de hand van het kenteken worden opgespoord”. Eigenaren van elektrische auto’s kunnen bij de meeste aanbieders bovendien controleren waar hun pas wordt gebruikt. Als een fraudeur de pas gebruikt, wordt dat ook in het overzicht getoond.