De Digitale Achterdeur: Hoe Virtuele Betaalkaarten Gebruikt Werden voor Gratis Reizen en Hoe NS en Translink Hierop Reageerden

De invoering van het OVpay-systeem in Nederland markeerde een fundamentele verschuiving in de manier waarop reizigers toegang krijgen tot het openbaar vervoer. Het principe van contactloos in- en uitchecken met een bankpas of creditcard beloofde een vloeiende reiservaring zonder het gedoe met losse tickets of fysieke OV-chipkaarten. Echter, deze technologische vooruitgang onthulde een kwetsbaarheid in het systeem die door georganiseerde groepen en individuele fraudeurs werd uitgebuit. De kern van het probleem ligt in de interactie tussen de technische werking van OVpay en de eigenschappen van virtuele betaalpassen die door online banken en betaaldiensten worden aangeboden. Dit artikel analyseert in detail hoe deze fraude precies werkte, welke specifieke diensten betroffen waren, hoe de Nederlandse Spoorwegen (NS) en het beheerdersbedrijf Translink reageerden, en wat de gevolgen zijn voor zowel de vervoerders als de eerlijke reiziger.

De Technische Mechaniek van de Fraude

Om te begrijpen hoe de fraude mogelijk was, moet men eerst de werking van het OVpay-systeem doorgronden. Het systeem is ontworpen om de reiziger maximaal gemak te bieden. Wanneer een reiziger met een geldige betaalpas incheckt op een trein, bus, tram of metro, wordt er direct een geldig vervoersbewijs gegenereerd. De daadwerkelijke betaling van de reiskosten vindt echter niet direct plaats op het moment van inchecken of uitchecken. In plaats daarvan wachttijd de afboeking tot 's nachts, na voltooiing van de reis. Dit vertraagde afboekingsproces is essentieel voor de gebruikerservaring, omdat het de transactie onzichtbaar maakt voor de reiziger tijdens de reis zelf.

Deze vertraging in de betaling creëerde een "tijdsvenster" dat door fraudeurs werd uitgebuit. De specifieke methode bestond uit het gebruik van virtuele betaalpassen. Verschillende online banken en betaaldiensten, waaronder Revolut, Paysafe en Vivid, bieden hun gebruikers de mogelijkheid om tijdelijke, virtuele betaalpassen aan te maken binnen hun mobiele applicaties. Deze virtuele passen functioneren technisch gezien net als een fysieke kaart: ze hebben een uniek nummer en kunnen worden gebruikt voor contactloze betalingen. Het cruciale verschil is dat deze virtuele passen op elk moment kunnen worden aangemaakt en, net zo snel, verwijderd.

De fraudeurs maakten gebruik van deze flexibiliteit op de volgende manier: 1. Voorafgaand aan de reis wordt een virtuele betaalkaart aangemaakt in de app van de betrokken dienst. 2. Deze kaart wordt gebruikt om in te checken bij het openbaar vervoer. Het systeem registreert de actie en genereert een geldig vervoersbewijs dat door conducteurs als geldig wordt herkend. 3. De reiziger voltooit de reis en checkt uit. 4. Onmiddellijk na het uitchecken, maar vóórdat de nachtelijke afboeking plaatsvindt, wordt de virtuele kaart verwijderd uit de app. 5. Omdat de kaart niet meer bestaat op het moment dat Translink probeert de kosten af te schrijven, mislukt de transactie. Er wordt geen bedrag afgeschreven, maar het vervoersbewijs blijft geldig in het systeem van de NS of andere vervoerders.

Dit proces resulteerde in maandenlang gratis reizen voor de fraudeurs. Omdat de conducteurs bij controle alleen de geldigheid van het vervoersbewijs controleren, en niet de daadwerkelijke betaling, bleef de fraude onopgemerkt. De schade voor de vervoerders was aanzienlijk, hoewel exacte cijfers niet openbaar zijn gemaakt door de NS. De NS sprak van "serieus misbruik" en benadrukte dat de maatregelen noodzakelijk waren om het systeem te beschermen.

Betrokken Diensten en de Omvang van de Blokkade

De blokkade die door de NS en Translink is ingesteld, richtte zich specifiek op drie aanbieders die virtuele passen aanboden die vatbaar waren voor misbruik. Deze diensten werden uitgesloten van het OVpay-systeem. De blokkade trad in werking op 1 juli en geldt voor de volgende aanbieders:

Dienstaanbieder	Type	Omvang van de Blokkade	Status
Revolut	Online bank	NS en sommige andere vervoerders	Geblokkeerd bij NS
Paysafe	Betaaldienst	Landelijk (alle OV-bedrijven)	Landelijk geblokkeerd
Vivid	Betaaldienst	NS en sommige andere vervoerders	Geblokkeerd bij NS

De blokkade van Paysafe is uniek in zijn omvang. Volgens een woordvoerder van Translink geldt de blokkade voor Paysafe niet alleen voor de NS, maar voor het gehele Nederlandse openbaar vervoer. Dit betekent dat reizigers met een Paysafe-kaart nergens in Nederland meer kunnen inchecken met deze dienst. Voor Revolut en Vivid geldt de blokkade primair bij de NS, hoewel andere vervoerders, zoals busmaatschappijen, minder problemen hadden met deze specifieke diensten en landelijke blokkades niet als noodzakelijk zagen.

Het is opmerkelijk dat deze vorm van fraude al jaren bekend was bij de vervoerders. Desondanks bleef het systeem open totdat de schade te groot werd. Translink had de betrokken bedrijven medio mei al een ultimatum gestuurd met de dreiging van blokkades als er geen ingrepen zouden worden gedaan. Pas toen de schade onaanvaardbaar werd, werd besloten tot de harde maatregel van het volledig uitsluiten van deze diensten uit het OVpay-systeem.

De Reactie van de Betrokken Bedrijven

De reacties van de geblokkeerde diensten op de maatregel van de NS en Translink verschilde per bedrijf. De houding van de aanbieders varieerde van juridische dreiging tot technische oplossingen.

Revolut, als grootste speler in deze groep, reageerde direct en fel. Het bedrijf is het volledig oneens met de blokkade en overweegt juridische stappen tegen de NS en Translink. Revolut betoogt dat de blokkade onnodig en discriminerend is, en dat de verantwoordelijkheid niet uitsluitend bij hen ligt. Het bedrijf benadrukt dat hun virtuele passen bedoeld zijn voor veilige online aankopen, niet voor vervoerfraude.

Vivid, een andere betaaldienst, koos voor een andere aanpak. Dit bedrijf werkt actief aan een technische oplossing om de blokkade op te heffen. De verwachting is dat Vivid in september weer toegang zal krijgen tot het openbaar vervoer, mits de technische kwetsbaarheid is opgelost.

Paysafe houdt zich vooralsnog stil over de blokkade. Er zijn geen openbare verklaringen of reacties van dit bedrijf naar buiten gekomen. Gezien de landelijke blokkade is het aannemelijk dat Paysafe zich terugtrekt uit de Nederlandse markt voor openbaar vervoer of dat ze proberen om de technische reden voor de blokkade te begrijpen en te verhelpen.

Het is belangrijk op te merken dat de blokkade ook impact heeft op eerlijke reizigers. Mensen die legitiem gebruikmaken van een Revolut- of Vivid-kaart voor hun dagelijkse reizen, kunnen niet meer inchecken bij de NS. Dit creëert een situatie waarin een groep klanten direct wordt getroffen door een maatregel die gericht is op fraudeurs.

De Rol van Translink en het OVpay-Systeem

Translink fungeert als de technische beheerder van het OVpay-systeem in Nederland. Dit bedrijf is verantwoordelijk voor de afhandeling van de transacties tussen de betaaldiensten en de vervoerders. De architectuur van het systeem is cruciaal voor het begrip van de fraude.

Het systeem is ontworpen om de reiskosten pas 's nachts af te schrijven. Dit is een bewuste keuze om de reiziger niet direct te belasten met een transactie op het moment van inchecken. Echter, deze architectuur creëerde de kwetsbaarheid. Omdat de betaling vertraagd is, kon de fraudeur de virtuele kaart verwijderen voordat de afboeking plaatsvond.

Volgens Translink is het technisch niet haalbaar om het systeem te wijzigen zodat betalingen direct plaatsvinden. Het aanpassen van de techniek zou te omslachtig en te traag zijn. Daarom koos Translink voor de blokkade als enige haalbare oplossing. De organisatie had de betrokken bedrijven al gewaarschuwd dat er zonder ingrepen geblokkeerd zou worden.

Het is opvallend dat de blokkade pas werd ingesteld na een reeks van "serieus misbruik". Ondanks dat de fraude al jaren bekend was, heeft het geduurd tot de schade onaanvaardbaar werd voor de NS. De NS lijdt al fors verlies en zag geen andere optie dan in te grijpen.

Andere Vormen van Oplichting: De "3 Euro" Scam

Naast de technische fraude met virtuele passen, bestaat er een andere vorm van oplichting die gerelateerd is aan het thema "gratis reizen". Deze vorm is niet gericht op het misbruik van het OVpay-systeem, maar op het oplichten van onervaren reizigers via sociale media.

Op platforms als Facebook en Instagram circuleren advertenties met de belofte van een OV-chipkaart voor slechts 3 euro, waarmee men een heel jaar onbeperkt kan reizen. De advertentie lokt reizigers uit om naar een website te gaan en een paar simpele vragen te beantwoorden. Zodra de gebruiker met een creditcard betaalt, wordt er 3 euro afgeschreven, maar daarna volgt een herhalende afboeking van 58 euro elke 14 dagen.

Deze oplichting is niet nieuw. De Consumentenbond rapporteerde dat deze scam al in 2023 en 2024 werd waargenomen. De campagne is succesvol gebleven, met eind februari 2025 nog steeds actief. Er zijn drie bijna identieke Facebookpagina's gevonden met de titel "Vrij Reizen 365 Dagen". Deze pagina's hebben in totaal 9 advertenties geplaatst die samen 265.000 keer zijn weergegeven bij duizenden gebruikers.

De identiteit van de oplichters blijft onduidelijk. De advertentiebibliotheek van Facebook toont als begunstigde en betaler de naam "sdcsd". De oplichters opereren vanuit Cyprus, een locatie waar autoriteiten nauwelijks optreden tegen internetfraude. Dit maakt het moeilijk om de schuldigen te vervolgen.

Deze vorm van oplichting is een ander type risico voor reizigers die op zoek zijn naar goedkope reismogelijkheden. Het is essentieel om onderscheid te maken tussen de technische kwetsbaarheid van OVpay (fraude met virtuele passen) en deze marketing-oplichting (vals aanbod van goedkope kaarten).

De Gevolgen voor de Reiziger en de Toekomst van OVpay

De blokkade heeft directe gevolgen voor de dagelijkse reiziger. Mensen die normaal gesproken met een Revolut-, Paysafe- of Vivid-kaart reizen, vinden zich plotseling in de positie dat ze geen toegang meer hebben tot het openbaar vervoer met hun bestaande kaart. Dit vereist een aanpassing van hun reisgewoonten.

Voor de eerlijke reiziger betekent dit dat ze een andere betaalmethode moeten kiezen. Dit kan een traditionele bankpas zijn, een fysieke OV-chipkaart, of een andere digitale dienst die niet is geblokkeerd. De NS en andere vervoerders hebben aangegeven dat de blokkade noodzakelijk was om het systeem te beschermen, maar de impact op de consument is merkbaar.

De toekomst van het OVpay-systeem hangt af van hoe de technische kwetsbaarheid wordt opgelost. Zolang de afboeking vertraagd blijft, blijft het systeem kwetsbaar voor dit type fraude. Translink heeft aangegeven dat een technische aanpassing van het systeem te omslachtig is, wat suggereert dat blokkades van specifieke diensten de enige haalbare oplossing blijft.

Voor de vervoerders betekent dit dat ze voortdurend moeten blijven waakzaam zijn tegen nieuwe vormen van misbruik. De schade door de fraude was aanzienlijk, hoewel exacte cijfers niet zijn bekendgemaakt. De NS heeft aangegeven dat de schade flink was en dat de blokkade een noodzakelijke maatregel was.

Conclusie

De fraude met virtuele betaalkaarten in het openbaar vervoer in Nederland was een complex probleem dat voortkwam uit een technische kwetsbaarheid in het OVpay-systeem. De combinatie van vertraagde afboekingen en de flexibiliteit van virtuele passen van online banken als Revolut, Paysafe en Vivid, maakte het mogelijk om maandenlang gratis te reizen zonder dat conducteurs de fraude konden opmerken.

De reactie van de NS en Translink was drastisch: een volledige blokkade van de betrokken diensten. Deze maatregel, ingevoerd op 1 juli, heeft tot gevolg dat reizigers met deze specifieke kaarten niet meer kunnen inchecken bij de NS en, in het geval van Paysafe, bij alle vervoerders in Nederland.

Naast deze technische fraude bestaat er ook een vorm van oplichting via sociale media die reizigers belooft onbeperkt reizen voor een symboolbedrag, maar ze vervolgens laat betalen voor een onduidelijke dienst op Cyprus. Beide vormen van misbruik onderstrepen de noodzaak voor voorzichtigheid bij het reizen met digitale betaalmethoden.

De blokkade is een noodzakelijke maatregel om het systeem te beschermen, maar het heeft ook gevolgen voor eerlijke klanten. De toekomst van het OVpay-systeem zal afhangen van of de betrokken bedrijven technische oplossingen kunnen vinden of dat de blokkade permanent blijft. Zolang de technische architectuur van het systeem niet wordt aangepast, blijft het risico op dit type fraude aanwezig.