Een Nederlandse deelmobiliteitsoperator ontdekte in de loop van 2025 dat gekloonde RFID-passen elke maand voor duizenden euro's aan frauduleuze laadkosten zorgden, voor iemand het opmerkte. Een andere Nederlandse zaak, aangehaald als waarschuwing voor de bredere sector, becijferde de schade van één enkele RFID-fraudezaak op meer dan 200.000 euro. Geen van beide vroeg een supercharger-exploit of een zero-day. Ze vroegen een goedkope kaartlezer en een operator die niet keek.
Dat is het patroon dat de moeite waard is om bij stil te staan. De meeste fraude op publieke laders is geen hackverhaal. Het is een zichtbaarheidsverhaal: het signaal dat de fraude zou verraden zit al in data die operators toch al genereren, maar bijna niemand kijkt daar elke nacht over het hele netwerk naar.
Dat onderscheid doet ertoe, want het verandert wat "dit vatten" eigenlijk vraagt. Geen slimmere pas, geen slimmere sticker. Een systeem dat elke sessie, op elke lader, continu bekijkt en het patroon meldt zodra het verschijnt. Hieronder het patroon per fraudetype, en waarom het een controle is die bovenop je facturatiesysteem moet draaien in plaats van in de wekelijkse routine van één persoon.
Gekloonde passen: het spoor is alleen zichtbaar op netwerkniveau
RFID-passen waren nooit ontworpen als een sterke identiteitslaag, en de kloonapparaatjes zijn goedkoop en breed verkrijgbaar. Dat ga je niet op het niveau van de pas alleen oplossen. Wat kloneren wél achterlaat is een patroon: dezelfde pas-ID die op twee laders tegelijk opduikt, of een tweede sessie ergens anders die te snel na de eerste start om fysiek mogelijk te zijn. Die overlap is het verraderlijke spoor. Maar het is alleen zichtbaar als iets elke pas tegen elke lader afzet, bij elke sessie, continu, over je hele netwerk. Iemand die één keer per maand facturen doorneemt, ziet het nooit. Het moet een staande controle zijn, die op de achtergrond draait, over alles tegelijk.
Valse QR-stickers: het signaal zit in de optelling, niet in het zicht
Frauduleuze QR-stickers over de echte code zijn gemeld op publieke laders in België, Nederland, het Verenigd Koninkrijk, Frankrijk, Spanje en Italië. Het mechanisme is simpel: een valse code stuurt de bestuurder naar een namaak-betaalpagina, terwijl de lader zelf niets verkeerd doet. Dat is precies het probleem: er staat niets in de eigen data van de lader dat je kunt melden. Wat wél zichtbaar wordt, als je het bijhoudt, is het patroon op locatieniveau: een plotse, onverklaarde daling van geslaagde QR-sessies op één specifieke lader, uit de pas met de rest van het netwerk. Dat is niet iets waar een klacht van een bestuurder je op tijd voor waarschuwt. Het is iets wat een systeem dat sessievolumes over je hele netwerk vergelijkt, uur na uur, kan melden voor de klachten beginnen.
Facturatiegaten: onzichtbaar tenzij iets het elke nacht afstemt
De stilste fraude raakt geen pas en geen QR-code. Het is een meterstand die tijdens de sessie terugloopt, een sessie die start maar nooit een afgesloten afrekening oplevert, of een tarief dat niet overeenkomt met wat het scherm toonde. Niets hiervan ziet er verdacht uit op een factuur, want de factuur is precies waar de manipulatie zich verstopt. Het vatten betekent het tarief dat je plande afzetten tegen wat er werkelijk aangerekend werd, elke sessie, elke dag, niet bij de maandafsluiting wanneer het spoor koud is. Dat is veel continue kruisverwijzing tussen prijsconfiguratie, meterdata en afgesloten sessies voor één persoon om met de hand bij te houden over meer dan een handvol laders.
De transportlaag: de blootstelling, niet de oplossing, is het moeilijke deel om te zien
Een aanzienlijk deel van de publieke laders praat nog steeds met hun beheerplatform in platte tekst, met een toegangssleutel die gewoon in het webadres staat, zonder dat de lader zich met een certificaat hoeft te bewijzen. Dat is op zich geen fraude, maar het is de bodem waarin de rest groeit: wie meeleest op dat verkeer, leest de inloggegevens van de lader in klare tekst. Eén laders configuratie aanpassen is meestal simpel. Weten welke laders in een gemengd, meertalig, meerdere-generaties-oud wagenpark nog zo blootgesteld staan, zonder ze allemaal met de hand na te kijken, is het deel dat écht om tooling vraagt.
Waarom dit uiteindelijk infrastructuur wordt, geen checklist
De rode draad door alle vier: geen ervan wordt gevat door één keer beter te kijken. Ze worden gevat door iets dat elke nacht kijkt, over elke lader, en een persoon een korte lijst geeft van precies wat er niet klopt in plaats van een berg ruwe sessiedata. Operators die hier pas naar kijken na een terugboeking of een klacht, komen per definitie te laat om nog iets te voorkomen. Zelf die continue, netwerkbrede laag bouwen betekent sessiereconciliatie, pasoverlapdetectie, QR-anomaliedetectie en firmware-/configuratiezicht bouwen als een staand intern hulpmiddel, bovenop het runnen van het netwerk zelf. De meeste operators willen dat redelijkerwijs niet als bijproject.
Het is ook de moeite om eerlijk te zijn over het plafond. Niets van het bovenstaande vangt een lader die op hardwareniveau gecompromitteerd is, dat soort aanval stuurt volkomen normale data. Wat continue reconciliatie wél vangt, is de fraude die de meeste operators vandaag écht geld kost: gekloonde passen, valse stickers en cijfers die stilletjes niet kloppen. Dat is een engere belofte dan "totale beveiliging", en het is ook de belofte die je daadwerkelijk kunt waarmaken.
Veelgestelde vragen
Hoe duur kan laadpasfraude echt worden voor een operator?
Meer dan je zou denken voor iets dat met een goedkoop apparaatje begint. Een Nederlandse zaak met gekloonde RFID-passen liep op tot meer dan 200.000 euro schade voor ze werd opgemerkt, en een andere Nederlandse operator zag maandelijks duizenden euro's aan frauduleuze laadkosten voor er real-time controles kwamen. Geen van beide vroeg geavanceerde techniek, wel het ontbreken van een dagelijkse controle.
Waarom is een gekloonde pas zo moeilijk te zien op een factuur?
Omdat de sessie er heel normaal uitziet: een geldige pas, een normale hoeveelheid kWh, een normale afrekening. Het enige dat het verraadt is de vergelijking met andere sessies op dezelfde pas: dezelfde pas op twee laders tegelijk, of een tweede sessie te snel na de eerste om er fysiek tussen te rijden. Die vergelijking gebeurt alleen als iets elke sessie op elke lader tegen elkaar afzet.
Wat maakt valse QR-stickers zo lastig te detecteren?
De lader zelf doet niets verkeerd, dus er staat niets fout in de eigen data van de lader. Het signaal zit in de vergelijking: een plotse, onverklaarde daling van geslaagde QR-sessies op één specifieke lader, terwijl de rest van het netwerk normaal blijft draaien. Dat zie je alleen als je sessievolumes per locatie naast elkaar legt, niet als je één lader op zich bekijkt.
Waarom volstaat een handmatige controle niet?
Omdat de patronen die fraude verraden alleen zichtbaar worden op het niveau van het hele netwerk, elke dag opnieuw: pasoverlap, sessievolume per locatie, tarief versus werkelijke afrekening. Dat continu bijhouden over meer dan een handvol laders is voor één persoon met de hand niet vol te houden. Het is de reden waarom dit uiteindelijk infrastructuur wordt in plaats van een checklist die je één keer afvinkt.