Singpass-passkeys uitgelegd: zo maken ze phishing veel moeilijker
Singpass passkeys gingen op 1 juli 2026 in bèta van start voor iPhone gebruikers in mobiele browsers. Gebruikers registreren een passkey in de Singpass app en bevestigen het inloggen met Face ID, Touch ID, een vingerafdruk of de zescijferige app code.
Singpass passkeys gingen op 1 juli 2026 in bèta van start voor iPhone gebruikers in mobiele browsers.
Gebruikers registreren een passkey in de Singpass app en bevestigen het inloggen met Face ID, Touch ID, een vingerafdruk of de zescijferige app code.
Singapore registreerde in 2025 6.264 phishinggevallen met een verlies van S$39,9 miljoen, binnen een totaal van 37.308 scamgevallen en S$913,1 miljoen aan verliezen.
What are the details of Singpass's new passkey feature launching July 1, 2026 — how does its public-private encryption key pair work to prevIllustration of Singpass passkey authentication on a mobile device.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What are the details of Singpass's new passkey feature launching July 1, 2026 — how does its public-private encryption key pair work to prev. Article summary: Singpass introduced passkeys in a beta launch on 1 July 2026, initially for iPhone users. The feature replaces a reusable secret—such as a password, OTP, or QR approval—with a device-bound cryptographic proof that is sub. Topic tags: general, documentation, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fak
openai.com
Singpass heeft een nieuwe, optionele manier van inloggen geïntroduceerd: de passkey. Gebruikers hoeven daarmee geen wachtwoord, sms-eenmalige code of QR-goedkeuring meer in te voeren. De bèta ging op 1 juli 2026 van start voor iPhone-gebruikers die via een mobiele browser inloggen. Ondersteuning voor Android en desktop komt volgens de planning in latere fases.
Het belangrijkste verschil met traditionele beveiliging is dat een passkey niet simpelweg een extra geheim toevoegt dat een oplichter kan stelen. De functie gebruikt een apparaatgebonden cryptografische sleutel die gekoppeld is aan de echte Singpass-inlogdienst. Daardoor is de methode veel beter bestand tegen phishing.
Wat verandert er met een Singpass-passkey?
Bij een traditionele login kunnen herbruikbare gegevens worden buitgemaakt. Een wachtwoord kan worden gekopieerd, een eenmalige code kan worden doorgestuurd en een QR-code kan worden misbruikt om iemand een login te laten goedkeuren die door een oplichter is gestart. Met een passkey voert de gebruiker tijdens het inloggen geen wachtwoord of eenmalige code in en wordt die ook niet verzonden.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Singpass-passkeys uitgelegd: zo maken ze phishing veel moeilijker"?
Singpass passkeys gingen op 1 juli 2026 in bèta van start voor iPhone gebruikers in mobiele browsers.
What are the key points to validate first?
Singpass passkeys gingen op 1 juli 2026 in bèta van start voor iPhone gebruikers in mobiele browsers. Gebruikers registreren een passkey in de Singpass app en bevestigen het inloggen met Face ID, Touch ID, een vingerafdruk of de zescijferige app code.
What should I do next in practice?
Singapore registreerde in 2025 6.264 phishinggevallen met een verlies van S$39,9 miljoen, binnen een totaal van 37.308 scamgevallen en S$913,1 miljoen aan verliezen.
De gebruiker bewijst nog steeds lokaal dat hij of zij controle heeft over het apparaat, meestal met biometrie of een toegangscode. De website krijgt echter noch de biometrische gegevens, noch de privésleutel. Singpass ontvangt alleen een cryptografische reactie die kan worden gecontroleerd, maar niet opnieuw als wachtwoord kan worden gebruikt.
Zo werkt het sleutelpaar
Tijdens de registratie maakt de iPhone een uniek publiek-privésleutelpaar aan:
De privésleutel blijft op het geregistreerde apparaat en wordt gebruikt om een digitale handtekening te maken.
De bijbehorende publieke sleutel wordt bij Singpass geregistreerd en controleert die handtekening.
Tijdens het inloggen stuurt Singpass een nieuwe, eenmalige uitdaging naar de telefoon.
De telefoon ondertekent die uitdaging pas nadat de gebruiker de actie bevestigt met Face ID, Touch ID, een vingerafdruk of de toegangscode van de Singpass-app.
Singpass controleert de reactie met de opgeslagen publieke sleutel.
Technisch gezien gaat het dus om authenticatie met cryptografie met publieke sleutels, niet om een eenvoudige uitwisseling van encryptiesleutels. De privésleutel wordt nooit naar Singpass gestuurd. Met alleen de publieke sleutel kan iemand zich niet voordoen als de gebruiker.
De FIDO-standaarden noemen dit origin-bound authentication: de passkey is gekoppeld aan het echte domein van de dienst. Een nagemaakte website kan daardoor geen reactie verkrijgen die ook voor Singpass werkt.
Dat maakt een gekopieerde Singpass-inlogpagina veel minder waardevol. Er is geen herbruikbaar wachtwoord, geen eenmalige code en geen QR-goedkeuring die de nepwebsite kan verzamelen en opnieuw kan afspelen.
Wie kan de passkey momenteel gebruiken?
De eerste uitrol is bewust beperkt:
iPhone en iOS: beschikbaar vanaf 1 juli 2026 via mobiele browsers.
Android: ondersteuning volgt in een latere fase.
Laptops en desktops: inloggen via een desktopbrowser was bij de start nog niet beschikbaar en staat eveneens gepland voor een volgende fase.
Een iPhone-gebruiker kan de passkey dus gebruiken bij een ondersteunde login in een mobiele browser. Dat betekent niet dat elke Singpass-dienst of elk apparaat de optie meteen aanbiedt.
Zo registreer je een Singpass-passkey
Voor de eerste iPhone-uitrol verloopt de registratie via de mobiele Singpass-app:
Werk de Singpass-app bij naar de nieuwste versie.
Open de app en tik op de passkey-banner op het beginscherm.
Volg de aanwijzingen op het scherm om de passkey aan te maken.
Na registratie bevestigt de gebruiker het inloggen lokaal met Face ID, Touch ID, een vingerafdruk of de zescijferige toegangscode van de Singpass-app, afhankelijk van het apparaat en de instellingen. Op de deelnemende website hoeft geen Singpass-wachtwoord te worden ingetikt.
Waarom Bluetooth belangrijk is bij inloggen op een ander apparaat
Bij een login op een ander apparaat ontstaat een extra risico. Een oplichter kan iemand bijvoorbeeld proberen over te halen om een login goed te keuren die op de computer of telefoon van de oplichter is gestart.
Voor zo'n login tussen apparaten kan Singpass een kort bereikende Bluetooth-controle uitvoeren. Die controle moet bevestigen dat de geregistreerde telefoon fysiek in de buurt is van het apparaat waarop de login wordt aangevraagd.
Bluetooth vervangt de controle met het sleutelpaar niet. Het voegt alleen extra bewijs toe dat de telefoon waarop de passkey staat dichtbij is. Daardoor wordt een volledig op afstand aangestuurde goedkeuring moeilijker, bijvoorbeeld wanneer een oplichter een slachtoffer een QR-code stuurt en hem of haar telefonisch door een goedkeuring loodst.
Waarom wachtwoorden en QR-codes voorlopig blijven bestaan
Passkeys zijn tijdens de bèta een extra inlogmethode en geen onmiddellijke, universele vervanging. Bestaande opties blijven nodig voor mensen zonder geschikte iPhone, gebruikers die zich nog niet hebben aangemeld en diensten of apparaten die nog niet onder de gefaseerde uitrol vallen.
Die oudere methoden blijven belangrijk voor toegankelijkheid en bereik, maar hun veiligheid hangt sterker af van het gedrag van de gebruiker. Iemand kan worden gemanipuleerd om een wachtwoord of eenmalige code te delen, een frauduleuze QR-code te scannen of een onverwachte login goed te keuren. De Singaporese politie waarschuwt daarom dat mensen Singpass-wachtwoorden en 2FA-gegevens nooit met onbekenden moeten delen.
Passkeys verkleinen de hoeveelheid inloggegevens die via phishing kan worden buitgemaakt, maar ze stoppen niet elke vorm van oplichting. Een scammer kan zich nog steeds voordoen als een organisatie, druk uitoefenen om persoonlijke informatie los te krijgen of proberen misbruik te maken van accountherstel en accountovernames.
De link met FIDO2 en WebAuthn
Het ontwerp van Singpass volgt het model van publieke-sleutelcryptografie dat hoort bij FIDO en WebAuthn. FIDO2 — kort voor Fast IDentity Online 2 — is een open authenticatiestandaard die phishingbestendige cryptografische inloggegevens mogelijk maakt, in plaats van propriëtaire en herbruikbare geheimen.
Die open standaard is relevant omdat passkeys bedoeld zijn om binnen een breder ecosysteem samen te werken. Volgens de FIDO Alliance zijn passkeys inloggegevens die aan een account op een website of in een app zijn gekoppeld. Ze kunnen, afhankelijk van de implementatie en uitrol door de dienst, op een telefoon, computer of hardwarebeveiligingssleutel worden gebruikt.
Voor Singpass zit het praktische beveiligingsvoordeel vooral in de domeinkoppeling: de authenticator hoort alleen te reageren voor de echte Singpass-dienst, niet voor een website die er alleen visueel op lijkt.
De omvang van het phishingprobleem in Singapore
Singapore registreerde in 2025 37.308 scamgevallen en ongeveer S$913,1 miljoen aan verliezen door scams. Deze cijfers gaan over scams in het algemeen en niet alleen over phishing.
De officiële jaarcijfers vermelden daarnaast afzonderlijk 6.264 phishinggevallen en S$39,9 miljoen aan phishingverliezen in 2025. Phishing vormt daarmee een belangrijk onderdeel van het bredere scamprobleem, maar de cijfers bewijzen niet dat alle scamverliezen het gevolg waren van gestolen Singpass-gegevens.
De maatregel is daarom gericht op één specifieke stap in de aanval: het buitmaken van inloggegevens. Passkeys moeten die stap voor phishingcriminelen veel minder bruikbaar maken. Gebruikers moeten intussen nog steeds controleren of ze op de juiste website zitten, onverwachte loginverzoeken weigeren en Singpass-gegevens nooit delen — zeker zolang oudere inlogmethoden beschikbaar blijven.
