Hoe een x401-gesprek verloopt

1. Een agent klopt aan bij een dienst (webshop, platform, API). 2. De dienst antwoordt met een x401-challenge: "bewijs wie je baas is". 3. De agent toont een attestatie van een erkende issuer — bij ons: "one verified unique EU human, accountable". 4. De dienst controleert de handtekening tegen de issuer-registry en laat de agent binnen (of niet).

Waarom dit geen app is maar een taal: x401 vervangt niets van R4M — het is een nieuwe voordeur op onze bestaande identiteitslaag. Wij bouwen één module (blok D1, eerst apart geprototyped als r4m-x401-proto) die challenges beantwoordt met onze verzegelde attestatie. De motor eronder blijft exact dezelfde.

x401 in R4M Basic — de verkoopdeur zelf

Elke dienst die x401 spreekt is automatisch een potentiële klant van Rail 1: zij eisen het bewijs, wij leveren het, zij betalen per attestatie. LinkedIn-klasse platforms, marketplaces, ticketverkoop, HR — de use cases van Rail 1 zijn allemaal x401-gesprekken. En sinds 2-8-2026 verplicht de AI Act (art. 50) dat bij het eerste contact duidelijk wordt gemeld dát er een machine praat, tenzij dat voor een oplettend mens evident is. Let op de grens: “namens wie” staat níét in die plicht — dat is juist het onbezette gat. De x401-attestatie vult dat gat, maar verkoop het als voorsprong op een gat, niet als een wettelijke verplichting die je klant al heeft.

Hoe groot dat gat precies is (gemeten 14-08-2026). Aan de leverancierskant: wij hebben geen aanbieder gevonden die EU-overheids-eID, revealbaarheid onder wettig bevel, een eigen payout-rail én een publiek telbaar kasboek combineert. Gezocht op: agent identity attestation · know your agent · agent payments protocol · personhood credential · verified unique human agent · EU eID agent mandate. Nagegaan: Skyfire (KYA/KYAPay), Visa Trusted Agent Protocol, Mastercard Agent Pay, Google AP2, Okta (Human Principal op World ID), World ID AgentKit × x402, Proof/x401. Elk valt op minstens twee van de vier af — en verschillende van hen bouwen dus wél degelijk aan een tegenhanger. Wie een aanbieder kent die alle vier combineert, houden wij ons aanbevolen.

En de bodem eronder is géén concurrent. NOBID (de EU-pilot die in 2025 betalingen met de EUDI-wallet autoriseerde) en de EUDI-wallet zelf zijn publieke infrastructuur, geen leveranciers. Ze horen dus niet in de vergelijking thuis — het is een reden om je verhaal er bóvenop te bouwen, precies zoals C · Strategie en E · Radar het al zeggen: wij zijn daar juist de brug in.

Vervangen standpunt (tot 14-08-2026 16:38): Élke leverancier bouwt nu het AI-label; niemand bouwt de tegenhanger. Herzien: Skyfire, Visa, Mastercard, Google en Okta bouwen alle vijf aan een vorm van agent-mandaat. Het onbezette deel is smaller — de EU-eID-worteling — en die formulering staat hierboven. Bewust laten staan als spoor van de wijziging.

x401 in de Uitkeringsrail — de poort vóór het geld

Vóór een stad of NGO uitkeert, moet vaststaan: échte mens, uniek in deze pot, rechthebbend. De x401-attestatie is die poortwachter — pas na het bewijs opent de betaling. Dubbelclaims botsen op de code (zelfde mens = zelfde pseudoniem), en het publieke kasboek logt het resultaat. Zo wordt "één mens, één claim" geen belofte maar een protocolstap.

x401 in de Machine-rail — de baas achter de robot

Een robot of agent die geld verdient (x402) moet één ding kunnen bewijzen: wíé zijn baas is. x401 + het mandatenblok (D2: beperkt, intrekbaar, gelogd) leggen die keten cryptografisch vast — machine → mandaat → geverifieerde mens. Daardoor kan R4M machine-omzet veilig uitbetalen aan de echte eigenaar, en later mens-naar-mens-verkeer dragen zonder anonieme geldstromen.

Waar we staan, en de zet die telt

Status: de identiteitslaag en attestatie-kern draaien (testnet); de x401-issuer-module is blok D1 — eerst apart prototypen tegen de open spec, dan pas inbrengen. De zet (Zet 2): aanmelden bij de FIDO-werkgroep waar Proof de standaard indient, en de lege stoel van "EU-issuer met overheids-eID-verankering" claimen — niet als concurrent van de stack, maar als het ontbrekende Europese stuk erin. Kosten: klein. Opbrengst: elke x401-dienst wereldwijd wordt bereikbaar als afnemer.

Leeftijdsbewijs zonder identiteit — de EU-verplichting als klant

Simpel gezegd: de EU verplicht platforms (DSA) om minderjarigen te beschermen, en de Commissie bouwt zelf een age-verification-blauwdruk die in de EUDI-wallet landt. Platforms moeten dus "18+" checken zónder een kopie van je paspoort te willen. Dat is letterlijk ons product: de attestatie "18+, één echte unieke mens" — zonder naam, zonder geboortedatum, zonder dossier.

Waarom dit werkt: de vraag is wettelijk afgedwongen (geen verkoop nodig van het probleem), en eID/itsme levert de leeftijd al bij onze bestaande verificatie — we hoeven alleen een tweede attestatie-type te tekenen ("18+" i.p.v. alleen "uniek mens"). Integratiepad: (1) leeftijdsclaim meenemen uit de bestaande eID-flow, (2) attestatie-variant "18+" toevoegen aan de issuer-module (D1), (3) zelfde x401-gesprek, zelfde fee per controle. Raakt geen geldstromen — past volledig binnen de bevestigde v1-scope (V57).

Bron: EU age verification blueprint / DSA-richtsnoeren minderjarigenbescherming (Europese Commissie, 2025-2026) · digital-strategy.ec.europa.eu

🎯 Potentiële klanten (PROSPECT — nog geen contact, lijst groeit): TikTok (DSA-onderzoek minderjarigen) · Meta/Instagram (EU-leeftijdsdruk) · Roblox (kondigde age-checks aan) · elke NL/BE-datingapp en gamesite die onder de EU-age-verification-pilot valt. Slimste route: niet één voor één aanschrijven maar gecertificeerd provider worden bij euCONSENT (Brussel) — hun tokens bewijzen leeftijd maar níét uniciteit, en dát gat is jouw product. Zie 🎯 Klanten #4. Nieuw, mét wettelijke deadline: de Nationale Loterij, Brussel (🎯 Klanten #11) moet vóór 31-12-2026 haar online spelers door EPIS én door een leeftijdsgrens van 21 halen — Grondwettelijk Hof, arrest 45/2026. Tweede dossier met een datum: Gall & Gall en Albert Heijn (Ahold Delhaize) — 🎯 Klanten #14; de NVWA leverde bij 139 van 163 testbestellingen alcohol af aan een minderjarige (85%), en vanaf 2027 wordt ook de bezorger zelf beboet. Nieuw, nu bij de partij die de norm schrijft: de Vlaamse Regulator voor de Media en het kabinet-Van Achter (🎯 Klanten #16) — het Vlaamse ontwerpdecreet legt een leeftijdsgrens van 13 jaar vast en verplicht platformen tot "een doeltreffende leeftijdscontrole", maar de minister zegt zelf dat die grens vandaag "niet wordt nageleefd en ook niet gecontroleerd wordt"; de toezichthouder heeft dus een norm zonder meetinstrument, en het onderscheid leeftijd-versus-uniciteit is precies wat daar nog niet in staat.

💼 Om dit te verkopen moet jij: Vraag het providercertificerings-dossier bij euCONSENT (Brussel) op en check welke technische eisen je vandaag al haalt. Onderzoek vooraf: leveren hun bestaande providers uniciteit? Zo niet, dan is dat letterlijk je verkoopargument.

Verbetering op "Leeftijdsbewijs zonder identiteit" — verkoop geen leeftijd, verkoop de terugkeer

Simpel gezegd: een uitsmijter die vraagt "ben je achttien?" doet zijn werk. Maar als de veertienjarige die hij net wegstuurde vijf minuten later met een andere jas terugkomt en er wél in mag, was de vraag zinloos. Europa bouwt nu de perfecte uitsmijter — eentje die alleen naar leeftijd kijkt en die, met opzet, géén gezichten mag onthouden. Wij verkopen het enige dat hij daardoor nooit kan zeggen: "die heb ik net al weggestuurd."

Wat er aan het blok hierboven niet meer klopt, eerlijk en in volgorde van schade: (1) de zin "dat is letterlijk ons product" houdt geen stand meer. itsme levert vandaag al age_gte_13, age_gte_16, age_gte_18, age_gte_21 en age_gte_30 als kant-en-klare boolean, plus het rijksregisternummer als aparte claim. In België is "18+" dus geen product maar een commodity van een consortium van vier banken en drie telecoms. Kom je bij een platform op leeftijd binnen, dan ben je in tien minuten uitgepraat. (2) De bronregel verwijst naar een beleidspagina zonder klikbare primaire bron, terwijl de technische specificatie inmiddels volledig publiek staat — en die zegt iets veel bruikbaarders dan het beleidsstuk. (3) Daardoor mist het blok het enige verkoopargument dat wél overeind blijft. Dat argument staat hieronder. Het blok hierboven blijft staan: de markt, de wettelijke druk en de klantenlijst kloppen nog steeds. Alleen de pitch verschuift.

De vondst: de EU-blauwdruk kán geen uniciteit leveren, en dat is een ontwerpkeuze en geen bug. De architectuurspecificatie van de Europese leeftijdsverificatie-app noemt als doel het voorkomen van "user profiling and tracking by avoiding linkable transactions". Hoe dat werkt: de app haalt bewijzen op in partijen van dertig, gebruikt elk bewijs precies één keer en gooit het daarna weg, en tijdstempels worden bewust onnauwkeurig gemaakt zodat ze niet te correleren zijn. De bijlage over zero-knowledge proofs is nog explicieter: het moet voor de afnemende partij "computationally infeasible" zijn om meerdere bewijzen aan dezelfde persoon te koppelen. En nergens in de specificatie staat een mechanisme dat belet dat dezelfde mens een tweede partij van dertig ophaalt, of zich bij een tweede provider gewoon opnieuw inschrijft. Reken het uit: dertig bewijzen per partij × een onbeperkt aantal partijen × een onbeperkt aantal providers. Voor privacy is dat pure winst. Voor het tegenhouden van iemand die terugkomt is het een structurele blinde vlek die nooit meer dichtgaat — want dichtmaken zou precies het ontwerpdoel breken. De Commissie zegt er zelf bij dat app-uitgevers de blauwdruk mogen aanpassen maar de privacy-eigenschappen niet. Ook een lidstaat kan er dus geen uniciteit in bouwen.

Waarom dit vandaag geld waard is — het gat is gemeten, en door een toezichthouder. Australië voerde in december 2025 een minimumleeftijd voor sociale media in. In de compliance-update van maart 2026 schrijft de eSafety Commissioner dat de grote platformen bij de invoering rond 4,7 miljoen leeftijdsbeperkte accounts verwijderden, en dat begin maart 2026 nog eens ruim 310.000 accounts werden tegengehouden. Dat tweede getal is niet het aantal minderjarigen — het is het aantal keren dat iemand terugkwám. Het voorkómen van her-registratie staat als aparte eis in hun regelgevende richtsnoeren, en de toezichthouder onderzoekt actief Facebook, Instagram, Snapchat, TikTok en YouTube op naleving. Precies die meting kan geen enkele leeftijdscontrole over zichzelf leveren, en de Europese blauwdruk straks per definitie ook niet.

Het scherpere aanbod, in één zin: niet "wij attesteren dat deze gebruiker 18+ is", maar "wij attesteren dat dit account niet dezelfde mens is als het account dat u vorige week wegstuurde" — pseudoniem, per klant een andere code, zonder naam en zonder geboortedatum. Integratiepad, vier stappen op wat er al draait: (1) de bestaande eID/itsme-binding levert de gezouten hash per context, waarbij de context de klant is; (2) het attestatie-endpoint krijgt één extra antwoordveld — eerder_geweigerd met een datum, en niets meer; (3) de klant roept dat endpoint aan bij accountaanmaak in plaats van bij elke sessie, dus één aanroep per registratie; (4) het verzegelde bewijs blijft bestaan voor een handhavingsdossier en gaat alleen open onder wettig bevel. Geen geldstroom naar gebruikers, dus volledig binnen de bevestigde v1-scope (V57).

⚖️ De eerlijke spanning, en jij moet hem als eerste noemen: wat wij verkopen ís koppelbaarheid — precies wat de EU-blauwdruk bewust weggooit. Het antwoord daarop is niet dat privacy minder belangrijk is, maar dat de koppeling binnen één klant blijft: dezelfde mens krijgt bij platform A een andere code dan bij platform B, dus A en B kunnen hun gebruikers niet aan elkaar knopen. Alleen A kan zien dat dit dezelfde mens is als vorige week bij A — en dat is exact wat het tegenhouden van her-registratie nodig heeft, en niets meer. Wie dat verschil niet in twee zinnen kan uitleggen, moet dit gesprek niet voeren, want de functionaris gegevensbescherming aan de overkant stelt deze vraag als eerste. Tweede zwakte, en die is echt: dit werkt alleen als de gebruiker zich bij de registratie bindt. Een minderjarige die de eID van een ouder gebruikt, komt er nog steeds door — geen enkel systeem lost dat op, en de bestaande literatuur is daar eensluidend over. Beloof dus nooit "geen minderjarigen meer", maar "geen twintigste poging meer van dezelfde persoon".

Bronnen: itsme — OIDC-scopes en claims (age_gte_13/16/18/21/30 als boolean, plus BENationalNumber) · EU Age Verification Blueprint — architectuur en technische specificatie (batches van 30, eenmalig gebruik, onnauwkeurige tijdstempels, doel: geen koppelbare transacties) · Bijlage B — zero-knowledge proofs ("computationally infeasible" om bewijzen aan dezelfde persoon te koppelen) · Europese Commissie — blauwdruk beschikbaar gesteld; aanpasbaar door app-uitgevers maar de privacy-eigenschappen niet · eSafety Commissioner (AU) — Social Media Minimum Age, compliance-update maart 2026 (≈4,7 mln verwijderde accounts, 310.000+ tegengehouden begin maart, actief onderzoek naar vijf platformen) · Verordening (EU) 2022/2065 (DSA) — artikel 28 bescherming van minderjarigen, artikel 52 boetes tot 6% van de wereldwijde jaaromzet.

🎯 Potentiële klanten (PROSPECT — nog geen contact, lijst groeit): Scytales AB (Zweden) en T-Systems International (Duitsland) — samen het T-Scy-consortium dat de blauwdruk in opdracht van de Commissie bouwt; zij zijn niet je concurrent maar je meest logische partner, want zij weten als geen ander dat hun eigen ontwerp uniciteit uitsluit en zij krijgen die vraag van elke lidstaat · Roblox — sinds januari 2026 wereldwijd een verplichte leeftijdscontrole vóór chat, met gezichtsschatting van Persona; zij hebben de leeftijdscontrole dus áf en lopen daarmee precies tegen het volgende probleem aan, namelijk de gebruiker die na een blokkade een nieuw account maakt · Vlaamse Regulator voor de Media — heeft een norm zonder meetinstrument (zie 🎯 Klanten #16) · euCONSENT, Brussel — hun tokens bewijzen leeftijd, niet uniciteit (zie 🎯 Klanten #4).

💼 Om dit te verkopen moet jij: Schrijf één A4 met de titel "wat de blauwdruk met opzet niet doet" en stuur die naar het T-Scy-consortium (Scytales en T-Systems) — niet als kritiek maar als aanvulling, met de twee citaten uit hun eigen specificatie erin en jouw per-klant-pseudoniem als antwoord. Onderzoek vooraf twee dingen: (a) staat er in de lopende pilot van Frankrijk, Denemarken, Griekenland, Italië, Spanje, Cyprus of Ierland al een eis over her-registratie — zo ja, dan heeft één lidstaat je zaak al voor je gemaakt; (b) welk contactpunt de Commissie voor de blauwdruk gebruikt, want dat is een publieke aanbesteding en dus een publiek adres.

De vracht die de verkeerde meekrijgt — het bedrijf is gecontroleerd, de mens niet

Simpel gezegd: de poort van een magazijn werkt als een portier die alleen naar het busje kijkt. Staat het bedrijf op de lijst, klopt de nummerplaat en zit de verzekering in orde, dan gaat de slagboom omhoog en rijdt er voor twee ton aan spullen weg. Wie er achter dat stuur zit, vraagt niemand — dat is de aanname. Criminelen hebben die aanname door: ze breken niet meer in bij de poort, ze stelen de sleutels van een bedrijf dát al op de lijst staat. En daar helpt een betere lijst niet meer tegen, want het bedrijf op die lijst is écht. Wij verkopen het enige dat de portier vandaag niet kán vragen: “en jij — ben jij nog steeds dezelfde mens die deze rit gisteren aannam?”

Waarom dit echt is, met de cijfers op tafel. TAPA EMEA en de wereldwijde transportverzekeraars van IUMI publiceerden op 03-02-2026 een gezamenlijke waarschuwing over precies dit misdrijf. Hun database telde over 2024–2025 112.420 incidenten in 116 landen, samen goed voor 2,6 miljard euro — en dat is een ondergrens, want slechts 5% van de meldingen draagt een schadebedrag. Eén land staat er scherp in: in Duitsland liepen in de eerste zeven maanden van 2025 88 zaken met een spookvervoerder, evenveel als in het hele jaar ervoor, samen 18 miljoen euro, oftewel elke drie dagen verdwijnt er een volle vrachtwagen. Dat is ruim twee ton per zaak (18 mln ÷ 88 = €204.545; onze eigen deling, geen gepubliceerd getal), en dat komt opvallend dicht bij het Noord-Amerikaanse gemiddelde van 202.000 dollar per incident uit dezelfde waarschuwing. Nederland heeft er sinds 1 juni 2026 een eigen stichting voor: Stichting Fake-Carrier, gesteund door het Verbond van Verzekeraars, Transport en Logistiek Nederland, Platform Veilig Ondernemen en de politie.

De vondst, en ze is scherper dan “er wordt veel gestolen”: de fraude is één laag omhoog geschoven, naar precies de laag die niemand controleert. De Freight Fraud Index van 28-07-2026 meet het als een verschuiving: aanvallen via gekaapte communicatie — overgenomen e-mailboxen, gespoofte afzenders, overgenomen accounts, nagebootste telefoontjes — waren in het tweede kwartaal van 2026 goed voor 50% van alle geclassificeerde fraudevectoren, tegen 42,7% in het kwartaal ervoor. In datzelfde kwartaal werden 784.201 frauduleuze inkomende e-mails en 109.995 gespoofte telefoontjes tegengehouden, respectievelijk 48,5% en 53,2% meer dan een kwartaal eerder. De conclusie die de opsteller er zelf aan hangt: strengere identiteitscontrole bij de registratie heeft de fraude niet weggenomen maar verplaatst. Vertaald naar wat je verkoopt: de vervoerderscontrole op bedrijfsniveau — vergunning, verzekering, btw-nummer, kredietwaardigheid — is een opgelost en goed bediend probleem, en juist daarom is de misdaad naar de mens achter het geverifieerde account gekropen. Een bedrijfscontrole kán dat per constructie niet zien, want het bedrijf ís echt. Dit is geen leemte in hun product, het is een leemte in de soort controle die ze doen — en dat is precies het onderscheid dat R4M verkoopt.

Het tweede bewijsstuk, en dit is het argument dat een transportjurist meteen begrijpt: Europa heeft “één mens, één kaart” al gebouwd — maar op slot gezet. Elke beroepschauffeur in de EU draagt een bestuurderskaart. Verordening (EU) nr. 165/2014 verplicht lidstaten om bij uitgifte, vervanging en vernieuwing via elektronische gegevensuitwisseling te controleren dat de bestuurder niet al een andere geldige kaart heeft, en uitvoeringsverordening (EU) 2016/68 koppelt daarvoor alle nationale registers aan elkaar via TACHOnet. Uniciteit per mens, EU-breed, wettelijk verplicht, en het draait al jaren. Alleen: toegang is voorbehouden aan de kaartuitgevende instanties en aan controleambtenaren. De kade mag het niet vragen. De garantie bestaat dus, en precies de partij die er twee ton aan hangt kan er niet bij. Dat is geen technisch probleem maar een bevoegdheidsprobleem, en het is exact het soort probleem dat een attestatie oplost: R4M vertaalt een garantie die een overheid al geeft naar een antwoord dat een magazijnmedewerker mag zien, zonder één persoonsgegeven.

Het aanbod in één zin: niet “dit vervoersbedrijf bestaat echt” — dat kopen ze al — maar “de mens die deze rit aannam is dezelfde mens die hier nu aan de kade staat, en hij mag tekenen namens deze vergunninghouder”. Pseudoniem, per klant een andere code, zonder naam en zonder geboortedatum. Integratiepad, vijf stappen op wat er al draait: (1) de bestaande eID/itsme-binding levert de gezouten hash per context, waarbij de context de beurs of de verlader is — één keer per mens, meter M1; (2) de mandaatkaart uit blok D2 legt vast dat deze mens mag handelen namens vergunninghouder X, intrekbaar op de dag van ontslag; (3) bij het aannemen van een transportopdracht tekent die mens de aanname — een ondertekende bon zoals de rail die vandaag al maakt, met daarin alleen het opdrachtnummer, het pseudoniem en het mandaat; (4) aan de kade scant de magazijnmedewerker de QR van die bon en krijgt groen of rood terug, meter M2, kost ons vrijwel niets; (5) het verzegelde bewijs blijft bestaan voor het politiedossier en gaat alleen open onder wettig bevel. Er gaat geen euro naar een gebruiker, dus dit valt volledig binnen de bevestigde v1-scope (V57) en hoeft niet op PRIO B te wachten.

⚖️ De eerlijke grens, en jij moet hem als eerste noemen — anders doet de klant het. Het internationale wegvervoer in de Benelux draait grotendeels op chauffeurs uit Polen, Roemenië en Litouwen. Die kunnen zich vandaag níét via itsme of eID wortelen, en dus kun je aan de kade voorlopig niet de chauffeur bewijzen. Wat je wél kunt bewijzen is de planner die de rit aannam, en dat is niet de zwakke versie van dit verhaal maar de kern ervan: de Freight Fraud Index laat zien dat de aanval juist daar zit, bij het overgenomen account en de gespoofte mailbox, en niet bij een chauffeur die de verkeerde kaart toont. Verkoop dus de aannamekant eerst en de kadekant als tweede fase, met de EUDI-wallet (verplicht beschikbaar 24-12-2026) als de datum waarop de kadekant pan-Europees wordt. Tweede zwakte, en die is echt: een geverifieerde planner kan zelf de dief zijn, of onder dwang tekenen. Beloof dus nooit “geen ladingdiefstal meer”, maar “geen anonieme aanname meer” — het verschil is dat er na een diefstal een aanspreekbare mens onder het verzegelde bewijs zit in plaats van een leeg account, en dat is precies wat een aangifte vandaag mist.

Bronnen: TAPA EMEA & IUMI — gezamenlijke waarschuwing over fake-carrier-fraude en ladingcriminaliteit, 03-02-2026 (112.420 incidenten in 116 landen over 2024–2025; Duitsland 88 spookvervoerderzaken in zeven maanden van 2025, €18 mln, elke drie dagen een volle truck; Noord-Amerika gemiddeld USD 202.000 per incident) · Trans.eu — European Cargo Fraud: the €2.6bn risk (2,6 mld euro EMEA-verlies 2024–2025, slechts 5% van de incidenten draagt een schadebedrag, “one-time carrier verification at onboarding is no longer sufficient”) · Freight Fraud Index Q2 2026 (Highway), 28-07-2026 — communicatiegedreven aanvallen 50% van alle geclassificeerde fraudevectoren tegen 42,7% in Q1; 784.201 frauduleuze e-mails en 109.995 gespoofte telefoontjes in één kwartaal · Transport Online — Stichting Fake-Carrier officieel gelanceerd op 01-06-2026, gesteund door het Verbond van Verzekeraars, TLN, Platform Veilig Ondernemen en de politie · Verordening (EU) nr. 165/2014 (tachograaf) — lidstaten moeten elektronisch controleren dat een bestuurder niet al een geldige bestuurderskaart heeft · Uitvoeringsverordening (EU) 2016/68 — TACHOnet, onderlinge koppeling van de nationale registers van bestuurderskaarten; toegang voorbehouden aan kaartuitgevende instanties en controleambtenaren · Verordening (EU) 2020/1056 (eFTI) — vanaf 09-07-2027 moeten autoriteiten elektronische vrachtinformatie via gecertificeerde platformen aanvaarden, met geïdentificeerde en geautoriseerde toegang. Niet primair geverifieerd: de Freight Fraud Index is Amerikaans van herkomst (FMCSA-context) en wordt hier gebruikt als richtingssignaal, niet als Europees cijfer; de Duitse schade van €18 mln en het aantal van 88 zaken komen uit de TAPA/IUMI-waarschuwing en niet uit een primaire Duitse overheidsbron.

🎯 Potentiële klanten (PROSPECT — nog geen contact, lijst groeit): Alpega Group, Brussel — hoofdkwartier in België, en met Teleroute, Wtransnet, 123cargo én SmartBooking (dockplanning) hebben ze zowel de aannamekant als de kadekant in één huis; hun eigen blog draagt de titel “Phishing and fake carriers”, dus je hoeft het probleem niet te verkopen · Stichting Fake-Carrier (NL) — sinds 01-06-2026 opgericht met precies dit als enige doel, gesteund door verzekeraars, TLN en politie; hun gereedschapskist is documenten- en bedrijfscontrole, dus de mens-laag is er letterlijk de ontbrekende schakel, en één stichting is één ingang naar een hele sector · TIMOCOM (Erkrath, DE) — verkoopt vandaag een Business Partner Check op bedrijfsniveau en zit in het land met 88 spookvervoerderzaken in zeven maanden · Trans.eu (Wrocław) — publiceert zelf het €2,6-miljardcijfer en werkt met TAPA samen aan fake-carrier-fraude · TAPA EMEA — schrijft de beveiligingsnormen die verladers contractueel aan hun vervoerders opleggen; wie hier binnenkomt verkoopt niet aan één klant maar aan een norm.

💼 Om dit te verkopen moet jij: Bel Alpega in Brussel — het is de enige prospect op deze lijst die je met de auto bereikt, en ze hebben de aanname (Teleroute) en de kade (SmartBooking) allebei. Vraag naar de productverantwoordelijke voor Teleroute-veiligheid en zet één zin op tafel: “jullie controleren het bedrijf, wij controleren de mens achter het account — welke van jullie fraudegevallen ging over een bedrijf dat níét bestond?” Zoek vooraf twee dingen uit: (a) of TIMOCOM, Teleroute of Trans.eu vandaag al iets doen aan tweefactorauthenticatie op het account — dat is hun huidige antwoord op accountovername, en jouw hele wig is dat een tweede factor een toestel bewijst en geen mens; (b) of Stichting Fake-Carrier open staat voor technische partners, want dat is de goedkoopste route naar een hele sector en het is een stichting, geen aanbesteding.