Phishing: alles wat u moet weten

Wat is phishing?

Bij phishing vissen fraudeurs aan de telefoon of via valse berichten of brieven naar vertrouwelijke informatie. Denk bijvoorbeeld aan bankgegevens en persoonsgegevens zoals BSN en wachtwoorden voor digitaal betalen en bankieren. Ze kunnen ook direct een betaalverzoek doen, bijvoorbeeld via Tikkie.

Valse berichten ontvangt u via e-mail , per telefoon, via sms, via een chatapp zoals WhatsApp en zelfs in een brief op papier. Phishing via sms wordt ook wel smishing genoemd.

De fraudeurs hengelen met phishing mails bijvoorbeeld naar een kopie van uw paspoort, rijbewijs of bankpasje, naar uw wachtwoord, een eenmalige beveiligingscode voor internetbankieren, naar de pincode voor uw bankpas, creditcard of mobiel bankieren of naar een directe betaling, bijvoorbeeld met een mobiel betaalverzoek.

Via een vals bericht kunt u ook worden misleid om kwaadaardige software of apps op uw computer, tablet of smartphone te installeren (malware, spyware of ransomware). Die malware kan op uw apparaat terechtkomen via een bijlage in een e-mail die u moet openen of via een link naar een valse website waar u de kwaadaardige software of app kunt downloaden.

Van bank, bedrijf, instelling of goede bekende

De valse berichten of brieven lijken van banken of andere bekende bedrijven en instanties te zijn, bijvoorbeeld van uw bank, PostNL, de Belastingdienst of DigiD. Zelfs Veilig Bankieren, de Nederlandse Vereniging van Banken en de Fraudehelpdesk worden nagebootst in valse berichten van oplichters.

Phishing-berichten kunnen ook afkomstig lijken van familie, vrienden of bekenden. Die vragen dan zogenaamd of u snel geld aan ze kunt lenen of een dringende aankoop of rekening kunt voorschieten.

Steeds vaker persoonlijk

Phishing-berichten zijn vaak onpersoonlijk, zonder u met uw naam aan te spreken. Steeds vaker is phishing echter heel persoonlijk aan u gericht, met uw echte naam en andere persoonlijke gegevens, zoals uw adres, uw rekeningnummer of het kenteken van uw auto.
Uw persoonlijke gegevens kunnen terechtkomen bij criminelen omdat ze per ongeluk zijn gelekt door een bedrijf of instantie, via gehackte mailboxen van familie of bekenden of omdat u die gegevens zelf op social media hebt gezet, voor iedereen zichtbaar.

Zogenaamd van uw bank

Veel valse berichten lijken zogenaamd van uw eigen bank te zijn. Ook brieven op papier die van uw bank lijken te zijn, kunnen vals zijn. Daar zijn drie mogelijke varianten van:

Bericht met link of brief met QR-code naar een valse website waar u de beveiligingscodes van uw bank moet intikken. Met uiteenlopende smoezen vraagt de zogenaamde bank dat u op een link klikt of een QR-code scant. Er wordt spoedig een bedrag van uw rekening afgeboekt, er wordt misschien een bedrag bijgeboekt, uw rekening wordt geblokkeerd, er wordt beslag gelegd op uw rekening, er is iets mis met uw mobiele app… In alle gevallen is het zogenaamd heel dringend dat u op die link klikt of die QR-code scant. Via die link of QR-code komt u terecht op een valse website die als twee druppels water lijkt op de echte website van uw bank. Op die valse website moet u dan zogenaamd inloggen met de gebruikelijke beveiligingscodes van uw bank.
Bericht of brief dat u uw bankpas moet opsturen, met link of QR-code naar een valse website. Het bericht of de brief meldt dat uw bankpas niet meer goed zou zijn. Bij een valse brief kan zelfs een nepbankpas zitten. Uw bankpas is zogenaamd verouderd, ongeldig, onveilig, onhygiënisch (corona!), voldoet niet meer aan de wet… Om een vervangende bankpas te ontvangen moet u zogenaamd eerst uw huidige bankpas opsturen naar uw bank of naar een recycle-bedrijf. Om de nieuwe bankpas aan te vragen moet u op een link klikken of een QR-code scannen. Zo komt u terecht op een valse website, zogenaamd van uw bank. Die valse website vraagt om uw pincode of beveiligingscodes in te tikken.
U wordt gebeld, zogenaamd door uw bank. Op het scherm van uw telefoon ziet u misschien zelfs het echte telefoonnummer van uw bank. De persoon aan de telefoon vraagt om uw pincode of beveiligingscodes voor internetbankieren, om zelf transacties doen (om zelf bedragen over te boeken) of om iemand van uw bank thuis te ontvangen. De nep-bankmedewerker kan ook een sms, WhatsApp of e-mail sturen, met een link naar een valse website waar u zogenaamd moet inloggen met de beveiligingscodes van uw bank.

Zogenaamd van een bedrijf of instelling

U krijgt een vals bericht of valse brief die van de overheid of van een bekend bedrijf lijkt te zijn, bijvoorbeeld van de Belastingdienst of van je energiebedrijf. Het bericht of de brief probeert je wijs te maken dat u nog iets moet betalen of dat u geld terugkrijgt, zoals een belastingteruggave of onbetaalde energierekening:

Via een link of QR-code komt u in een of meer stappen op een valse website, zogenaamd van uw bank. Die vraagt vervolgens om uw beveiligingscodes voor internetbankieren of iDEAL.
Via een link of QR-code een vals betaalverzoek, bijvoorbeeld via Tikkie. Met dat betaalverzoek betaalt u niet aan het bedrijf of de instelling maar aan oplichters.

Lees meer over verschillende soorten valse e-mails, zogenaamd van banken, bedrijven of andere instellingen.

Zogenaamd van een goede bekende

U krijgt een of meer berichtjes, zogenaamd van familie, een vriend of vriendin, via e-mail, sms of een chatapp zoals WhatsApp. Het adres of mobiele nummer van de afzender kan het echte nummer van die bekende zijn, bijvoorbeeld omdat het door fraudeurs digitaal is gekaapt (gehackt). De zogenaamde bekende vraagt u om hem of haar snel geld te lenen of om een dringende aankoop of rekening voor te schieten, via een link of betaalverzoek:

De link leidt in een of meer stappen naar een valse website, zogenaamd van je bank. Daar moet u uw beveiligingscodes voor internetbankieren of iDEAL intikken.
De link leidt in één of meer stappen naar een vals betaalverzoek van de oplichters, bijvoorbeeld via Tikkie. Daarmee betaalt u direct aan de oplichters.

Hoe bestrijden banken phishing?

Om phishing tegen te gaan, proberen banken valse afzenders (e-mailadressen of mobiele nummers) en valse websites op te laten sporen en te laten blokkeren. U kunt de banken daarbij helpen door een phishing-bericht waarin een bank wordt nagebootst, zo snel mogelijk te melden bij die bank.

Daarnaast proberen banken verdachte transacties bij klanten te herkennen en onderscheppen. Bij het vaststellen van een verdachte transactie, kan je bank contact met je opnemen. Soms kan je bank de schade door phishing geheel of gedeeltelijk vergoeden, vooral bij phishing via een valse website die zogenaamd van je eigen bank was.

Met campagnes en voorlichting waarschuwen banken tegen phishing. Een echte bank zal nooit aan de telefoon of in een e-mail, tekstbericht of brief vragen:

om een wachtwoord, pincode of andere beveiligingscode te verstrekken
om op een hyperlink te klikken waarmee u kunt inloggen bij uw bank
om een QR-code te scannen waarmee u kunt inloggen bij uw bank
om (een foto van) uw betaalpas, creditkaart of inlogapparaatje op te sturen
– een nieuwe betaalkaart of inlogapparaatje wordt automatisch toegestuurd naar uw woonadres;
– een oude betaalkaart kunt u doorknippen, dwars door de vergulde betaalchip, en weggooien;
– banken vragen nooit een oude betaalkaart of inlogapparaatje op te sturen om te laten recyclen, of om die aan iemand af te geven.

Waar kan ik phishing melden?

Veelgestelde vragen over phishing

Bij phishing sturen fraudeurs valse e-mails om te proberen inloggegevens, creditcardinformatie, pincodes of andere persoonlijke gegevens van u te achterhalen. Daarmee kunnen ze misbruik maken van uw identiteit, bankrekening en betaalmiddelen. De fraudeurs hengelen dan bijvoorbeeld naar een kopie van uw paspoort, rijbewijs of bankpasje; naar uw wachtwoord en speciale nummercodes voor internetbankieren of naar uw pincodes voor mobiel bankieren, uw bankpas of uw creditcard. Vandaar het woord phishing, dat ‘hengelen’ betekent.

Phishing mails zijn mails die worden verstuurd met de bedoeling gegevens van slachtoffers te ontfutselen. Met deze gegevens kunnen fraudeurs bijvoorbeeld geld van de bankrekening van het slachtoffer halen. Behalve naar bankgegevens wordt er in valse mails ook gevraagd naar persoonsgegevens, wachtwoorden of geld. Ook gebeurt het dat kaarthouders bericht krijgen dat ze een prijs hebben gewonnen. Die kunnen ze echter alleen innen door vertrouwelijke gegevens van hun bank of creditcard bekend te maken. Een andere vaak toegepaste manier van phishing is het uit naam van de bank vragen om klant- of inloggegevens om zogenaamd klantenbestanden te controleren. Meer uitleg over phishing mails.
etc.

U kunt banken helpen om verzenders van valse berichten en hun valse websites te blokkeren door phishing mail of sms te melden door hem zo snel mogelijk te sturen naar de bank die wordt nagebootst. Bij een sms kunt u de volledige tekst van het valse bericht kopiëren, inclusief de hyperlink in de sms, en in een e-mail plakken die u doorstuurt naar de betrokken bank. Meer informatie.

Check alle mails goed voordat u op een link in de mail klikt. Veilig Bankieren TV heeft een video gemaakt waarin Marc van Veilig Bankieren uitlegt waar u op moet letten bij binnengekomen mails. Let bijvoorbeeld op het mailadres van de afzender en de link waar u zogenaamd op moet klikken. Eerst alles checken. Bekijk hem goed!