Phishing herkennen: zo zie je een nepbericht

Kort gezegd

Een nepbericht komt onverwacht, zet je onder tijdsdruk en vraagt je om te klikken, in te loggen of te betalen. Klik nooit op een link in zo'n bericht. Ga zelf naar de app of de website die je kent, of bel het nummer op je bankpas. Twijfel je? Bel dan iemand die je vertrouwt vóórdat je iets doet.

Wat phishing is

Phishing is een bericht dat lijkt te komen van een bedrijf dat je kent — je bank, PostNL, de Belastingdienst, Ziggo, Microsoft — maar dat door een oplichter is verstuurd. Het doel is dat je op een link klikt en op een nagemaakte website je gegevens invult, of dat je belt naar een nummer waar iemand zich voordoet als medewerker.

Het woord komt van "fishing": ze gooien duizenden berichten uit en wachten tot iemand hapt. Het gaat dus niet om jou persoonlijk, ook al staat je naam erin. Die komt uit gegevens die ergens anders gestolen zijn.

Wat er de laatste jaren is veranderd: de taalfouten zijn weg. Nepberichten staan tegenwoordig in foutloos Nederlands, met het juiste logo erbij. "Let op de spelfouten" is geen bruikbaar advies meer. Wat wel werkt, is kijken naar wat er van je gevraagd wordt.

Zes kenmerken van een nepbericht

Eén kenmerk is al genoeg om achterdochtig te worden. Twee of meer: gewoon weggooien.

Het komt onverwacht

Je verwacht geen pakket, maar krijgt een bericht over een pakket. Je hebt niets besteld, maar er is een betaling mislukt. Verwacht je het niet, dan klopt het niet.

Er zit haast achter

"Binnen 24 uur", "anders wordt uw rekening geblokkeerd", "laatste waarschuwing". Tijdsdruk is het belangrijkste gereedschap van een oplichter: in haast kijken mensen niet goed. Echte instanties geven je weken.

Je moet klikken of inloggen

Een link naar een inlogscherm, in een sms of e-mail. Een bank stuurt dat niet. Ga altijd zelf naar de app of typ het adres dat je kent.

Het gaat om een klein bedrag

€ 1,95 verzendkosten, € 2,50 toeslag. Klein genoeg om niet over na te denken. Het gaat niet om dat bedrag, maar om je bankgegevens of een machtiging.

Het afzenderadres klopt net niet

Kijk naar wat er ná het @-teken staat, of achteraan het webadres vóór de eerste schuine streep. "postnl-track.info" is niet van PostNL. Op een telefoon moet je daarvoor op de naam van de afzender tikken.

Er wordt om een code gevraagd

Een code uit je bank-app, uit een sms of van je e.dentifier is het slot op je rekening. Niemand mag daarnaar vragen — geen bank, geen politie, geen helpdesk.

Drie berichten die nu veel rondgaan

Deze zien wij het vaakst bij klanten. De vorm verandert, de truc niet.

Het bericht	Wat er staat	Wat er werkelijk gebeurt
Van "je bank"	Er is een verdachte betaling gedaan. Bel dit nummer of bevestig via de link dat u het niet was.	Een nagemaakt inlogscherm, of een "medewerker" die je overhaalt geld naar een zogenaamd veilige rekening te sturen.
Van "PostNL" of "DHL"	Uw pakket kon niet bezorgd worden. Betaal € 1,95 verzendkosten om opnieuw te laten bezorgen.	Je vult je bankgegevens in op een nepbetaalpagina, en geeft soms ongemerkt een doorlopende machtiging af.
Van "de Belastingdienst"	U heeft recht op een teruggave. Log in met DigiD om uw rekeningnummer door te geven.	Je DigiD komt in verkeerde handen. De Belastingdienst vraagt nooit per e-mail om een rekeningnummer.

De simpelste regel die er is

Reageer nooit vanuit het bericht zelf. Klik niet op de link, bel niet het nummer dat erin staat en antwoord niet op de mail. Wil je weten of het klopt? Ga er dan zelf naartoe: open de app van je bank, typ het webadres dat je kent, of bel het nummer op de achterkant van je bankpas. Is het bericht echt, dan zie je het daar gewoon terug.

Vind je het lastig om zeker te zijn? Bel dan een kind, een buurvrouw of ons en lees het voor. Niemand vindt dat gek; wij krijgen die telefoontjes wekelijks en meestal is het binnen dertig seconden duidelijk.

Erin getrapt? Doe dit, in deze volgorde

Stap 1

Bel meteen je bank

Gebruik het nummer op de achterkant van je bankpas. Zij kunnen je rekening blokkeren en kijken of er al geld weg is. Doe dit als eerste — elke minuut telt. Schaam je niet: ze horen dit elke dag.
Stap 2

Verbreek de verbinding

Heb je iemand op je computer laten meekijken, zet dan de wifi uit en sluit de computer af. Zolang het programma draait, kunnen zij erbij.
Stap 3

Verander je wachtwoorden

Doe dat op een ander apparaat. Begin bij je e-mail: daarmee kan iemand alle andere wachtwoorden opvragen. Gebruik overal een ander wachtwoord en zet tweestapsverificatie aan.
Stap 4

Laat je computer nakijken

Software die is geïnstalleerd om mee te kijken moet er compleet uit. Wij doen dat bij je thuis; zie computerhulp aan huis.
Stap 5

Meld het en doe aangifte

Doe aangifte bij de politie (0900 - 8844) en meld het bij de Fraudehelpdesk op 088 - 786 7372. Dat helpt om nepwebsites offline te krijgen, ook als je zelf geen geld kwijt bent.

Zo maak je jezelf lastiger te pakken

Zet tweestapsverificatie aan bij je e-mail en je bank. Dan is een gestolen wachtwoord alleen niet genoeg.
Gebruik overal een ander wachtwoord. Een wachtwoordbeheerder onthoudt ze voor je; je kent er zelf nog maar één.
Houd je apparaten bijgewerkt. Zie ook wat je zelf kunt doen aan een trage computer.
Bekijk je afschriften en zet meldingen aan in je bank-app. Een kleine afboeking die je niet herkent is vaak het eerste teken.
Bewaar het nummer van je bank in je telefoon, zodat je niets hoeft op te zoeken als het spannend wordt. Lees ook onze tips over veilig internetbankieren.

Veelgestelde vragen over phishing

Hoe herken ik een phishingbericht?

Let op drie dingen: het bericht komt onverwacht, er zit haast achter ("binnen 24 uur", "anders wordt uw rekening geblokkeerd"), en er wordt gevraagd om te klikken, in te loggen of te betalen. Taalfouten zijn geen betrouwbaar kenmerk meer; veel nepberichten zijn tegenwoordig in foutloos Nederlands geschreven.

Mijn bank belde en het nummer klopte. Kan dat toch nep zijn?

Ja. Een telefoonnummer is te vervalsen, ook het nummer dat op de achterkant van je bankpas staat. Hang op en bel zelf terug via dat nummer. Doe dat het liefst met een andere telefoon, of wacht een paar minuten — een oplichter kan de lijn even openhouden.

Ik heb op een link geklikt. Wat nu?

Alleen klikken is meestal nog niet erg. Heb je gegevens ingevuld of een app geïnstalleerd, bel dan direct je bank via het nummer op je bankpas, wijzig je wachtwoord en laat je computer nakijken. Meld het daarna bij de Fraudehelpdesk op 088 - 786 7372 en doe aangifte bij de politie.

Vraagt een bank ooit om mijn pincode of om je bankpas op te sturen?

Nooit. Een bank vraagt niet om je pincode, vraagt je nooit je bankpas af te geven of op te sturen, vraagt je nooit geld naar een "veilige rekening" of "kluisrekening" over te maken, en vraagt je nooit software te installeren zodat iemand kan meekijken. Gebeurt dat wel, dan is het oplichting.

Twijfel je over een bericht?

Bel even naar 030 3403 507 en lees het voor. Daar rekenen wij niets voor.

Maak een afspraak Bel 030 3403 507