Nep-sms herkennen: smishing van bank of bezorger

Wat is smishing?

Smishing is een samenvoeging van sms en phishing. Phishing is oplichting waarbij iemand je met een nepbericht naar een valse website lokt om je gegevens af te pakken. In plaats van een e-mail krijg je een tekstbericht dat lijkt te komen van een betrouwbare afzender, zoals je bank, een pakketdienst of een overheidsinstantie. Het bericht bevat bijna altijd een link en een reden om die snel aan te klikken. Die link leidt naar een nepinlogpagina die er precies uitziet als de echte. Vul je daar je inlog- of betaalgegevens in, dan belanden die bij de oplichter.

De nep-bank-sms

Deze berichten spelen op angst. Ze melden bijvoorbeeld een verdachte transactie op je rekening, dat je pas of je account bijna verloopt, of dat je iets moet “bevestigen” of “opnieuw activeren”. In het bericht staat een link om dat direct te regelen. Klik je erop, dan land je op een nepinlogpagina van “de bank” die je gebruikersnaam, wachtwoord of betaalgegevens vraagt. Word je daarna ook gebeld door iemand die zegt van de bank te zijn? Lees dan hoe bankhelpdeskfraude verloopt.

De nep-bezorg-sms

Deze vorm lift mee op de vele pakketjes die we bestellen. Een bericht dat lijkt te komen van PostNL, DHL of een andere bezorger meldt dat je pakket niet bezorgd kon worden en dat je een kleine toeslag moet betalen, bijvoorbeeld enkele euro's aan “verzendkosten” of “invoerrechten”, via een link. Dat kleine bedrag maakt het geloofwaardig, maar het echte doel is je betaalgegevens: op de neppagina voer je je kaart- of inloggegevens in.

Verwacht je echt een pakket? Gebruik dan de officiële track-and-trace van de bezorger, die je zelf opzoekt via hun app of website, en klik niet op de link in de sms.

De nep-overheids-sms

Een derde variant doet zich voor als de overheid: DigiD, de Belastingdienst of het CJIB, dat de verkeersboetes int. Het bericht meldt dat je DigiD verloopt, dat er een boete openstaat of dat je een teruggave misloopt, en er staat een link of een QR-code bij.

Onthoud twee dingen. DigiD stuurt je nooit een bericht met een link of een QR-code, dus elk bericht “van DigiD” waar je op moet klikken is vals. En het CJIB stuurt verkeersboetes per post, niet per sms, e-mail of WhatsApp met een betaallink.

Twijfel je over een boete of een aanslag? Log er zelf voor in op de site van de instantie, via een adres dat je zelf intikt. Niet via het bericht.

Aan welke signalen herken je een nep-sms?

• Onverwacht. Je verwachtte geen bericht van deze bank of bezorger.
• Een link. Je wordt gevraagd op een link te tikken om iets te bevestigen, betalen of activeren.
• Urgentie. Je moet snel handelen, anders vervalt je pas, wordt je pakket teruggestuurd of gebeurt er iets met je rekening.
• Een klein bedrag. Een verrassend laag bedrag verlaagt je waakzaamheid.
• Taalfouten. Vreemde zinnen, spelfouten of een onpersoonlijke aanhef. Let op: veel nepberichten zijn inmiddels foutloos geschreven, dus een nette tekst zegt niets.
• Een vreemd webadres. De link gaat niet naar het echte, bekende webadres van de organisatie maar naar een adres dat daarvan afwijkt.

Let op: net als bij een telefoonnummer kan ook een afzendernaam vervalst zijn, zodat het bericht in hetzelfde gesprek verschijnt als echte sms'jes van je bank. Lees hoe dat werkt in de gids over spoofing herkennen. De afzender is dus nooit een bewijs; de inhoud verraadt de fraude.

Wat moet je doen met een verdachte sms?

• Klik niet op de link en vul nergens je gegevens in.
• Controleer het zelf in de officiële app of op de website die je zelf intikt of uit je favorieten haalt, niet via het bericht.
• Meld het of stuur het door. Meld de sms via het meldformulier van de Fraudehelpdesk, of bel 088 786 7372. Gaat het om een nepbericht van je bank of van DigiD, stuur het dan ook door naar het meldadres van die organisatie – die staan hieronder.
• Verwacht je een pakket? Gebruik de echte track-and-trace van de bezorger.
• Verwijder het bericht nadat je het hebt gecontroleerd, doorgestuurd of gemeld.

Waar meld je een nep-sms?

Eén landelijk nummer waar je elke phishing-sms naartoe kunt sturen, bestaat in Nederland niet. Je meldt het bericht bij de partij waar de oplichter zich voor uitgeeft, en daarnaast bij de Fraudehelpdesk.

• Fraudehelpdesk. Meld het via het meldformulier voor particulieren, of bel 088 786 7372.
• Politie. Is er geld weg of heb je je gegevens ingevuld, doe dan aangifte. Bel 0900 8844 of kijk op de pagina van de politie over aangifte van phishing. Online aangifte kan alleen bij betaalverzoekfraude en bij phishing van je bankgegevens; in andere gevallen maak je telefonisch een afspraak.
• Je bank. ING: stuur het bericht door naar valse-email@ing.nl. ABN AMRO: naar valse-email@nl.abnamro.com, of stuur een valse sms door naar 097 008 101 095. Rabobank: naar valse-email@rabobank.nl, van een sms of een appje maak je eerst een schermafdruk. Bank je ergens anders, kijk dan op de site van je eigen bank onder “fraude melden”.
• DigiD. Stuur het bericht, of een foto van de sms, door naar valse-email@digid.nl.

Krijg je ook telefoontjes van hetzelfde soort nummers? Zoek het nummer hierboven op, plaats een melding en bekijk de meest gemelde nummers. Wordt je daarna gebeld door iemand die zegt van je bank te zijn, lees dan wat je doet bij bankhelpdeskfraude, en bij een telefoontje over je computer hoe de nep-Microsoft-helpdesk werkt.

Veelgestelde vragen