Nepmail of -sms van je bank herkennen (phishing in gewone taal)

Je krijgt een berichtje: je pas verloopt, een pakket kon niet bezorgd worden, of er staat nog een bedrag open. Het ziet er echt uit, met een logo en al, en er zit een knop bij om "het snel te regelen". Dit soort berichten heet phishing: oplichters hengelen naar je gegevens. Ze gebruiken daarbij steeds dezelfde handvol trucs. Ken je die signalen, dan valt zo'n bericht je een stuk sneller op.

Wat phishing is

Phishing is een nep-bericht (mail, sms, WhatsApp of een belletje) dat zich voordoet als een bekend bedrijf: je bank, PostNL, de Belastingdienst, een webshop. Het wil één ding: dat jij op een link klikt en je inlog- of bankgegevens invult op een nep-website, of dat je geld overmaakt. Die nep-website lijkt als twee druppels water op de echte.

Onthoud dit als kapstok: een bank, de overheid of een bezorger vraagt je nooit per mail of sms om in te loggen, te betalen of je pincode te geven via een link. Doen ze dat wel, dan is het nep.

De signalen, op een rij

Eén signaal is vaak al genoeg om te weten dat het niet pluis is:

• Het schept urgentie. "Doe het binnen 24 uur of je rekening wordt geblokkeerd." Echte bedrijven zetten je niet zo onder druk.
• Er zit een link of knop bij om in te loggen of te betalen. Dat is precies waar het om draait.
• Het adres of nummer klopt net niet. Een afzender als service@bank-veilig-login.com of een 06-nummer voor je "bank".
• Een algemene aanhef: "Beste klant" in plaats van je naam. (Let op: soms kennen ze je naam wél; dat maakt het nog niet echt.)
• Taalfoutjes of houterige zinnen. Dit signaal wordt zwakker: oplichters schrijven tegenwoordig vaak foutloos Nederlands. Een net bericht is dus geen bewijs dat het echt is.
• Het gaat over iets onverwachts: een pakket dat je niet verwacht, een terugbetaling waar je niet om vroeg, een boete uit het niets.

De gouden test: klik niet, maar controleer zelf

De kern is: vertrouw de link in het bericht niet. Ga in plaats daarvan zelf naar de bron die je al kent:

1. Krijg je een bericht "van je bank"? Open de bank-app op je telefoon of typ het webadres van je bank zelf in de browser. Staat daar geen melding en klopt je saldo, dan hoef je met het bericht niets te doen en kun je het weggooien.
2. Gaat het over een pakket? Ga naar de officiële site of app van de bezorger en zoek daar je zending op. Gebruik niet de link uit de sms.
3. Twijfel je echt? Bel het bedrijf via het nummer op je pas, je rekening of de officiële website. Nooit via een nummer uit het verdachte bericht.

Op een computer kun je vaak al iets zien zonder te klikken: houd je muispijl boven een link (niet klikken) en kijk linksonderin welk adres er echt verschijnt. Wijkt dat af van het bedrijf, dan is het mis.

Wat je doet met een verdacht bericht

• Klik nergens op en vul niets in.
• Verwijder het bericht, of meld het eerst (zie hieronder) en verwijder het daarna.
• Veel banken hebben een vast e-mailadres om phishing naartoe te sturen (vaak iets als valse-email@ je bank). In Nederland kun je verdachte berichten ook melden bij de Fraudehelpdesk.

Ik heb toch geklikt of iets ingevuld. Wat nu?

Het overkomt heel veel mensen, dus geen schaamte. Wel meteen handelen:

1. Heb je bankgegevens of een code ingevuld? Bel direct je bank via het nummer op je pas en laat blokkeren wat nodig is. Hoe sneller, hoe beter.
2. Heb je ergens een wachtwoord ingevuld? Verander dat wachtwoord meteen op de echte site, en overal waar je hetzelfde wachtwoord gebruikte.
3. Hou de komende dagen je rekening in de gaten en doe bij schade aangifte bij de politie.

Veelgestelde vragen

Ze kenden mijn naam en e-mailadres. Dan is het toch echt? Niet per se. Naam en e-mailadres staan in veel gelekte lijsten. Het hoort bij de truc om betrouwbaar te lijken.

Is alleen klikken al gevaarlijk, ook als ik niets invul? Vaak gebeurt er bij alleen klikken nog niets ergs, maar het kan je naar een nep-site of een download leiden. Vul in elk geval nooit gegevens in en download niets. Bij twijfel: sluit de pagina.

Hoe weet ik zeker dat een e-mail van mijn bank wél echt is? Door het niet aan de e-mail zelf af te meten, maar zelf in te loggen via je app of de site die je intypt. Staat daar dezelfde boodschap, dan klopt het bericht. Staat er niets, dan kun je het weggooien. Zo hoef je de mail zelf helemaal niet te beoordelen.

Hoe nu verder

Wil je je accounts zo inrichten dat een gestolen wachtwoord níét meteen een ramp is? Dan zijn dit de logische vervolgstappen:

• Tweestapsverificatie instellen, een tweede slot, zodat alleen je wachtwoord niet genoeg is voor een inbreker.
• Een wachtwoordmanager instellen op Windows 11, die vult wachtwoorden alleen in op de échte site, wat phishing extra lastig maakt.