Een phishing aanval herkennen

Je krijgt een mail van je bank: je rekening wordt geblokkeerd als je niet vandaag je gegevens bevestigt. Dat is het klassieke begin van een phishing aanval. Herkennen doe je zo’n bericht aan een paar vaste signalen: er is haast, er wordt om gegevens of geld gevraagd en de link of het afzenderadres klopt niet. Twijfel je, klik dan niet, zoek zelf het nummer van de organisatie op en meld het bericht bij de Fraudehelpdesk.

Wat een phishing aanval is

Bij phishing proberen criminelen je gegevens of geld te stelen via een e-mail, sms, WhatsApp-bericht, QR-code of telefoontje (bron: Rijksoverheid). Ze doen zich voor als een organisatie die je vertrouwt, zoals je bank, een webshop of de overheid. Soms doen ze zich zelfs voor als je eigen kind (bron: Veiliginternetten). De link in zo’n bericht leidt naar een nagemaakte website, waar je inloggegevens, je DigiD of je paspoortnummer moet invullen.

Volgens de Fraudehelpdesk lijken die mails en websites steeds beter op echt. Je ziet het verschil daarom vaak niet aan het logo of de opmaak, maar wel aan wat het bericht van je vraagt. Phishing raakt zo aan je privacy: wat je invult, gebruiken criminelen om in te loggen op jouw naam of om je later te bellen.

Signalen van een phishingmail

De Fraudehelpdesk en Veiliginternetten noemen deze signalen (bronnen: Fraudehelpdesk en Veiliginternetten):

• Er is haast: je moet nu reageren, anders dreigt er iets of verloopt een aanbieding.
• Je moet gegevens invullen via een link. Een bank of overheidsorganisatie vraagt dat nooit per mail.
• Het afzenderadres wijkt af. Kijk vooral naar het deel achter het @-teken: criminelen vervangen soms een letter o door een 0 of een I door een 1.
• Er staat geen persoonlijke aanhef, maar iets als “Beste klant”.
• Het aanbod is te mooi om waar te zijn.
• Je ziet rare taal- of spelfouten, al bevatten valse mails er veel minder dan vroeger.

Eén signaal zegt nog niet alles. Criminelen kunnen met spoofing, het nadoen van een echt adres of nummer, zelfs het echte adres van een organisatie laten zien, waarschuwt Veiliginternetten. Stel jezelf daarom ook de vraag die de Fraudehelpdesk aanraadt: is het logisch dat deze organisatie je dit vraagt? Weet een oplichter je naam of klantnummer, dan bewijst dat niets, want die gegevens kunnen uit een datalek komen.

Phishing via de telefoon: bankhelpdeskfraude

Een phishing aanval komt niet alleen per mail. De Fraudehelpdesk beschrijft een vast patroon bij bankhelpdeskfraude. Eerst vul je je gegevens in op een nagemaakte bankwebsite. Een paar dagen later belt een zogenaamde bankmedewerker over verdachte activiteiten op je rekening. Op je scherm staat het echte nummer van je bank, omdat de oplichter het nummer vervalst. Daarna vraagt hij je om je geld over te maken naar een “veilige rekening” of “kluisrekening”, die in werkelijkheid van de oplichter is (bron: Fraudehelpdesk).

Belt je bank, hang dan op. Zoek zelf het nummer van je bank op en vraag na of ze je echt hebben gebeld. Dezelfde regel geldt voor een onbekende aan de deur: je controleert het verhaal via een kanaal dat je zelf kiest, nooit via de gegevens die de ander je geeft.

Een link controleren zonder te klikken

Ga met je muis op de link staan zonder te klikken. Links onderin je scherm verschijnt dan het echte adres. Wijkt dat af van het adres dat in de mail staat, dan weet je zeker dat de link vals is, aldus de Fraudehelpdesk. Je kunt de link ook kopiëren en checken bij ScamCheck van Veiliginternetten. Die tool controleert of een website of link phishing, oplichterij of betrouwbaar is.

Een QR-code kun je niet zo controleren. Rijksoverheid raadt daarom aan nooit een QR-code te scannen die je niet vertrouwt. Kijk ook bij de Fraudehelpdesk in de lijst met valse e-mails die nu in omloop zijn. Staat jouw mail erbij, dan is hij nep. Staat hij er niet bij, dan bewijst dat niet dat hij echt is.

Wat doe je als je toch hebt geklikt?

Wat je moet doen, hangt af van hoe ver je bent gegaan (bronnen: Fraudehelpdesk en Rijksoverheid):

Vermoed je dat iemand jouw identiteit gebruikt, dan moet je volgens Rijksoverheid direct maatregelen nemen. Welke dat zijn, staat op de pagina van Rijksoverheid over identiteitsfraude.

Phishing melden

Rijksoverheid raadt aan altijd de Fraudehelpdesk te waarschuwen. Dat doe je via het meldformulier van de Fraudehelpdesk of telefonisch op 088 7867372. Meld het bericht daarnaast bij de organisatie waar het van zou komen, zoals je bank, adviseert Veiliginternetten.

Leer je kinderen dezelfde gewoonte als onderdeel van hun regels voor veilig internetgebruik: bij een vreemd bericht eerst vragen, dan pas klikken.