Een mail van “je bank” met de mededeling dat je pas over een paar uur wordt geblokkeerd. Een sms van PostNL over een pakket dat je moet bijbetalen. Een appje van DigiD dat je gegevens zijn verlopen. Allemaal nep, allemaal ontworpen om je in een split second op een link te laten klikken voordat je er goed over nadenkt.

Phishing is een vorm van internetfraude waarbij criminelen zich voordoen als een betrouwbare partij, zoals je bank, DigiD, een pakketdienst of zelfs een collega, om gevoelige gegevens los te peuteren: wachtwoorden, bankgegevens of toegang tot je accounts. Het gebeurt via e-mail, sms, telefoontjes, WhatsApp, QR-codes of nepwebsites. Hieronder hoe je het herkent, en wat je doet als het je toch overkomt.

1. Controleer de afzender en het adres

Criminelen proberen legitieme afzenders na te bootsen, maar bij goed kijken valt vaak iets op: een vreemde toevoeging in het e-mailadres, zoals noreply@bankservice-secure.nl, een onbekend telefoonnummer, of een subtiele spelfout in de domeinnaam, zoals raboobank.nl in plaats van rabobank.nl. Controleer altijd het volledige e-mailadres of linkadres voordat je ergens op klikt.

2. Klik nooit zomaar op links of bijlagen

Phishingmails bevatten vaak links naar nepwebsites die sterk lijken op die van je bank of een overheidsdienst, of bijlagen met virussen of andere schadelijke software. Twijfel je, typ het webadres dan zelf over in je browser in plaats van op de link in het bericht te klikken.

3. Geef nooit persoonlijke gegevens via e-mail, sms of telefoon

Echte instanties vragen nooit om je pincode, wachtwoord of inlogcodes via e-mail, sms of telefoon. Ze sturen je ook nooit een link waar je met spoed moet inloggen om iets te voorkomen, en dreigen niet met blokkering of boetes binnen 24 uur. Word je gevraagd om iets belangrijks via een link in te vullen, vertrouw het dan niet, ongeacht hoe overtuigend het bericht oogt.

4. Zet tweestapsverificatie aan

Bij veel accounts, waaronder Google, DigiD, je bank en social media, kun je tweestapsverificatie instellen. Naast je wachtwoord voer je dan een extra code in via sms of een app. Zelfs als iemand je wachtwoord weet, komt hij zonder die tweede stap niet binnen.

Kies waar mogelijk voor een authenticator-app, zoals Google Authenticator of Microsoft Authenticator, in plaats van een sms-code. Sms-codes kunnen in zeldzame gevallen onderschept worden via een aanval op je telefoonnummer, terwijl een authenticator-app die kwetsbaarheid niet heeft.

5. Houd software en apparaten up-to-date

Phishing kan ook lopen via kwaadaardige websites of bestanden die misbruik maken van bekende beveiligingslekken in je browser of besturingssysteem. Updates dichten die lekken. Zet automatische updates aan, gebruik een goede virusscanner, en installeer apps alleen via officiële appstores.

6. Ken de typische signalen

Een aantal kenmerken komt telkens terug: spelfouten of onprofessionele zinsbouw, een aanhef als “beste klant” in plaats van je eigen naam, en een gevoel van spoed of dreiging zoals “betaal nu om blokkering te voorkomen”. Ook een verdachte link die niet klopt met de vermeende afzender, en aanbiedingen die te mooi zijn om waar te zijn, zoals een onverwachte geldprijs, horen bij het patroon.

7. Een slotje in de adresbalk is geen garantie

Let op of een website begint met https en een slotje toont in de adresbalk. Dat betekent dat de verbinding versleuteld is. Dat is echter geen bewijs dat de site zelf betrouwbaar is, alleen dat wat je invoert onderweg niet is af te luisteren. Ook nepwebsites gebruiken tegenwoordig standaard een geldig slotje. Kijk dus altijd óók naar de domeinnaam zelf.

8. Wees extra alert bij je bank, DigiD en pakketdiensten

Criminelen doen zich het vaakst voor als je bank, met berichten als “je pas verloopt” of “onregelmatigheid op je rekening”; als een pakketdienst zoals PostNL of DHL, met “pakket gemist” of “bijbetalen voor verzending”; of als DigiD of de overheid, met “belastingschuld” of “je gegevens zijn verlopen”. Log nooit in via een link in zo’n bericht, maar ga altijd rechtstreeks naar de officiële website via je eigen favorieten of door het adres zelf te typen.

9. Meld phishingpogingen

Ontvang je een verdachte e-mail met links of bijlagen, stuur die dan door naar valse-email@fraudehelpdesk.nl. Stuur het bericht als bijlage mee in plaats van simpelweg door te sturen, dat maakt onderzoek mogelijk zonder dat de link of bijlage eerst wordt uitgevoerd. Lijkt de e-mail van je bank of een bekend bedrijf te komen, zet dat bedrijf dan ook in de cc, zodat zij zelf ook op de hoogte zijn. Voor andere verdachte berichten, zoals sms of WhatsApp, gebruik je het meldformulier op fraudehelpdesk.nl. Blokkeer en rapporteer verdachte sms’jes en telefoontjes daarnaast in je eigen telefoon, en waarschuw familie of collega’s als je iets verdachts tegenkomt.

Als het je toch is overkomen

Heb je op een link geklikt en gegevens ingevuld, handel dan direct. Bel je bank via het officiële nummer op de achterkant van je pas of vanaf de officiële website, nooit via een nummer uit het verdachte bericht zelf. Wijzig meteen je wachtwoorden, en begin daarbij met je e-mailaccount, want wie daar toegang toe heeft kan via wachtwoord-vergeten vaak ook bij je andere accounts komen. Overweeg voor al je belangrijke accounts een wachtwoordmanager, zodat elk account een uniek wachtwoord heeft en het lekken van één site niet meteen je hele digitale leven blootlegt.

Kort samengevat

Klik nooit zomaar op links of bijlagen, controleer afzender en webadres zorgvuldig, en geef nooit inloggegevens of een pincode via e-mail, sms of telefoon. Zet tweestapsverificatie aan, bij voorkeur via een authenticator-app, en houd je software up-to-date. Meld verdachte berichten bij de juiste instantie, want daarmee bescherm je niet alleen jezelf maar ook anderen. Phishing wordt met de dag geraffineerder, maar met een paar vaste gewoontes blijf je net iets alerter dan de oplichters verwachten.