Phishing en nepmails herkennen

Phishing: veelgebruikt bij oplichting

Steeds meer consumenten ontvangen nepmails (valse e-mails, phisingmails) of nepberichten via sms of andere kanalen. Daarin doen criminelen zich voor als een overheidsinstelling, bank of bedrijf. De naam van de Consumentenbond wordt ook misbruikt voor phishing.

Bij twijfel, klik niet

Nog steeds trappen veel mensen in dringende verzoeken om op linkjes of bijlages te klikken, gegevens in te vullen of betalingen te doen. Soms zijn de berichten bijna niet van echt te onderscheiden. Bij twijfel, klik niet. Met de juiste tips kun je elke valse mail doorzien.

Er bestaat ook telefonische phishing, bijvoorbeeld door een nepmedewerker van Microsoft.

Wat is phishing?

Phishingberichten hengelen naar je geld en gegevens. Met een dringend bericht proberen ze je vaak naar een valse website te leiden. Soms ziet die er precies hetzelfde uit als de officiële website. Alleen het webadres wijkt altijd af.

Gegevens die je invult op de phishing-website kunnen criminelen gebruiken om bijvoorbeeld je rekening te plunderen. Criminelen gebruiken ook gegevens uit datalekken om berichten overtuigender te maken.

Nepmails zijn ook nog steeds een belangrijke manier om virussen te verspreiden. Vooral ransomware die je persoonlijke bestanden versleutelt is gevaarlijk. 

Veel valse e-mails wo rden verstuurd uit naam van banken, pakketverzenders, incassobureau Intrum Justitia, het CJIB en internetproviders. Nep-winacties, die je mooie prijzen voorspiegelen, komen uit naam van bijna alle bekende merken voor.

Tip: Bekijk deze voorbeelden van nepmails en video-uitleg.

Zo herken je phishing

Criminelen versturen nepberichten via e-mail, sms of social media. Die nepberichten proberen je meestal te overtuigen op een link te klikken, zodat je op een phishingwebsite terechtkomt. Of ze bevatten een onbetrouwbare bijlage. Met deze tips herken je nepmails en voorkom je dat je in de sluwe trucs trapt:

1. Herken foute links en webadressen

Zo zie je waar een link echt naar leidt:
- pc/laptop: zweef met het muispijltje boven een link. Linksonder op het scherm of vlak boven de muiscursor verschijnt het webadres waarnaar de link verwijst.
- smartphone/tablet: druk de link in totdat er een venstertje verschijnt met het webadres.
​Een echt webadres bestaat uit de naam van het bedrijf, gevolgd door een punt en daarna vaak nl of soms com. Samen wordt dit de domeinnaam genoemd, bijvoorbeeld: consumentenbond.nl. Extra tekst vóór de domeinnaam moet gescheiden zijn met een punt. Extra tekst achter de domeinnaam moet gescheiden zijn door een schuine streep (‘/’). Valse webadressen zijn bijvoorbeeld login-consumentenbond.nl (geen punt tussen 'login' en domeinnaam) en abnamro.nl.nieuwsbrief-abn.nl (geen ‘/’ achter abnamro.nl).
Vind je het lastig om valse van echte webadressen uit elkaar te houden? Klik dan gewoon niet. Zie de tips bij 'Wat moet je (niet) doen bij verdachte berichten of websites?' verder op deze pagina.

2. Urgentie: snelle actie nodig

In bijna elk phishingbericht word je een gevoel van urgentie aangepraat, zodat je snel actie gaat ondernemen en niet goed meer nadenkt. Tel tot tien en klik niet door. Een bank zal bijvoorbeeld niet snel een bericht sturen waarbij je binnen een week actie moet ondernemen. Twijfel je, bel dan zelf, maar haal het nummer niet uit het verdachte bericht. Wees ook alert als je gebeld wordt, dit kan (bank) spoofing zijn.

3. Check de afzender

Phishingmails hebben bijna altijd een vreemd e-mailadres als afzender. Een fout e-mailadres herken je op vergelijkbare wijze als een foute link. Het deel achter het @-teken moet eindigen op de domeinnaam. De tekst voor de domeinnaam moet gescheiden zijn met een punt. Goed: nieuwsbrief@mail.ing.nl Fout: nieuwsbrief@emaillogin-ing.nl
Een truc die criminelen ook wel gebruiken is een heel lang emailadres, zodat de @ en domeinnaam buiten beeld vallen.
Let op: een kloppend e-mailadres als afzender geeft geen garanties. Criminelen kunnen het afzenderadres vervalsen (spoofen). De link in een valse e-mail laat dan zien waar het echt om gaat.

4. Verdachte afzenders en onderwerpen

Vaak gebruikte onderwerpen voor nepmails zijn bankzaken. Denk aan beveiligingsproblemen, zogenaamde verdachte inlogpogingen of aanvragen nieuwe betaalpas. Pakketleveringen (zoals gemist pakketje of voldoen van kosten), incasso’s, boetes (CJIB), facturen of noodzakelijke bevestiging/identificatie of zogenaamde verdachte activiteit of inlogpogingen. Criminelen gebruiken ook vaak actuele situaties, zoals teruggave of compensatie (van energiekosten). Veel nepmails vragen om een urgente actie, anders zouden er (hogere) kosten of sancties volgen.

5. Wachttijden bij bankwebsites

Moet je tijdens het inloggen bij je bank meer dan een paar seconden wachten voor een volgend scherm verschijnt? Of krijg je een 'wachtmelding'? Stop dan. Dit is een teken dat je op een nep-bankwebsite zit waarbij de criminelen je gegevens uitlezen. Die vullen ze op de achtergrond live in bij de echte bankwebsite en dat kost even tijd.

6. Kwaadaardige bijlagen

E-mailbijlagen kunnen malware bevatten, zoals ransomware. De volgende bestandstypen zijn extra verdacht als mailbijlage:
.zip: een zip-bestand wordt gebruikt om de inhoud (vaak een .exe-bestand) te maskeren.
.docx/doxm of .xlsx/xlsm: een Word- of Excel-document. Standaard niet gevaarlijk, maar als het bestand na openen vraagt om het inschakelen van macro’s, doe dat dan niet.
.exe: een programmaatje, als bijlage nagenoeg altijd foute boel.
.js .lnk .wsf .scr .jar: Nooit openen! Ze bevatten scripts die malware downloaden.
Helaas zijn de extensies (zoals .exe) in Windows standaard verborgen. Schakel bestandextensies in, zodat je ziet om wat voor bestand het gaat. Typ Windowstoets + R, typ in het venster ‘control folders’ en druk op Enter. In het tabblad Weergave verwijder je het vinkje voor ‘Extensies voor bekende bestandstypen verbergen’.

7. Onpersoonlijke aanhef en bericht

Pas op bij een algemene aanhef als ‘Geachte klant’ bij betaal- of bankzaken. Je eigen naam in de aanhef of kloppende gegevens in een mail zijn echter geen garantie voor een goede e-mail. Criminelen gebruiken soms namelijk bij hacks en datalekken buitgemaakte persoonsgegevens.

8. Taalfouten

Veel phishingmails bevatten taal- en/of typfouten, maar soms zijn de opmaak en het taalgebruik lastig van een echte mail te onderscheiden.

9. Fout rekeningnummer

Staat er in een e-mail een rekeningnummer waar je geld naar zou moeten overmaken, controleer dit dan op de echte website van het bedrijf. Als er een vreemde naam bij het rekeningnummer hoort of het een buitenlandse rekening is, moet je oppassen.

Bij twijfel

Twijfel je of een bericht of website echt is, kijk dan op de Fraudehelpdesk, opgelicht.avrotros.nl/alerts/ (of in de Opgelicht?!- app) of hij daar genoemd wordt. Je kunt ook een AI chatbot gebruiken om tekst, screenshots of links te laten controleren. Blijft er twijfel, bel of chat dan met de geclaimde afzender.

Wat moet je (niet) doen bij verdachte berichten of websites?

• Niet klikken: open website of app. Klik niet op de linkjes in berichten. Typ zelf het bekende webadres in de browser (of gebruik je favorieten) of ga naar de app en log daar in bij de beveiligde omgeving voor berichten, bankzaken of facturen. Voor overheidsberichten is er mijn.overheid.nl of de Berichtenbox-app (voor Android of iOS).
• Check bevestiging in app. Als je een betaling of inloggen moet bevestigen via je bank-app of apparaatje (zoals een e.dentifier), bekijk dan goed of het bedrag klopt en wat je nu precies bevestigt.
• Open geen bijlages van mails. Je computer kan dan besmet worden met kwaadaardige software.
• Gebruik een wachtwoordmanager. Die zal niet zomaar je inloggegevens invullen op een phishingsite, omdat het webadres afwijkt.
• Bel geen telefoonnummers in de mail. Je belt dan mogelijk naar fraudeurs of een duur betaalnummer.
• Twijfel je over een e-mail? Volg onze bovenstaande checklist om zekerheid te krijgen.
• Gebruik een goede virusscanner en browser. Virusscanners en browsers kunnen phishingwebsites blokkeren. Alleen de standaard scanner van Windows, Defender, blokkeert ze niet. Browsers blokkereren ook een deel van de phishingsites, maar virusscanners houden vaak flink meer tegen. Met uitzondering van bijvoorbeeld Microsoft Defender. Dit blijkt uit onze test virusscanners. Bekijk de beste virusscanners voor Windows of voor Android.

Wat moet je doen als je op een phishinglink hebt geklikt of gereageerd?

Gelukkig kan het meestal niet zo veel kwaad als je per ongeluk klikt op een phishinglinkje. Het gaat pas echt fout als je iets invult op of downloadt van de nepwebsite waar je op terecht komt. Of als je een foute bijlage opent.

Heb je al bepaalde gegevens prijsgegeven aan een fraudeur? Trek dan direct aan de bel bij de betrokken bedrijven of instanties.

• Waarschuw direct je bank als het om bankgegevens gaat. Volgens de banken kom je alleen in dat geval in aanmerking voor compensatie van de schade.
• Heb je een wachtwoord ingevuld op een nepwebsite? Verander dit wachtwoord dan meteen in een nieuw sterk wachtwoord. Gebruik je dit wachtwoord ook ergens anders? Pas het ook daar aan.
• Criminelen kunnen persoonlijke gegevens ook gebruiken voor bijvoorbeeld bank spoofing of andere, vaak telefonische oplichting. Ze gebruiken je gegevens dan om vertrouwen te winnen. Onder meer als ze zich voordoen als bank.
• Kun je bestanden niet meer openen? En zijn ze versleuteld door gijzelsoftware? Dan is er niet altijd een oplossing, maar in sommige gevallen wel. Lees hoe je deze zogenoemde ransomware kunt verwijderen.
• Heb je je mobiele nummer ingevuld? Meld je dan meteen af voor ongewenste (sms) betaaldiensten via Payinfo.nl.
• Ben je geld kwijtgeraakt? Doe aangifte. Je kunt ook proberen je geld terug te krijgen door gegevens van de oplichter op te vragen.