Dossier

Phishing: zo laat je oplichters bot vangen

31 maart 2021

Phishing blijft een van de populairste wapens van cybercriminelen. Via allerlei trucjes en kanalen, van e-mail tot sociale media, proberen ze je geld of gegevens te stelen. Niet zelden spelen ze daarbij in op actuele gebeurtenissen, zoals de coronacrisis. Onze tips tegen deze valse hengelpraktijken.

Wat is phishing?

Phishing is een vorm van cybercriminaliteit waarbij het potentiële slachtoffer wordt benaderd via e-mail, sms, instant messaging, sociale media of telefoon. De oplichter doet zich daarbij voor als iemand anders. Dat kan je bank, energieleverancier of een technologiebedrijf zijn, maar evenzeer een vriend of familielid.

Het doel is om te “hengelen” (“phishing” in het Engels) naar gevoelige gegevens, zoals persoonlijke informatie, wachtwoorden, bank- of kredietkaartgegevens. Eens hij die gegevens heeft buitgemaakt krijgt de oplichter vrij spel: hij kan er bijvoorbeeld toegang mee krijgen tot belangrijke accounts van het slachtoffer, zijn geld of identiteit stelen.

Verscheidene vormen

Om die informatie te verkrijgen worden verscheidene middelen ingezet. Niet zelden spelen oplichters in op actuele gebeurtenissen, zoals de coronacrisis. E-mails zijn nog steeds het populairst, maar daar blijft het niet bij.

Via e-mail

Er bestaan verschillende varianten van de phishingmail: een waarschuwing omtrent je account, de vraag van je bank om je gegevens te bevestigen … De afzender lijkt betrouwbaar, maar is uit op je persoonlijke of financiële gegevens die hij laat invullen op een nagemaakte webpagina, of hij wil je toestel infecteren met malware door je een bijlage te doen openen.

Hieronder een voorbeeld van een phishingmail zogenaamd afkomstig van Apple. Kijk even mee naar het e-mailadres: support@rjmamasatim02-team.freshdesk.com; dit lijkt allesbehalve een officieel Apple-adres. Als we met ons muispijltje over de link (“verify your identity”) zweven, zien we de echte URL verschijnen: het is een verkorte link (https://t.co/dzjF8OKRbN) die niet naar de echte Apple-website gaat.

phishingmail apple

Via sms, WhatsApp of Facebook Messenger

Sms- of instant messaging-apps worden gebruikt voor "smishing": je krijgt een sms, WhatsApp- of Facebook Messenger-bericht met daarin een waarschuwing (bijvoorbeeld "Ben jij dat in deze video?" of "Betaal nu of je rekening wordt geblokkeerd") of aanbieding (bijvoorbeeld "Win een waardebon bij Lidl"), en het verzoek om op een link te klikken of een nummer te bellen. De link doet je malware installeren of leidt naar een nagemaakte webpagina waarop je je (betaal)gegevens moet invullen. Het nummer leidt naar een fraudeur die zich bijvoorbeeld voordoet als een bedrijf en tracht je gegevens te achterhalen.

Hieronder een voorbeeld van zo’n vals sms’je waarbij de oplichter zich voordoet als een contactonderzoeker in het kader van de coronacrisis. Het officiële nummer is 8811. Dit bericht blijkt afkomstig van een ander nummer. En de link leidt naar een malafide URL, dat bevestigt ook onze check op www.virustotal.com

valse sms covid 19

Of kijk eens naar onderstaand sms'je. Het bericht is in het Nederlands, maar afkomstig van een Portugees nummer: verdacht. De link leidt niet naar een foto, wel naar een URL met malware, aldus onze check op www.virustotal.com.

smishing

Nog een populaire truc: een "bekende" contacteert je plots via WhatsApp en vraagt je met een smoesje om geld. Je krijgt een berichtje vanaf een onbekend nummer. De persoon zal beweren dat hij een nieuw nummer heeft. Om de een of andere reden heeft hij snel geld nodig, bijvoorbeeld om een openstaande rekening te betalen, en vraagt hij om dat even voor jou te betalen, want het moet snel gebeuren. Je krijgt de belofte dat je je geld zo snel mogelijk terugkrijgt. Als je die persoon probeert te bellen om verhaal te halen, zal die meestal niet opnemen en beweren dat er iets mis is met de verbinding of telefoon. Soms gaan de oplichters zelfs nog een stap verder en spelen ze kort het stemgeluid af van je contactpersoon. Dat halen ze via sociale media (bijvoorbeeld uit een story van je contact op Facebook of Instagram). Ga nooit in op zo'n verzoek!

Via telefoon

Phishing via de telefoon (“vishing”) werkt als volgt: oplichters proberen hun slachtoffer te overtuigen om geld over te schrijven of om persoonlijke, financiële of beveiligingsgegevens te delen. Klassiek voorbeeld: een “medewerker” van Microsoft of een ander technologiebedrijf belt je om een probleem met je pc te melden: je pc heeft een virus, werd gehackt, heeft niet de legale versie van Windows 10 enz.

Als “oplossing” laten ze je onder meer een programma downloaden of naar een bepaalde website surfen. Zo krijgt de oplichter toegang tot je computer en uiteindelijk wil hij je laten betalen om het probleem op te lossen. Het gaat dan om een bedrag van enkele euro’s dat je, vaak met behulp van je digipass, moet betalen. Jij denkt dat je een klein bedrag overschrijft, maar de oplichter zal erin slagen honderden tot zelfs duizenden euro’s buit te maken.

Een actueel voorbeeld is een oplichter die zich voordoet als een contactonderzoeker in het kader van COVID 19 en allerlei informatie probeert te ontfutselen. Enkel oproepen afkomstig van het telefoonnummer 02 214 19 19 zijn officieel en betrouwbaar. Een officiële medewerker van de overheid zal je ook nooit vragen naar niet-relevante informatie als je rijksregisternummer, betaalgegevens of tijdstippen waarop je thuis bent. Hij wil gewoon achterhalen of je in contact bent geweest met een besmette COVID-19-patiënt.

Via sociale media

Stel: je bent niet tevreden over een bedrijf en uit je ongenoegen op Facebook of Twitter. Het bedrijf heeft er baat bij snel te reageren want de post is zichtbaar voor iedereen. Maar… ook oplichters lezen mee. Ze maken een valse account aan en reageren dan op je klacht alsof ze de klantendienst zijn. Om geholpen te worden moet je op een (vaak verkorte) link klikken. Zo laten je ze malware installeren of je betaalgegevens invullen die ze dan op hun beurt kunnen misbruiken.

Hieronder een voorbeeld van phishing via Twitter. Een ontevreden klant stelt een vraag aan PayPal en krijgt antwoord van “@AskPayPal_Tech”. De officiële accounts van PayPal zijn echter “@PayPal” en “@AskPayPal”. De verkorte link gaat naar een valse loginpagina waar het slachtoffer wordt gevraagd haar gegevens in te vullen.

paypal twitter

Via Google Agenda

Bij deze methode sturen oplichters valse uitnodigingen naar Google Agenda-gebruikers. In die uitnodigingen staan phishing-links. Onder het voorwendsel dat je bv. een som geld hebt gewonnen proberen ze je te doen klikken. De bedoeling is om je persoonlijke of kredietkaartinformatie te laten invullen in een nagemaakt webformulier.

De oplichters maken hierbij misbruik van een instelling die standaard geactiveerd is in Google Agenda en die ervoor zorgt dat elke agenda-uitnodiging automatisch aan je agenda wordt toegevoegd. Om te verhinderen dat malafide uitnodigingen in je agenda komen te staan en je per ongeluk op links in die uitnodigingen klikt, schakel je die instelling dus beter uit.

Open Google Agenda in je browser en klik rechtsboven op het tandwiel en dan op Instellingen. Klik op Afspraakinstellingen. Bij Uitnodigingen automatisch toevoegen kies je Nee, alleen uitnodigingen weergeven waarop ik heb gereageerd. Onder Opties weergeven vink je Geweigerde afspraken weergeven uit.

Via QR-code

Deze vorm van oplichterij werkt als volgt: je biedt iets aan op een tweedehandssite en een geïnteresseerde koper contacteert je. Hij stelt voor om de betaling via zijn professionele rekening te doen. Om ze mogelijk te maken, vraagt hij om je rekeningnummer op te geven. Enkele minuten nadat je dat nummer hebt gegeven ontvang je een QR-code die je ter bevestiging moet scannen.

De analyse gebeurt op basis van de echte app van de bank en daarom lijkt alles betrouwbaar en legitiem. Maar ... in feite verwijst de code niet naar een betalingsbevestiging, wel naar een verbindingsportaal die de fraudeur, in combinatie met het eerder gebruikte rekeningnummer, directe toegang geeft tot je betaal- en spaarrekeningen. Bijgevolg merk je een paar uur later dat er grote sommen geld van je rekening zijn gedebiteerd.

We raden dan ook aan om zeer voorzichtig te zijn wanneer je een betalingsverzoek ontvangt waarvoor je een QR-code moet scannen. Een handmatige overschrijving is altijd veiliger omdat je je dan niet in een vervalste betaalomgeving bevindt. Blijf waakzaam en neem de tijd om alles grondig te controleren.

User name

Deelnemen aan de discussie

Doe mee en geef je mening of stel je vraag. 

18 reacties

sorteer op :

Meld je aan om toegang te krijgen.

14/07/2021

Bij fortis ben ik gered omdat het beveiligingssysteem werkte .Omdat zo 'n hoge overschrijving niet paste in mijn profiel is het geblokkeerd .Weet niet of dat ook gebeurd met meerder kleinere overschrijvingen achter elkaar.Mensen zijn soms kwaad als zoiets ook soms gebeurd ook als zijzelf die overschrijving doen ,maar ik was zéér blij .....

Meld je aan om toegang te krijgen.

15/07/2021
, Gereageerd:

Hallo Ivan, bedankt om dit met ons te delen, gelukkig is dit voor jou goed uitgedraaid. Lees via volgende link hoe banken reageren ivm de phishing- problematiek en hoe zijn hun verantwoordelijkheid zien: https://www.test-aankoop.be/hightech/internet/nieuws/banken-maatregelen-phishing ^An 

Meld je aan om toegang te krijgen.

14/07/2021

Ik vind dat de banken hier schromelijk tekort schieten. Je betaalt om je geld veilig te parkeren , zodoende dienen zij je beter te beschermen. Ik heb juist die maatregelen tegen phishing gelezen en die zouden de banken beter toepassen. Bovendien zijn ze veroordeeld in de rechtbank en toch blijven ze procederen om hun verantwoordelijkheid te ontlopen. Hebben wij in 2008 daarom bijgedragen om de banken te redden? En in de periode van "corona" nu, kan je ze zelfs niet meer persoonlijk contacteren; het gebeurt op afspraken die zij maken, soms na dagen wachten.
Een echt waterdicht systeem zal er wellicht nooit van komen, maar een beter bescherming is noodzakelijk.
Ik hoop dat consumentenorganisaties overal te lande hiertegen actie ondernemen.

Meld je aan om toegang te krijgen.

15/07/2021
, Gereageerd:

Dag Erik, in het kader van de strijd tegen phishing hebben wij contact opgenomen met verschillende Belgische banken om na te gaan welke maatregelen zij hebben genomen om de consument te beschermen. Helaas lijken de banken niet geneigd ons concrete antwoorden te geven. We wilden weten welke acties de banken van plan waren te ondernemen om phishing tegen te gaan. Ontdek in onze laatste video wie reageerden op onze verzoeken via deze link: https://www.test-aankoop.be/hightech/internet/nieuws/banken-maatregelen-phishing ^An 

Meld je aan om toegang te krijgen.

14/07/2021

ik heb nog over laatst gezien geweest met mij prepaycard bij KBC van 50€, heb klacht ingebracht maar ze willen mij niet terugbetalen

Meld je aan om toegang te krijgen.

15/07/2021
, Gereageerd:

Hallo Charly, had je dan een klacht ingediend via onze klachtenbox ajb?  Anders kan je dit nog gerust doen: https://www.test-aankoop.be/klagen Als abonnee kan je dan in stap 4 op de link klikken om de hulp in te roepen van onze advocaten. ^An 

Meld je aan om toegang te krijgen.

13/07/2021

ik heb het 2 x door de bank voorgehad BELFIUS en heb de 1ste keer alles terug gekregen van fishing nu de 2 keer de helft ik denk dat de bank doorlaat zonder de klant te vragen moet meer beveiliging op komen....hoe ???? ben nog steeds bezig voor DE oplossing....grtjs ik ben jullie klant B.M

Meld je aan om toegang te krijgen.

14/07/2021
, Gereageerd:

Dag Martine, recent hebben we kennisgenomen van twee vonnissen die in eerste aanleg zijn uitgesproken en KBC Bank hebben veroordeeld tot een terugbetaling aan klanten die het slachtoffer werden van phishing. Deze vonnissen, die in hoger beroep moeten worden bevestigd, kunnen hieromtrent een belangrijk precedent scheppen. En deze jurisprudentie is des te belangrijker omdat het aantal phishingzaken tussen 2019 en 2020 explosief is gestegen, o.a. door de lockdown en de vele online aankopen die deze met zich meebracht.

Hoewel banken vooral de boodschap brengen dat phishing nog steeds kan worden vermeden, zijn wij van mening dat dit niet langer correct is. De gevallen die bij de organisatie worden gemeld, zijn immers steeds minder te verklaren door de goedgelovigheid van de consument. Fraudetechnieken worden steeds geraffineerder en moeilijker op te sporen, zelfs voor een redelijk voorzichtige consument.

Intussen kan je je uiteraard proberen te wapenen tegen dergelijke praktijken. Op onze site vind je alvast een heleboel tips die je kan toepassen: https://www.test-aankoop.be/hightech/internet/nieuws/phishing 

Aarzel ook niet om via onze klachtenbox een klacht in te dienen via https://www.test-aankoop.be/klagen  of bel even naar de juridische dienst op het nummer 025423434 voor een advies van onze advocaten. ^An 

Meld je aan om toegang te krijgen.

06/04/2021

Goede avond,
ik heb een simpel criterium om een programma te downloaden of te gebruiken.
Is de firma telefonisch te bereiken(dus dat je zelf ze kan telefoneren en niet dat je een mail stuurt zodat zij jou kunnen contacteren) en hebben ze een adres dat te verifiëren is.
Indien niet , dan NO WAY !
Het mag nu nog zo zijn dat b.v. Facebook miljarden gebruikers heeft, als je ze niet kan telefoneren hoeft het voor mij niet. Iedereen heeft andere communicatiemiddelen zat.
Tenslotte : Vraag aan test aankoop, hoe contacteren jullie Facebook?
Mvg

Meld je aan om toegang te krijgen.

28/04/2021
, Gereageerd:

Hoi Kurilius, als je een klacht bij hen wil indienen kan je dit gerust doen via onze klachtenbox, hun emailadres zit erin. Ik geef je even de link ernaartoe mee: https://www.test-aankoop.be/klagen  Mvg, ^An 

Meld je aan om toegang te krijgen.

31/03/2021

Dat banken klanten pushen om steeds meer digitaal te doen is correct, echter dat het zelf voor de voorzichtige consument moeilijk is om fraude te herkennen, dat is niet juist. Twee keer nadenken voor je iets doet. Iets betalen, dat doe je niet vanuit een link. Dat doe je via je bank app. Zo moeilijk is dat niet.

Meld je aan om toegang te krijgen.

01/04/2021
, Gereageerd:

Klopt, Jeffrey, een wakkere consument dient zeker en vast het hoofd erbij te houden, vooral nu er steeds meer aankopen via internet gebeuren. We raden in ieder geval aan om verdachte mails en screenshots van verdachte sms’jes door te sturen naar je bank en naar verdacht@safeonweb.be. Het Centrum voor Cybersecurity België zal de links controleren en malafide exemplaren blokkeren. ^An 

Meld je aan om toegang te krijgen.

04/04/2021
, Gereageerd:

Dag An, de site safeonweb.be bevat zeker en vast interessante tips. Helaas zie je op dit moment in FireFox 87.0 een ! in het slotje omdat ze mixed content gebruiken. Voor info zie developer.mozilla.org/.../Mixed_content
Misschien kunnen jullie eens aandringen dat ze dit aanpassen en het goede voorbeeld geven. Het is niet eenvoudig voor de gemiddelde gebruiker om te beoordelen of zo een slotje met ! nu ok is of niet. Grts

Meld je aan om toegang te krijgen.

31/03/2021

Vandaag ook mail van itsme. Probleem is dat je uiteindelijk niet meer weet of een mail al dan niet van de bank komt. Telkens telefonisch navragen ????
Beter zou zijn dat banken gewoon geen mails meer sturen. Alleen nog via post en/of via hun eigen platform. Hoogstens nog een uitnodiging om in te loggen via internet om bericht te lezen, Als er dan nog iets fout loopt zijn ze duidelijker mee verantwoordelijk. Nu zeggen ze alleen maar dat je het mailbericht (of haar bijlagen) maar niet had moeten openen. Straks doen die paljassen het nog onder het mom van test-aankoop .....Kunnen al die geleerde koppen dat nu echt niet tegen voorkomen ???

Meld je aan om toegang te krijgen.

30/03/2021

elke Belg is verplicht een bankrekening te hebben waarop zijn inkomen gestort wordt ; belangrijke betalingen (boven de 3000 euro) moeten via de bank gebeuren met opgave van de reden van betaling ; klanten van een bank kunnen m.a.w. niet kiezen. dit is de situatie vandaag.
maar de bank kan niet garanderen dat een transactie veilig verloopt . banken en regeringen zouden wereldwijd moeten eisen dat eender wie iets op het internet wil posten eerst onomstotelijk zijn identiteit en verblijfplaats moet kenbaar maken zodat die steeds kan gedetecteerd worden in geval van fraude of vermoeden ervan. zolang dit niet zo is , moet men de mogelijkheid laten alles cash te betalen en cash betaald te worden. eerst orde op zaken stellen ,pas dan kan terug worden overgegaan op verplicht digitalisering van bankzaken . landen die weigeren mee te werken komen op een zwarte lijst waarmee men geen handel kan drijven !

Meld je aan om toegang te krijgen.

30/03/2021

wel vandaag email gekregen van itsme , nu beginnen ze al via deze weg aan onze gegevens te komen , en ja jullie mogen de email zien , wil hem met plezier doormailen @ test-aankoop