Vertrouw je
ogen. Maar
check het verhaal.
Van een verdacht appje tot een overgenomen account: herken digitale misleiding, bescherm je gegevens en weet wat je kunt doen als het toch misgaat.
Je pakket staat klaar.
Betaal binnen 30 minuten de extra bezorgkosten.
De misleiding begint bij vertrouwen.
Social engineering is het manipuleren van mensen om informatie, geld of toegang te krijgen. Een aanvaller speelt bijvoorbeeld in op vertrouwen, angst, nieuwsgierigheid of de wens om iemand te helpen.
Phishing gebruikt die misleiding om gegevens of geld te stelen. Dat kan via e-mail, sms, WhatsApp, QR-codes en telefoongesprekken. De afzender doet zich voor als iemand die je kent of een organisatie waarmee je zaken doet.
Herken het verzoek achter het verhaal
Een foutloze tekst, vertrouwd logo of persoonlijke aanhef is geen bewijs van echtheid. Let vooral op wat de afzender je wil laten doen.
“Je hebt nog tien minuten.”
Een deadline kan bedoeld zijn om je minder kritisch te laten nadenken.
“Je account wordt geblokkeerd.”
Controleer de melding door zelf de officiële app te openen.
“Geef de code even door.”
Een inlogcode kan iemand toegang geven. Deel die niet met een afzender of beller.
Een ongewoon betaalverzoek.
Verifieer het verzoek via contactgegevens die je al kende.
Lees het adres. Niet alleen de naam.
Een domeinnaam bestaat uit delen, gescheiden door punten. Een subdomein staat vóór het bovenliggende domein. Bekende woorden ergens in een adres zeggen dus weinig.
https://bank.example.controle.example/inloggenFictief: dit adres valt onder controle.example. De tekst “bank.example” ervoor maakt het geen onderdeel van bank.example.
Vergelijk dat met https://inloggen.bank.example/: hier is “inloggen” een subdomein van bank.example. Dit zijn uitlegvoorbeelden met het gereserveerde achtervoegsel .example, geen websites om te bezoeken.
Lees de hostnaam, het adresdeel na https:// en vóór het pad. Gebruik niet blind de regel “de laatste twee woorden”: sommige domeinextensies bestaan uit meer delen, zoals .co.uk.
Controleer ook het e-mailadres
Bekijk het volledige adres achter de weergavenaam, vooral het deel na @. Let op verwisselde letters, cijfers en extra woorden. Zelfs een kloppend adres is geen sluitend bewijs: een afzender kan worden vervalst of een mailbox kan zijn overgenomen.
HTTPS beveiligt de verbinding
HTTPS beschermt de gegevens die tussen jou en de bezochte website worden verzonden. Het vertelt niet of de eigenaar eerlijk is. Ook een phishingwebsite kan HTTPS gebruiken. Browsers tonen bovendien niet allemaal hetzelfde pictogram; een traditioneel slotje is niet de enige weergave.
Controleer daarom altijd de sitenaam. Bij twijfel open je zelf de bekende website of officiële app. Negeer geen waarschuwing van je browser om toch door te gaan.
Een andere verpakking. Dezelfde misleiding.
WhatsApp-fraude en hulpvraagfraude
Iemand doet zich voor als een bekende met een dringend geldprobleem. Soms komt het bericht van een nieuw nummer, soms van het echte, overgenomen account. Een bekende profielfoto of chatgeschiedenis geeft dus geen zekerheid.
“Mijn bankapp werkt niet. Kun jij deze rekening voorschieten?” Bel de persoon zelf via een bekend nummer of controleer het persoonlijk. Lukt dat niet, betaal dan nog niet.
Smishing: phishing via sms
Een sms beweert bijvoorbeeld dat je bezorgkosten moet betalen of dat je account wordt afgesloten. Gebruik voor controle de app of website die je zelf opzoekt.
Een sms meldt: “Je pakket is vastgehouden. Betaal vandaag.” Je opent zelf de bezorgapp om te zien of er echt een probleem is.
QR-phishing: controleer wat je goedkeurt
Een QR-code kan naar een nagemaakte website leiden, maar ook een betaling of andere actie in een app starten. Lees na het scannen het adres en de gevraagde handeling. Controleer bij een betaling het bedrag en de ontvanger.
Op een brief staat een QR-code om je “gegevens bij te werken”. Je controleert eerst bij de organisatie of de brief en het verzoek echt zijn.
Spoofing: de afzender kan zijn vervalst
Een telefoonnummer, mailafzender of website kan betrouwbaar lijken zonder dat te zijn. Hang bij een verdacht gesprek op en bel terug via het officiële nummer dat je zelf hebt opgezocht.
Je telefoon toont de naam van je bank, maar de beller vraagt om een inlogcode. De nummerweergave is geen bewijs: je beëindigt het gesprek.
Een behulpzame stem kan een valstrik zijn.
De zogenaamde bankmedewerker
Een oplichter beweert dat je rekening gevaar loopt en probeert je geld naar een “veilige rekening” te laten overmaken. Doe dat niet. Geef geen pincodes of inlogcodes af en laat je bankpas niet ophalen. Bel zelf je bank via een officieel nummer.
“Wij hebben een aanval tegengehouden. Maak nu je saldo over.” Je verbreekt het gesprek en controleert de melding bij je eigen bank.
De zogenaamde Microsoft-helpdesk
Microsoft biedt niet ongevraagd telefonisch technische hulp aan. Ook een alarmerende browserpop-up met een te bellen nummer kan nep zijn. Echte Microsoft-foutmeldingen bevatten geen telefoonnummer om het probleem te laten oplossen. Geef een onverwachte beller geen toegang via bijvoorbeeld AnyDesk, TeamViewer of Quick Assist.
Een webpagina maakt een alarmgeluid en zegt dat Windows is geblokkeerd. Je belt het getoonde nummer niet en sluit de browser.
Een mooie webshop zegt nog niet genoeg.
Een onbekende winkel met een spectaculaire aanbieding verdient extra controle. Bekijk meerdere onafhankelijke reviews, zoek op de bedrijfsnaam én het webadres en let op terugkerende klachten.
- Contactgegevens: staan adres, e-mail en telefoonnummer vermeld en reageert het bedrijf?
- Bedrijfsgegevens: controleer een opgegeven KvK-inschrijving. Een nummer op de website alleen bewijst niet dat deze winkel erbij hoort.
- Betalen: onderzoek of de betaalmethode kopersbescherming biedt en welke voorwaarden gelden. Een directe overboeking is iets anders dan verzekerd betalen.
- Bewaren: sla je bestelling, bevestiging en de contactgegevens op.
ScamCheck kan helpen als aanvullende controle van een link of website. De uitkomst is een indicatie, geen veiligheidsgarantie. Blijf zelf controleren.
Een gamingmonitor kost bij een onbekende shop veel minder dan elders. Je controleert eerst de winkel en betaalvoorwaarden, in plaats van je te laten sturen door de aftellende aanbieding.
Weet wat je opent en uitvoert.
Een bijlage kan iets anders zijn dan de bestandsnaam suggereert. Maak bestandsnaamextensies zichtbaar in Verkenner. In Windows 11 vind je dit doorgaans bij Weergeven → Weergeven → Bestandsnaamextensies; de precieze benaming kan per versie verschillen.
factuur.pdf.exeFictief voorbeeld: de laatste extensie is .exe. Het is een uitvoerbaar bestand, geen gewone PDF.
Een extensie alleen bewijst geen malware. Ook legitieme programma’s gebruiken .exe. Het risico hangt af van de inhoud, herkomst en wat er bij openen of uitvoeren gebeurt. Controleer onverwachte bijlagen bij de afzender en schakel niet zomaar macro’s of andere actieve inhoud in.
Wat kan Windows-beveiliging controleren?
Een volledige scan onderzoekt bestanden en programma’s. Microsoft Defender Offline start opnieuw op en scant vanuit de herstelomgeving; dat kan helpen bij malware die zich tijdens normaal Windows-gebruik verbergt. Sla open werk op voordat je zo’n scan start.
Geen gevonden bedreigingen is geen absolute garantie dat alles veilig is. Bij mogelijke overname hangt herstel af van wat is gebeurd. Laat dit beoordelen en stem bij aangifte het bewaren van sporen af voordat je opruimt of herinstalleert.
Een bekende stem is geen identiteitsbewijs.
AI kan oplichters helpen om geloofwaardige teksten, nagebootste stemmen en gemanipuleerde beelden te maken. Met een gekloonde stem kan iemand zich voordoen als een familielid in nood. De emotie en de haast moeten je ertoe brengen te betalen voordat je controleert.
Je hoort een stem die op die van je kind lijkt: “Ik zit in de problemen, maak meteen geld over.” Je hangt op en belt zelf het al bekende nummer. Je gebruikt niet het nummer dat de beller je geeft.
Kun je de persoon niet bereiken? Controleer het verhaal via een andere bekende. Een afgesproken controlevraag kan extra helpen, maar is geen vervanging voor onafhankelijk contact. Baseer je beslissing niet alleen op hoe echt de stem of video klinkt of oogt.
Deel alleen wat echt nodig is.
Gestolen persoonsgegevens kunnen worden gebruikt voor gerichte misleiding en identiteitsmisbruik. De gevolgen hangen af van welke gegevens of documenten zijn buitgemaakt en welke aanvullende controles een dienst toepast. Alleen een naam, geboortedatum of BSN is doorgaans niet voldoende om zomaar een lening of abonnement af te sluiten. Dat maakt een datalek niet onschuldig.
Een veilige kopie van je identiteitsbewijs
Controleer of de ontvanger een kopie mag vragen en welke gegevens nodig zijn. Met KopieID kun je overbodige gegevens afschermen en een watermerk met doel, ontvanger en datum toevoegen. Scherm geen gegevens af die de ontvanger wettelijk moet vastleggen.
De specifieke regel voor DigiD
DigiD zelf stuurt geen berichten met links of QR-codes. Een e-mail, sms of brief die namens DigiD om zo’n actie vraagt, is verdacht. Dit is een regel voor communicatie van DigiD; trek die niet automatisch door naar alle overheidsorganisaties.
Heb je DigiD-gegevens ingevuld op een valse website of vermoed je misbruik? Volg direct de herstelstappen van DigiD en neem waar nodig contact op met de DigiD-helpdesk.
Geef ieder account een eigen sleutel.
Gebruik voor ieder account een lang, uniek wachtwoord. Een wachtwoordmanager helpt om die te maken en te bewaren. Hergebruik maakt een lek bij één dienst ook riskant voor andere accounts.
Tweestapsverificatie: extra bescherming
Met tweestapsverificatie is een wachtwoord alleen meestal niet genoeg om in te loggen. Toch kunnen criminelen ook een sms- of appcode ontfutselen en meteen gebruiken. Keur geen inlogverzoeken goed die je niet zelf bent gestart en deel codes niet met anderen.
Passkeys: bestand tegen inloggen op een nepwebsite
Een passkey gebruikt een cryptografische sleutel in plaats van een gedeeld wachtwoord. Je ontgrendelt die bijvoorbeeld met je vingerafdruk, gezicht of apparaatcode. Passkeys zijn gekoppeld aan de bedoelde dienst en beschermen tegen veel vormen van phishing bij het inloggen.
Gebruik passkeys waar mogelijk; kies anders voor MFA. Beveilig ook je apparaat en herstelmogelijkheden. Een passkey voorkomt niet dat je zelf wordt misleid om geld over te maken of toegang op afstand te geven.
Maak veilig handelen onderdeel van het werk.
Een vervalste factuur of overgenomen mailbox kan gevolgen hebben voor collega’s en klanten. Spreek af hoe medewerkers verdachte berichten melden en hoe betaalverzoeken worden gecontroleerd.
- Controleer gewijzigde rekeningnummers via een al bekend contactkanaal.
- Geef accounts alleen de rechten die nodig zijn en bescherm beheerdersaccounts extra.
- Gebruik passkeys waar mogelijk en anders MFA; houd systemen bijgewerkt.
- Maak melden eenvoudig, ook als iemand al heeft geklikt.
SPF, DKIM en DMARC
Deze standaarden helpen ontvangers te controleren of e-mail namens jouw domein authentiek is. Laat ze door de beheerder goed instellen en monitoren. Ze voorkomen niet alle phishing: aanvallers kunnen een gelijkend domein of een overgenomen account gebruiken.
Zijn persoonsgegevens geraakt?
Breng het incident in kaart, beperk verdere schade en betrek de verantwoordelijke voor privacy en beveiliging. Beoordeel volgens het stappenplan van de Autoriteit Persoonsgegevens of melding aan de AP en betrokken personen nodig is. Niet ieder phishingbericht is een datalek; ongeoorloofde toegang tot persoonsgegevens kan dat wel zijn.
Beperk de schade en bewaar het bewijs.
Geld overgemaakt of bankgegevens gedeeld? Neem eerst direct contact op met je bank via het officiële nummer. Een melding bij een andere instantie vervangt die stap niet.
Fraudehelpdesk
Stuur mail met verdachte links of bijlagen bij voorkeur als bijlage door naar valse-email@fraudehelpdesk.nl. Gebruik voor andere berichten het meldformulier.
Politie
Doe aangifte als je slachtoffer bent. Bewaar berichten, betaalgegevens, tijdstippen en relevante schermafbeeldingen. De juiste aangifteroute hangt af van de fraudevorm.
Exporteer bij hulpvraagfraude de chat voordat je deze rapporteert of verwijdert. Bij helpdeskfraude kunnen logbestanden nodig zijn. Overleg over het veiligstellen daarvan voordat je programma’s verwijdert of het apparaat opnieuw installeert.
Bij misbruik van je identiteit kun je daarnaast hulp zoeken bij het Centraal Meldpunt Identiteitsfraude via RvIG. Is je DigiD betrokken, volg dan ook de stappen van DigiD.
Toch geklikt? Dit kun je nu doen.
Kies wat er is gebeurd. Bekijk bij meerdere situaties elk bijbehorend advies. Gebruik bij vermoedelijke apparaat-overname een ander, veilig apparaat.
Stop de interactie
Sluit de pagina en vul niets in. Controleer of er iets is gedownload en open dat bestand niet. Alleen een link openen is niet hetzelfde als gegevens delen of software uitvoeren. Bij vreemde meldingen of gedrag: laat het apparaat controleren.
Beveilig het account direct
Ga zelf naar de officiële dienst en wijzig het wachtwoord. Doe dat ook waar je hetzelfde wachtwoord gebruikte. Beëindig onbekende sessies, controleer herstelgegevens en stel passkeys of MFA in. Ook een gedeelde verificatiecode kan al zijn gebruikt. Volg bij accountovername de herstelprocedure van de dienst.
Neem direct contact op met je bank
Gebruik het officiële nummer of de officiële app. Vertel wat je hebt gedeeld of betaald en volg de instructies. Bewaar betaalgegevens en berichten voor aangifte. Maak geen extra geld over om een eerdere betaling terug te krijgen.
Verbreek toegang en vraag hulp
Verbreek de internetverbinding. Gebruik een veilig apparaat om je bank zo nodig te waarschuwen en je accounts te beveiligen. Stem bij aangifte eerst het veiligstellen van digitale sporen af met de politie. Laat daarna beoordelen welke scans, verwijdering of herinstallatie nodig zijn. Een schone scan alleen geeft geen absolute zekerheid.
Volg de route voor jouw gegevens
Bij DigiD: volg direct DigiD: fraude of misbruik. Bij vermoedelijk identiteitsmisbruik: bewaar bewijs en vraag advies aan het Centraal Meldpunt Identiteitsfraude. Welke stappen nodig zijn hangt af van de gedeelde gegevens en het misbruik.
Meer uitleg: helpdeskfraude · malware en herstel · accountbeveiliging · melden en aangifte
Twijfel is een goede reden om te pauzeren.
Neem afstand van het verzoek, zoek zelf contact en handel pas als het verhaal klopt. Je hoeft niet ieder nepbericht te herkennen om een veilige keuze te maken.
Uitgebreide bewerking van het oorspronkelijke artikel van Sander den Breejen, aangevuld met openbare voorlichting en bronlinks per hoofdstuk. De praktijksituaties zijn fictief.
Inhoudelijke broncontrole: 22 september 2026. Raadpleeg bij een incident de actuele instructies van je bank, dienstverlener en de genoemde instanties.
Valse bijlagen en malware
Bijlagen (Word, Excel, PDF, ZIP) kunnen malware bevatten. Wees extra voorzichtig bij bijlagen met teksten als “Open direct de factuur” of “Activeer macro’s”. Activeer nooit macro’s op verzoek van een onbekende afzender.
Telefoonspoofing en helpdeskfraude
Spoofing is het vervalsen van het belnummer zodat het lijkt alsof een bekende organisatie belt. Hang op en bel zelf terug via het officiële nummer van de organisatie (gevonden op de officiële website). Gebruik nooit het nummer dat in het verdachte gesprek werd getoond.
Bankhelpdeskfraude: banken vragen nooit om geld over te maken naar een “veilige rekening”, je pincode door te geven of software te installeren. Laat je bankpas nooit ophalen.
Microsoft-helpdeskfraude: Microsoft belt niet ongevraagd om persoonlijke of financiële gegevens te vragen of om technische ondersteuning te bieden.
Deel nooit gevoelige gegevens
Geef nooit via telefoon, e-mail of chat:
- Wachtwoorden, pincodes, verificatiecodes.
- Bankgegevens of creditcardgegevens.
- Kopieën van identiteitsbewijzen of je BSN (tenzij wettelijk noodzakelijk).
- Toegang tot je computer via AnyDesk, TeamViewer of vergelijkbare software.
Wat criminelen met jouw gegevens kunnen doen
Met gestolen gegevens kunnen criminelen:
- Geld van je rekening halen.
- Bestellingen op jouw naam plaatsen.
- Leningen of abonnementen afsluiten.
- Accounts overnemen en identiteitsfraude plegen.
Bescherm vooral je e-mailaccount, omdat dit vaak wordt gebruikt om wachtwoorden te resetten.
Wat te doen bij twijfel
Bij twijfel over een bericht of telefoontje:
- Klik niet op links.
- Open geen bijlagen.
- Bel niet terug naar het nummer uit het bericht.
- Ga naar de officiële website of app en gebruik het telefoonnummer daar.
- Vraag advies aan iemand met verstand van zaken.
Vuistregel: Twijfel = stoppen, controleren, pas daarna handelen.
Wat te doen als je tóch hebt geklikt
Alleen geklikt, niets ingevuld
- Sluit de website en vul niets in.
- Controleer browser en beveiligingssoftware.
- Blijf alert op vervolgberichten.
Gegevens ingevuld
- Wijzig direct je wachtwoord.
- Schakel tweestapsverificatie in.
- Controleer herstel-e-mail en actieve sessies.
Bankgegevens ingevuld of geld overgemaakt
- Bel direct je bank via het officiële noodnummer.
- Laat rekeningen blokkeren indien nodig.
- Doe aangifte bij de politie en meld de fraude bij de Fraudehelpdesk.
Software geïnstalleerd voor hulp op afstand
- Verbreek de internetverbinding.
- Sluit het programma af en laat je apparaat controleren.
- Wijzig wachtwoorden vanaf een veilig apparaat.
Hoe je jezelf beter beschermt
- Gebruik sterke, unieke wachtwoorden en een wachtwoordmanager.
- Schakel tweestapsverificatie in.
- Houd besturingssystemen en apps up-to-date.
- Installeer apps alleen uit officiële appstores.
- Maak regelmatig back-ups.
- Gebruik voor bankzaken bij voorkeur de officiële bank-app.
- Train jezelf en medewerkers in het herkennen van phishing.
Extra aandacht voor bedrijven en ondernemers
Voor organisaties is phishing extra risicovol: één klik kan toegang geven tot mailboxen of klantgegevens. Zorg voor:
- Medewerkerstraining en bewustwording.
- Duidelijke betaal- en autorisatieprocedures.
- Veilige e-mailinstellingen en beveiligingsstandaarden.
- Een intern meldproces voor verdachte e-mails.
Betaalverzoeken via e-mail of WhatsApp altijd via een tweede kanaal verifiëren.
Meld verdachte berichten en fraude
Ontvang je een verdachte e-mail? Stuur deze door naar de organisatie die wordt misbruikt en meld het bij de Fraudehelpdesk. Ben je slachtoffer geworden? Neem direct contact op met je bank, doe aangifte bij de politie en meld de fraude bij de Fraudehelpdesk.
Samenvatting: belangrijkste regels
- Een slotje betekent niet automatisch dat een website betrouwbaar is.
- Klik niet zomaar op links in e-mails, sms’jes of WhatsApp-berichten.
- Controleer altijd het echte domein.
- Deel nooit wachtwoorden, pincodes of verificatiecodes.
- Een bank vraagt nooit om geld naar een “veilige rekening”.
- Twijfel? Stop, controleer en vraag hulp.