Je ontvangt een e-mail van je bank, DigiD, MijnOverheid, Microsoft, PostNL of een andere bekende organisatie. Volgens het bericht moet je snel inloggen, een betaling uitvoeren of jouw gegevens controleren. Maar is deze e-mail echt, of heb je een phishingmail ontvangen?
De veiligste hoofdregel is eenvoudig:
Klik niet rechtstreeks op een link in een onverwachte e-mail. Open zelf de officiële app of typ het bekende webadres van de organisatie in je browser.
Bij phishing doen criminelen zich voor als een betrouwbare organisatie of bekende persoon. Het doel is meestal om inloggegevens, bankgegevens, persoonlijke informatie of geld buit te maken. Een phishingbericht kan via e-mail komen, maar ook via sms, WhatsApp, sociale media, een QR-code of een telefoongesprek.
Inhoudsopgave
Hoe herken je een phishingmail?
Een phishingmail is niet altijd herkenbaar aan één grote fout. Moderne nepmails kunnen een correct logo, goed Nederlands en jouw echte naam bevatten.
Let daarom op een combinatie van signalen:
- onverwachte haast of dreiging;
- een vreemd afzenderadres;
- een verzoek om in te loggen;
- een link naar een onbekend webadres;
- een verzoek om geld, codes of bankgegevens;
- een onverwachte bijlage;
- een rekening of levering die je niet herkent;
- een verhaal dat te mooi lijkt om waar te zijn.
Veilig Internetten noemt onder andere spoed, het afzenderadres, een ontbrekende persoonlijke aanhef en afwijkend taalgebruik als mogelijke kenmerken van een vals bericht.
Phishing herkennen? Onthoud: STOP
Gebruik bij iedere onverwachte e-mail het eenvoudige ezelsbruggetje STOP:
S – Spoed of dreiging
Zegt de e-mail dat je direct moet betalen, inloggen of reageren? Wordt er gedreigd met een blokkade, boete of afgesloten account? Dan is dat een belangrijk waarschuwingssignaal.
T – Typ zelf het webadres
Klik niet op een link in een onverwachte e-mail. Open zelf de officiële app of typ het bekende webadres van de organisatie in je browser.
O – Onbekende afzender of rare link
Zegt de e-mail dat je direct moet betalen, inloggen of reageren? Wordt er gedreigd met een blokkade, boete of afgesloten account? Dan is dat een belangrijk waarschuwingssignaal.
P – Persoonsgegevens nooit delen
Zegt de e-mail dat je direct moet betalen, inloggen of reageren? Wordt er gedreigd met een blokkade, boete of afgesloten account? Dan is dat een belangrijk waarschuwingssignaal.
1. Het bericht probeert je onder druk te zetten
Phishingmails gebruiken vaak angst, haast of nieuwsgierigheid.
Voorbeelden zijn:
- “Uw rekening wordt vandaag geblokkeerd.”
- “Uw bankpas verloopt binnen 24 uur.”
- “Uw account moet direct worden bevestigd.”
- “Er is vanaf een onbekend apparaat ingelogd.”
- “Uw pakket kan niet worden bezorgd.”
- “Betaal vandaag om extra kosten te voorkomen.”
- “Uw DigiD wordt gedeactiveerd.”
“U heeft recht op een belastingteruggave.” - “Uw computer is besmet met een virus.”
Vraag jezelf af:
Waarom moet ik dit onmiddellijk doen?
Een echte organisatie kan natuurlijk een belangrijke melding sturen. Criminelen proberen echter vaak te voorkomen dat je rustig nadenkt, iemand om advies vraagt of zelf contact opneemt met de organisatie.
2. Controleer het volledige e-mailadres van de afzender
De zichtbare naam van de afzender zegt weinig.
Een e-mail kan bijvoorbeeld worden weergegeven als:
- ING Klantenservice;
- DigiD;
- MijnOverheid;
- Microsoft Support;
- PostNL;
- Belastingdienst.
Het werkelijke e-mailadres kan ondertussen afkomstig zijn van een onbekend domein.
Klik of tik op de naam van de afzender om het volledige e-mailadres zichtbaar te maken.
Let op:
- spelfouten in de domeinnaam;
- extra woorden of cijfers;
- een vreemd landendomein;
- een gratis e-mailadres;
- letters die sterk op elkaar lijken;
- een adres dat niets met de organisatie te maken heeft.
Een adres als:
service@bank-veiligheidscontrole.example
is niet hetzelfde als het echte domein van een bank.
Een bekend e-mailadres is niet altijd bewijs
Ook een normaal ogend afzenderadres is geen volledige garantie dat een bericht echt is.
Bij e-mailspoofing wordt het zichtbare afzenderadres vervalst. Daarnaast kan een echt e-mailaccount van een bekende of organisatie zijn overgenomen.
Controleer daarom nooit alleen de naam of het e-mailadres. Kijk ook naar de inhoud, de link en wat er van je wordt gevraagd.
3. Controleer de link zonder erop te klikken
Op een computer kun je de muis boven een link houden zonder te klikken. Onderaan het browser- of e-mailvenster verschijnt dan meestal het werkelijke webadres.
Controleer:
- klopt de domeinnaam precies?
- staan er spelfouten in?
- staan er vreemde woorden voor of achter de organisatienaam?
- wordt de bekende naam alleen ergens midden in een lang adres genoemd?
- wordt er een verkorte link gebruikt?
- verwijst de zichtbare tekst naar een ander adres?
Een link kan bijvoorbeeld als tekst tonen:
www.mijnbank.nl
maar in werkelijkheid naar een volledig andere website leiden.
4. Een slotje betekent niet automatisch dat de website veilig is
Veel mensen letten op het slotje naast het webadres. Het slotje betekent alleen dat de verbinding tussen jouw apparaat en de website versleuteld is.
Ook een nagemaakte phishingwebsite kan een beveiligde verbinding en een slotje hebben.
Controleer daarom altijd:
- de volledige domeinnaam;
- de spelling;
- de inhoud van de website;
- waarom je op de website terecht bent gekomen.
Een slotje is nuttig, maar het bewijst niet dat de eigenaar van de website betrouwbaar is.
Kijk naar het belangrijkste deel van het webadres
Criminelen gebruiken soms lange webadressen waarin de naam van een bekende organisatie voorkomt.
Bijvoorbeeld:
mijnbank.nl.inloggen-veilig.example
Het belangrijkste deel staat vlak voor de eerste enkele schuine streep. In dit voorbeeld is het werkelijke domein niet mijnbank.nl, maar example.
Vind je dit lastig om te controleren? Klik dan niet. Open zelf de officiële app of typ het bekende webadres handmatig in.
5. De e-mail vraagt om een wachtwoord of beveiligingscode
Wees zeer voorzichtig wanneer een e-mail vraagt om:
- je wachtwoord;
- je pincode;
- een sms-code;
- een DigiD-code;
- een verificatiecode;
- een herstelcode;
- volledige bankgegevens;
- creditcardgegevens;
- een kopie van je identiteitsbewijs;
- toegang tot je computer.
Deel nooit een code die je per sms of via een authenticator-app ontvangt met iemand die onverwacht contact opneemt.
Zo’n code kan worden gebruikt om:
- op jouw account in te loggen;
- een wachtwoord te veranderen;
- een betaling goed te keuren;
- tweestapsverificatie te omzeilen;
- jouw account volledig over te nemen.
Open bij twijfel zelf de app van je bank, DigiD, Microsoft, Google of andere dienst. Controleer daar of werkelijk een melding klaarstaat.
6. De aanhef is vreemd of onpersoonlijk
Een phishingmail begint vaak met:
- “Geachte klant”
- “Beste gebruiker”
- “Geachte rekeninghouder”
- “Beste heer/mevrouw”
Een algemene aanhef bewijst niet dat een e-mail vals is. Ook echte nieuwsbrieven gebruiken soms een algemene begroeting.
Andersom bewijst jouw echte naam niet dat een bericht betrouwbaar is. Namen, e-mailadressen en andere gegevens kunnen afkomstig zijn uit:
- openbare bronnen;
- sociale media;
- oude bestellingen;
- eerdere communicatie;
- een datalek.
Controleer daarom altijd ook het afzenderadres, de links en de gevraagde handeling.
7. De e-mail bevat een onverwachte bijlage
Open geen onverwachte bijlagen, vooral niet wanneer het gaat om:
- een zipbestand;
- een uitvoerbaar bestand;
- een Word- of Excelbestand dat macro’s wil inschakelen;
- een factuur die je niet herkent;
- een document waarvoor je opnieuw moet inloggen;
- een HTML-bestand;
- een ongebruikelijk archiefbestand.
Een bijlage kan schadelijke software bevatten of een valse inlogpagina openen.
Verwacht je werkelijk een factuur, document of offerte? Neem dan via een eerder bekend telefoonnummer of e-mailadres contact op met de afzender.
Gebruik niet de contactgegevens die in de verdachte e-mail staan.
8. Goed Nederlands betekent niet dat een e-mail echt is
Vroeger waren phishingmails vaak herkenbaar aan opvallende taal- en spelfouten. Tegenwoordig kunnen criminelen overtuigende en foutloze berichten maken.
Een nepmail kan:
- jouw volledige naam bevatten;
- een professioneel logo gebruiken;
- aansluiten op een echte bestelling;
- een correcte huisstijl nabootsen;
- foutloos Nederlands bevatten;
- afkomstig lijken van iemand die je kent.
Gebruik slechte spelling daarom alleen als aanvullend signaal. Een professioneel geschreven bericht kan nog steeds phishing zijn.
9. Controleer of de e-mail logisch is
Vraag jezelf af:
- heb ik werkelijk iets besteld?
- ben ik klant bij deze organisatie?
- verwacht ik een pakket?
- heb ik om een wachtwoordreset gevraagd?
- klopt het genoemde bedrag?
- heb ik eerder via deze manier contact gehad?
- staat dezelfde melding ook in de officiële app?
- waarom heeft deze organisatie deze informatie nodig?
Veel fraudeberichten vallen door de mand wanneer je rustig kijkt of het verhaal logisch is.
Heb je helemaal geen rekening bij de genoemde bank? Dan is een e-mail over een geblokkeerde bankpas vrijwel zeker vals.
Zo controleer je veilig of een e-mail echt is
Gebruik dit stappenplan:
- Klik nergens op.
- Open geen bijlage.
- Controleer het volledige afzenderadres.
- Lees wat precies van je wordt gevraagd.
- Controleer of er onnodige haast wordt gemaakt.
- Bekijk waar de link werkelijk naartoe verwijst.
- Open zelf de officiële app of website.
- Controleer daar of dezelfde melding bestaat.
- Neem bij twijfel contact op via een bekend telefoonnummer.
- Vraag iemand die je vertrouwt om mee te kijken.
- Verwijder of meld de e-mail wanneer hij vals blijkt te zijn.
Bewaar een verdachte e-mail eventueel tijdelijk wanneer je hem wilt laten controleren. Klik ondertussen nergens op en beantwoord het bericht niet.
Lees ook:
- Veelvoorkomende phishingmails en scams in Nederland
- Op een phishinglink geklikt: wat moet je nu doen?