Phishing is een vorm van cybercriminaliteit waarbij het potentiële slachtoffer wordt benaderd via e-mail, sms, instant messaging, sociale media of telefoon. De oplichter doet zich daarbij voor als iemand anders, bijvoorbeeld als een bankbediende, energieleverancier of een technologiebedrijf, maar ook als één van de vrienden of familieleden.
Het doel is om te “hengelen” naar gevoelige gegevens, zoals persoonlijke informatie, wachtwoorden, bank- of kredietkaartgegevens. Eens hij die gegevens heeft buitgemaakt krijgt de oplichter vrij spel: hij kan er bijvoorbeeld toegang mee krijgen tot belangrijke accounts van het slachtoffer of zijn geld stelen.
1. Via e-mail
Er bestaan verschillende varianten van de phishingmail: een waarschuwing omtrent je account, de vraag van je bank om je gegevens te bevestigen … De afzender lijkt betrouwbaar, maar is uit op jouw persoonlijke of financiële gegevens of hij wil jouw toestel infecteren met malware door je een bijlage te doen openen.
2. Via sms, WhatsApp of Facebook Messenger
Sms- of instant messaging-apps worden gebruikt voor "smishing": je krijgt een Sms, WhatsApp- of Facebook Messenger-bericht met daarin een waarschuwing (bijvoorbeeld "Ben jij dat in deze video?" of "Betaal nu of je rekening wordt geblokkeerd") of aanbieding (bijvoorbeeld "Win een waardebon bij Lidl"), en het verzoek om op een link te klikken of een nummer te bellen. De link doet je malware installeren of leidt naar een nagemaakte webpagina waarop je gevraagd wordt (betaal)gegevens moet invullen.
3. Via telefoon
Phishing via de telefoon werkt als volgt: oplichters proberen hun slachtoffer te overtuigen om geld over te schrijven of om persoonlijke, financiële of beveiligingsgegevens te delen. Klassiek voorbeeld: een “medewerker” van Microsoft of een ander technologiebedrijf belt je om een probleem met jouw pc te melden: jouw pc heeft een virus, werd gehackt, heeft niet de legale versie van Windows 10 enz. Als “oplossing” laten ze je onder meer een programma downloaden. Zo krijgt de oplichter toegang tot jouw computer en uiteindelijk wil hij je laten betalen om het probleem op te lossen. Het gaat dan om een bedrag van enkele euro’s dat je, vaak met behulp van je digipass, moet betalen. Jij denkt dat je een klein bedrag overschrijft, maar de oplichter zal erin slagen honderden tot zelfs duizenden euro’s buit te maken.
Een actueel voorbeeld is een oplichter die zich voordoet als een contactonderzoeker in het kader van COVID-19 en allerlei informatie probeert te ontfutselen. Enkel oproepen afkomstig van het telefoonnummer 02 214 19 19 zijn officieel en betrouwbaar. Een officiële medewerker van de overheid zal je ook nooit vragen naar niet-relevante informatie als je rijksregisternummer, betaalgegevens of tijdstippen waarop je thuis bent. Hij wil gewoon achterhalen of je in contact bent geweest met een besmette COVID-19-patiënt.
4. Via sociale media
Stel: je bent niet tevreden over een bedrijf en uit je ongenoegen op Facebook of Twitter. Het bedrijf heeft er baat bij snel te reageren want de post is zichtbaar voor iedereen. Maar … ook oplichters lezen mee. Ze maken een valse account aan en reageren dan op jouw klacht alsof ze de klantendienst zijn. Om geholpen te worden moet je op een (vaak verkorte) link klikken. Zo laten je ze malware installeren of jouw betaalgegevens invullen die ze dan op hun beurt kunnen misbruiken.
5. Via QR-code
Deze vorm van oplichterij werkt als volgt: je biedt iets aan op een tweedehandssite en een geïnteresseerde koper contacteert je. Hij stelt voor om de betaling via zijn professionele rekening te doen. Om ze mogelijk te maken, vraagt hij om jouw rekeningnummer op te geven. Enkele minuten nadat je dat nummer hebt gegeven ontvang je een QR-code die je ter bevestiging moet scannen.
De analyse gebeurt op basis van de echte app van de bank en daarom lijkt alles betrouwbaar en legitiem. Maar ... in feite verwijst de code naar een verbindingsportaal die de fraudeur, in combinatie met het eerder gebruikte rekeningnummer, directe toegang geeft tot jouw betaal- en spaarrekeningen. Bijgevolg merk je een paar uur later dat er grote sommen geld van jouw rekening zijn gedebiteerd.
We raden dan ook aan om zeer voorzichtig te zijn wanneer je een betalingsverzoek ontvangt waarvoor je een QR-code moet scannen. Een handmatige overschrijving is altijd veiliger. Blijf waakzaam en neem de tijd om alles grondig te controleren.
Waarop moet ik letten?
1. Wie is de afzender?
E-mail gekregen die afkomstig lijkt van een betrouwbare bron? Kijk altijd het e-mailadres na. Het deel dat volgt op @ zou moeten eindigen op de domeinnaam van de officiële website. Krijg je bv. een e-mail van de bank KBC, dan zou het e-mailadres moeten eindigen op “kbc.be”.
Krijg je een ongevraagde oproep, let dan dubbel op. Zeker als de beller je probeert te overtuigen een programma te downloaden, jouw financiële gegevens (bankkaartcode, wachtwoord voor online bankieren, de challenge-response codes van je digipass …) in te vullen op een website of telefonisch mee te delen.
Reageert een bedrijf op je vraag op sociale media, ga dan even na of het om het officiële account gaat: op Facebook of Twitter staat er bv. een blauw vinkje naast om aan te duiden dat de pagina “geverifieerd” en dus authentiek is.
Controleer bij twijfel de identiteit van de beller of afzender door het e-mailadres of telefoonnummer van de echte organisatie op te zoeken en hen rechtstreeks te contacteren.
2. Waarom hebben ze mijn persoonlijke info nodig?
Wordt je gevraagd om persoonlijke informatie (kredietkaart- of andere betaalgegevens …) door te sturen, telefonisch mee te delen of in te vullen in bv. een webformulier? Nooit doen. Betrouwbare afzenders als jouw bank, overheidsinstanties of technologiebedrijven vragen nooit naar vertrouwelijke informatie via e-mail, bericht of telefoon.
3. Taalfauten?
Phishingberichten bevatten vaak spel- en grammaticafouten. Ontvang je e-mails of berichten in een andere taal dan jouw moedertaal, dan is dit ook een teken aan de wand. Zeker als je klant bent bij de afzender die normaal gezien met jou in correct Nederlands communiceert.
4. Waar gaat de link naartoe?
Controleer links: zweef er met je muispijltje over (computer) of druk er even op met je vinger (mobiel toestel) om de echte URL te zien. Gaat hij niet naar de officiële website, bevat hij speciale tekens (bv. µ in plaats van u) of is het een verkorte link, dan is hij waarschijnlijk vals. Een juist adres begint met de naam van de organisatie, gevolgd door een punt en dan “be”, “com” enz. Typ bij twijfel zelf het bekende webadres in je browser.
5. Bijlage? Opgelet!
Bijlagen in een mail of bericht kunnen kwaadaardige software bevatten. Wanneer je die opent, wordt er malware op je toestel geïnstalleerd. Open dus nooit een bijlage van een afzender die je niet vertrouwt. Kijk zeker naar het bestandsformaat. Onder meer zip-, exe- en javascript (js)-bestanden zijn verdacht.
6. Let op de details
Oplichters zijn niet van gisteren. Om een nepmail of -bericht zo echt mogelijk te doen lijken voegen ze vaak allerlei details toe, zoals telefoonnummers en adresgegevens. Check of deze wel kloppen op de officiële website van de veronderstelde afzender.
Hoe kan ik mezelf beschermen?
- Deel je bankgegevens en andere persoonlijke informatie nooit zomaar met eender wie.
- Activeer spamfilters in je mailbox en stuur verdachte berichten door naar verdacht@safeonweb.be alvorens ze te verwijderen.
- Klik nooit zomaar op links of bijlagen in e-mails of (chat)berichten. Je kunt ze ook laten scannen door www.virustotal.com.
- Gebruik unieke en sterke wachtwoorden voor elk van je accounts en bescherm ze waar mogelijk met tweestapsverificatie. Zo kan een oplichter geen toegang krijgen tot je accounts, zelfs als hij je wachtwoord heeft kunnen bemachtigen.
- Reageer nooit op mails of berichten die van oplichters lijken te komen. Zo geef je het signaal dat jouw e-mailadres, telefoonnummer of account op sociale media actief is en dat ze je kunnen blijven bestoken.
- Scherm jouw profiel op sociale media zo goed mogelijk af zodat vreemden jou niet kunnen contacteren of je gegevens of foto’s kunnen stelen om anderen op te lichten.
- Bescherm jouw computer met antivirussoftware en houd die up-to-date.
- Check regelmatig jouw uitgavenstaat en meld verdachte transacties meteen aan jouw bank.
Help, ik heb geklikt!
- Aanmeldgegevens (login of wachtwoord) ingevuld op een valse website? Verander meteen al je wachtwoorden.
- Betaalinformatie doorgegeven? Contacteer meteen jouw bank en laat jouw kaart blokkeren via Card Stop (070 344 344). Dien ook klacht in bij de politie. Als je de e-mail nog niet hebt verwijderd, kan die als bewijsstuk dienen.
- Een verdachte bijlage of link geopend? Koppel meteen externe harde schijven los en verbreek je internetverbinding. Voer een volledige virusscan uit en scan jouw pc met Malwarebytes. Contacteer bij twijfel een hersteller, geavanceerde malware zoals ransomware wordt vaak niet herkend.
Meer info: