Op onze redactie belandde onlangs het verhaal van een man die alles samen 5.000 euro van zijn bankrekening zag verdwijnen door op een frauduleuze link te klikken. Phishing - zoals de fraude in vakjargon heet- treft in ons land jaarlijks enkele duizenden consumenten. In de eerste negen maanden van 2018 vonden 3.350 fraudegevallen met internetbankieren plaats. Het totale buitgemaakte bedrag bedroeg 5,5 miljoen euro. ‘In heel 2017 waren er 3.205 gevallen, goed voor ruim 2,5 miljoen euro’, zegt Isabelle Marchand, de woordvoerster van de bankenfederatie Febelfin. Niet alleen banken worden met phishing geconfronteerd. Ook Bpost, de Nationale Loterij of e-commercebedrijven krijgen ermee af te rekenen.
1. Wat is phishing?
Phishing is een vorm van cybercriminaliteit waarbij een fraudeur via e-mail, sms of internet iemands gegevens afhandig maakt met het doel zijn bankrekening te plunderen. ‘Ook kan phishing andere doelen hebben: identiteitsgegevens stelen, een virus installeren of in een systeem binnendringen om bedrijfsgegevens te stelen, te saboteren of te spioneren’, zegt Katrien Eggers van het Centre for Cyber Security Belgium (CERT).
2. Hoe werkt phishing?
Een fraudeur stuurt een mail die lijkt op een bericht van een betrouwbare onderneming, zoals uw bankier, energiemaatschappij of internetprovider. Daarin staat een link waarop u moet klikken. Vaak met een dwingende boodschap als ‘deze factuur moet u dringend betalen’. Dat maakt de kans groter dat u het bericht opent. Zeker als de frauduleuze boodschap er legitiem uitziet, is het maar een kleine stap om uw persoonlijke gegevens in te voeren op een vals formulier. ‘Oplichters maken geen gebruik van een zwakke plek in de informatica. De mens is hun belangrijkste target. Ze spelen in op emoties als angst, empathie, hulpvaardigheid, enthousiasme, enzovoort’, zegt Eggers.
Soms volgt daarop een telefoontje. De fraudeur doet zich dan voor als een medewerker van de betrokken onderneming en vraagt u in te loggen in het systeem voor internetbankieren. Daarna vraagt hij u de code op uw kaartlezer of digipas luidop voor te lezen, waardoor hij toegang krijgt tot uw bankrekening.
‘Naast die meest gebruikte methode maken sms- en WhatsApp-fraude opgang, het zogenoemde smishing’, zegt Marchand. ‘U kan een bericht op de smartphone krijgen met de vraag uw gegevens rechtstreeks door te mailen of u krijgt telefoon, zogezegd van uw bank. Er kunnen ook pop-ups op uw scherm verschijnen. Fraudeurs gebruiken almaar meer verschillende kanalen, maar er is een constante in het verhaal: het slachtoffer wordt naar een valse website geleid waar hij zijn bankcodes ingeeft.’
De bank is niet zomaar aansprakelijk bij phishing omdat u zelf uw gegevens met een crimineel deelde.
‘Nog een trend zijn de geldezels. Vaak zijn dat jongeren die als tussenpersoon werken voor criminele organisaties of personen. Tegen een vergoeding stellen ze hun rekening ter beschikking om frauduleus verkregen geld door te sluizen. Dat maakt het moeilijker om de identiteit van criminelen te achterhalen.
3. Hoe herkent u phishing?
Een bonafide onderneming zal nooit via mail, telefoon, pop-upberichten, sms, WhatsApp of andere sociale media vragen om vertrouwelijke gegevens door te geven of - in het ergste geval - uw bankkaart op te sturen. De aanspreking in een fraudemail is ook zelden of nooit persoonlijk. Daarnaast komt het phishingbericht altijd onverwacht. De toon is meestal dwingend. De link leidt naar een website die er soms uitziet als de betaalpagina van uw bank. Die site is meestal niet beveiligd, in tegenstelling tot die van uw bank. U ziet dus geen hangslotje in de adresbalk en het adres begint niet met https.
‘Vroeger waren de berichten vaak slecht geschreven en stonden ze vol spel- en taalfouten. De jongste jaren is dat veel minder het geval. Criminele bendes gaan steeds professioneler tewerk’, zegt Marchand. ‘Ook het afzenderadres kan er raar uitzien. Soms gebruiken criminelen een vervalst e-mailadres. Controleer dat goed en stop de transactie zodra u twijfelt. Als de transactie al heeft plaatsgevonden en de twijfel blijft, contacteer dan onmiddellijk uw bank. Hoe sneller de bank op de hoogte is, hoe sneller ze de schade kan beperken.’
4. Hoe voorkomt u phishing?
Installeer een goede spamfilter om phishingberichten via mail of pop-upvensters te blokkeren. Wees alert en probeer zulke berichten te herkennen. Open zeker nooit berichten die er verdacht uitzien en drop ze in uw prullenmand. Klik nooit op de links in een mail waarvan u de afzender niet kent. ‘En geef zeker nooit uw bankcodes door als iemand daarnaar vraagt per mail, sms, pop-up of telefoon. Stuur uw bankkaart ook nooit op. Dat zal uw bank nooit vragen’, zegt Marchand.
‘Als u naar een website surft, tik dan altijd zelf het webadres in en vermijd het gebruik van links in toegestuurde berichten, want die kunnen u naar valse sites leiden. Zet bij twijfel alle transacties stop en neem contact op met uw bank. U kunt een mail sturen naar phishing@naam-van-de-bank.be en naar verdacht@ safeonweb.be, zodat de phishingwebsite wordt geblokkeerd.’
5. Wat moet u doen als u slachtoffer bent?
Probeer uw persoonlijke gegevens en bankcodes zo snel mogelijk te veranderen op een veilig toestel. Als u dezelfde gegevens gebruikt voor andere accounts zoals uw mailbox of sociale media, verandert u ook die het best zo snel mogelijk. ‘Hoe sneller u de bank verwittigt, hoe groter de kans dat de transactie nog niet is verwerkt en kan worden stopgezet. Dat is de beste garantie dat u geen centen verliest.’
6. Kunt u het gestolen geld terugvorderen?
‘Dat is niet evident’, zegt Marchand. ‘De bank is niet zomaar aansprakelijk omdat u zelf uw gegevens deelde. Toch bekijken de meeste financiële instellingen dossier per dossier wat ze kunnen doen. Het is belangrijk altijd een verklaring af te leggen bij de politie en zo snel mogelijk contact op te nemen met uw bank. In veel gevallen kan de klant zijn verloren geld recupereren, zeker als er geen sprake is van kwaadwillig opzet of een grove nalatigheid.’
