Phishing herkennen: bank, telecom en energie e-mails ontmaskerd
Door Joris KerkhofBijgewerkt op Gepubliceerd op 4 min lezen
Phishing-aanvallen worden steeds geraffineerder. We laten zien hoe je echte e-mails van je bank, provider of energieleverancier herkent — en welke 8 signalen direct aangeven dat het oplichting is.
Wat is phishing?
Phishing is een vorm van oplichting waarbij criminelen zich voordoen als legitieme bedrijven (bank, provider, belasting, overheid) om jou te verleiden om gevoelige gegevens vrij te geven of malware te installeren.
Drie hoofdvormen in 2026:
- E-mail phishing: valse e-mails van 'KPN', 'ABN AMRO', 'PostNL'. Vaak met urgent dreigement (rekening geblokkeerd, pakje wacht).
- SMS phishing (smishing): valse sms-jes met links naar fake login-pagina's. Veel gebruikt voor nep-pakketdienst- en nep-belastingfraude. Zie smishing herkennen.
- Vishing (voice phishing): telefonisch — 'meneer, dit is uw bank, er is een verdachte transactie'. Zeer gewiekst, soms met een nagebootste stem (zie deepfake-stemfraude herkennen).
De Fraudehelpdesk ontving in 2025 ruim 101.000 meldingen (60% meer dan in 2024), telde 15.116 financieel gedupeerden en bijna 68,5 miljoen euro gemelde schade over alle fraudevormen samen. Er werden 522.103 verdachte e-mails doorgestuurd (Fraudehelpdesk, terugblik 2025).
Acht signalen dat het phishing is
- Urgentie zonder context: 'reageer binnen 24 uur of uw account wordt gesloten'. Echte bedrijven communiceren NIET in deze toon.
- Algemene aanhef: 'Beste klant', 'Hi', niet je naam. Bekende bedrijven hebben je naam in hun database.
- Vreemde afzender-adres: klopt het domein? een adres als 'service@kpn-online.nl' is nep. Vergelijk het domein achter de @ met de officiële website van het bedrijf en tik of hover op de afzendernaam om het echte adres te zien. Let op: ook een echt ogend afzenderadres kan vervalst zijn.
- Spelling- en grammatica fouten: verdacht, maar door AI-vertaaltools zijn veel phishingmails tegenwoordig foutloos. Foutloos is dus geen bewijs van echtheid.
- Vraag om pincode, wachtwoord of inlogcode: NOOIT via e-mail of telefoon vragen. Echte bedrijven doen dat principieel niet.
- Link naar onbekend domein: hover over de link. Gaat hij naar 'kpn.nl' of 'kpn-secure-login.com'? Het tweede is fake.
- Bijlage je niet hebt aangevraagd: factuur, herinnering, bewijsstuk. Open NIET zonder verificatie.
- Te mooi om waar te zijn: 'u heeft 500 euro gewonnen, log in om te claimen'. Niemand wint zomaar geld online.
Twijfel?
Bel zelf de bekende klantenservice (vanuit je eigen contactenlijst, niet via nummer in e-mail). Vraag of de e-mail/sms van hen is. Echte bedrijven verifieren dit graag.
Wat doe je als je het slachtoffer bent?
- Reageer NOOIT verder: sluit de e-mail/sms direct, klik niet, antwoord niet.
- Verander direct wachtwoorden: bij banken, providers, e-mail. Activeer 2FA waar mogelijk (authenticator-app).
- Bel je bank: bij vermoeden dat ze je inloggegevens hebben. Bank kan kaart blokkeren en account vergrendelen.
- Doe aangifte bij politie: via politie.nl; veel vormen van internetoplichting kun je online aangeven. Bewaar het aangiftenummer, want je bank kan erom vragen.
- Meld bij Fraudehelpdesk: bel 088 786 73 72 of meld via fraudehelpdesk.nl. Twijfel je over een e-mail, stuur hem door naar valse-email@fraudehelpdesk.nl. De Fraudehelpdesk verzamelt meldingen en deelt waarschuwingen.
Lees ook over sim-swapping — vaak een vervolg op succesvolle phishing.
Veelgestelde vragen
Echte bank-mails sturen geen klikbare links naar inloggen. Ze vragen je om zelf in te loggen via de bank-app. Bovendien noemen ze nooit gevoelige gegevens (saldo, accountnummers) in e-mail. Bij twijfel: log direct in via je eigen browser of app, niet via een mail-link. Bank-apps verifieren ook of er recente officiele meldingen voor jouw account zijn.
Banken zijn verplicht je te compenseren bij ongeautoriseerde transacties, mits je niet 'grof onachtzaam' hebt gehandeld (bv. PIN gedeeld, duidelijk phishing-mail blindelings vertrouwd). Bij twijfel-zaken: aangifte politie + klacht bij bank. Bij weigering: dien een klacht in bij de bank en daarna bij het Kifid (Klachteninstituut Financiële Dienstverlening).
Spam = ongewenste reclame, vaak voor producten of diensten. Niet noodzakelijk schadelijk. Phishing = fraude, gericht op het stelen van inloggegevens of geld. Phishing kan vergelijkbaar lijken op legitieme bedrijven en is gevaarlijker.
Beperkt. Moderne antivirus (ingebouwd in Windows, macOS) blokkeert sommige bekende phishing-sites. Maar de meeste bescherming is gedrag: niet klikken, niet vertrouwen, verifieren. Een goede browser (Chrome, Firefox, Edge) waarschuwt ook bij verdachte sites.
Ja, AI maakt phishing-mails steeds beter geschreven en gepersonaliseerd. Bij targeting met openbare social-media data kunnen aanvallers zeer overtuigende mails maken. Belang van 2FA en authenticator-apps groeit. Vertrouw nooit op alleen wachtwoord bescherming voor financiele accounts.
Geschreven door
