Smishing: phishing-SMS herkennen en wat te doen bij ontvangst
Door Marthijn de VriesBijgewerkt op Gepubliceerd op 5 min lezen
Sms van PostNL die zegt dat je pakje wacht op betaling. Belastingdienst-SMS met dreiging boete. Bank-SMS met nep-link. Smishing wordt slimmer. Wij tonen de signalen, en wat je moet doen na ontvangst.
Wat is smishing en waarom werkt het?
Smishing = SMS + phishing. Criminelen sturen SMS-berichten die uit te zien als afkomstig van betrouwbare partij (bank, PostNL, Belastingdienst, telecom). Doel: persoonlijke gegevens, pincodes, of bankinlog ontfutselen.
Het werkt omdat:
- SMS voelt vertrouwd en persoonlijk, anders dan een algemene phishing-mail.
- Korte URL's (bit.ly, t.co) verbergen de echte bestemming.
- Tijdsdruk ('actie binnen 24 uur of pakje terug naar afzender').
- Spoofing van afzendernaam: SMS lijkt van 'PostNL' of 'ING' te komen, in werkelijkheid een bot-net.
Rode vlaggen die je SMS verdacht maken
- Onverwachte URL's: echte providers gebruiken eigen domeinen (postnl.nl, ing.nl). Verdachte: kort domein (post-nl-update.com), of url-verkorter.
- Tijdsdruk: 'reageer binnen 4 uur' is per definitie verdacht.
- Verzoek om persoonlijke gegevens: echte banken vragen NOOIT je pincode of volledige rekeningnummer per SMS.
- Onpersoonlijke aanhef: 'Beste klant' in plaats van je naam.
- Slecht Nederlands: spelling, vreemde zinsbouw, foute betaalmunten ('€' verkeerd geplaatst).
- Boetes of kortingen die te aardig klinken: 'u krijgt 250 euro toeslag terug, klik hier'.
Test de bron, klik niet
Open de echte app of website van de organisatie via je gewone bookmark of via Google. Log daar in en check of het verzoek echt klopt. Klik NIET op de link in de SMS.
Wat te doen na ontvangst
- NIET klikken op de link.
- Meld het bij de Fraudehelpdesk via het meldformulier op fraudehelpdesk.nl of telefonisch (088-786 73 72). Zo kunnen zij trends herkennen en anderen waarschuwen.
- Meld bij de organisatie zelf: banken hebben een eigen meldadres voor valse berichten (kijk op de site van je bank), en valse Belastingdienst-berichten stuur je naar valse-email@belastingdienst.nl.
- Verwijder de SMS daarna.
- Geklikt? Direct actie: mobiele bank-app uit, contact bank via vertrouwd nummer. Wijzig wachtwoorden van mogelijke compromised accounts. Meld bij Politie via politie.nl/melden.
Als je geld verloren bent
Direct bellen naar de bank-fraudelijn (24/7 bereikbaar bij alle grote banken). Hoe sneller je meldt, hoe groter de kans op terugboeken. Daarna aangifte bij politie.
Veelgestelde vragen
In Nederland is er geen landelijk sms-meldnummer waar alle providers aan meedoen, zoals 7726 in het Verenigd Koninkrijk. Meld valse sms'jes via het meldformulier van de Fraudehelpdesk (fraudehelpdesk.nl) en bij de organisatie die wordt nagebootst. Sommige banken hebben een eigen meldadres of -nummer; kijk daarvoor op de site van je bank.
De Belastingdienst vraagt je nooit via sms, WhatsApp, mail of telefoon om via een link geld over te maken of persoonsgegevens te geven (Belastingdienst). Bij twijfel: bel de BelastingTelefoon op 0800-0543 of log zelf in op Mijn Belastingdienst (mijn.belastingdienst.nl). Valse berichten kun je doorsturen naar valse-email@belastingdienst.nl.
iPhones en Android-telefoons hebben ingebouwde filters voor spam en onbekende afzenders. Ze zijn niet feilloos maar redelijk. Bij melding 'verdacht': verwijder zonder te openen, eventueel ook melden bij de Fraudehelpdesk.
Klikken alleen geeft criminelen al een 'actief nummer' bevestiging. Verwacht meer SMS, mails en lokvogel-belletjes erna. Bij echt invullen van gegevens (pincode, paspoortnummer) is identiteitsfraude een reëel risico.
PostNL vraagt je nooit via een betaallink in een sms of mail te betalen. Een echt betaalverzoek per sms bevat geen link, alleen de barcode van je zending; je controleert het zelf via de track & trace-pagina of de PostNL-app (PostNL). Voor verzendkosten / inklaring: log in via postnl.nl of de officiele app, niet via SMS-link.