Bij sms-oplichting bestaat er één heel precies kantelmoment. Niet het moment waarop het bericht binnenkomt, en zelfs niet het moment waarop je klikt. Maar dat moment, enkele seconden of enkele uren later, waarop het je duidelijk wordt. De website leek te kloppen, de pagina liep "vast", en dan sluipt de twijfel binnen. Je leest het bericht nog eens over. Het nummer van de afzender lijkt helemaal niet meer op dat van de bank.
Wat daarna volgt, wordt vrijwel altijd slecht beleefd en slecht aangepakt. Niet uit gebrek aan verstand, maar omdat niemand ons ooit heeft uitgelegd in welke volgorde je moet handelen. Bel je de bank vóór of ná de aangifte? Heeft 33700 enig nut? Maakt een aangifte kans op resultaat? En vooral: moet de bank terugbetalen?
Hier is het volledige traject, zoals het in 2026 daadwerkelijk in Frankrijk bestaat, met de wettelijke termijnen, de toepasselijke wetsartikelen en de zinnen die het verschil maken tegenover een bankmedewerker.
De eerste drie uur: de volgorde van de prioriteiten
De regel is eenvoudig: je begint bij wat bloedt. De meldingen en aangiften komen daarna, nooit ervoor.
1. Blokkeer je betaalmiddelen
Heb je een kaartnummer, een eenmalige code of je bankinloggegevens ingevoerd, dan is blokkeren de absolute prioriteit. Drie kanalen, in deze volgorde van doeltreffendheid:
- De bankapp, die tegenwoordig vrijwel altijd een knop biedt om de kaart direct te blokkeren;
- Het blokkeringsnummer van je bank, vermeld op de achterkant van de kaart en in je klantomgeving;
- De interbancaire blokkeringslijn voor bankkaarten, 0 892 705 705, 24 uur per dag bereikbaar als je je eigen bank niet te pakken krijgt.
Een punt dat vaak over het hoofd wordt gezien: de kaart blokkeren is niet altijd genoeg. Als de fraudeurs je inloggegevens voor internetbankieren hebben bemachtigd, kunnen ze een overboeking proberen. Vraag uitdrukkelijk om blokkering van de toegang tot je klantomgeving en om het resetten van je inloggegevens.
2. Neem de controle over je telefoon terug
Heb je via de link een app geïnstalleerd of een machtiging verleend, beschouw het toestel dan als gecompromitteerd. Start het opnieuw op, verwijder alles wat is toegevoegd, controleer in de instellingen welke apps toegang hebben tot sms-berichten, en wijzig je wachtwoorden vanaf een ander apparaat — een computer, een tablet. Dit is ook het juiste moment om een fysieke FIDO2-beveiligingssleutel te overwegen voor je gevoeligste accounts: die maakt het onderscheppen van een sms-code zinloos, want er is geen code meer om te onderscheppen.
3. Documenteer voordat je wist
Een contra-intuïtieve maar doorslaggevende reflex: verwijder het frauduleuze bericht niet. Maak schermafbeeldingen van de sms, van het afzendernummer, van de bezochte URL, van het tijdstip en van de betwiste banktransacties. Deze elementen vormen je dossier. Zonder die stukken is de aangifte niet meer dan een verklaring op erewoord; mét die stukken is het een dossier.
33700: waar het echt voor dient (en waarvoor niet)
33700 is het nationale meldpunt voor ongewenste sms'jes en telefoontjes, beheerd door de Franse telecomoperatoren onder auspiciën van de Association Française du Multimédia Mobile. De werking is doodeenvoudig: je stuurt de verdachte sms door naar 33700 en verstuurt vervolgens in een tweede bericht het nummer van de afzender.
Wat het wél doet: het voedt een gemeenschappelijke database waarmee operatoren massaal gebruikte nummers en spamkits kunnen afsluiten. Een nummer dat honderden keren wordt gemeld, is snel onschadelijk gemaakt.
Wat het niet doet: het behandelt jouw persoonlijke zaak niet, zet geen onderzoek naar jouw schade in gang en betaalt je niets terug. 33700 is een collectief gebaar, geen individueel rechtsmiddel. Het is de moeite waard — dertig seconden — maar het vervangt geen van de volgende stappen.
Ook goed om te weten: melden bij 33700 werkt voor klassieke sms-berichten. Voor berichten die via apps of via RCS binnenkomen, verloopt de melding binnen de app zelf, die daarvoor eigen meldmechanismen heeft.
Melden bij de officiële platformen: Cybermalveillance en Pharos
Twee publieke voorzieningen maken het plaatje compleet, en ze dienen niet hetzelfde doel.
Cybermalveillance.gouv.fr is de nationale hulpdienst voor slachtoffers van cybercriminaliteit, aangestuurd door een publiek belangenverband waarin de staat participeert. Het online diagnosetraject leidt je op basis van je situatie (phishing, identiteitsfraude, gehackt account) in de juiste richting en brengt je in contact met dienstverleners in de buurt als technisch ingrijpen nodig is. Dit is het juiste startpunt als je niet weet waar te beginnen.
Pharos, het platform voor harmonisatie, analyse, koppeling en doorverwijzing van meldingen, wordt beheerd door het Office anti-cybercriminalité. Melden doe je via internet-signalement.gouv.fr. Pharos ontvangt meldingen van onrechtmatige online inhoud en gedragingen — phishingsites inbegrepen. Ook hier geldt: melding ≠ aangifte.
Ten slotte is Perceval de online meldservice voor bankkaartfraude, toegankelijk via FranceConnect op service-public.fr. Die is specifiek bedoeld voor frauduleuze afschrijvingen op een kaart die in je bezit is gebleven. Het ontvangstbewijs van Perceval is een nuttig document om toe te voegen aan het dossier dat je bij je bank indient.
Aangifte doen: waar, hoe en met welke kansen
Anders dan een hardnekkig misverstand doet vermoeden, mag een aangifte nooit worden geweigerd. Artikel 15-3 van de Code de procédure pénale verplicht officieren en agenten van de gerechtelijke politie om aangiften in ontvangst te nemen, ook buiten hun eigen ambtsgebied, en daarvan een ontvangstbewijs af te geven. Zegt een agent "dat heeft toch geen zin", dan luidt het antwoord: "ik wens desalniettemin aangifte te doen, graag een ontvangstbewijs".
Drie mogelijke wegen:
| Weg | Indicatieve termijn | Nut |
|---|---|---|
| Politiebureau of gendarmeriepost | Direct tot enkele dagen | Ontvangstbewijs ter plekke, dossier samengesteld met de agent |
| Online aangifte (digitaal aangifteloket) | Enkele dagen | Praktisch, maar wordt bij een mager dossier soms omgezet in een registratiemelding |
| Brief aan de procureur de la République | 1 tot 3 weken | Nuttig bij aanzienlijke schade, je kunt alles schriftelijk uiteenzetten |
Voor de brief aan de procureur richt je je tot de tribunal judiciaire van de plaats van het delict of van je woonplaats, aangetekend met ontvangstbevestiging. De brief moet je volledige contactgegevens bevatten, het gedateerde chronologische relaas, de beoogde kwalificatie (oplichting, artikel 313-1 van de Code pénal; frauduleuze verzameling van persoonsgegevens, artikel 226-18) en de bewijsstukken. Een eenvoudige archiefordner voor administratieve documenten voorkomt dat je drie maanden later een chaotische stapel papier moet doorspitten wanneer de verzekeraar of de bank om een aanvullend stuk vraagt.
Over de kans op resultaat: laten we eerlijk zijn. Smishingcampagnes worden overwegend vanuit het buitenland aangestuurd, via gehuurde infrastructuur en wegwerpnummers. De daders worden zelden geïdentificeerd. Maar de aangifte heeft niet alleen een strafrechtelijke functie: ze is het kernstuk van je bank- en verzekeringsdossier. Zonder aangifte heeft de bank vrij spel om twijfel te zaaien over de echtheid van de fraude.
Waar het echt om draait: terugbetaling krijgen
Hier valt de beslissing, en hier haken de meeste slachtoffers te vroeg af, ontmoedigd door een eerste afwijzing.
Wat de wet zegt
De Code monétaire et financier stelt een helder beginsel. Artikel L. 133-18 bepaalt dat de betaaldienstverlener, bij een door de gebruiker gemelde niet-toegestane betalingstransactie, onmiddellijk terugbetaalt, en uiterlijk aan het einde van de eerste werkdag na de melding, tenzij er een vermoeden van fraude door de gebruiker zelf bestaat dat aan de Banque de France is doorgegeven.
Artikel L. 133-19 beperkt het deel dat voor rekening van de betaler komt, en vooral: wanneer de transactie is uitgevoerd zonder sterke authenticatie terwijl die wel vereist was, draagt de betaler geen enkel verlies.
Artikel L. 133-23 legt de bewijslast bij de bank: zij moet aantonen dat de transactie is geauthenticeerd, geregistreerd en niet is aangetast door een technisch mankement. En de tekst preciseert uitdrukkelijk dat het door de dienstverlener geregistreerde gebruik van het betaalinstrument niet noodzakelijk volstaat om grove nalatigheid te bewijzen.
Het begrip grove nalatigheid en de ommekeer in de rechtspraak
De bank ontkomt alleen aan terugbetaling als zij grove nalatigheid van jouw kant aantoont (artikel L. 133-19, IV). Lange tijd gingen banken ervan uit dat het doorgeven van een per sms ontvangen code van nature grove nalatigheid opleverde.
De Cour de cassation heeft die uitleg aanzienlijk ingeperkt. In een veelbesproken uitspraak van haar handelskamer (arrest van 12 november 2020, cassatieberoep nr. 19-12.112) herinnerde zij eraan dat het aan de bank is om het bewijs van grove nalatigheid te leveren, en dat die niet zomaar kan worden afgeleid uit het enkele feit dat de klant zijn gegevens heeft doorgegeven. Latere rechtspraak heeft die lijn bevestigd in gevallen van spoofing, dat wil zeggen het vervalsen van het nummer of de afzendernaam van de bank: wanneer het frauduleuze bericht zich invoegt in de authentieke berichtenreeks van de bank, kan het slachtoffer redelijkerwijs niet grof nalatig worden geacht.
Dat is het centrale argument dat je schriftelijk moet aanvoeren:
Het betwiste bericht verscheen in de gebruikelijke berichtenreeks van uw instelling, onder dezelfde afzendernaam, waardoor enig onderscheid voor een normaal oplettende gebruiker onmogelijk was. Op grond van de artikelen L. 133-18 en L. 133-23 van de Code monétaire et financier is het aan u om mijn grove nalatigheid aan te tonen, die niet enkel kan voortvloeien uit het doorgeven van de gegevens.
De procedure, stap voor stap
- Schriftelijke betwisting bij je bankkantoor, aangetekend met ontvangstbevestiging, zo snel mogelijk. De wettelijke maximumtermijn om een niet-toegestane transactie te betwisten is dertien maanden vanaf de afschrijving (artikel L. 133-24), maar wacht niet: snelheid van handelen weegt mee in de beoordeling.
- Inschakeling van de klachtendienst van de bank als de weigering wordt gehandhaafd, met dezelfde stukken plus een kopie van de weigering.
- Bankombudsman: gratis, online in te schakelen, en beschikt over negentig dagen om een advies uit te brengen. Zijn contactgegevens staan verplicht op je afschriften en op de website van de bank. Een aanzienlijk deel van de fraudegeschillen wordt in dit stadium beslecht.
- Tribunal judiciaire als laatste redmiddel. Voor bescheiden bedragen is de vereenvoudigde procedure bij de juge des contentieux de la protection toegankelijk zonder advocaat. Controleer bij die gelegenheid je rechtsbijstandverzekering: veel woonverzekeringen en premiumkaarten bevatten er een, en die vergoedt de kosten.
Om je brieven op te stellen zonder er een hele avond aan kwijt te zijn, biedt een geactualiseerde praktijkgids consumentenrecht direct bruikbare voorbeeldbrieven voor ingebrekestelling.
De schade die men vergeet aan te pakken
Met de terugbetaling door de bank is niet alles opgelost. Drie blinde vlekken verdienen een aparte actie.
Identiteitsfraude. Heb je een kopie van een identiteitsbewijs, een adresbewijs of een bankrekeningoverzicht doorgegeven, dan bestaat het risico dat er frauduleus krediet op jouw naam wordt afgesloten. Je kunt via de Banque de France vragen om registratie in het Fichier national des incidents de remboursement des crédits aux particuliers als slachtoffer van identiteitsfraude, en je recht op inzage in de incidentenregisters uitoefenen.
Persoonsgegevens. Zijn je gegevens frauduleus verzameld via een nepsite die een organisatie nabootst, dan is een melding bij de CNIL zinvol, zeker wanneer de echte organisatie een datalek heeft gehad dat aan de gerichte aanval ten grondslag ligt. De CNIL keert je geen schadevergoeding uit, maar haar optreden kan een controle in gang zetten.
Duurzame beveiliging van je accounts. Vervang na het incident overal waar dat kan de per sms ontvangen codes door een authenticatie-app met tweefactorbeveiliging, en breng je wachtwoorden onder in een speciale wachtwoordmanager. Een versleuteld wachtwoordboekje op papier, thuis opgeborgen, blijft een acceptabele terugvaloptie voor wie niets van apps moet hebben — op voorwaarde dat het de woning nooit verlaat.
De tijdlijn om te onthouden
| Moment | Actie |
|---|---|
| U+0 | Kaart blokkeren en online toegang laten afsluiten |
| U+0 | Schermafbeeldingen van de sms, de URL en de transacties |
| U+1 | Wachtwoorden wijzigen vanaf een ander apparaat |
| D+0 tot D+1 | Schriftelijke betwisting bij de bank (aangetekend met ontvangstbevestiging) |
| D+0 tot D+2 | Aangifte op het politiebureau of online, ontvangstbewijs bewaren |
| D+0 tot D+2 | Melding bij Perceval, sms doorsturen naar 33700 |
| D+30 | Herinnering sturen en klachtendienst inschakelen bij uitblijven reactie |
| D+60 | Bankombudsman |
| D+395 max | Wettelijke betwistingsgrens (13 maanden) |
Wat je moet onthouden
Smishing gedijt op een simpel mechanisme: het slachtoffer schaamt zich, wacht dus te lang, en dus verstrijken de termijnen. Terwijl de Franse wet op dit terrein juist eerder gunstig is voor de consument. De bewijslast rust op de bank, grove nalatigheid moet worden aangetoond en niet verondersteld, en de rechtspraak heeft uitdrukkelijk erkend dat een bericht dat de identiteit van een bank vervalst technisch niet te onderscheiden is voor een gewone gebruiker.
Het enige werkelijk schadelijke gedrag is afwachten. Een melding binnen het uur, een dossier met schermafbeeldingen, een goed onderbouwde aangetekende brief: dat is wat een terugbetaald dossier onderscheidt van een geseponeerd dossier.
En voor het vervolg: de beste reflex blijft om nooit een link te gebruiken die je per bericht ontvangt, hoe geloofwaardig die ook oogt. Je sluit de sms, opent de officiële app, en controleert. Drie seconden extra, en het verhaal vindt gewoon niet plaats.
Belangrijkste bronnen: Code monétaire et financier (artikelen L. 133-18, L. 133-19, L. 133-23, L. 133-24), Code de procédure pénale (artikel 15-3), Code pénal (artikelen 313-1 en 226-18), Cour de cassation chambre commerciale (arrest van 12 november 2020, nr. 19-12.112), Cybermalveillance.gouv.fr, service-public.fr (Perceval), Banque de France, CNIL.
