We lezen een sms altijd in de verkeerde volgorde. Eerst de tekst, de belofte of de dreiging die erin staat, en dan pas — soms te laat — de regel erboven: die aangeeft wie er schrijft. En juist die regel bevat bijna alle nuttige informatie.
Want in Frankrijk kan een bericht binnenkomen onder minstens vijf verschillende technische identiteiten: een gewoon mobiel nummer beginnend met 06 of 07, een geografisch nummer, een kort nummer van vier of vijf cijfers, een naam in letters («AMELI», «Colissimo», «BANQUE»), of een internationaal nummer. Elk van die formaten volgt eigen regels, kost de afzender een ander bedrag en biedt een zeer ongelijke mate van zekerheid.
Ze uit elkaar kunnen houden vervangt de voorzichtigheid niet, maar verandert de zaak wel radicaal: het maakt het mogelijk om in drie seconden — nog vóór je de tekst van het bericht hebt gelezen — te scheiden wat plausibel is van wat dat niet is.
De vijf gezichten van een sms-afzender
1. Het gewone mobiele nummer (06 / 07)
Dat is het formaat van een particulier. Een echt Frans mobiel nummer, toegewezen door de ARCEP aan een operator en vervolgens aan een abonnee. Je kunt erop antwoorden en ernaartoe bellen.
Een bedrijf of een overheidsinstantie heeft normaal gesproken geen enkele reden om je vanaf een 06 of 07 een officiële melding te sturen. Wanneer dat toch gebeurt — «Uw pakket is geblokkeerd, regel het hier», ondertekend met een 07 — is de afzender ofwel een particulier, ofwel, veel vaker, een fraudeur met prepaid simkaarten of een geautomatiseerd verzendkastje (de beruchte «simboxen»).
Onthoud deze eenvoudige reflex: een institutioneel bericht dat vanaf een persoonlijk mobiel nummer wordt verstuurd, is een anomalie, ongeacht de inhoud.
2. Het korte nummer (4 tot 5 cijfers)
Korte nummers worden in Frankrijk toegewezen en gereguleerd door de ARCEP, in het kader van het nummerplan. Ze vallen uiteen in grote families die je aan hun voorvoegsel herkent:
| Formaat | Gebruik | Voorbeeld uit de praktijk |
|---|---|---|
| 3xxxx (5 cijfers) | Sms-diensten, waaronder MAN (Multi-Access Number) | Trackingmeldingen, waarschuwingen |
| 36xxx / 38xxx | Sms Multi-Access Number, waaronder 38028 (Signal Spam / 33700) | Spam melden |
| 7xxxx / 8xxxx | Betaalde sms, spellen, stemmen, donaties | Donaties aan een goed doel |
| 1xx | Nood- en hulpdiensten (112, 114, 115, 119) | 114: noodhulp via sms voor doven en slechthorenden |
Twee korte nummers zijn het waard om in Frankrijk te onthouden:
- 33700: de meldingsdienst voor ongewenste sms'jes en oproepen, beheerd door de Franse operatoren. Je stuurt het frauduleuze bericht door en geeft daarna het nummer van de afzender door wanneer erom wordt gevraagd.
- 114: het noodnummer dat via sms bereikbaar is, bedoeld voor dove of slechthorende mensen of voor wie niet kan spreken.
Eén belangrijk punt: korte nummers worden gehuurd bij aggregators, niet definitief gekocht. Eenzelfde nummer van vijf cijfers kan dus achtereenvolgens door meerdere adverteerders worden gebruikt. Een «al eerder gezien» kort nummer is geen bewijs van echtheid — het is alleen een aanwijzing dat de afzender via een geregistreerd professioneel kanaal werkt.
3. De alfanumerieke afzender (een naam in plaats van een nummer)
Dit is het meest misleidende formaat, en dat wat je bij voorrang moet begrijpen. Wanneer je telefoon bovenaan het gesprek «AMELI», «SFR» of «LIVRAISON» toont, toont hij geen geverifieerde identiteit: hij toont een tekenreeks die door de afzender zelf is opgegeven in een technisch veld van het bericht, de zogeheten sender ID of OADC (Originating Address).
Technisch gezien is dat veld declaratief. Niets in het sms-protocol certificeert het. Dat maakt afzender-spoofing mogelijk: de naam van een merk usurperen zodat het bericht op de juiste plek verschijnt.
En daar schuilt de meest effectieve val van de Franse smishing: het groeperen van gesprekken. Als een frauduleus bericht precies dezelfde sender ID gebruikt als een eerder ontvangen legitiem bericht, kan je berichtenapp het in dezelfde draad plaatsen als de echte berichten van de organisatie. De phishing-sms verschijnt dan pal onder de echte sms over een doktersafspraak of een bezorgcode. De context doet de rest van het werk.
Een gespreksdraad authenticeert niets. Een frauduleus bericht kan in een bestaand legitiem gesprek glippen als het dezelfde afzendernaam hergebruikt.
Frankrijk heeft sinds 2023-2024 een bestrijdingsmechanisme ingevoerd: het MAN-register en de verplichting voor operatoren om alfanumerieke sender ID's te filteren die niet in een register zijn aangemeld. Het idee is om in Frankrijk alleen afzendernamen te accepteren die door geïdentificeerde bedrijven zijn geregistreerd. De maatregel heeft het volume aan pure spoofing verminderd, maar niet uitgeroeid: campagnes omzeilen het filter via internationale routes, of door geloofwaardige generieke namen te registreren («INFO-COLIS», «SECURITE») die geen beschermde merken zijn.
4. Het geografische nummer (01 tot 05, of 09)
Een sms ontvangen vanaf een 01 of een 09 is niet langer zeldzaam: vaste nummers kunnen al enkele jaren technisch gezien sms'jes versturen. Sommige huisartsenpraktijken, garages of kleine winkels gebruiken dit voor hun afspraakherinneringen, via hun beheersoftware.
De 09 verdient bijzondere aandacht: die «niet-geografische» nummers worden massaal gebruikt in IP-telefonie, en zijn dus gemakkelijk in grote hoeveelheden te verkrijgen en weg te gooien. Veel telemarketing — en een deel van de fraude — verloopt langs die weg.
5. Het internationale nummer
Een +44, +212, +48 of +1 op een sms die zogenaamd van je Franse bank komt, is een grote inconsistentie. Smishingcampagnes gebruiken vaak goedkope internationale routes omdat die deels aan de nationale filters ontsnappen.
Let wel op één nuance: sommige volstrekt legitieme buitenlandse diensten (een boekingsplatform, een Amerikaanse berichtendienst die een verificatiecode stuurt) schrijven vanaf een internationaal nummer. Het criterium is niet «internationaal = fraude», maar «internationaal terwijl de organisatie puur Frans is = fraude».
Wat je telefoon je niet laat zien
Geen enkel consumentenbesturingssysteem toont de volledige header van een sms. Je ziet niet de identificatie van het berichtencentrum (SMSC) dat het bericht heeft doorgestuurd, noch de gevolgde route, noch de werkelijke netwerktijdstempel. Die gegevens bestaan wel — ze zijn zelfs bruikbaar voor operatoren en, bij een procedure, voor rechercheurs — maar ze bereiken je scherm niet.
Wat je wél kunt doen:
- Lang op het bericht drukken en dan de details tonen: op Android geeft het menu «Details» soms de ruwe afzender, het netwerktijdstip van ontvangst en het type (sms, mms, RCS) weer.
- Het kanaal controleren: een RCS-bericht verschijnt met een leesbevestiging en vaak met een geverifieerd merklogo (RCS Business Messaging). Een bericht dat beweert van een groot merk te komen via kale sms, terwijl datzelfde merk je normaal via RCS met logo schrijft, moet argwaan wekken.
- Naar de lengte kijken: een sms van meer dan 160 tekens wordt samengevoegd. Dat is op zich geen fraudesignaal, maar geautomatiseerde campagnes hebben vaak strak afgemeten en repetitieve formuleringen.
De test van de drie vragen
Voordat je op wat dan ook klikt, volstaan drie vragen in de overgrote meerderheid van de gevallen.
1. Past het afzenderformaat bij de organisatie die wordt genoemd?
Een Franse overheidsinstantie of een groot Frans bedrijf schrijft vanaf een kort nummer, een aangemelde alfanumerieke afzender, of via geverifieerde RCS. Niet vanaf een 07, niet vanaf een «vreemd» +33 7, niet vanaf een buitenlands nummer.
2. Vraagt het bericht om een dringende actie met een betaling of identificatie?
De drie winnende combinaties van fraude in Frankrijk blijven: een klein bedrag dat betaald moet worden (douanekosten, herverzending van een pakket, een boete), een «update» van bankgegevens, en een «accountverificatie» met een elders ontvangen code. Urgentie is het werkzame bestanddeel.
3. Wijst de link naar een officieel domein?
Franse overheidsinstanties gebruiken domeinen op .gouv.fr of bekende merkdomeinen. Een verkorte link, een samengesteld domein (ameli-remboursement-fr.com), een misleidend subdomein (ameli.fr.securite-connexion.net): dat alles is diskwalificerend. Let wel: een lange URL lezen op een scherm van 6 inch is een pijnlijke oefening; veel lezers hebben er baat bij een verstelbare telefoonhouder te gebruiken om een verdacht bericht op ooghoogte te bekijken in plaats van op armlengte, of het bericht simpelweg op een groter scherm te bekijken.
Verifiëren zonder te klikken: de methode van het parallelle kanaal
De doeltreffendste regel tegen smishing past in één zin: je verifieert een bericht nooit via het bericht zelf.
Concreet:
- Een sms van je bank? Open de bankapp, of bel het nummer dat op de achterkant van je pas staat.
- Een sms van de zorgverzekering? Log in op je Ameli-account door het adres zelf in te typen, of gebruik de officiële app.
- Een sms van een vervoerder? Neem het trackingnummer over op de site van de vervoerder, zonder de link te gebruiken.
- Een sms van de Belastingdienst? Ga via impots.gouv.fr en je persoonlijke omgeving.
Deze discipline kost tien seconden extra. Ze neutraliseert vrijwel alles, ook zeer verzorgde campagnes.
Voor huishoudens die deze reflexen willen vastleggen — vooral met tieners of minder digitaal vaardige naasten — doen enkele pagina's uit een cybersecuritygids voor beginners naast de gezinscomputer vaak meer dan een lang betoog: de mechanismen zwart op wit zien maakt ze concreet.
Melden: wat het echt verandert
Veel lezers gaan ervan uit dat een melding in het niets verdwijnt. In werkelijkheid werken er in Frankrijk twee kanalen:
- 33700 (ongewenste sms'jes, oproepen en berichten), een systeem dat door de operatoren wordt gedragen. Je stuurt het bericht door naar 33700 en antwoordt vervolgens met het nummer van de afzender. Massaal gemelde nummers worden geblokkeerd, en geïdentificeerde verzenders kunnen worden bestraft.
- cybermalveillance.gouv.fr en het platform THESEE om online aangifte te doen van internetoplichting. Signal Spam vult het geheel aan voor e-mail.
De ARCEP en de DGCCRF volgen daarnaast overtredingen van de regels rond commerciële benadering. En wat persoonsgegevens betreft herinnert de CNIL er regelmatig aan dat commerciële benadering via sms uitdrukkelijke voorafgaande toestemming vereist: een ongevraagd commercieel bericht waarvoor je nooit toestemming hebt gegeven, is op zichzelf al een onregelmatigheid — ook als het niet frauduleus is.
Het blootgestelde oppervlak verkleinen
Een afzender kunnen identificeren is een defensieve vaardigheid. Je kunt ook eerder in de keten ingrijpen, door het aantal verdachte berichten dat binnenkomt te beperken.
Filteren op de telefoon. iOS biedt het filteren van onbekende afzenders (Instellingen → Apps → Berichten → «Filter onbekende afzenders»), waarmee berichten van nummers die niet in je contacten staan in een apart tabblad worden gezet. Google Messages beschikt aan de Android-kant over een antispambescherming die in 2025-2026 duidelijk is versterkt, met detectie van oplichtingspatronen en het maskeren van links in verdachte berichten.
Je nummers scheiden. Gebruik een tweede nummer — een tweede lijn van een abonnement, een aparte eSIM, een nummer van een onlinedienst — voor commerciële registraties, advertenties en bezorgingen. Het hoofdnummer blijft voorbehouden aan naasten, de bank en de overheid. Een prepaid simkaart zonder abonnement volstaat ruimschoots voor die rol en kost slechts een paar euro.
Beveilig wat je accounts beschermt. Sms blijft de zwakke schakel in tweefactorauthenticatie, omdat het afhangt van een nummer dat gekaapt kan worden. Gevoelige accounts overzetten naar een authenticatie-app, of naar een fysieke FIDO2-beveiligingssleutel, ontneemt sms zijn rol van hoofdsleutel. Dat is de handeling die een geslaagde smishing veel minder schadelijk maakt.
Zorg voor je leesmateriaal. Prozaïsch maar reëel detail: een flink deel van de per ongeluk gemaakte klikken komt door een bekrast scherm, een natte vinger of lezen in de metro. Een beschermfolie van gehard glas en wat licht volstaan om misgrepen te verminderen.
Het bijzondere geval van politieke en institutionele sms'jes
Het voorjaar van 2026 herinnerde er tijdens de gemeenteraadsverkiezingen aan dat een volstrekt legale sms volstrekt irritant kan zijn. De campagneberichten die vanaf alfanumerieke afzenders werden verstuurd, riepen veel reacties op, en veel ontvangers vroegen zich af hoe hun nummer was verkregen.
Twee zaken moeten hier worden onderscheiden:
- Een frauduleuze sms probeert geld of inloggegevens te bemachtigen. Die meld je bij 33700 en verwijder je.
- Een ongevraagde maar legale of half-legale sms valt onder het recht rond commerciële benadering. Daar is de AVG het hefboommiddel: de afzender vragen naar de herkomst van de gegevens, je recht van bezwaar uitoefenen, en bij weigering de CNIL inschakelen. Het sleutelwoord «STOP» blijft verplicht in commerciële sms'jes — het heeft daarentegen geen enkele waarde en geen enkel nut bij een fraudecampagne, waar antwoorden alleen maar bevestigt dat het nummer actief is.
Drie seconden, vijf formaten
Met de tijd wordt het lezen van de afzender automatisch. Een bekend kort nummer: plausibel. Een merknaam in een reeds bestaande draad: plausibel, maar de link moet nog gecontroleerd worden. Een 07 die door een overheidsinstantie is ondertekend: weggooien. Een +48 die door een Franse bank is ondertekend: weggooien. Een 09 met een verkorte link: weggooien.
De sms is nooit ontworpen om te bewijzen wie er spreekt. Hij werd in 1992 ontworpen om 160 tekens te vervoeren in een restkanaal voor signalering. Vierendertig jaar later vervoert hij doktersafspraken, bankcodes en officiële oproepen — zonder ooit een authenticatiemechanisme van enig niveau te hebben gekregen. Het is aan de ontvanger om die kloof te dichten, en dat begint met het lezen van de eerste regel vóór alle andere.
