Er bestaat een categorie oplichtings-sms'jes waartegen alle gebruikelijke adviezen tekortschieten.
« Controleer het nummer van de afzender. » Dat klopt. « Kijk of het bericht van een onbekend nummer komt. » Het komt niet van een onbekend nummer. « Vergelijk het met eerdere berichten van je bank. » Het staat precies onder de eerdere berichten van je bank, in dezelfde reeks, met dezelfde kop, dezelfde afzendernaam, dezelfde opmaak.
Dit fenomeen heeft een naam: afzenderusurpatie, oftewel spoofing. Technisch gezien is het niets nieuws — de zwakte is even oud als de commerciële sms — maar de industrialisering ervan door fraudenetwerken, gecombineerd met de AI-automatisering van manipulatiescenario's, heeft het tot vector nummer één gemaakt van bankfraude via de telefoon in Frankrijk.
En anders dan bij het valse pakket of de valse medische herinnering kan dit type bericht niet met het blote oog worden herkend. Er is een andere methode nodig.
Waarom een fraudeur « CreditMutuel » in het afzenderveld kan schrijven
Wanneer een bedrijf je een sms stuurt, gebruikt het doorgaans geen telefoonnummer maar een alfanumerieke identificatie: « Ameli », « Colissimo », « SFR », « BNPPARIBAS ». Technisch heet dit veld de Sender ID en het is sinds de jaren negentig vastgelegd in de GSM-standaard.
Het probleem laat zich in één zin samenvatten: dit veld is louter een verklaring.
In het oorspronkelijke sms-protocol bestaat geen enkel authenticatiemechanisme zoals we dat kennen voor e-mail (SPF, DKIM, DMARC). De verzender vult een tekenreeks van maximaal elf tekens in, en het netwerk vervoert die ongewijzigd tot op je scherm. Niets in de standaard controleert of de organisatie die « CAISSEEPARGNE » schrijft ook werkelijk de Caisse d'Épargne is.
Bij een serieuze Franse operator en een zogenoemde « premium »-route bestaan er wel controles: de A2P-aggregator (Application-to-Person) eist een mandaat, verifieert de identiteit van de opdrachtgever en registreert de Sender ID. Maar sms is een wereldwijd onderling verbonden netwerk. Een bericht kan worden geïnjecteerd via een buitenlandse operator, over een goedkoop ingekochte « grijze » route, en met een vervalste identificatie in Frankrijk aankomen. Precies dat doen de fraudeplatformen, vaak gehost buiten Europa en verkocht op abonnementsbasis.
Het detail dat spoofing verwoestend maakt: het groeperen van gesprekken
Waar het echt ernstig wordt, is aan de kant van de smartphone.
Zowel iOS als Android groepeert gesprekken op afzenderidentificatie, niet op technische route of certificaat. Als je bank je schrijft vanaf « MABANQUE » en een fraudeur injecteert een bericht met exact dezelfde tekenreeks, dan belanden beide in hetzelfde gesprek.
Het frauduleuze bericht erft dan al het opgebouwde vertrouwenskapitaal:
- het verschijnt onder je echte verificatiecodes;
- het deelt de zichtbare geschiedenis van je legitieme uitwisselingen;
- het profiteert van de context (« ah ja, dit is inderdaad de reeks van mijn bank »);
- het ontsnapt aan antispamfilters die zich baseren op onbekende nummers.
Geen enkele visuele waakzaamheid kan dat compenseren. Het is structureel.
Het typische scenario van 2026: de sms is slechts een opmaat
De fout zou zijn te denken dat het doel van het bericht is dat je op een link klikt. Steeds vaker is er helemaal geen link — wat automatische filters en beveiligingswaarschuwingen omzeilt.
Het overheersende patroon is dit:
- De waarschuwings-sms. « Betalingspoging van 749 € bij [winkelketen] gedetecteerd. Als u deze transactie niet zelf hebt uitgevoerd, bel 09 XX XX XX XX. » Het verschijnt in de legitieme gespreksreeks van de bank.
- Het telefoontje. Ofwel bel je het opgegeven nummer, ofwel — in een agressievere variant — belt een « adviseur » je binnen enkele minuten, met een eveneens vervalst weergegeven nummer (spoofing bestaat ook bij spraaktelefonie).
- De manipulatie. De gesprekspartner kent je naam, soms je recente aankopen, je bankkantoor. Hij is kalm, professioneel, en raadt je juist af overhaast te handelen. Hij vraagt je de frauduleuze transactie te « blokkeren ».
- De buit. Hij laat je een handeling bevestigen in je bankapp, een per sms ontvangen code voorlezen of een nieuw apparaat koppelen aan je rekening. Jij bent degene die de overschrijving autoriseert.
Dit is de zogenoemde fraude « met de valse bankadviseur », die de Banque de France en het Observatoire de la sécurité des moyens de paiement jaar na jaar documenteren als een van de duurste per slachtoffer. De gespoofte sms is niet de oplichting: het is de sleutel die de deur opent.
De regel die tegen 90 % van deze scenario's beschermt, past in één zin: geen enkele bank zal je ooit vragen om tijdens een telefoongesprek een transactie te bevestigen, te annuleren of te « blokkeren » door een code voor te lezen of een melding te bevestigen. Een bevestiging dient uitsluitend om te autoriseren, nooit om te annuleren.
Wat Frankrijk heeft ingevoerd (en waar het tekortschiet)
Anders dan vaak wordt gedacht, negeert de toezichthouder het onderwerp niet.
De wet van 30 mei 2023 ter bestrijding van fraude en misbruik bij telefonische verkoop heeft het principe vastgelegd van een mechanisme voor nummerauthenticatie. De Arcep publiceerde vervolgens het technische referentiekader MAN (Mécanisme d'Authentification des Numéros), dat sinds oktober 2024 stapsgewijs van kracht is voor vaste nummers en daarna voor mobiele nummers.
Het principe: een Franse operator moet controleren of een oproep of bericht dat met een Frans nummer wordt gepresenteerd, daadwerkelijk afkomstig is van een rechtmatige gebruiker van dat nummer. Zo niet, dan moet het verkeer worden afgekapt. De resultaten zijn merkbaar bij frauduleuze oproepen met valse Franse geografische nummers.
Maar we moeten eerlijk zijn over wat dit mechanisme níét oplost:
| Situatie | Gedekt door MAN? |
|---|---|
| Oproep met een vals Frans 01/09-nummer | Ja, grotendeels gefilterd |
| Oproep met een vals Frans mobiel nummer | Ja, sinds de uitbreiding van het mechanisme |
| Sms met een vals Frans nummer | Gedeeltelijk |
| Sms met een vervalste alfanumerieke Sender ID | Nee, valt buiten het directe bereik |
| Sms vanuit het buitenland geïnjecteerd met een merkidentificatie | Hangt af van de filters van de ontvangende operator |
Daarnaast hebben de Fédération française des télécoms en de operatoren lijsten met beschermde alfanumerieke identificaties ontwikkeld: een merk registreert zijn Sender ID en de operatoren blokkeren buitenlandse berichten die die proberen te usurperen. Dit systeem werkt — maar het berust op vrijwilligheid van bedrijven en dekt de duizenden niet-geregistreerde merken niet, evenmin als de typografische varianten (« MA-BANQUE », « MABANQUE1 »).
Met andere woorden: de situatie verbetert, maar is niet opgelost.
De verificatiemethode die wél werkt, in drie stappen
Omdat visuele inspectie niet werkt, moet je overschakelen op een logica van verificatie buiten het kanaal. Het principe is eenvoudig: bevestig informatie nooit via het kanaal waarlangs ze binnenkwam.
1. Stel de handeling uit, niet het nadenken
Al deze scenario's leunen op kunstmatige urgentie. Het bedrag is hoog, de termijn kort, de gesprekspartner bouwt spanning op. De tegenmaatregel is mechanisch: niets bancairs wordt binnen vijf minuten beslist. Geen enkele door een bank gedetecteerde frauduleuze transactie vereist onmiddellijk telefonisch ingrijpen van jou; de blokkeringsprocedures bestaan en werken ook achteraf.
2. Ophangen en zelf terugbellen
Het te bellen nummer is nooit het nummer uit het bericht of het nummer op je scherm. Het is het nummer dat op de achterkant van je bankpas staat of in je officiële app. Belangrijk detail dat vaak wordt vergeten: bij oude vaste lijnen kon een fraudeur de lijn openhouden om een terugbelactie te simuleren. Op mobiel is dat risico vrijwel nul, maar wacht toch enkele seconden voordat je belt.
Voor wie meerdere rekeningen of kaarten beheert, blijft het bijhouden van de blokkeringsnummers buiten de telefoon de meest robuuste oplossing: een eenvoudig telefoonadresboekje naast het bureau, of een geplastificeerd kaartje in de portefeuille, is beter dan een notitie die verdwijnt in een smartphone die gestolen of gecompromitteerd kan worden.
3. Controleer in de app, nooit via een link
Open je bankapp via het icoon, niet via de sms. Als er een verdachte transactie is, staat die daar. Verschijnt er niets, dan is het bericht vals. Deze controle kost twintig seconden en neutraliseert de overgrote meerderheid van de pogingen.
Het aanvalsoppervlak vooraf verkleinen
Spoofing werkt des te beter naarmate de fraudeur meer over je weet. Het bericht « uw kaart eindigend op 4412 » heeft niets magisch: die gegevens circuleren na datalekken van klantenbestanden. Enkele maatregelen beperken de blootstelling.
Scheid je hoofdnummer af. Een tweede lijn gebruiken — een prepaidkaart of een tweede eSIM — voor commerciële aanmeldingen, leveringen en advertentiesites vermindert het aantal frauduleuze berichten gericht op je banklijn aanzienlijk. Dualsim-telefoons zijn inmiddels doodgewoon en maken de operatie pijnloos.
Haal je authenticatie weg bij sms. De eenmalige code per sms blijft de zwakste schakel: hij kan worden onderschept, via manipulatie doorgegeven worden en is kwetsbaar voor SIM swapping. Waar een dienst het toelaat, verandert een tweefactorauthenticatie-app, of zelfs een fysieke FIDO2-beveiligingssleutel voor de gevoeligste accounts (hoofdmailbox, wachtwoordmanager), het beschermingsniveau volledig. Een hardwaresleutel kun je niet telefonisch voorlezen aan een valse adviseur.
Vermijd hergebruikte wachtwoorden. Het scenario van de valse adviseur wordt veel geloofwaardiger wanneer de oplichter al toegang heeft tot een webshopaccount. Een wachtwoordmanager, ook in de gratis versies, doorbreekt die keten. Wie papier verkiest: een afsluitbaar wachtwoordboekje dat thuis blijft, is nog altijd veel beter dan de post-it onder het toetsenbord.
Meld het systematisch. 33700 is de nationale meldlijn voor ongewenste sms'jes en oproepen, beheerd door de Franse operatoren. Stuur het bericht door naar 33700 en antwoord vervolgens met het nummer van de afzender als daarom wordt gevraagd. Het is gratis en het voedt de blokkeerlijsten. Aanvullend wijst het platform Cybermalveillance.gouv.fr de weg naar de te ondernemen stappen, en met Perceval, op service-public.fr, kun je frauduleus gebruik van een bankpas melden.
Verandert RCS de zaak?
Dat is het echte goede nieuws van deze periode. RCS (Rich Communication Services), de opvolger van sms die door de operatoren wordt uitgerold en inmiddels zowel door iOS als Android wordt ondersteund, bevat iets wat bij sms ontbreekt: de geverifieerde afzender.
In het kader van RCS Business Messaging moet een bedrijf zijn identiteit laten valideren bij een erkende aggregator. Het bericht komt dan binnen met een logo, een geverifieerde naam en een verificatiebadge die door de berichtenapp wordt getoond. Google Messages heeft bovendien in 2025 en 2026 zijn automatische oplichtingsdetectie versterkt, met een classificatie van verdachte berichten die lokaal op het toestel plaatsvindt.
Twee nuances echter:
- Het naast elkaar bestaan creëert een grijze zone. Zolang de klassieke sms als terugvaloptie blijft bestaan, kan een fraudeur precies dat niet-geauthenticeerde kanaal viseren. Een niet-geverifieerd bericht is niet noodzakelijk frauduleus — veel kmo's zijn nog niet overgestapt — maar een geverifieerd bericht is wél een stevige garantie.
- De badge beschermt de identiteit, niet de inhoud. Een legitiem merk kan een agressieve campagne versturen; omgekeerd moet het ontbreken van een badge op een bericht dat er bancair uitziet, voortaan als een volwaardig alarmsignaal worden beschouwd.
De gewoonte om aan te leren is dus simpel: zoek bij een bericht met financiële inzet naar de badge. Staat die er niet, pas dan zonder uitzondering de verificatieprocedure buiten het kanaal toe.
Wat je moet onthouden
- Het afzenderveld van een sms is louter een verklaring: het kan worden vervalst, waarna het frauduleuze bericht zich netjes in de legitieme gespreksreeks van je bank nestelt.
- Visuele inspectie helpt in dit specifieke geval niets. Alleen verificatie buiten het kanaal beschermt.
- Het Franse systeem voor nummerauthenticatie (MAN-referentiekader van de Arcep) heeft oproepen met vervalste Franse nummers sterk teruggedrongen, maar dekt de alfanumerieke identificaties niet.
- Geen enkele bank vraagt om ook maar iets te bevestigen, voor te lezen of te bekrachtigen tijdens een telefoongesprek.
- RCS met geverifieerde afzender vormt het eerste structurele antwoord op het probleem; de volledige uitrol zal nog tijd kosten.
Sms werd in 1992 bedacht als een technisch dienstkanaal tussen ingenieurs. Vierendertig jaar later is het de toegangspoort tot onze bankrekeningen geworden — zonder ooit de bijbehorende authenticatiemechanismen te hebben gekregen. Zolang die kloof niet is gedicht, blijft de beste bescherming een heel menselijke reflex: stap uit het kanaal om te verifiëren.
