Er is een ervaring die vrijwel iedereen kent, maar waar bijna niemand over praat: een bericht ontvangen dat duidelijk niet voor u bedoeld was.
Soms is het onschuldig — "Zien we elkaar om 19 uur voor de bioscoop?" van een onbekende. Soms is het veel minder onschuldig: een inlogcode voor een bankrekening, de uitslag van een medisch onderzoek, een oproeping, een breukbericht, de foto van een kind. U hebt niets gevraagd, niets gehackt, niets onderschept. Het bericht is bij u terechtgekomen omdat iemand zich in één cijfer vergiste, of omdat uw nummer vóór u aan iemand anders toebehoorde.
En dan komt een reeks vragen op waar niemand u ooit antwoord op heeft gegeven. Mag ik het lezen? Moet ik antwoorden? Loop ik enig risico? Hoe zorg ik ervoor dat het stopt?
Waarom uw nummer de berichten van iemand anders ontvangt
Er zijn vier hoofdoorzaken, en ze vragen niet om dezelfde reactie.
Het hergebruikte nummer. Dit is veruit het meest voorkomende en hardnekkigste geval. In Frankrijk wordt een opgezegd mobiel nummer niet vernietigd: het keert terug naar de voorraad van de operator, die een "quarantaineperiode" moet respecteren voordat het opnieuw wordt toegekend. De ARCEP regelt dit mechanisme in haar nationale nummerplan, maar de termijn bedraagt slechts enkele maanden. Daarna heeft uw gloednieuwe nummer al een voorgeschiedenis: een abonnement op een sportschool, een klantaccount bij een energieleverancier, een inschrijving op een bezorgplatform, een dossier bij een medisch laboratorium. Al die databases blijven schrijven naar de vorige houder — bij u dus.
De invoerfout. Een omgedraaid cijfer aan de balie van een apotheek, een recept dat telefonisch wordt gedicteerd, een haastig ingevuld formulier. Het bericht vertrekt naar een onbekende die niet eens weet dat er een probleem is.
Het klantenbestand dat nooit is opgeschoond. Een bedrijf beschikt over een nummer dat acht jaar geleden is verkregen en heeft nooit gecontroleerd of het nog geldig was. De AVG stelt nochtans een eis van juistheid van gegevens (artikel 5.1.d): onjuiste gegevens moeten "onverwijld worden gewist of gerectificeerd". In de praktijk wordt die verplichting massaal genegeerd in marketingbestanden.
De frauduleuze sms vermomd als vergissing. Dat is het vierde geval, en het meest geraffineerde. Een bericht in de trant van "Hoi, met Marie, zien we elkaar morgen nog steeds?" is geen vergissing: het is de opmaat naar relationele oplichting, vaak gericht op beleggingsfraude met cryptovaluta. Dit scenario, in de cybersecurityliteratuur pig butchering genoemd, begint altijd met een vals bericht dat "per ongeluk" wordt verstuurd om het gesprek op gang te brengen.
Deze vier gevallen van elkaar onderscheiden is het eerste wat u moet doen, want in het laatste geval is de te volgen gedragslijn radicaal anders.
Wat het Franse recht zegt: lezen is geen overtreding, gebruiken wel
Veel mensen denken dat het openen van een bericht dat niet voor hen bestemd is op zich al een strafbaar feit vormt. Dat klopt niet, en die nuance verdient het duidelijk te worden gesteld.
Het briefgeheim wordt beschermd door artikel 226-15 van de Franse Code pénal, dat één jaar gevangenisstraf en 45.000 € boete stelt op "het te kwader trouw openen, verwijderen, vertragen of onderscheppen van correspondentie, al dan niet op haar bestemming aangekomen, gericht aan derden". Twee elementen zijn hier bepalend:
- de kwade trouw: er moet sprake zijn van opzet. Passief een sms ontvangen op je eigen telefoon en die in de melding lezen heeft niets opzettelijks;
- het onderscheppen: de tekst viseert degene die de correspondentie van een ander gaat halen, niet degene bij wie ze per vergissing wordt bezorgd.
Kortom: u pleegt geen enkel strafbaar feit door een bericht te lezen dat spontaan bij u is aangekomen. De rode lijn ligt elders.
Wat onrechtmatig is, is niet dát u het bericht hebt gezien. Het is het gebruiken, verder verspreiden, of het inzetten om toegang te krijgen tot iets wat u niet toebehoort.
Drie gedragingen doen de situatie kantelen:
- Een per vergissing ontvangen code gebruiken. Als een bankvalidatiecode of een inlogcode bij u aankomt en u gebruikt die, dan verlaat u onmiddellijk het domein van de vergissing en komt u terecht in dat van frauduleuze toegang tot een geautomatiseerd gegevensverwerkingssysteem (artikel 323-1 van de Code pénal) en, afhankelijk van het gebruik, van oplichting.
- De inhoud verder verspreiden. Het publiceren van een screenshot van een per vergissing ontvangen intiem bericht, met leesbaar nummer of naam, kan een inbreuk op de persoonlijke levenssfeer vormen (artikel 226-1) en, als het om seksueel getinte inhoud gaat, verspreiding zonder toestemming (artikel 226-2-1).
- Gezondheidsgegevens bewaren en gebruiken. Een onderzoeksuitslag die bij u belandt, blijft gedekt door het medisch beroepsgeheim. U bent daar persoonlijk niet aan gebonden, maar elk gebruik ervan zou u blootstellen aan risico's.
Met andere woorden: het recht beschermt de onvrijwillige ontvanger vrij goed — op voorwaarde dat hij zich ook als onvrijwillige ontvanger gedraagt.
Moet u antwoorden? De regel van de drie antwoorden
Dit is de meest gestelde vraag, en het juiste antwoord hangt af van het soort bericht.
Geval 1: een duidelijk persoonlijk, menselijk bericht
Een vriend die aan een vriend schrijft, een ouder die aan zijn kind schrijft, een afspraak die wordt gemaakt. Hier is antwoorden niet alleen toegestaan maar ook nuttig: "Goedendag, dit nummer is niet dat van de persoon die u zoekt, u hebt zich vergist van ontvanger." Eén zin, neutraal, zonder commentaar op de inhoud.
Zo'n antwoord voorkomt het ergste: het geval van een familiale noodsituatie waarin niemand begrijpt waarom de ander niet antwoordt.
Toch één voorzorgsmaatregel: antwoord per sms, bel niet terug, zeker niet als het weergegeven nummer buitenlands is of begint met een betaalnummerprefix.
Geval 2: een geautomatiseerd bericht van een bedrijf of instantie
Een doktersafspraak, een aanmaning voor een factuur, een leveringsmelding, een beveiligingscode. Antwoord niet op het bericht zelf: de meeste van die verzendingen komen van korte nummers waarop u niet kunt antwoorden, en uw reactie belandt in het niets.
De doeltreffende aanpak bestaat erin de organisatie rechtstreeks te contacteren via haar officiële kanaal — niet via een link in de sms — en te vragen om het nummer te verwijderen of te corrigeren. U kunt daarbij uitdrukkelijk het recht op rectificatie inroepen dat is voorzien in artikel 16 van de AVG. Een formulering die werkt:
"Uw organisatie stuurt sms-berichten met persoonsgegevens van een derde naar mijn nummer, waarvan ik sinds [datum] de houder ben. Ik verzoek u, op grond van artikel 16 AVG, dit nummer in het betrokken dossier te rectificeren of te verwijderen en mij die actualisering te bevestigen."
Als het bedrijf binnen een maand niet reageert, aanvaardt de CNIL online klachten om precies deze reden. Dat is geen marginaal gebruik van de regeling: het slecht bijhouden van contactbestanden is een volkomen ontvankelijke klachtgrond.
Geval 3: een bericht dat naar een scenario ruikt
"Goedendag, bent u dokter Chen?" "Excuseer, is dit het nummer van Sophie?" "Sorry, verkeerd nummer… uit welke regio komt u?"
Antwoord niets. Helemaal niets, zelfs geen "verkeerd nummer". Elk antwoord bevestigt dat de lijn actief is en door een mens wordt gelezen, wat de waarde van uw nummer in doorverkochte databases verhoogt.
Meld het bericht aan 33700, het officiële Franse meldpunt voor ongewenste en frauduleuze sms'jes, beheerd door de operatoren onder toezicht van de overheid. Stuur het bericht door naar 33700 en verzend vervolgens het nummer van de afzender wanneer het platform daarom vraagt. U kunt ook een melding doen op cybermalveillance.gouv.fr, dat de begeleiding van slachtoffers centraliseert.
Het bijzondere geval van verificatiecodes die niet over u gaan
Een eenmalige code ontvangen die voor iemand anders bestemd is, is doodgewoon wanneer u een hergebruikt nummer erft — en het is het lastigste scenario.
Eerst het goede nieuws: het betekent doorgaans dat een vorige houder zijn onlineaccounts niet heeft bijgewerkt, niet dat men u probeert te hacken.
Maar twee situaties moeten u alarmeren:
| Wat u ontvangt | Wat het waarschijnlijk betekent | Reactie |
|---|---|---|
| Een losse code, eens per maand | Oud account dat nooit is bijgewerkt | Contact opnemen met de dienst, verwijdering vragen |
| Een salvo codes binnen enkele minuten | Lopende toegangspoging tot een account gekoppeld aan dit nummer | Niets met de code doen, de betrokken dienst waarschuwen |
| Een code gevolgd door een telefoontje "van de veiligheidsdienst" | Oplichtingspoging gericht tegen u | Ophangen, de code nooit doorgeven |
Het derde geval verdient bekendheid: fraudeurs laten bewust een code versturen en bellen vervolgens het slachtoffer op terwijl ze zich voordoen als de veiligheidsdienst van de bank of het platform, en vragen de code "ter verificatie". Geen enkele Franse instelling zal ooit vragen een code telefonisch voor te lezen. Dat is regel nummer één, en ze wordt zowel door de Fédération bancaire française als door de verzekeraars in herinnering gebracht.
Als u een nummer erft en regelmatig codes ontvangt, loont het ook de moeite om uw eigen accounts door te lichten: uw tweefactorauthenticatie van sms overzetten naar een aparte app, of zelfs naar een fysieke FIDO2-beveiligingssleutel, neemt het probleem bij de wortel weg. Een gids over dagelijkse cyberbeveiliging is een redelijke investering als het onderwerp u ondoorzichtig lijkt: sms blijft de zwakste authenticatiefactor van het huidige ecosysteem, en de ANSSI raadt het niet langer aan als tweede factor voor gevoelige toepassingen.
De touwtjes weer in handen nemen als uw nummer een hergebruikt nummer is
Als de berichten in een continue stroom binnenkomen en van uiteenlopende bronnen komen, gaat het niet om een eenmalige vergissing: uw nummer zwerft rond in tientallen databases. De methode die werkt, verloopt in vier fasen.
1. Twee weken lang de inventaris opmaken. Noteer elke afzender, de aard van het bericht en de frequentie. Een eenvoudig spiraalnotitieboekje volstaat, maar het gaat om het spoor: het helpt u prioriteiten te stellen en eventueel een klacht bij de CNIL te onderbouwen.
2. De identificeerbare afzenders één voor één aanpakken. Stuur voor elke herkenbare organisatie het AVG-rectificatieverzoek. Het is bewerkelijk, maar het is de enige actie die de stroom definitief stopzet. Reken op drie tot vier weken per dossier.
3. De filters van de telefoon activeren. Zowel iOS als Android laten toe onbekende afzenders in een apart tabblad te filteren en een nummer in twee handelingen te blokkeren. Op Android onderschept de spamfilter van Google Berichten een flink deel van de geautomatiseerde verzendingen. Op iPhone doet de optie "Onbekende afzenders filteren" in de instellingen van Berichten hetzelfde werk. Die filters verwijderen niets, maar maken de ruis draaglijk.
4. Het nummer inschrijven op Bloctel. De publieke regeling voor verzet tegen telefonische verkoop dekt marketing-sms'jes niet op dezelfde manier als oproepen, maar ze schoont het geheel wel op. Sinds de inwerkingtreding van de wetswijzigingen over voorafgaande toestemming wordt ongevraagde benadering zonder uitdrukkelijk akkoord steeds strenger bestraft door de DGCCRF.
En als ú het bent die naar het verkeerde nummer stuurt?
Het probleem heeft een spiegelbeeld waar nog minder over wordt gesproken.
Als u merkt dat u een gevoelig bericht naar de verkeerde ontvanger hebt gestuurd: een afgeleverde sms kan niet worden teruggeroepen, want het netwerk kent geen functie "verzending annuleren". RCS laat op Android in bepaalde configuraties toe een bericht voor iedereen te verwijderen, maar alleen als beide gesprekspartners RCS gebruiken — wat zelden het geval is bij een onbekende.
Wat wél mogelijk blijft:
- onmiddellijk een tweede bericht sturen waarin u beleefd om verwijdering vraagt;
- als het bericht een code of een identificatiegegeven bevatte, die code zonder uitstel ongeldig maken door een nieuwe authenticatie te starten;
- als het bericht bedrijfsgegevens bevatte, de functionaris voor gegevensbescherming van uw organisatie verwittigen: een accidentele openbaarmaking van persoonsgegevens aan een derde vormt een datalek in de zin van artikel 33 AVG, mogelijk meldingsplichtig aan de CNIL binnen 72 uur.
Het beste tegengif blijft preventief: controleer de laatste drie cijfers voordat u een bericht met gevoelige informatie verstuurt, en verstuur nooit per sms een identificatiegegeven, een toegangscode of een volledig kaartnummer. Voor wachtwoorden en inloggegevens die binnen het gezin of onder collega's worden gedeeld, maakt een wachtwoordbeheerder of gewoon een veilig wachtwoordboekje dat thuis blijft liggen het volledig overbodig om ze via berichten rond te sturen.
Wat u moet onthouden
- Een bericht ontvangen en lezen dat niet voor u bestemd is, is geen strafbaar feit; het gebruiken, verder verspreiden of een ontvangen code benutten wel.
- Bij een los, menselijk bericht: een neutraal en kort antwoord, zonder commentaar op de inhoud.
- Bij een geautomatiseerd bericht: de organisatie contacteren via haar officiële kanaal en het recht op rectificatie inroepen (artikel 16 AVG).
- Bij een bericht dat het gesprek wil aanknopen: niets antwoorden, doorsturen naar 33700.
- Een verificatiecode geeft u nooit telefonisch door, aan niemand, nooit.
- Als uw nummer hergebruikt is, maakt alleen een methodische opschoning van de verzendende databases een einde aan de stroom; de filters van de telefoon maskeren enkel de ruis.
Een verkeerd geadresseerde sms is niet meer dan zomaar een fout in een systeem dat er dagelijks miljoenen produceert. Maar het is soms ook een fragment uit het leven van iemand anders dat op uw scherm belandt. De juiste houding past in één zin: de vergissing melden, niets misbruiken, en doen wat nodig is opdat ze zich niet herhaalt.
