Er is een fundamenteel verschil tussen het sms'je dat u meldt dat uw bankrekening geblokkeerd is en het bericht dat € 2,80 aan onbetaalde tol van u eist. Het eerste zet meteen alle alarmbellen aan: het is groot, het is ernstig, het is verdacht. Het tweede zet helemaal niets in gang. Het is klein, plausibel, bijna saai — en juist daarom is het in 2026 uitgegroeid tot een van de meest lucratieve smishingcampagnes in Frankrijk.
« U heeft op 03/09 de A10 gebruikt zonder geldige passage. Verschuldigd bedrag: € 2,80. Betaal binnen 48 uur om een verhoging van € 90 te voorkomen. »
Niemand raakt in paniek van zo'n bericht. Je zucht even. Je denkt dat je badge niet goed heeft gewerkt. En je betaalt, want drie euro is geen half uur uitzoekwerk waard. Alleen vraagt het formulier geen drie euro: het vraagt uw kaartnummer, de vervaldatum, de veiligheidscode en vaak nog een code die u een paar minuten later per sms ontvangt. Op dat moment gaat het allang niet meer om € 2,80.
Waarom zoveel campagnes zich op automobilisten richten
De automobilist is om een heel eenvoudige reden een ideaal doelwit: hij ontvangt legitiem veel korte berichten die met zijn auto te maken hebben. Tolbadge, verkeersboete, naheffing parkeergeld, herinnering voor de APK, verzekeringsmelding, laadpaal, parkeerapp. Het sms-kanaal zit al vol met echte, onpersoonlijke berichten, waardoor een vals bericht bij gewoon lezen vrijwel niet te herkennen is.
Daar komen drie factoren bij die typisch zijn voor deze periode.
De regelgevende schemerzone. Tussen het geleidelijk verdwijnen van fysieke tolpoorten op meerdere snelwegen, de overstap naar free-flow tol waarbij je achteraf betaalt, en de veralgemening van parkeernaheffingen die door private dienstverleners worden beheerd, weet de automobilist niet goed meer wie het recht heeft geld van hem te vragen, en binnen welke termijn. Vooral free-flow tol heeft een ongekende situatie gecreëerd: een bericht dat een paar dagen na een rit om betaling vraagt, kan volkomen legitiem zijn. Oplichters zijn al in het eerste kwartaal van 2026 in dat gat gesprongen.
Datalekken. De bestanden die op parallelle markten circuleren, bevatten vaak veel meer dan alleen een telefoonnummer: naam, postcode, soms het merk van het voertuig of een deel van het kenteken. Een bericht waarin staat « uw voertuig met kenteken XX-123-XX » wordt onmiddellijk geloofwaardig, ook al heeft de oplichter uw auto nooit gezien.
Het kleine bedrag. Dat is de echte innovatie. Een campagne die € 400 boete eist, haalt een laag klikpercentage en veel meldingen op. Een campagne die € 2,80, € 4,10 of € 17,50 vraagt, glipt onder de emotionele radar én onder de radar van de antifraudediensten van banken, die microbetalingen zonder wrijving doorlaten.
De vier soorten berichten die circuleren
1. De onbetaalde tol
Dit is sinds het voorjaar van 2026 de meest zichtbare campagne, vooral via het misbruiken van bekende tolmerken zoals Ulys, Bip&Go of Ulys/Vinci. Het bericht heeft het over een niet-geregistreerde passage, een defecte badge of een niet-afgerekende free-flow rit. Het bedrag is verwaarloosbaar, de dreiging van een verhoging is becijferd en gedateerd.
Kenmerkend detail: de link verwijst nooit naar het officiële domein van de exploitant. Je vindt varianten als ulys-regularisation.com, peage-flux-libre.info, paiement-vinci-autoroutes.net. Geen enkele Franse exploitant regelt zijn betalingen via een parallel domein dat de week ervoor is aangemaakt.
2. De valse ANTAI-boete
Het Agence nationale de traitement automatisé des infractions (ANTAI) is de officiële instantie die in Frankrijk verkeersboetes verstuurt. De naam wordt massaal misbruikt. De sms kondigt een snelheidsovertreding aan, een door een flitspaal vastgestelde overtreding, of een op handen zijnde verhoogde boete.
Cruciaal om te onthouden: ANTAI verstuurt geen eerste boetebeschikking per sms. Een boete komt per post binnen op het adres dat op het kentekenbewijs staat, of verschijnt in uw persoonlijke omgeving op de officiële site antai.gouv.fr. Een sms die uit het niets opduikt en betaling eist van een boete die u nooit per post heeft ontvangen, is in de overgrote meerderheid van de gevallen fraude. Cybermalveillance.gouv.fr herhaalt dit punt regelmatig in zijn waarschuwingen over smishing.
3. De naheffing parkeergeld
Sinds het betaald parkeren in Frankrijk gedepenaliseerd is, wordt de befaamde « FPS » (forfait post-stationnement) beheerd door gemeenten of hun dienstverleners. Een perfecte speeltuin voor fraude, omdat de regels van stad tot stad verschillen en weinig mensen weten hoe een authentieke aanmaning eruitziet. Het bericht verwijst naar niet-betaald parkeren in een stad waar u inderdaad bent geweest — soms puur op basis van waarschijnlijkheid, soms dankzij gekochte data.
4. De omgekeerde terugbetaling
Een geslepener variant: er wordt niets van u geëist, men is u juist iets verschuldigd. « Wegens een factureringsfout heeft u recht op een terugbetaling van € 38,40. Vul uw bankgegevens in om het bedrag te ontvangen. » Het psychologische mechanisme keert om: u bent niet bang meer, u bent blij. En u geeft uw rekeninggegevens, of zelfs een kaartnummer, aan een onbekende.
Wat het bericht in werkelijkheid wil bemachtigen
Er zijn drie doelstellingen te onderscheiden, want de juiste reactie verschilt per geval.
| Doel | Wat het formulier vraagt | Gevolg |
|---|---|---|
| Directe betaling | Bankkaart voor een « klein » bedrag | Eenmalige afschrijving, soms verborgen abonnement |
| Kaartgegevens buitmaken | Kaart + veiligheidscode + validatiecode | Frauduleuze aankopen tot aan de limiet |
| Profilering | Naam, adres, kenteken, e-mail | Doorverkoop en latere gerichte campagnes |
Het derde geval wordt het meest onderschat. Een formulier dat geen geld vraagt, is niet onschuldig: het verrijkt een dossier dat twee maanden later dient voor oplichting via een valse bankmedewerker — en die is een stuk duurder.
De controle in dertig seconden
Het goede nieuws is dat er één simpele methode bestaat die voor alle vier de soorten berichten werkt, zonder enige technische kennis.
1. Klik nergens op. Geen enkele uitzondering. De link is het enige toegangspunt van de aanval; zolang u hem niet opent, gebeurt er niets.
2. Gebruik het officiële kanaal dat u al kent. Voor een boete: antai.gouv.fr, met de hand ingetypt in de adresbalk. Voor tol: de app of website van uw exploitant, dezelfde waarbij u uw contract heeft afgesloten. Voor een parkeernaheffing: de officiële site van de gemeente. Als het bedrag daadwerkelijk verschuldigd is, verschijnt het in uw persoonlijke omgeving. Zo niet, dan was het bericht vals.
3. Kijk naar het bedrag en de termijn. Een becijferde urgentie van 24 of 48 uur is een typisch kenmerk. De Franse administratie werkt met termijnen van meerdere weken en met brieven.
4. Toets het aan uw werkelijke leven. Heeft u die weg genomen? Geparkeerd in die stad? Een bericht over een snelweg waar u nooit gereden heeft, diskwalificeert zichzelf.
5. Meld het. Nummer 33700 blijft het nationale meldpunt voor frauduleuze sms'jes: stuur het bericht door naar 33700 en geef vervolgens het nummer van de afzender door zodra daarom gevraagd wordt. De dienst is gratis. Daarnaast houden het platform Signal Conso en de site cybermalveillance.gouv.fr de lopende campagnes bij.
Algemene regel: het is nooit aan u om te bewijzen dat het bericht vals is. Het is aan het bericht om te bewijzen dat het echt is — en dat kan het alleen via een kanaal dat u zelf heeft gekozen.
Het bijzondere geval van de automobilist onderweg
De waakzaamheid daalt zodra je op de weg zit. Je leest het bericht op een snelwegparkeerplaats, tussen twee etappes door, moe, met 12 % batterij. Dat is precies het moment waarop de campagnes mikken: ze concentreren hun verzendingen op vrijdagavonden, het begin van de vakantie en de grote wisseldagen.
Een paar praktische gewoontes verkleinen het risico effectiever dan welk abstract advies ook:
- Houd een telefoonhouder voor de auto goed bevestigd, zodat u nooit haastig of tijdens het rijden een bericht hoeft te lezen: een sms die stilstaand gelezen wordt, wordt beter beoordeeld.
- Neem een powerbank voor uw smartphone mee: een lege telefoon betekent dat u niets kunt controleren op de officiële site, en dus de verleiding om het « even snel te regelen » via de ontvangen link.
- Bewaar de voertuigdocumenten — kentekenbewijs, verzekeringsbewijs, schadeformulier — in één documentenmap voor de auto. Wie weet waar zijn papieren liggen, controleert een kenteken in tien seconden in plaats van blind te vertrouwen op het nummer in de sms.
Niets hiervan is spectaculair, maar de valse-tolzwendel wordt niet op techniek beslist: hij wordt beslist in de vijf seconden waarin u besluit om wel of niet te controleren.
Als u al geklikt en betaald heeft
Die fout komt vaak voor en er is niets beschamends aan. Het enige wat telt, is snelheid.
Binnen het uur: bel uw bank of blokkeer de kaart via de app. Het interbancaire noodnummer voor kaartblokkering in Frankrijk is 0 892 705 705. Vraag uitdrukkelijk om blokkering van de kaart, niet alleen om betwisting van de afschrijving.
Binnen de dag: wijzig de wachtwoorden van de accounts die het e-mailadres delen dat u in het formulier heeft ingevuld, te beginnen met de mailbox zelf. Heeft u een per sms ontvangen code doorgegeven, ga er dan van uit dat het bijbehorende account gecompromitteerd is. Een wachtwoordmanager, of bij gebrek daaraan een papieren wachtwoordboekje dat uit het zicht ligt, voorkomt dat u overal dezelfde combinatie hergebruikt — precies wat fraudeurs daarna uitbuiten.
Binnen de week: doe aangifte. Een online vooraangifte is mogelijk op de site van het Franse ministerie van Binnenlandse Zaken, maar een fysieke aangifte bij het politiebureau of de gendarmerie blijft effectiever om een proces-verbaal te krijgen dat de bank kan gebruiken. Bewaar screenshots van de sms, tijdstempels, het nummer van de afzender en het bankafschrift met de afschrijving.
Het recht staat aan uw kant: artikel L. 133-18 van de Franse Code monétaire et financier voorziet in onmiddellijke terugbetaling van een niet-geautoriseerde betalingstransactie die tijdig is gemeld. De bank kan weigeren met een beroep op grove nalatigheid van de klant, maar het Cour de cassation heeft meermaals herhaald, onder meer in arresten uit 2023 en 2024, dat het enkel doorgeven van gegevens na een frauduleus bericht dat een officiële instantie nabootst, niet volstaat om die grove nalatigheid vast te stellen. Bij een weigering schakelt u de bankombudsman in, en zo nodig daarna de Banque de France.
Het aanvalsoppervlak vooraf verkleinen
Je kunt een oplichter niet beletten een sms te versturen, maar je kunt wel de kans verkleinen dat je doelwit wordt en vooral de kans dat je erin trapt.
- Scheid uw contactgegevens. Een secundair e-mailadres gebruiken voor inschrijvingen bij parkeer-, laad- of carpooldiensten beperkt de onderlinge koppeling van datalekken.
- Schakel het sms-spamfilter in op uw telefoon. Zowel Android als iOS bieden filtering van onbekende afzenders: niet perfect, maar nuttig.
- Sla uw bankkaart nooit op in parkeerapps waar dat niet strikt nodig is. Een virtuele kaart voor eenmalig gebruik, die veel banken aanbieden, beperkt de schade automatisch.
- Waarschuw uw omgeving. De meest kwetsbare automobilisten zijn vaak degenen die weinig digitaal onderlegd zijn en die bij een sms met de naam van een overheidsinstantie liever betalen « om er vanaf te zijn ». Een gids over cyberveiligheid in het dagelijks leven binnen handbereik in een gezin doet meer dan een lang verhaal.
Wat u moet onthouden
Het valse sms'je over tol of een boete is niet bedacht om goedgelovige mensen te misleiden. Het is bedacht om gehaaste mensen te misleiden, met een bedrag dat laag genoeg is om geen controle te verdienen. Het is oplichting op volume: er wordt per slachtoffer weinig verdiend, maar bij elke golf worden honderdduizenden nummers bereikt.
De zwakte ervan is constant en zal niet veranderen: het heeft nodig dat u op de link klikt. Een overheidsinstantie vraagt u nooit te betalen via een URL die u per bericht ontvangt; ze laat u altijd de mogelijkheid om zelf naar haar officiële site te gaan. Zodra die reflex automatisch wordt — elders controleren, nooit in het bericht zelf — stort de campagne in, hoe geraffineerd ze ook is.
En als de twijfel blijft: een echte aanmaning kan best dertig minuten controle verdragen. Een oplichting niet. Daarin zit het hele verschil.
