Er bestaat een categorie oplichting waarbij de sms nergens anders toe dient dan om je telefoon een tweede keer te laten rinkelen. Soms staat er niet eens een link in het bericht. Het zegt simpelweg:
« WAARSCHUWING: niet-herkende betaalpoging van € 749,00 bij ELEC-STORE. Als u deze transactie niet zelf heeft uitgevoerd, onderneem dan niets, een medewerker neemt contact met u op. »
Geen link om aan te klikken, geen formulier, niets wat lijkt op de phishingcampagnes waarvoor je hebt geleerd op te passen. Je leest het nog eens over, je zoekt de valkuil, je vindt hem niet. Drie minuten later gaat de telefoon — en op het scherm verschijnt het nummer van je eigen bankkantoor, precies zoals jij het zelf in je contacten hebt opgeslagen. Dáár begint de oplichting pas echt.
De Banque de France wijst in haar terugkerende werk voor het Observatoire de la sécurité des moyens de paiement al enkele jaren op de opmars van zogeheten 'manipulatiefraude': fraude waarbij de oplichter geen enkel technisch lek nodig heeft, omdat het slachtoffer de transacties zelf goedkeurt. De sms is niet langer het wapen. Hij is de deurbel.
Waarom dit scenario de simpele valse link heeft vervangen
Tien jaar lang draaide banksmishing op een simpel model: een sms, een link, een nagemaakte inlogpagina, geoogste inloggegevens. Dat model raakt uitgeput, om drie heel concrete redenen.
Om te beginnen hebben banken sterke transactieverificatie ingevoerd. Je inloggegevens stelen is niet meer genoeg: er moet ook iemand op 'Bevestigen' drukken in de app. Daarnaast blokkeren browsers en mobiele besturingssystemen een steeds groter deel van de nepdomeinen binnen enkele uren. En ten slotte heeft het publiek de reflex 'ik klik niet op links in sms'jes' geïnternaliseerd.
De fraudeurs hebben het probleem dus verplaatst: als het slachtoffer toch zelf moet bevestigen, kun je die bevestiging net zo goed via een gesprek zien te krijgen. Het is trager en ambachtelijker, maar oneindig veel lucratiever. Een valse link levert inloggegevens op die voor een paar euro worden doorverkocht. Een geslaagd telefoongesprek levert een overboeking van vier of vijf cijfers op.
De sms houdt binnen dit opzet een heel precieze rol:
- hij creëert verwachting. Je krijgt geen onverwacht telefoontje, je krijgt het aangekondigde telefoontje. Het normale wantrouwen tegenover een onbekend nummer slaat niet aan;
- hij installeert het vocabulaire. 'Niet-herkende transactie', 'fraudedesk', 'veiligstellen': de woorden van het gesprek dat volgt, liggen al klaar;
- hij zet de adrenaline aan. Zevenhonderdnegenenveertig euro is genoeg om je hartslag op te jagen, en laag genoeg om geloofwaardig te blijven.
Het nummer van je bank op het scherm bewijst niets meer
Het kantelpunt is in vrijwel alle getuigenissen het belscherm. Het weergegeven nummer is het echte nummer van de klantenservice, soms zelfs het directe nummer van het bankkantoor. Sommige slachtoffers vertellen dat ze tijdens het gesprek het nummer op de achterkant van hun bankpas hebben gecontroleerd en dat het identiek bleek.
Dat is geen magie, dat is telefonische spoofing: het vervalsen van het oproepende nummer. Het protocol waarmee gesprekken worden doorgeschakeld, is ontworpen in een tijd waarin niemand voorzag dat iemand over zijn identiteit zou liegen, en de informatie 'oproepend nummer' blijft in essentie een verklaring van de beller zelf.
Frankrijk heeft het kader aangescherpt met het mechanisme voor nummerauthenticatie (het zogeheten MAN) dat de Arcep sinds 2024-2025 aan operators oplegt: oproepen uit het buitenland die een niet-geauthenticeerd Frans vast nummer tonen, moeten worden geblokkeerd. Die maatregel heeft een deel van de frauduleuze telemarketing doen instorten, maar er zijn blinde vlekken: Franse mobiele nummers die legitiem in roaming worden gebruikt, nummerreeksen die verhuurd zijn aan weinig kritische operators, en oproepen die vanaf Frans grondgebied via gateways worden gevoerd.
Onthoud één simpele regel, in 2026 net zo geldig als in 2020: een weergegeven nummer is geen identiteit. Het is een etiket dat de afzender zelf op de envelop plakt.
Hetzelfde geldt voor de sms-conversatie. Een frauduleus bericht dat dezelfde alfanumerieke afzendernaam gebruikt als je bank, komt keurig in het bestaande gesprek terecht, onder de echte berichten, met de echte geschiedenis erboven. De illusie is compleet.
Het script, fase voor fase
Frauduleuze telefoongesprekken volgen opmerkelijk stabiele scripts. De structuur ervan kennen is meer waard dan welke lijst met 'alarmsignalen' ook, want die structuur verandert niet.
Fase 1 — De machtsovername via legitimiteit
De beller stelt zich voor met een voornaam, een achternaam, een 'personeelsnummer'. Hij geeft je informatie die alleen je bank zou moeten hebben: de laatste vier cijfers van je pas, je bankkantoor, soms een of twee recente incasso's. Die gegevens komen uit gelekte commerciële databases, die per kilo worden doorverkocht. Ze bewijzen niets, maar ze kopen je vertrouwen in tien seconden.
Fase 2 — De rolomkering
Hij vraagt je niets. Integendeel, hij beschermt je. Dat is de meest effectieve omkering in het script: het slachtoffer houdt op zich af te vragen 'met wie spreek ik' en gaat zich afvragen 'hoe kom ik hieruit'. Waakzaamheid maakt plaats voor samenwerking.
Fase 3 — De loyaliteitstest
'Ik zal u nooit om uw code vragen, dat weet u toch?' Die zin, uitgesproken door de fraudeur zelf, ontwapent volledig. Hij herhaalt woord voor woord de officiële waarschuwing van de banken, en juist door hem uit te spreken plaats je de beller aan de goede kant.
Fase 4 — Het 'veiligstellen'
Dit is de kern van de oplichting. Je geld moet, zegt hij, in veiligheid worden gebracht op een 'bufferrekening', 'escrowrekening' of 'technische rekening', totdat de gecompromitteerde pas geblokkeerd is. Je krijgt zo een melding in je app: dat is de annulering van de frauduleuze transactie, je hoeft die alleen maar te bevestigen. In werkelijkheid bevestig je een uitgaande overboeking, het toevoegen van een begunstigde, of de registratie van zijn telefoon in plaats van de jouwe.
Fase 5 — De tijdklem
'Blijf aan de lijn, hang niet op, de procedure verloopt over vier minuten.' Zolang je aan de telefoon zit, kun je je bank niet bellen en ook niet even een naaste om advies vragen. De tijdsdruk heeft geen enkele technische functie: hij dient uitsluitend om te voorkomen dat je iets natrekt.
Wat hier niets met naïviteit te maken heeft
Het moet duidelijk gezegd worden, want schaamte is de grootste drempel om aangifte te doen: deze oplichting mikt niet op goedgelovige mensen. Ze mikt op beschikbare mensen. Een manager in een vergadering, een ouder die op een kind let, een vakman op de bouwplaats, iemand die net iets online heeft besteld. Het doelwit is geen persoon, het is een moment van verdeelde aandacht.
De scripts worden geschreven door teams die ze op duizenden gesprekken testen en houden wat converteert. Tegenover een overtuigingsprofessional die er acht uur per dag mee bezig is, biedt intelligentie geen bescherming. Alleen een procedure beschermt: een regel die je in alle rust bedenkt en in het heetst van de strijd mechanisch toepast.
De procedure die er meteen een einde aan maakt, in vier stappen
1. Hang op. Altijd. Er bestaat geen enkele banksituatie, geen enkele, waarin je aan de lijn moet blijven. Een echte medewerker begrijpt prima dat je terugbelt. Een nepmedewerker zal je smeken niet op te hangen — dat is de beste test die er is.
2. Bel terug, maar niet meteen en niet vanuit hetzelfde gesprek. Twee klassieke valkuilen. Het nummer terugbellen dat je zojuist heeft gebeld, bewijst niets: de fraudeur kan een nummer hebben vervalst dat hij niet beheert, waardoor je bij de echte bank uitkomt en ten onrechte gerustgesteld raakt over dat eerste gesprek. Belangrijker nog: op sommige vaste lijnen kan de verbinding enkele seconden openblijven als de beller niet ophangt. Bel het nummer dus vanaf een ander toestel, of wacht een volle minuut. Gebruik uitsluitend het nummer op de achterkant van je pas of in je app.
3. Open zelf je app en lees de volledige omschrijving van elke melding voordat je iets bevestigt. Franse bankapps tonen tegenwoordig het werkelijke doel van de transactie: 'Begunstigde X toevoegen', 'Overboeking van € 4.200', 'Nieuw vertrouwd apparaat'. Die omschrijving is de enige waarheid in het hele gesprek. Lees hem langzaam, hardop als het moet.
4. Noteer alles, meteen. Tijdstip van het gesprek, weergegeven nummer, opgegeven voornaam, genoemde bedragen. Een screenshot van de oorspronkelijke sms is meer waard dan een herinnering. Als de zaak tot een aangifte leidt, maken die elementen het verschil.
Voor mensen die hun rekeningen beheren vanaf een gedeelde huiscomputer heeft een gelamineerde checklist naast het toestel — of gewoon een handgeschreven kaartje in een stevige documentenmap — een onevenredig groot effect: het verandert een emotionele reflex in een administratieve handeling.
Het bijzondere geval van mantelzorgers
Dit scenario is bijzonder gevaarlijk bij ouderen, om een reden die niets met helderheid van geest te maken heeft: zij zijn opgegroeid in een tijd waarin je de telefoon opnam en een stem die zich voorstelde vertrouwde. Iemand niet in het gezicht willen uitlachen door op te hangen is een diepgeworteld beleefdheidsprincipe.
Een paar concrete aanpassingen, zonder te betuttelen:
- installeer een vaste telefoon met grote toetsen met oproepfiltering en een witte lijst, die bekende nummers doorlaat en de rest naar een boodschap stuurt;
- spreek een familiewachtwoord af, een woord dat alleen jullie kennen, te vragen aan iedereen die namens een instelling belt;
- hang naast de telefoon de zin op die gezegd moet worden: 'Ik regel nooit iets telefonisch, ik bel mijn bankkantoor zelf terug' — een simpel magnetisch notitieblok op de koelkast volstaat;
- controleer of de limiet voor online overboekingen laag staat, en dat je naar het kantoor moet om die te verhogen.
Die limiet is waarschijnlijk de effectiefste maatregel uit deze hele lijst. Ze vergt geen enkele waakzaamheid en werkt zelfs op een dag dat je moe bent.
En als het gebeurd is: wat zegt de wet
De Franse Code monétaire et financier (artikelen L133-18 en volgende) legt een sterk principe vast: bij een niet-geautoriseerde betalingstransactie betaalt de bank onmiddellijk terug, behalve bij fraude of grove nalatigheid van de klant. De hele juridische strijd draait dus om twee begrippen: 'geautoriseerd' en 'grove nalatigheid'.
De houding van de rechtbanken is geëvolueerd in een richting die eerder gunstig is voor slachtoffers. De Cour de cassation heeft in meerdere uitspraken sinds 2023 geoordeeld dat het doorgeven van een code na te zijn misleid door een geraffineerde frauduleuze opzet — met name wanneer het nummer van de bank was vervalst — niet automatisch grove nalatigheid oplevert. De bewijslast ligt bij de bank, die het tekortschieten precies moet aantonen en zich er niet toe kan beperken te stellen dat de klant 'heeft bevestigd'.
Dat betekent geen automatische terugbetaling. Het betekent dat een principiële weigering aanvechtbaar is.
De stappen, op volgorde:
| Stap | Waar | Termijn |
|---|---|---|
| Blokkering aanvragen | Noodnummer van de bank, daarna schriftelijke bevestiging | Onmiddellijk |
| Schriftelijk betwisten | Aangetekende brief aan het bankkantoor, met verzoek om terugbetaling op grond van L133-18 | Maximaal 13 maanden |
| Aangifte doen | Politiebureau, gendarmerie of online aangifte | Zonder te wachten |
| De sms melden | Platform 33700 (door het bericht door te sturen) | Onmiddellijk |
| De ombudsman inschakelen | Bankombudsman, gratis | Na schriftelijke weigering van de bank |
| Melden | Info Escroqueries 0 805 805 817, Cybermalveillance.gouv.fr | Op elk moment |
Een praktische tip die vaak wordt vergeten: stuur de betwistingsbrief ook als een medewerker je mondeling heeft gezegd dat 'het dossier in behandeling is'. Mondeling laat geen enkel spoor na, en de termijn van dertien maanden loopt door. Een setje voorgefrankeerde enveloppen voor aangetekende post of gewoon een schriftje om je correspondentie bij te houden, voorkomt dat je die data kwijtraakt.
Drie hardnekkige misvattingen om overboord te gooien
'Mijn bank belt me nooit.' Onjuist, en juist dat maakt de oplichting mogelijk. Fraudedesks bellen wel degelijk, vaak vanaf onbekende nummers. De juiste regel is niet 'mijn bank belt niet', maar 'ik regel nooit iets tijdens een inkomend gesprek'.
'Een sms zonder link is ongevaarlijk.' Dat is precies het model dat hier beschreven wordt. Het ontbreken van een link is een geloofwaardigheidsargument, geen bewijs van onschuld.
'2FA beschermt mij.' Tweefactorauthenticatie beschermt tegen iemand die je inloggegevens steelt, niet tegen iemand die je vriendelijk vraagt op 'Bevestigen' te drukken. De hele inspanning van fraudeurs richt zich inmiddels op die laatste handeling.
Wat je moet onthouden
Manipulatiefraude bestrijd je niet met een antivirus, een filter of een app. Je bestrijdt haar met een uit het hoofd geleerde zin en een redelijke overboekingslimiet.
En die zin luidt: 'Ik ga ophangen en mijn bank terugbellen op het nummer dat op de achterkant van mijn pas staat.' Rustig uitgesproken maakt hij een einde aan 100% van de frauduleuze telefoontjes. Geen enkele oplichter blijft daarna aan de lijn. En geen enkele echte medewerker neemt er aanstoot aan.
Wil je verder lezen, dan zijn de Franse publieke bronnen solide en gratis: de praktische fiches van Cybermalveillance.gouv.fr, de publicaties van het Observatoire de la sécurité des moyens de paiement van de Banque de France, de waarschuwingen van de DGCCRF, en de dienst 33700 om frauduleuze sms'jes te melden door ze simpelweg door te sturen. Een praktische cybersecuritygids voor particulieren op papier kan ook dienen als gespreksstof binnen het gezin, vooral met tieners of oudere ouders — het onderwerp landt vaak beter rond een boek dan als een rechtstreekse vermaning.
En als je al iets hebt bevestigd: verspil geen uur aan schaamte. Dat uur telt om een overboeking tegen te houden.
