Het is vrijdag, 17.40 uur. U pakt uw spullen bij elkaar. De telefoon trilt: een onbekend nummer, een kort bericht:
"Goedendag, met Laurent. Ik zit in een vergadering en kan niet opnemen. Ik heb u nodig voor een vertrouwelijke transactie, bent u beschikbaar?"
Laurent, dat is de voornaam van uw algemeen directeur. Het bericht is beleefd, foutloos, zonder link, zonder bijlage. Het vraagt niets — nog niet. Het vraagt alleen of u er bent. En juist omdát het niets vraagt, antwoorden de meeste mensen "ja".
Zakelijke smishing werd lange tijd behandeld als een probleem van de IT-afdeling, op te lossen met filters op de zakelijke mailbox. In 2026 is de voordeur verplaatst: de aanval komt binnen via de mobiele telefoon van werknemers, een terrein waar de werkgever niets filtert, waar geen beveiligingswaarschuwingen bestaan en waar het bericht binnenkomt tussen de sms'jes van de tandarts en de school.
Waarom de mobiel de uitverkoren zwakke schakel werd
Een bedrijf, zelfs een klein, beschermt zijn mailboxen redelijk goed. Antispam, een banner "externe afzender", blokkering van uitvoerbare bijlagen, meervoudige authenticatie: een frauduleuze e-mail heeft een goede kans om te worden tegengehouden of gesignaleerd voordat iemand hem leest.
De zakelijke sms daarentegen bestaat nauwelijks als omkaderd kanaal. In de overgrote meerderheid van de organisaties verlopen dringende interne uitwisselingen via de privételefoon of via een niet-beheerd bedrijfstoestel. Het gevolg:
- Geen enkele filtering die vergelijkbaar is met die van e-mail.
- Geen enkele banner die wijst op een externe of ongebruikelijke afzender.
- Een smal scherm, waarop men snel leest, vaak staand, vaak al lopend.
- Een sociale norm van beknoptheid: een sms van drie regels zonder beleefdheidsformule verbaast niemand, terwijl een gelijkaardige e-mail verdacht zou lijken.
Daar komt nog de massale beschikbaarheid van bedrijfsinformatie bij. Een oplichter hoeft niets meer te infiltreren: publieke organigrammen, professionele netwerken, persberichten, wettelijke vermeldingen en vacatures volstaan om te reconstrueren wie de leiding heeft, wie de loonadministratie beheert, wie overschrijvingen tekent en wie net in het team is gestart. De nieuwkomer is trouwens statistisch een uitgelezen doelwit: hij kent de gewoontes van het huis nog niet en durft geen nee te zeggen.
De vier scenario's die het vaakst terugkeren
1. CEO-fraude, de sms-versie
Dat is het openingsscenario hierboven. Het begint nooit met een vraag om geld. Het begint met een onschuldig eerste contact — "bent u beschikbaar?", "ik heb een nieuw nummer, noteer dit even" — met als enige doel een eerste antwoord los te krijgen. Dat antwoord kantelt de relatie: vanaf het moment dat u "ja, zegt u het maar" hebt geschreven, zit u in een gesprek, en een gesprek schept een impliciete verplichting om verder te antwoorden.
Het vervolg neemt zelden de vorm aan van een rechtstreekse overschrijving. Het gaat vaak discretere wegen: de aankoop van digitale cadeaubonnen "voor een klant", het dringend doorsturen van een gescand document, het overmaken van een contactenlijst, of de validatie van een betaling die al "door het kantoor is voorbereid".
De nationale politie en de publieke dienst Cybermalveillance.gouv.fr documenteren deze familie van oplichting, bekend als "fraude met valse overschrijvingsopdrachten", al meerdere jaren. De mobiele versie is niet meer dan een aanpassing aan het snelste kanaal.
2. De valse IT-dienst
Hier bootst het bericht een ticket of een technische waarschuwing na:
"[IT] Uw Microsoft-sessie verloopt vandaag. Log opnieuw in om schorsing van uw account te voorkomen: …"
Dit scenario mikt op het wachtwoord en vooral op de eenmalige verificatiecode. De meest doeltreffende variant in 2026 combineert sms en telefoontje: eerst krijgt u het bericht, daarna legt een zeer kalme gesprekspartner u uit dat hij "het ticket behandelt" en vraagt hij u de code voor te lezen die u zonet hebt ontvangen. Die code is precies degene die de fraudeur zelf heeft laten versturen door in te loggen op uw zakelijke account.
3. De wijziging van bankgegevens
De boekhoudkundige versie van de oplichting. Een bericht doet zich voor als afkomstig van een vaste leverancier en kondigt een wijziging van rekeningnummer aan, soms met een exacte factuurreferentie — verkregen bij een eerdere compromittering van de mailbox van de échte leverancier. De sms dient als herinnering of bevestiging van een frauduleuze e-mail: dezelfde informatie via twee verschillende kanalen ontvangen wekt een indruk van coherentie die bijzonder doeltreffend is.
4. Het valse HR-bericht
"Verplichte update van uw personeelsdossier vóór 15/09: attest, bankgegevens en identiteitsbewijs hier uploaden."
Deze campagne viseert rechtstreeks de werknemer, niet het bedrijf. Het doel is een volledige identiteit te verzamelen: bewijsstukken, rekeningnummer, socialezekerheidsnummer. Genoeg om consumentenkredieten te openen, een terugbetaling om te leiden of een identiteitsfraudedossier te voeden dat maanden later opduikt.
Wat deze berichten in 2026 zo moeilijk herkenbaar maakt
Drie ontwikkelingen hebben de klassieke herkenningspunten weggevaagd.
De taalkwaliteit. Spelfouten en gebrekkige vertalingen zijn geen betrouwbare aanwijzing meer. De teksten zijn tegenwoordig vlot, correct geïnterpungeerd en afgestemd op het vakjargon van de beoogde sector.
Het weergegeven nummer. Spoofing van de afzendernaam maakt het mogelijk een naam te tonen in plaats van een nummer, soms zelfs binnen het gespreksvenster van een bestaand contact. De Arcep en de Fédération française des télécoms hebben de invoering gesteund van het mechanisme voor nummerauthenticatie — de "MAN" — dat het fenomeen bij oproepen beperkt, maar het ecosysteem van alfanumerieke afzenders blijft onvolmaakt afgeschermd.
De contextkennis. De fraudeur noemt een echte projectnaam, een echte deadline, een echte klantnaam. Die informatie komt zelden van een hack: ze komt uit de publicaties van het bedrijf zelf.
De juiste reflex is niet langer "is dit bericht geloofwaardig?" maar "is dit verzoek normaal via dit kanaal?". Een directeur die per sms om een financiële verrichting vraagt, is abnormaal, ook al lijkt al de rest perfect.
De ene regel die het best beschermt: terugbellen via een kanaal dat ú kiest
Alle aanbevelingen passen in één zin: u verifieert een verzoek nooit met de contactgegevens die het verzoek zelf aanreikt.
Concreet:
- Antwoord niet op de sms, zelfs niet met "wie bent u?". Elk antwoord bevestigt dat het nummer actief is en dat u meeleest.
- Bel de persoon terug op het nummer dat u al in uw contactenlijst hebt, of via de interne telefoongids, of door even uw hoofd om de hoek van het kantoor ernaast te steken.
- Gaat het verzoek over geld, pas dan de regel van dubbele controle toe: twee personen, twee verschillende kanalen, geen enkele uitzondering wegens hoogdringendheid.
- Meld het bericht bij 33700, de nationale meldingsdienst voor ongewenste sms'jes, en stuur het door naar uw IT-verantwoordelijke of uw directie.
- Bewaar een gedateerde schermafbeelding: die is nuttig als er klacht moet worden ingediend.
Tijdsdruk is het enige werkelijk onmisbare instrument van de fraudeur. Een oplichter die zijn slachtoffer niet kan opjagen, heeft geen scenario meer. Daarom is de doeltreffendste verdediging binnen een bedrijf niet technisch maar cultureel: uitdrukkelijk vastleggen dat geen enkel dringend verzoek ooit binnen het uur moet worden afgehandeld, en dat niemand ooit een verwijt zal krijgen omdat hij iets heeft nagetrokken.
Werk en privé scheiden, zonder uw leven ingewikkeld te maken
Een deel van het probleem komt voort uit de vermenging van gebruiken. Wanneer dezelfde telefoon de sms'jes van de bank, van de crèche en van het werk ontvangt, lijkt alles op elkaar en wordt niets nog geverifieerd.
Er bestaan verschillende eenvoudige oplossingen, zonder dat er een zwaar bedrijfsbeleid aan te pas komt:
- Het tweede nummer. Een telefoon met dubbele simkaart, of een tweede eSIM die aan het werk is gewijd, maakt compartimentering mogelijk. Een zakelijk bericht dat op de privélijn binnenkomt, wordt meteen verdacht — dat is een gratis en zeer betrouwbaar signaal.
- Het werkprofiel. Android biedt een aparte werkomgeving; iOS maakt onderscheiden focusmodi mogelijk. Zakelijke meldingen verschijnen 's avonds niet meer, wat het aanvalsvenster voor berichten buiten de kantooruren mechanisch verkleint.
- Een actuele contactenlijst. Een volledig en zorgvuldig bijgehouden adresboek, met foto indien mogelijk, verandert een onbekend nummer in een alarmsignaal. Dat is de goedkoopste en meest verwaarloosde maatregel.
Voor werknemers die met gevoelige accounts werken — boekhouding, loonadministratie, systeembeheer — verandert het vervangen van de per sms ontvangen code door een fysieke FIDO2-beveiligingssleutel de aard van het risico: een code kan aan de telefoon aan een oplichter worden gedicteerd, een fysieke sleutel niet. Dat is vandaag de enige bescherming die bestand is tegen het scenario "de valse IT-helpdesk belt u op".
In dezelfde geest voorkomt een wachtwoordmanager dat eenzelfde inloggegeven wordt hergebruikt tussen een gecompromitteerde privédienst en een zakelijke toegang. En op laptops die in een open kantoorruimte, in de trein of in een coworkingruimte worden gebruikt, verhindert een privacyfilter voor het scherm dat dezelfde informatie van opzij wordt meegelezen — de best georganiseerde fraudeurs verzamelen ook offline.
Wat het Franse kader zegt
Drie punten verdienen het door elke werknemer gekend te zijn.
De privételefoon mag niet worden gecontroleerd. Gebruikt u uw eigen telefoon voor het werk, dan mag de werkgever daar geen controlemiddel op installeren zonder strikte omkadering en voorafgaande informatie. De CNIL herinnert er regelmatig aan dat het invoeren van beveiligingsmaatregelen op persoonlijke apparatuur transparantie, evenredigheid en raadpleging van de personeelsvertegenwoordiging veronderstelt. Een werknemer die het slachtoffer wordt van smishing hoeft dus geen onderzoek van zijn privételefoon te vrezen.
Melden is geen fout. Veel werknemers zwijgen na een klik, uit schaamte of uit angst voor sancties. Dat is het slechtst denkbare scenario: de tijd tussen de klik en de melding is de variabele die de omvang van de schade bepaalt. Een bedrijf dat het melden bestraft, zorgt er simpelweg voor dat het niet meer geïnformeerd wordt.
Terugbetaling door de bank hangt af van het kanaal. Het Franse monetaire en financiële wetboek voorziet in terugbetaling van niet-toegestane betalingstransacties, maar een verrichting die het slachtoffer zelf in zijn app heeft gevalideerd, valt onder een ander regime: dat van de grove nalatigheid, die geval per geval wordt beoordeeld. De rechtspraak van het Hof van Cassatie heeft meermaals geoordeeld dat de verfijning van de werkwijze — met name het spoofen van het telefoonnummer van de bank — die grove nalatigheid kon uitsluiten. Met andere woorden: de kwaliteit van de imitatie speelt in het voordeel van het slachtoffer, op voorwaarde dat men ze kan documenteren.
Een eenvoudig plan om in het bedrijf op te hangen
| Situatie | Onmiddellijke reflex | Absoluut te vermijden |
|---|---|---|
| Sms van een directielid vanaf een onbekend nummer | Terugbellen op het nummer uit de interne telefoongids | Antwoorden met "ja" of "bent u dat?" |
| Vraag naar een per sms ontvangen code | Ophangen, geen enkele uitzondering | De code dicteren, ook niet aan een "technicus" |
| Wijziging van rekeningnummer per bericht aangekondigd | De leverancier bellen op het nummer van een oude factuur | Valideren op basis van het bericht alleen |
| Link naar een HR- of IT-portaal | Het portaal openen via een bestaande favoriet | Klikken vanuit de sms |
| Er is al geklikt | Binnen het uur de IT-dienst verwittigen, wachtwoord wijzigen | Afwachten of het gevolgen heeft |
Voor organisaties zonder IT-dienst doet een praktische gids cyberbeveiliging voor kmo's op papier, achtergelaten in de koffiekamer, vaak meer dan een dienstnota: hij levert een gemeenschappelijk vocabulaire en maakt het legitiem om vragen te stellen.
De kern van het probleem
Zakelijke smishing berust op geen enkele technische krachttoer. Ze berust op een arbeidsorganisatie waarin hoogdringendheid wordt gewaardeerd, waarin de privételefoon zakelijke stromen opslorpt en waarin "ik ga het even na" nog steeds doorgaat voor een gebrek aan daadkracht.
De campagnes van 2026 buiten die grijze zone met angstwekkende doeltreffendheid uit, omdat ze geen systemen aanvallen maar gewoontes. Het goede nieuws is dat gewoontes sneller veranderen dan een infrastructuur: collectief beslissen dat geen enkel financieel verzoek per sms wordt afgehandeld, volstaat om een hele familie van oplichting onwerkzaam te maken.
En als het bericht u al aan het twijfelen heeft gebracht, houd dan deze regel voor ogen: een echte directeur, een echte leverancier, een echte IT-dienst zullen er altijd begrip voor hebben dat u vijf minuten hebt genomen om iets na te trekken. Een oplichter nooit.
Nuttige hulpbronnen: melding van frauduleuze sms'jes op 33700; platform Cybermalveillance.gouv.fr voor diagnose en bijstand; de voorziening Perceval (service-public.fr) voor frauduleus gebruik van een bankkaart; Info Escroqueries op 0 805 805 817 (gratis nummer).
