Het bericht komt op zondagavond binnen, precies op het moment dat je een aflevering wilde starten:
"INFO: uw abonnement wordt op 13/09 opgeschort omdat de afschrijving is mislukt. Werk uw betaalmethode bij: rnwl-account-serv.co/nl"
Geen spelfouten. Geen dreiging met politie. Geen astronomisch bedrag. Alleen een banaal ongemakje, van het soort dat echt gebeurt: een verlopen kaart, een bereikte limiet, een bankwissel. Het genoemde bedrag, als het er al staat, ligt rond de twee euro — soms € 1,90, soms € 2,49. Niets wat argwaan wekt.
En dat is precies het probleem. De meest effectieve sms-zwendels van 2026 vragen geen € 749 meer: ze vragen € 1,90. En het is niet die € 1,90 waar het de fraudeur om gaat.
Waarom het abonnement het ideale voorwendsel is geworden
We leven op abonnementen. Videostreaming, muziek, online opslag, antivirus, kranten, sportschool, groentepakket, mobiel abonnement, smartphoneverzekering, energieleverancier, vpn-dienst, games: een gemiddeld huishouden telt vandaag een tiental terugkerende afschrijvingen, vaak afgesloten op verschillende data en soms op verschillende kaarten.
Die opeenstapeling creëert een perfecte schemerzone voor fraudeurs. Stel jezelf eerlijk de vraag: zou je nu, meteen, kunnen zeggen op welke exacte datum je cloudopslagabonnement wordt afgeschreven? Van welke kaart? Voor welk bedrag?
Bijna niemand weet dat. En precies die onzekerheid buit de sms uit. In tegenstelling tot de pakketzwendel, die veronderstelt dat je daadwerkelijk een levering verwacht, werkt de abonnementszwendel permanent: er is altijd iets dat op het punt zou kunnen staan te verlopen.
Consumenten- en fraudebestrijdingsinstanties zoals de Franse DGCCRF en het overheidsplatform Cybermalveillance.gouv.fr scharen deze campagnes onder de brede familie van phishing. Maar hun eigenaardigheid verdient aparte aandacht: hier wordt het slachtoffer niet onmiddellijk geplukt. Het wordt ingelijfd.
De drie verdienmodellen achter dezelfde sms
Niet alle valse verlengings-sms'jes hebben hetzelfde doel. Weten met welke variant je te maken hebt, bepaalt wat je daarna moet doen.
1. Het pure buitmaken van bankgegevens
Het klassieke scenario. De link leidt naar een pagina die de betrokken dienst nabootst, vraagt je inloggegevens en vervolgens je volledige kaartnummer, de vervaldatum en de CVV-code. De "betaling van € 1,90" mislukt "om technische redenen", je wordt gevraagd het opnieuw te proberen met een andere kaart — en de fraudeur vertrekt met twee betaalmiddelen in plaats van één.
Sinds sterke klantauthenticatie de norm is, volstaan die gegevens alleen niet meer voor een grote aankoop. Vandaar het logische vervolg: een paar dagen later belt iemand die zich voordoet als de fraudeafdeling van je bank, met de vraag om een transactie in je app te bevestigen. Dat is de fraude door manipulatie waarvan de Banque de France de toename documenteert in de werkzaamheden van het Observatoire de la sécurité des moyens de paiement.
2. Het abonnement dat achter de microtransactie schuilt
Geniepiger. De betaling van € 1,90 is echt en gaat wél door. Wat je niet hebt gelezen, omdat het in lichtgrijs onder de bevestigingsknop stond, is dat die betaling een "onbeperkte toegang" opent die met 39 tot 59 euro per maand wordt gefactureerd, vaak door een vennootschap die in het buitenland is gevestigd.
De afschrijving verschijnt niet meteen. Ze begint na een proefperiode van zeven of veertien dagen, onder een neutrale omschrijving — "DGTL SRV LTD", "MEDIA ACCESS EU" — die op je rekeningoverzicht op niets herkenbaars lijkt.
3. Accountdiefstal zonder tussenkomst van geld
Soms is het doel niet de kaart maar het account zelf. Een gedeeld streamingaccount, een online opslagaccount of een game-account dat voor een paar euro wordt doorverkocht op parallelle marktplaatsen — en vooral een wachtwoord dat veel gebruikers elders hergebruiken. Is dat wachtwoord ook dat van je mailbox, dan reikt het verlies veel verder dan het abonnement.
De zes signalen die de valse verlenging verraden
| Signaal | Wat een echte dienst doet | Wat de frauduleuze sms doet |
|---|---|---|
| Het kanaal | Waarschuwt eerst per e-mail en in de app | Neemt uitsluitend per sms contact op |
| De link | Verwijst naar het officiële domein | Gebruikt een afgekort of exotisch domein (.co, .icu, .top, .cfd) |
| De urgentie | Laat meerdere dagen tijd, herinnert vriendelijk | Stelt een deadline van 24 of 48 uur |
| Het bedrag | Klopt met je werkelijke abonnement | Noemt een vreemd laag bedrag |
| Het verzoek | Vraagt nooit de CVV-code via een sms-link | Eist volledige kaartgegevens en CVV |
| De identificatie | Vermeldt je naam of je precieze abonnement | Blijft vaag: "uw abonnement", "uw account" |
Het zesde punt is het meest onderscheidend. Een dienst waarop je echt bent geabonneerd, weet welk pakket je hebt gekozen. Een sms die spreekt over "uw abonnement" zonder ooit het pakket, de datum of de laatste vier cijfers van je kaart te noemen, kent je niet.
Eenvoudige regel: een bericht dat je vraagt je identiteit te bewijzen aan iemand die de zijne niet kan bewijzen, is altijd verdacht.
De valstrik van de afzendernaam
"Maar de sms verscheen in hetzelfde gesprek als de echte berichten van de dienst."
Dat is het punt dat slachtoffers ontwapent, en het is technisch verklaarbaar. Legitieme commerciële berichten gebruiken een alfanumerieke afzender — een merknaam in plaats van een nummer. Dat veld was lang louter declaratief: niets verhinderde een verzender fysiek om zich voor te doen als een merk dat hij niet was.
Frankrijk heeft een mechanisme opgezet tegen deze vorm van identiteitsmisbruik, met een register van toegelaten afzenders dat door de sector wordt beheerd en aansluit bij het kader van Arcep en AF2M. Franse operatoren filteren inmiddels een aanzienlijk deel van het verkeer dat geregistreerde merknamen misbruikt. Maar de bescherming is niet waterdicht: berichten die vanuit het buitenland worden gerouteerd, licht gewijzigde namen ("NETFLlX" met een kleine L in plaats van de I) en campagnes die gewone mobiele nummers gebruiken, komen er nog steeds door.
Praktische conclusie: de naam die bovenaan je scherm staat, is geen identiteitsbewijs. Dat een vals bericht in dezelfde gespreksdraad bij de echte terechtkomt, is een mechanisch gevolg van de weergave, geen goedkeuring door je operator.
Wat je binnen vijf minuten moet doen als je hebt geklikt
De nuttigste reflex is niet paniek, maar handelen in de juiste volgorde.
- Verbreek het contact met de pagina. Sluit het tabblad, vul niets meer in, "corrigeer" niets.
- Blokkeer de kaart of laat ze blokkeren. De meeste bankapps laten vandaag toe een kaart met één handeling te blokkeren, omkeerbaar. Doe dat onmiddellijk, nog vóór je belt.
- Neem de dagen daarna geen enkele inkomende oproep aan van iemand die zegt je bank te zijn. Hang op en bel zelf het nummer op de achterzijde van je kaart.
- Wijzig het wachtwoord van de betrokken dienst, en van alle andere waar je hetzelfde gebruikte. Dat is het moment waarop je merkt hoe onbeheersbaar handmatig wachtwoordbeheer wordt: een wachtwoordmanager, als software of zelfs een wachtwoordboekje dat je uit het zicht bewaart, voorkomt het hergebruik dat van één incident een kettingreactie maakt.
- Meld het bericht bij 33700, de Franse nationale meldlijn voor ongewenste sms'jes. Je stuurt de sms simpelweg door naar dat nummer en vervolgens het nummer van de afzender wanneer de dienst daarom vraagt. Het is gratis en het voedt de blokkering stroomopwaarts. (In Nederland kun je terecht bij de Fraudehelpdesk.)
- Doe aangifte als er geld is afgeschreven, en meld het via Cybermalveillance.gouv.fr of het PHAROS-portaal voor het aspect illegale inhoud.
Wat terugbetaling betreft: het Franse artikel L133-18 van de Code monétaire et financier bepaalt dat de bank niet-geautoriseerde transacties terugbetaalt. De discussie draait in de praktijk om het begrip grove nalatigheid: je gegevens hebben doorgegeven op een valse site na een ongevraagde sms is op zich niet automatisch als grove nalatigheid te kwalificeren — de rechtspraak van het Cour de cassation heeft eraan herinnerd dat de bewijslast bij de betaaldienstaanbieder ligt. Bewaar dus alles: screenshot van de sms, het webadres, tijdstempel.
De bloeding stelpen wanneer de afschrijving al is begonnen
Als je een onbekende terugkerende afschrijving ontdekt, telt de tijdlijn.
- SEPA-incasso: je kunt terugbetaling vragen zonder opgave van redenen binnen 8 weken na de debetdatum, en tot 13 maanden als de incasso niet was toegestaan. Dat verzoek doe je bij je bank, niet bij de handelaar.
- Terugkerende kaartbetaling: vraag eerst schriftelijk de opzegging aan bij de aanbieder en betwist daarna bij de bank. Alleen de kaart blokkeren volstaat niet altijd, want sommige netwerken zetten abonnementen automatisch over op de vervangende kaart.
- Facturering via de operatorfactuur: als de afschrijving op je mobiele factuur staat (diensten met toegevoegde waarde), neem contact op met de klantendienst van je operator en vraag om de blokkering van dat soort aankopen, die definitief kan worden ingesteld.
Maak er een gewoonte van je rekeningoverzichten na te lezen. Een eenvoudig kasboekje of een opbergmap voor administratieve documenten is al genoeg om een onbekende omschrijving te herkennen die zich herhaalt — de meeste slachtoffers ontdekken de afschrijving pas na vier tot zes maanden, alleen maar omdat niemand de regels onder de 60 euro naleest.
Het aanvalsoppervlak verkleinen vóór de volgende sms
Je kunt een fraudeur niet verhinderen een bericht te versturen. Je kunt er wel voor zorgen dat het hem niets oplevert.
Scheid je geld van je abonnementen
De meest effectieve en meest onderbenutte maatregel: registreer nooit je hoofdkaart bij een abonnementsdienst. Gebruik een virtuele kaart voor eenmalig gebruik of met een limiet, zoals de meeste banken die aanbieden, of een oplaadbare prepaidkaart speciaal voor online betalingen. Lekken de gegevens, dan geven ze alleen toegang tot een zo goed als lege rekening.
Houd een inventaris van je abonnementen bij
Vijf minuten, eenmalig. Noteer elke dienst, de afschrijvingsdatum, het bedrag, het betaalmiddel. Een tabelletje volstaat. Zodra je weet dat Spotify op de 6e wordt afgeschreven en je cloudopslag op de 22e, wordt een sms die een opschorting op de 13e aankondigt meteen absurd.
Bescherm de accounts zelf
Zet tweefactorauthenticatie aan waar het kan, en geef daarbij de voorkeur aan een authenticator-app boven sms. Voor de gevoeligste accounts — je hoofdmailbox, je bank, je overheidsaccount — blijft een fysieke beveiligingssleutel in usb-formaat de stevigste bescherming tegen phishing, omdat die zich gewoonweg weigert te authenticeren op een vals domein.
Filter aan de bron
Zowel op iPhone als op Android kun je het filteren van onbekende afzenders activeren: berichten van nummers die niet in je contacten staan, worden in een apart tabblad gegroepeerd. Je ontvangt ze nog steeds, maar zonder melding die je om 22 uur overvalt.
Het bijzondere geval van valse energie-sms'jes
Eén variant verdient een aparte vermelding, omdat ze is geëxplodeerd met de tariefschommelingen van de afgelopen jaren: de sms die een te veel betaald bedrag of een afrekening van de elektriciteitsfactuur aankondigt.
Het schema is omgekeerd en daardoor nog effectiever: er wordt je niet gevraagd te betalen, je wordt iets aangeboden. "Na de jaarlijkse afrekening hebt u recht op een terugbetaling van € 187,42. Vul uw bankgegevens in." Je laat je waakzaamheid varen omdat het geld de goede kant op gaat.
Geen enkele energieleverancier, geen enkele belastingdienst en geen enkele socialezekerheidsinstelling zal je volledige bankgegevens per sms vragen om je terug te betalen. Terugbetalingen gaan naar een al bekend rekeningnummer, via de officiële klantenportalen. Twijfel je bij een bericht dat van een overheidsdienst lijkt te komen, dan geldt onveranderlijk: sluit de sms en typ zelf het adres van de officiële site in je browser.
Wat je moet onthouden
De zwendel met de valse abonnementsverlenging berust op geen enkel technisch huzarenstukje. Ze berust op het feit dat we collectief hebben aanvaard elke maand een tiental kleine bedragen te betalen waarvan we het detail niet meer volgen. De fraudeur glipt simpelweg in die blinde hoek.
Drie zinnen zijn genoeg om je er duurzaam tegen te wapenen:
- Een abonnement breng je nooit in orde via een link uit een sms, altijd via de app of de site die je zelf intypt.
- Een belachelijk laag bedrag is een alarmsignaal, geen garantie van onschuld.
- De naam die als afzender wordt weergegeven, bewijst niets.
En blijft er twijfel, dan bestaat er een onfeilbare test: open de app van de betrokken dienst. Staat je abonnement daar actief en bij, dan liegt de sms. Vermeldt de app geen enkel betalingsprobleem, dan liegt de sms. Wat er in je account gebeurt, is bepalend; wat er in je berichtenlijst staat, betekent niets.
