Het bericht komt binnen op een dinsdag om 11.12 uur:
« Hallo Marie, je pakket nr. FR-4471209 kon niet worden bezorgd op Lilastraat 14 (geb. B). Kies een nieuw tijdslot: suivi-relais-colis.net/fr »
Je voornaam. Je straat. Je gebouw. Een trackingnummer dat sprekend lijkt op de nummers die je echt ontvangt. Op dat moment is de vraag die de meeste mensen zich stellen niet langer « is dit een scam? », maar « hoe weten ze dit? ».
Precies die verschuiving is wat de fraudeurs willen bereiken. Jarenlang was de frauduleuze bezorg-sms een net dat op goed geluk werd uitgegooid: « Uw pakket wacht op u », verstuurd naar miljoenen nummers, met de statistische hoop dat een handvol mensen daadwerkelijk iets verwachtte. In 2026 is het geen net meer. Het is een gericht schot, gevoed door zeer reële persoonsgegevens. En begrijpen waar die vandaan komen verandert je verdediging volledig.
De omslag: van generiek bericht naar gedocumenteerd bericht
Het verschil is enorm. Een generieke sms levert weinig op — schattingen uit de antifraudesector spreken van enkele tienden van een procent aan kliks. Een sms die je naam en je exacte adres noemt, doet dat percentage omhoogschieten, omdat hij de enige verdedigingsreflex kortsluit die de meesten van ons hebben geleerd: « als het bericht mij niet kent, is het nep ».
Die mentale kortsluiting was nooit een betrouwbaar criterium. Vandaag nog minder. De Commission nationale de l'informatique et des libertés (CNIL) registreert in Frankrijk elk jaar duizenden meldingen van inbreuken op persoonsgegevens, waarvan een aanzienlijk deel klantenbestanden betreft met naam, postadres, e-mailadres en mobiel nummer. Die vier velden zijn genoeg om een geloofwaardige bezorg-sms te fabriceren.
Met andere woorden: personalisatie bewijst niets. Ze bewijst alleen dat iemand, ergens, een databaseregel over jou in bezit heeft. Wat statistisch gezien inmiddels geldt voor vrijwel alle Franse volwassenen.
Waar komen die gegevens werkelijk vandaan? Vijf kanalen
1. Datalekken bij webwinkels en vervoerders
Dit is de meest overvloedige bron. Een webshop, een ticketplatform, een bouwmarktketen, een maaltijdbezorger: elk bewaart klantenbestanden met precies de juiste gegevens. Wanneer er wordt ingebroken, verdwijnen die bestanden in één keer.
Bij vervoerders en webwinkels komt daar iets pijnlijks bij: hun gegevens bevatten de bezorgcontext. Niet alleen je adres, maar ook het bestaan van een order, de datum daarvan, soms de naam van de winkel. Dat is wat de sms in staat stelt om « je pakket van Decathlon » te vermelden in plaats van een vaag « uw pakket ».
2. Aggregators en handelaren in databestanden
Tussen het lek en de sms zit een hele tussenhandel. Partijen kopen, kruisen en verrijken databases: ze combineren een bestand met naam + e-mail met een ander bestand met e-mail + telefoonnummer, en houden een volledig record over. Dat matchingwerk verklaart waarom gegevens die in 2023 zijn gestolen in 2026 nog een perfect actuele sms kunnen opleveren: je adres is immers waarschijnlijk niet veranderd.
3. Wat je zelf publiceert
Een verkoopadvertentie met de wijk erin, een Google-review ondertekend met je voor- en achternaam, een professioneel profiel dat je woonplaats vermeldt, een onbezonnen foto van je brievenbus. Afzonderlijk is elk element onschuldig. Samengevoegd vormen ze een profiel.
4. Verzendlabels die ongeschonden de vuilnisbak in gaan
Dit is het meest onderschatte kanaal en, ironisch genoeg, het makkelijkst af te sluiten. Een verzendlabel bevat je volledige naam, je exacte adres, vaak je telefoonnummer en een barcode met het trackingnummer. Intact weggegooid in een afvalruimte of een papiercontainer is het voor iedereen leesbaar.
Een kleine papierversnipperaar met kruissnede naast de vuilnisbak lost dit in drie seconden per pakket op. Heb je er geen, dan volstaat een dekkende zwarte marker over het label voordat je het weggooit ruimschoots voor alledaagse gevallen.
5. « Legale » marketing zonder degelijk kader
Niet alle bestanden zijn gestolen. Sommige circuleren op basis van toestemming die onder dubieuze omstandigheden is verkregen: voorgevinkte hokjes, prijsvragen, formulieren voor een « gratis prijsopgave ». De gegevens worden vervolgens doorgegeven aan partners, en daarna aan partners van partners. Bij de vijfde doorverkoop houdt niemand meer bij wie ze gebruikt.
Wat de sms werkelijk wil (en waarom het zelden om € 1,50 gaat)
Het meest voorkomende scenario vraagt een belachelijk klein bedrag: € 1,49, € 2,30, « doorstuurkosten ». Dat bedrag is niet het doel. Het dient drie zaken:
- Een volledig bankkaartnummer bemachtigen, met vervaldatum en veiligheidscode.
- Bevestigen dat de kaart actief is, via een microtransactie die zonder argwaan doorgaat.
- De vervolgstap inleiden, namelijk het telefoontje van een nepmedewerker van de bank die je enkele dagen later vraagt om « een verdachte transactie te blokkeren ».
De Banque de France wijst in haar werk over fraude met betaalmiddelen al meerdere jaren op de toename van zogenoemde « manipulatiefraude » — gevallen waarin het slachtoffer de transactie zelf uitvoert, in de overtuiging zich juist te beschermen. De bezorg-sms is vaak niets meer dan de eerste steen van dat bouwwerk.
Een recentere variant vraagt helemaal geen betaling: die stelt voor de bezorging « opnieuw in te plannen » via een app die je moet installeren. Die app is malware die inkomende sms'jes leest — en dus ook bancaire verificatiecodes. Geen kaartgegevens ingevoerd, geen zichtbare betaling, en toch loopt de rekening leeg.
De zes signalen die de nep verraden, ook bij goed geïnformeerde berichten
| Signaal | Waar je op moet letten |
|---|---|
| Het domein van de link | De echte vervoerder gebruikt zijn eigen domein. laposte.fr, niet laposte-suivi-fr.co of lapostefr.info |
| Het betaalverzoek | Geen enkele Franse vervoerder vraagt per sms om kosten voor een tweede bezorgpoging |
| Urgentie met een cijfer erbij | « Binnen 24 uur », « laatste bericht voor retour »: tijdsdruk is een kenmerk |
| Het antwoordkanaal | Echte tracking controleer je in de app of op de website, nooit via de ontvangen link |
| De spelling van het adres | Doorverkochte gegevens zijn vaak lichtjes vervormd: ontbrekende accenten, rare afkortingen |
| De afzender | Een Frans mobiel nummer met 06/07 voor een geautomatiseerde melding: afwijkend |
Dat laatste punt vraagt een belangrijke nuance: de afwezigheid van afwijkingen bewijst evenmin iets. Met spoofingtechnieken kan een geloofwaardige merknaam als afzender worden weergegeven. De enige echt betrouwbare test blijft deze: nooit vanuit het bericht vertrekken, altijd vanuit de bron. Je opent zelf de app van de vervoerder, of je typt zelf het adres van de site in je browser.
Controleren of je gegevens al circuleren
Wat gelekt is kun je niet terugnemen, maar je kunt wél weten hoe blootgesteld je bent — en zo je waakzaamheid kalibreren.
Diensten die datalekken controleren. Onafhankelijke tools laten je een e-mailadres invoeren en geven de lijst van bekende lekken waarin het voorkomt. Sommige aanvaarden ook een telefoonnummer. Als je adres in vijf incidenten opduikt, ga er dan van uit dat ook je naam en postadres circuleren.
De meldingen van je bank. Zet notificaties aan voor elke transactie, ook voor bedragen onder € 5. De meeste banken bieden dat gratis aan in de instellingen van hun app. Het is de beste detector voor een microtransactie als test.
Het recht op inzage uit de AVG. Je kunt elk bedrijf aanschrijven met de vraag welke gegevens het over je bewaart, waar het die heeft gehaald en aan wie het ze heeft doorgegeven. Het antwoord moet binnen een maand komen. De CNIL stelt voorbeeldbrieven ter beschikking op haar website. Die tijdrovende oefening heeft een nuttig neveneffect: je laat je gegevens wissen bij partijen waarvan je het bestaan al vergeten was.
Bloctel en verzet tegen telemarketing. Inschrijving op de bel-me-niet-lijst stopt de fraudeurs niet — die negeren de wet per definitie — maar ze vermindert de legale achtergrondruis en maakt verdachte berichten beter zichtbaar.
Je blootstelling concreet verkleinen
Er bestaat geen knop « wis mijn gegevens van het internet ». Er bestaat wel een reeks handelingen die, samen opgeteld, de hoeveelheid over jou beschikbare informatie echt verkleinen.
Identiteiten scheiden. Gebruik een apart e-mailadres voor online aankopen, los van je hoofdadres. Meerdere aanbieders bieden wegwerpaliassen aan: zodra een alias spam begint te ontvangen, weet je precies welke verkoper jouw gegevens heeft laten lekken.
Overweeg een tweede nummer. Een prepaid simkaart voor inschrijvingen, bezorgingen en advertentiesites isoleert je hoofdnummer. Zodra dat tweede nummer bedolven raakt onder frauduleuze sms'jes, vervang je het zonder je contacten of accounts te verliezen.
Geef minder gegevens. Bij een bestelling hoeft het veld « adrestoevoeging » niet « 3e verdieping, deur links, code 4512B » te bevatten. Het telefoonnummer is soms optioneel: als dat zo is, laat het dan leeg.
Kies waar mogelijk voor een pakketpunt. Je privéadres circuleert dan niet in de logistieke keten.
Vernietig fysieke documenten. Labels, pakbonnen, afschriften, verzekeringspost. Een papierversnipperaar met kruissnede is geen gadget: het is het enige apparaat dat het offline deel van het probleem aanpakt.
Filteren op je telefoon. Recente mobiele besturingssystemen kunnen onbekende afzenders in een apart tabblad sorteren en verdachte berichten markeren. Op Android en iOS vind je die optie in de instellingen van de Berichten-app. Ze blokkeert niet alles, maar ze haalt het verrassingseffect weg.
Als je hebt geklikt: de eerste dertig minuten stap voor stap
Klikken is niet fataal. Je gegevens invoeren is dat veel meer. Dit is de rangorde van prioriteiten.
- Gebruik de geopende site niet meer. Sluit het tabblad. « Corrigeer » geen invoer en probeer je niet « af te melden ».
- Als je bankgegevens hebt ingevoerd, bel dan onmiddellijk het blokkeernummer op de achterzijde van je kaart of in je bankapp — nooit een nummer dat je per bericht hebt ontvangen. Laat de kaart blokkeren.
- Als er een app is geïnstalleerd, schakel mobiele data en wifi uit en verwijder de app. Twijfel je of de infectie blijft, dan blijft een fabrieksreset de veiligste oplossing.
- Wijzig de wachtwoorden van accounts waarvan de inloggegevens mogelijk zijn doorgegeven, te beginnen met je mailbox. Een wachtwoordmanager voorkomt dat je overal dezelfde combinatie hergebruikt en versnelt deze stap aanzienlijk.
- Meld het bericht bij 33700, het Franse meldpunt voor ongewenste sms'jes, door de tekst en daarna het nummer van de afzender door te sturen. Het is gratis en het voedt het blokkeerwerk van de operatoren.
- Meld het incident op Cybermalveillance.gouv.fr en dien bij financiële schade een klacht in. Voor fraude zonder bekende dader bestaat de online voorklacht.
- Houd je afschriften maanden in het oog. Gestolen gegevens worden soms weken later pas gebruikt.
Onthoud: bij sms-fraude staat het Franse recht aan de kant van het slachtoffer. Artikel L.133-18 van de Code monétaire et financier verplicht de bank een niet-geautoriseerde betaling terug te betalen, behalve bij grove nalatigheid van de klant. De discussie gaat precies over dat begrip nalatigheid — vandaar het belang van bewijs bewaren: screenshots van de sms, tijdstempels, correspondentie met de bank.
Wat er verandert door AI — en wat niet
Vakmedia hebben in 2026 campagnes gedocumenteerd met visuals die door kunstmatige intelligentie zijn gegenereerd: de nepfoto van het pakket dat « voor je deur is neergezet », aangepast aan het type woning. De spelfout als fraude-indicator behoort tot het verleden, en een afbeelding is geen bewijs meer.
Wat níet verandert, is de structuur van de zwendel. Die heeft altijd drie dingen nodig: dat je klikt op een link die zij aanreiken, dat je iets van waarde invoert, en dat je het snel doet. Haal één van de drie weg en de aanval mislukt, hoe geraffineerd ze ook is.
Daarom gaan solide regels niet over het uiterlijk van het bericht — dat wordt perfect — maar over het pad dat je volgt. Terug naar de bron. Nakijken in de app. Terugbellen naar een nummer dat je zelf hebt opgezocht. Die reflexen werken net zo goed bij een sms vol fouten als bij een onberispelijk bericht dat je adres tot op het huisnummer noemt.
Een toegankelijk boek over cybersecurity thuis, op een boekenrek en met het gezin doorgebladerd, is vaak meer waard dan een vluchtig gelezen waarschuwing: het zijn gedeelde gewoonten, niet individuele kennis, die een huishouden beschermen.
Meer weten
- Cybermalveillance.gouv.fr: praktische fiches over phishing en het melden van incidenten.
- CNIL: voorbeeldbrieven om je recht op inzage, rectificatie en wissing uit te oefenen.
- 33700: gratis melding van ongewenste sms'jes en telefoontjes, in samenwerking met de Franse operatoren.
- Banque de France / Observatoire de la sécurité des moyens de paiement: jaarrapporten over fraude, nuttig om trends te begrijpen.
- Signal Conso (DGCCRF): om een verkoper of een dubieuze handelspraktijk te melden.
De sms die je naam kent, is geen teken dat je persoonlijk in het vizier ligt. Hij is een teken dat je gegevens in een bestand staan tussen miljoenen andere. Het goede nieuws, als je het zo mag zeggen, is dat die banaliteit jou net zo goed treft als je buren — en dat de beschermende maatregelen binnen ieders bereik blijven.
