« Ik heb geklikt. Ik heb mijn kaartgegevens ingevuld. En daarna heb ik afgewacht. »
Dat is de zin die het vaakst terugkomt in verhalen van slachtoffers, en het is precies wat je niet moet doen. Bij een sms-oplichting is de klik bijna nooit het beslissende moment. Het beslissende moment zijn de uren daarna: de uren waarin het geld nog onderweg is, waarin de sporen nog bestaan, waarin de bank nog geen blokkeringsopdracht heeft ontvangen, en waarin de screenshots die aan de politiebalie het verschil maken nog op de telefoon staan.
Na drie dagen wordt alles moeilijker. De transactie is afgeschreven, de frauduleuze URL is uit de lucht, het afzendernummer is opnieuw in omloop gebracht, en het slachtoffer moet bewijzen wat achtenveertig uur eerder gewoon op het scherm stond.
Dit is de werkelijke tijdlijn van de 72 uur na een frauduleuze sms, met wat er bij elke stap op het spel staat.
Uur 0 tot 1: de kraan dichtdraaien vóór je het begrijpt
De eerste reflex is niet begrijpen, maar de geldstroom stoppen. Begrijpen kost uren; een frauduleuze overboeking is soms in minder dan tien minuten vertrokken.
Als er bankgegevens zijn ingevuld, moet je de kaart onmiddellijk laten blokkeren — via de bank-app (de meeste bieden inmiddels blokkering met twee tikken), en daarna telefonisch bij de blokkeerlijn van de bank, die 24 uur per dag bereikbaar is. Als laatste redmiddel werkt de interbancaire blokkeerlijn voor bankpassen op 0 892 705 705 voor alle Franse banken.
Als er een per sms ontvangen code is doorgegeven, is dat ernstiger dan alleen een gelekt kaartnummer: de eenmalige code is precies wat een transactie bij de bank bevestigt. Vermeld dit uitdrukkelijk aan de medewerker, want het verandert de kwalificatie van het incident.
Als er inloggegevens van internetbankieren zijn ingevuld, moet je het wachtwoord wijzigen vanaf een ander apparaat en om een tijdelijke blokkering van de online toegang vragen.
Als er niets is ingevuld maar de link wel is geopend, bestaat er risico, maar dat blijft beperkt: op een bijgewerkte smartphone is het enkel bezoeken van een pagina niet genoeg om het toestel te compromitteren. Het gevaar zit in installaties van apps buiten de officiële appstore — als er een installatie is geaccepteerd, moet je die meteen verwijderen en het toestel nalopen.
Simpele regel: eerst blokkeren, daarna nadenken. Geen enkele bank zal je een blokkering uit voorzorg kwalijk nemen.
Uur 1 tot 3: het bewijsdossier opbouwen zolang het nog bestaat
Dit is de stap die vrijwel iedereen overslaat, en het is degene die de terugbetaling bepaalt. Een slachtoffer dat op het politiebureau aankomt met één zin (« ik kreeg een sms van mijn bank ») heeft geen dossier. Een slachtoffer dat aankomt met zeven screenshots met tijdstempel wel.
Wat je moet vastleggen, in deze volgorde:
| Element | Waarom het nuttig is |
|---|---|
| De volledige sms, met de weergegeven afzender | Bewijst de spoofing of het gebruikte nummer |
| Het volledige berichtenverloop, naar boven scrollend | Laat zien of het valse bericht tussen echte berichten is geglipt |
| De exacte URL van de link (lang indrukken → kopiëren) | Identificeert het frauduleuze domein vóór het offline gaat |
| De frauduleuze webpagina, als die nog bereikbaar is | Bewijs van de merkimitatie |
| De ontvangen bankmeldingen | Zet een tijdstempel op de betwiste transacties |
| Het rekeningafschrift met de afschrijving | Basis van het verzoek tot terugbetaling |
| De oproepgeschiedenis, als een valse medewerker heeft gebeld | Maakt het volledige scenario duidelijk |
Twee technische punten die tellen.
Verwijder de sms niet. Dat is de meest voorkomende emotionele reflex — het spoor van je eigen schaamte uitwissen. Maar het originele bericht, nog aanwezig in je berichten-app, blijft het sterkste bewijsstuk van het dossier. Je maakt er een screenshot van en laat het staan.
Sla het ergens anders op dan op je telefoon. Een toestel dat kapotgaat, verloren raakt of gereset moet worden, neemt het hele dossier mee. Een export van de screenshots naar een aparte opslagplek, of naar een beveiligde USB-stick die je thuis bewaart, stelt het dossier veilig. De adviseurs van Cybermalveillance.gouv.fr raden standaard aan een kopie buiten het betrokken apparaat te bewaren.
Uur 3 tot 12: de drie meldingen die elk iets anders doen
« Melden » en « aangifte doen » worden vaak door elkaar gehaald. Het gaat om drie afzonderlijke stappen, met verschillende effecten. Ze alle drie doen kost minder dan een half uur.
33700: de campagne laten sneuvelen
33700 is het officiële meldpunt voor spam en fraude via sms, beheerd door de Association Française du Multimédia Mobile namens de Franse operators. Het principe: stuur de frauduleuze sms door naar 33700 en beantwoord vervolgens het automatische bericht met het nummer van de afzender.
Deze melding zet geen onderzoek naar jouw persoonlijke zaak in gang. Wel voedt ze de collectieve detectie: boven een bepaald aantal meldingen kan de operator het afzendernummer blokkeren en de domeinnaam uit de link laten verwijderen. Het is een gebaar voor anderen, en het kost dertig seconden.
Perceval: frauduleus gebruik van de bankpas betwisten
Perceval is de online dienst van de Gendarmerie nationale voor bankpasfraude, toegankelijk via FranceConnect. Hij is bedoeld voor slachtoffers die hun kaart nog in bezit hebben — dus voor de overgrote meerderheid van smishinggevallen, waarbij alleen de gegevens zijn gestolen.
Een melding bij Perceval levert een ontvangstbewijs op. Dat document heeft concrete waarde: het ondersteunt het verzoek tot terugbetaling bij de bank en voedt de nationale fraudestatistieken. Het vervangt geen aangifte, maar vereist er ook geen.
Cybermalveillance.gouv.fr: richting en documentatie
De nationale hulpdienst voor slachtoffers van cybercriminaliteit biedt een online traject dat de juiste vragen stelt en handelingsfiches aanreikt. Vooral nuttig wanneer de situatie onduidelijk is: meerdere getroffen accounts, twijfel over wat er precies is gecompromitteerd, of een zakelijk apparaat dat erbij betrokken is.
Uur 12 tot 48: aangifte doen, en dat goed doen
Aangifte doen is niet optioneel zodra er bedragen zijn afgeschreven: de bank zal er vrijwel altijd om vragen.
Waar. Bij elk politiebureau of elke gendarmeriebrigade, ongeacht je woonplaats. Het weigeren van een aangifte is onwettig. Bij weigering kan de aangifte rechtstreeks per aangetekende brief met ontvangstbevestiging naar de officier van justitie van de bevoegde rechtbank worden gestuurd.
De online voor-aangifte. Met de dienst voor online voor-aangifte kun je het formulier vooraf invullen, zodat het bezoek aan de balie beperkt blijft tot een handtekening. Handig, maar let op: het geldt pas als aangifte zodra die is ondertekend.
Wat je moet meenemen. Identiteitsbewijs, rekeningafschrift met de betwiste transacties, uitgeprinte screenshots, het Perceval-ontvangstbewijs als je dat al hebt, en een schriftelijke chronologie van de feiten — één pagina volstaat, met data en tijdstippen. Agenten behandelen dagelijks dit soort dossiers; een geordend dossier wordt sneller en vollediger geregistreerd. Een simpele harmonicamap voorkomt dat je aankomt met losse vellen en verkreukelde afschriften.
Over de kwalificatie. Smishing valt onder oplichting (artikel 313-1 van het Franse Wetboek van Strafrecht), vaak in combinatie met het frauduleus verzamelen van persoonsgegevens en identiteitsfraude (artikel 226-4-1). Het is niet aan het slachtoffer om de feiten te kwalificeren, maar vermelden dat het bericht zich voordeed als een specifieke instantie (bank, zorgverzekering, pensioenfonds, bezorgdienst) helpt om het dossier te koppelen aan reeds geïdentificeerde campagnes.
Uur 48 tot 72: het verzoek tot terugbetaling, en de wet die het steunt
Dit is het punt dat slachtoffers het minst kennen, en het weegt financieel het zwaarst.
Het Franse monetair en financieel wetboek is duidelijk: bij een niet-geautoriseerde betalingstransactie die door de gebruiker is gemeld, moet de bank onmiddellijk terugbetalen, uiterlijk aan het einde van de eerste werkdag na de melding (artikel L133-18). Ze mag dit alleen weigeren door grove nalatigheid van de klant aan te tonen — en dat moet zij bewijzen, niet de klant zijn onschuld.
Dit punt is versterkt door de rechtspraak van het Cour de cassation, dat meermaals oordeelde dat het enkele feit dat iemand een per sms ontvangen code heeft doorgegeven niet volstaat om grove nalatigheid vast te stellen, zeker niet wanneer het slachtoffer in vertrouwen is gewiegd door een bericht of telefoontje dat de bank overtuigend nabootste.
Concreet:
- Schriftelijke betwisting, per aangetekende brief met ontvangstbevestiging aan de bank, met de chronologie, de referenties van de transacties en de bijlagen. De wettelijke termijn om te betwisten bedraagt dertien maanden.
- Bij weigering, inschakeling van de bankombudsman — een gratis dienst, waarvan de contactgegevens op de rekeningafschriften en op de website van de bank staan.
- Als de bemiddeling mislukt, stap naar de rechter, eventueel met steun van een consumentenorganisatie. De dossiers die Que Choisir publiceert, laten zien dat een aanzienlijk deel van de aanvankelijke weigeringen in dit stadium alsnog wordt teruggedraaid.
Een vaak vergeten praktische tip: bewaar een papieren kopie van elke verstuurde brief, met de ontvangstbevestiging. Een archiefdoos met klep volstaat om een volledig dossier bij elkaar te houden gedurende de maanden die de procedure kan duren.
De fouten waarmee je een sterk dossier verspeelt
Een paar gedragingen, allemaal begrijpelijk, verpesten regelmatig dossiers die hadden moeten slagen.
Het nummer terugbellen dat de sms stuurde. In het beste geval levert het niets op. In het slechtste geval start het het scenario opnieuw: de oplichter doet zich dan voor als de « fraudeafdeling » en krijgt alsnog wat hij nog niet had.
Afwachten of het geld vanzelf terugkomt. Dat gebeurt niet. En elke dag die verstrijkt, verzwakt het argument dat je snel hebt gereageerd.
In paniek de telefoon resetten. Soms nuttig na een verdachte installatie, maar rampzalig als het gebeurt vóór het veiligstellen van het bewijs.
Betalen om het verloren geld « terug te krijgen ». Lijsten met slachtoffers circuleren, en een tweede golf benaderingen volgt vaak een paar weken later, onder het mom van incasso of juridische bijstand. Geen enkele legitieme instantie vraagt een voorafbetaling om gestolen geld terug te geven.
Niets vertellen aan je omgeving. Schaamte is de beste bondgenoot van de oplichter. De meldingen van de Banque de France wijzen op een gestage stijging van zogeheten « manipulatiefraude », juist omdat die inspeelt op het isolement van het slachtoffer.
Daarna: de openstaande deuren sluiten
Zodra het dringende deel is afgehandeld, blijft het opruimwerk over. Dat kost één avond.
- Wachtwoorden wijzigen van de accounts die aan het gebruikte e-mailadres hangen, te beginnen met de mailbox zelf. Een wachtwoordmanager voorkomt dat je de fout van één enkel wachtwoord herhaalt; wie papier verkiest, is met een wachtwoordboekje buiten het zicht nog altijd oneindig veiliger af dan met overal hetzelfde wachtwoord.
- Tweefactorauthenticatie inschakelen overal waar het kan, bij voorkeur via een speciale app in plaats van via sms. Voor gevoelige accounts elimineert een fysieke FIDO2-beveiligingssleutel de hele categorie aanvallen met onderschepte codes.
- Terugkerende incasso's controleren op de laatste drie afschriften: sommige fraudes nestelen zich als onopvallende abonnementen van een paar euro.
- Je bankdossier in de gaten houden: bij bredere identiteitsfraude kun je het recht op inzage in het centrale chequeregister en het FICP rechtstreeks bij de Banque de France uitoefenen.
- Vertel in je omgeving wat er is gebeurd. Dat is de meest doeltreffende preventiemaatregel die we kennen, en de goedkoopste. Populariserende boeken over cyberveiligheid thuis helpen de boodschap over te brengen bij naasten die geen ambtelijke folder zullen lezen.
Wat je moet onthouden
Een sms-oplichting is geen financieel noodlot. Het Franse recht beschermt slachtoffers van niet-geautoriseerde transacties, de meldpunten bestaan en zijn gratis, en banken geven vaak toe tegenover een goed gedocumenteerd dossier. Maar alles hangt af van iets bederfelijks: het spoor.
Blokkeren binnen het uur, vastleggen binnen drie uur, melden binnen de dag, aangifte doen binnen twee dagen, schriftelijk betwisten binnen drie dagen. Die volgorde, in acht genomen, maakt van een slachtoffer een dossier. En een dossier krijgt, anders dan een verhaal, antwoorden.
Nuttige nummers en diensten: 33700 (melding frauduleuze sms), 0 892 705 705 (interbancaire blokkering bankpas), 17 (politie-noodnummer), Perceval via FranceConnect, Cybermalveillance.gouv.fr, de online voor-aangiftedienst van het Franse ministerie van Binnenlandse Zaken.
