« Goedemiddag, u spreekt met meneer Lemoine, ik heb uw nummer van uw Google-profiel. Ik heb een dringende werf, een volledige badkamer, en ik ben tot de 20e in het buitenland. Ik kan onmiddellijk een voorschot storten als u mij een offerte bezorgt. »
De loodgieter die ons deze conversatie doorstuurde, antwoordde binnen veertien minuten. Het was een vrijdag aan het einde van de maand, het orderboekje was mager, het bericht was hoffelijk, gedetailleerd en in foutloos Nederlands geschreven. Drie dagen later had hij zijn bankgegevens doorgegeven, een kopie van zijn identiteitskaart « voor de conformiteit van de overschrijving » en een zescijferige code bevestigd die hij per sms had ontvangen « om de internationale betaling te authenticeren ». De overschrijving kwam nooit aan. Zijn online mailbox was wél van eigenaar veranderd.
Artikels over frauduleuze sms'jes gaan bijna altijd over de particulier: het valse pakje, de valse belastingbrief, de valse dokter. Daarbij vergeet men een groep die veel meer blootgesteld en veel minder beschermd is: de zelfstandigen, vaklui, handelaars en vrije beroepen, van wie het gsm-nummer openbaar is uit beroepsnoodzaak. Zij kunnen de belangrijkste preventietip — « verspreid uw nummer niet » — niet toepassen, want hun nummer verspreiden is hun vak.
Waarom een zakelijke lijn veel meer frauduleuze sms'jes ontvangt
Een nummer dat met twee klikken te oogsten is
Het gsm-nummer van een zelfstandige is zonder enige moeite en volkomen legaal op minstens acht verschillende plaatsen te vinden:
- het Google-bedrijfsprofiel en de reviewgidsen (gouden gidsen, platformen die vraag en aanbod koppelen);
- het ondernemingsregister met de identificatiegegevens van de onderneming, en de websites die het overnemen;
- de offertes en facturen die jaarlijks naar tientallen klanten gaan en vaak per mail aan derden worden doorgestuurd;
- de vacatures of advertenties voor tweedehandsmateriaal die op zijn naam gepubliceerd worden;
- de belettering van het voertuig, gefotografeerd op de straat;
- de werfborden en de visitekaartjes die in winkels worden achtergelaten;
- de onlineplatformen voor prijsaanvragen, die contactgegevens doorverkopen of met partners delen;
- de datalekken bij software voor beheer, kassasystemen of onlineboekingen.
Geen van die bronnen is een hack. Samengevoegd maken ze van het zakelijke nummer een openbaar gegeven dat tien of vijftien jaar stabiel blijft en gekoppeld is aan een geïdentificeerd beroep. Precies dat laatste maakt het verschil: de fraudeur schrijft u niet willekeurig aan, hij weet dat u dakwerker, thuisverpleegkundige of garagist bent.
Doelgerichtheid per beroep maakt het valse bericht geloofwaardig
Een sms « uw pakje wacht op u » wekt wantrouwen omdat het met niets concreets overeenstemt. Een sms « uw attest van fiscale en sociale schuldenvrijheid verloopt binnenkort, uw klant zal u niet meer kunnen betalen » valt samen met een administratieve realiteit die de vakman kent, vreest en niet volledig beheerst. Social engineering werkt wanneer het bericht op een achterstallige taak lijkt.
De gebruikte hefbomen zijn vrijwel altijd dezelfde:
| Hefboom | Typische formulering | Waarom het werkt |
|---|---|---|
| Kasstroom | « Overschrijving van 2.480 € geweigerd, werk uw bankgegevens bij » | Een onbetaalde factuur is de structurele angst van de zelfstandige |
| Compliance | « Attest verlopen », « update van uw ondernemingsgegevens » | Angst om een opdracht of een opdrachtgever te verliezen |
| Opportuniteit | « Dringende werf, onmiddellijk voorschot » | Een mager orderboekje verlaagt de waakzaamheid |
| Werkinstrument | « Uw facturatie-account wordt opgeschort » | Totale afhankelijkheid van software of een platform |
| Mobiliteit | « Onbetaalde boete op bedrijfsvoertuig » | Vloot, parkeren, lage-emissiezones |
De vijf scenario's die in 2026 circuleren
1. De valse klant: gehaast en gul
Dit is het oudste en het efficiëntste. De prospect komt binnen per sms, niet per telefoon — hij « is in het buitenland », « op verplaatsing », « slechthorend », « in vergadering ». Hij vraagt een offerte, aanvaardt zonder onderhandelen en stelt een hoog voorschot voor. Dan duikt de complicatie op: een betaling « via mandaat », een overschot dat moet worden doorgestort aan een « transporteur », een onbekend betaalplatform dat moet worden gevalideerd.
Het meest betrouwbare signaal is niet het taalgebruik, dat tegenwoordig onberispelijk is dank zij automatische schrijfhulpmiddelen. Het is de hardnekkige weigering om te telefoneren gecombineerd met een afwijking in het betaalcircuit. Een klant die niet met u wil praten maar u snel geld wil sturen, is een alarmsignaal, geen buitenkans.
2. De valse sociale of fiscale instantie
De golven valse sms'jes die worden toegeschreven aan socialezekerheidsinstellingen, de belastingdienst of aanvullende pensioenfondsen zijn al meerdere jaren gedocumenteerd; die diensten herhalen regelmatig op hun websites dat ze nooit bankgegevens vragen per sms of via een link. Voor de zelfstandige is de gevaarlijkste variant die van de terugbetaling van bijdragen: een plausibel te veel betaald bedrag, een geloofwaardig cijfer, een formulier dat IBAN en identiteitsbewijs opvraagt.
De reflex die u zich eens en voor altijd moet aanleren: geen enkele instantie laat zich verifiëren via haar eigen bericht. U verlaat de sms, opent de app of het onlineportaal via een opgeslagen favoriet, en kijkt of de vraag daar bestaat.
3. Leveranciersfraude, sms-versie
Klassiek per e-mail verstuurd, maar het schuift op naar sms omdat de gsm tussen twee werven wordt bekeken, zonder computer, vaak met vuile handen en drie minuten aandacht. Het bericht kondigt een wijziging van de bankgegevens aan van een materiaalleverancier, een onderaannemer of een machineverhuurder. Het kan een echt ordernummer vermelden, gerecupereerd via een datalek of een gecompromitteerde mailbox.
Het tegengif is organisatorisch, niet technisch: elke IBAN-wijziging wordt bevestigd door terug te bellen naar het nummer dat u al had, nooit naar het nummer in het bericht. Veel zelfstandigen noteren hun vaste leverancierscontacten in een professioneel logboek dat in de bestelwagen blijft, precies om niet afhankelijk te zijn van een telefoon die kan liegen.
4. De overname van het mail- of facturatie-account
Hier is de sms niet de bestemming maar het instrument. De fraudeur probeert de toegang tot uw zakelijke mailbox, uw facturatiesoftware of uw bedrijfsprofiel te resetten. Het legitieme systeem stuurt u een échte eenmalige code — en een valse « technische helpdesk » vraagt die binnen de minuut op, per sms of per telefoon.
Wat de aanvaller buitmaakt, is veel meer waard dan het geld van één werf: de klantenhistoriek, de offertes, de bankgegevens, de mogelijkheid om uw klanten in uw naam aan te schrijven. Op een zakelijke lijn is tweestapsverificatie via een aparte authenticatie-app, of zelfs via een fysieke FIDO2-beveiligingssleutel, een duidelijke verbetering ten opzichte van de sms-code, die onderschepbaar en vooral afpersbaar blijft.
5. De omgekeerde valse sollicitatie
Recente variant: de vakman die een leerling of een interimkracht zoekt, krijgt sollicitaties per sms, met een link naar een « online cv » of een « dossier voor een aanwervingspremie ». De link opent een formulier dat gegevens verzamelt, soms een app buiten de officiële store op Android. Een aanwerving die begint met een bestand dat u moet openen in plaats van met een gesprek, mag wachten tot maandagmorgen.
De stromen scheiden: de maatregel die het meeste verandert
Een openbaar nummer hoeft niet uw privénummer te zijn
De goede praktijk past in één zin: het nummer dat u publiek afficheert, mag niet het nummer zijn dat uw bankcodes ontvangt. Concreet werken drie opstellingen:
- Twee lijnen op één dual-SIM-toestel: een « etalagelijn », overal verspreid, en een « kluislijn », enkel bekend bij de bank, de boekhouder en niemand anders. De meeste recente smartphones aanvaarden een eSIM naast de fysieke SIM.
- Twee telefoons: de oplossing voor sterk blootgestelde beroepen (interventiediensten, levering, zorg), met een eenvoudig tweede toestel dat op het bureau of thuis blijft.
- Een virtueel centralenummer dat doorschakelt naar de gsm: de etalage wordt een geografisch vast nummer, geloofwaardiger voor klanten en minder blootgesteld aan het oogsten van gsm-nummers.
Die scheiding doet de frauduleuze sms'jes niet verdwijnen. Ze concentreert ze op de lijn waar ze zo goed als niets kunnen uitrichten: een fraudeur die naar uw etalagenummer schrijft, kan geen bankvalidatiecode onderscheppen, want die code komt elders aan.
De telefooninstellingen die echt nut hebben
In volgorde van reële doeltreffendheid:
- Filtering van onbekende afzenders geactiveerd (iOS: Instellingen → Apps → Berichten → Onbekende afzenders filteren; Android/Berichten: spambeveiliging). Ongevraagde berichten komen in een apart tabblad terecht, dat u kunt bekijken maar dat buiten de hoofdlijst blijft.
- Installatie van apps buiten de officiële store blokkeren, en nagaan of Play Protect of een equivalent actief is. Vrijwel alle mobiele banktrojanen komen langs die weg binnen.
- Berichtvoorbeeld verbergen op het vergrendelscherm: een telefoon die op een toonbank of een dashboard ligt, mag uw codes niet tonen.
- Tweestapsverificatie via een authenticatie-app, niet via sms, voor de mailbox, de facturatiesoftware en de bank.
- Systeemupdates aanvaarden binnen de week, en ze niet zes maanden uitstellen « omdat de telefoon het werkinstrument is ».
Ter info: Google heeft in de loop van 2026 de automatische fraudedetectie in de Berichten-app versterkt, met contextuele waarschuwingen bij bepaalde gesprekspatronen. Dat is een nuttig extra vangnet, maar in geen geval een reden om uw waakzaamheid te laten varen — de automatische detectie blijft blind voor het scenario van de valse klant, dat noch een link noch een verdacht woord bevat.
Back-ups maken, want een zakelijke lijn verliest ook bewijsmateriaal
Een zelfstandige die zijn telefoon verliest, verliest contractuele uitwisselingen: goedkeuring van een offerte per sms, wijzigingen aan een werf, afspraken over een termijn. Een automatische versleutelde back-up van de telefoon, aangevuld met een externe harde schijf voor de jaarlijkse archieven, is evenzeer een kwestie van beheer als van veiligheid. Zowel bij een geschil als bij een fraudezaak is dat wat u in staat stelt een volledige, van tijdstempels voorziene conversatie te exporteren.
Wat te doen wanneer het bericht al binnen is — of al geopend
De verificatiereflex in drie vragen
Vraagt dit bericht mij om een dringende actie? Leidt het mij naar een link of een nieuw betaalcircuit? Kan ik dezelfde informatie controleren via een weg die ik zelf gekozen heb?
Als de eerste twee antwoorden ja zijn en het derde neen, dan behandelt u het bericht standaard als frauduleus.
De meldpunten die echt bestaan
- De sms doorsturen naar het officiële meldnummer voor sms-spam en -fraude in uw land (gratis, waarna u het nummer van de afzender opgeeft).
- Een melding indienen bij het nationale meldpunt voor cybercriminaliteit, dat u doorverwijst op basis van het type incident en een traject voor kmo's aanbiedt.
- Een frauduleuze website melden via de bevoegde dienst voor phishing of illegale inhoud.
- Onmiddellijk uw bank verwittigen zodra u een code of een identificatiemiddel hebt doorgegeven: toezichthouders wijzen in meerdere rapporten op de sterke toename van fraude door manipulatie, waarbij het slachtoffer de verrichting zelf valideert. Hoe sneller de melding, hoe groter de kans dat de terugvordering van de gelden lukt.
- Aangifte doen, ook wanneer de schade nul is: de aangifte voedt de onderzoeken en is vaak een voorwaarde voor de stappen bij uw beroepsverzekering.
Uw klanten verwittigen, een onderschat gebaar
Als uw mailaccount of uw bedrijfsprofiel gecompromitteerd is, zullen uw klanten berichten op uw naam ontvangen. Een sms of e-mail die dezelfde dag nog wordt verstuurd — « onze bankgegevens zijn niet gewijzigd, elk bericht dat het tegendeel beweert, is frauduleus » — beperkt de kettingschade en beschermt uw reputatie, uw belangrijkste bezit.
Preventie tot een onderdeel van uw activiteit maken
Twee gewoonten kosten weinig en voorkomen bijna alles:
- Eén regel « onze bankgegevens wijzigen nooit via een bericht » onderaan uw offertes en facturen. Fraudeurs die een leverancier imiteren, verliezen veel van hun macht tegenover een gewaarschuwde klant.
- Een jaarlijks overleg van tien minuten met uw boekhouder of verzekeraar over cyberfraude. Veel polissen voor bedrijfsverzekeringen bevatten vandaag een waarborg, vaak afhankelijk van elementaire maatregelen — tweestapsverificatie, back-ups, een validatieprocedure voor overschrijvingen. Een praktische gids over cyberveiligheid voor kmo's is genoeg om het gesprek te kaderen, en sommige beroepsorganisaties verspreiden er gratis.
De kernboodschap is eenvoudig: voor een zelfstandige is sms-veiligheid geen kwestie van digitaal comfort, maar van kasstroom. Een openbaar nummer is een commercieel voordeel; het wordt een risico op de dag dat het ook de sleutel tot uw accounts is. Die twee gebruiken scheiden blijft in 2026 de meest rendabele maatregel die u op één namiddag kunt nemen.
