Iedereen weet inmiddels wel dat je moet oppassen met vreemde e-mails. We kijken goed naar de afzender. Ook klikken we niet zomaar op links. Maar oplichters gebruiken nu een andere manier om ons te bereiken: sms-berichten. Dit heet smishing (sms-phishing). Het aantal valse sms’jes stijgt enorm.
Voor de volgers van slachtoffers-eerst.nl leggen we uit wat dit risico inhoudt. We bespreken waarom het zo gevaarlijk is en hoe we dit kunnen stoppen.
Wat is smishing precies?
Smishing is een woord dat bestaat uit ‘sms’ en ‘phishing’.
Oplichters sturen je een nep-sms om je te bedriegen. Ze willen je persoonlijke gegevens stelen. Of ze willen je inlogcodes hebben. Soms proberen ze te zorgen dat je geld overmaakt.
De daders doen alsof ze een betrouwbaar bedrijf zijn. Denk aan de Belastingdienst, het CJIB, een bekende bank of pakketbezorgers zoals PostNL en DHL.
Waarom werkt het zo goed?
Oplichters gebruiken slimme trucs waar veel mensen intrappen:
- We letten minder goed op: Op een computer zijn we voorzichtig. Maar op onze mobiele telefoon reageren we vaak sneller en zonder na te denken. We gebruiken onze telefoon immers de hele dag voor appjes met vrienden en familie.
- De sms lijkt echt: Oplichters kunnen de naam van de afzender namaken. Hierdoor komt het nepbericht van de oplichter soms terecht in hetzelfde lijstje als de echte sms’jes van jouw bank. Dat maakt het heel lastig te herkennen.
De psychologie achter smishing: manipulatie onder druk
Oplichters zijn meesters in de psychologie. Ze misbruiken doelbewust menselijke emoties. Zo schakelen ze je logische denkvermogen uit. Bij smishing maken ze intensief gebruik van de volgende tactieken:
- Kunstmatige urgentie: Berichten eisen directe actie om een ‘blokkade’ of ‘boete’ te voorkomen.
- Angst en paniek: Dreigen met financiële gevolgen of politie-inzet triggert je overlevingsinstinct.
- Autoriteitsmisbruik: Het imiteren van banken of de overheid dwingt blindelings respect en gehoorzaamheid af.
- Gedwongen tunnelvisie: Door de tijdsdruk stopt je brein met logisch nadenken en controleer je de bron niet meer.
Voorbeelden van psychologische druk
Hier zijn drie concrete, herkenbare voorbeelden van hoe oplichters deze druk in de praktijk brengen:
Voorbeeld 1: Misbruik van autoriteit en angst (Bank)
“ING: Uw bankpas verloopt vannacht. Indien u niet direct via [valse-link] uw gegevens verifieert, wordt uw rekening per direct geblokkeerd en rekenen wij €49,95 deblokkeringskosten.”
De psychologie: Dit bericht creëert direct paniek over geldverlies en misbruikt de vertrouwde naam van de bank om gehoorzaamheid af te dwingen.
Voorbeeld 2: Kunstmatige urgentie en angst voor de overheid (CJIB)
“CJIB: U heeft nog één openstaande verkeersboete van €340,-. Voorkom een bezoek van de deurwaarder morgenochtend en betaal direct via [valse-link].”
De psychologie: Het dreigement met een deurwaarder “morgenochtend” veroorzaakt een gedwongen tunnelvisie; de angst is zo groot dat slachtoffers meteen betalen om van de dreiging af te zijn.
Voorbeeld 3: Misbruik van behulpzaamheid en bezorgdheid (WhatsApp-fraude via SMS)
“Mam, dit is mijn nieuwe nummer. Mijn oude telefoon is kapotgevallen en ik kan nu niet bij mijn bank-app. Kun je me snel helpen met een spoedbetaling? Het moet binnen een uur.”
De psychologie: Dit speelt in op de liefde en de automatische reflex van een ouder om een kind in nood te helpen. De tijdsdruk voorkomt dat de ouder eerst het oude nummer probeert te bellen.
Hoe groot is het probleem in Nederland?
De cijfers in Nederland zijn schrikbarend. Het aantal meldingen van smishing is het afgelopen jaar met 54% gestegen. De Fraudehelpdesk krijgt elk jaar honderden duizenden meldingen van digitale oplichting.
Volgens De Nederlandsche Bank (DNB) verliezen Nederlanders samen tientallen miljoenen euro’s door dit soort online fraude. Onderzoek van het Openbaar Ministerie (OM) laat zien dat 2 op de 3 Nederlanders wel eens een nepbericht krijgt. Het kan jou dus ook overkomen.
De Nederlandsche Bank is Apetrots: “Slechts” 198 miljoen naar oplichters door betaalfraude
Hoe gaat het in de rest van Europa?
Nederland is zeker niet het enige land met dit probleem. Heel Europa heeft last van een grote golf van online fraude. Volgens de internationale politieorganisatie INTERPOL stijgt fraude met betalingen en identiteitsgegevens in Europa het snelst van de hele wereld.
Buitenlandse criminele bendes werken steeds professioneler. Ze sturen miljoenen berichten tegelijk.
Ook gebruiken ze slimme computerprogramma’s (AI) om de teksten foutloos te vertalen naar het Nederlands. Vroeger stonden nepberichten vol met spelfouten, maar dat is nu bijna nooit meer zo.
Waarom deelt de overheid geen boetes uit aan telecomproviders?
Veel mensen vragen zich af waarom de Nederlandse overheid telecomproviders (zoals KPN, Vodafone en Odido) niet dwingt met torenhoge boetes. Dat komt door de wet.
Volgens de huidige regels over privacy en netneutraliteit is een provider een soort postbode. Een postbode mag je brieven niet openmaken en lezen. Dat geldt ook voor sms’jes.
Providers mogen berichten dus niet zomaar controleren of tegenhouden. Als ze dat wel doen, schenden ze de privacywet en riskeren ze juist zélf een boete.
De Autoriteit Consument & Markt (ACM) mag nu alleen boetes geven aan de oplichters die de sms’jes versturen. Maar omdat deze oplichters vaak anoniem in het buitenland zitten, zijn ze bijna niet te pakken. De overheid kan de providers pas beboeten als de wet wordt veranderd.
Waarom moeten de providers de schade van slachtoffers niet betalen?
Het klinkt heel logisch: als providers verplicht de financiële schade moeten vergoeden, gaan ze vast sneller aan de slag om smishing te stoppen. Toch kan dit juridisch en praktisch gezien niet door drie redenen:
- De provider is alleen de bezorger: Net zoals een fysieke postbode niet verantwoordelijk is als je een oplichtingsbrief in je brievenbus krijgt, is de telecomprovider dat volgens de wet ook niet bij een sms. Zij sturen alleen de data door en hebben geen invloed op de inhoud.
- De schade ontstaat pas bij de bank: Het ontvangen van de sms kost een slachtoffer geen geld. De echte schade ontstaat pas daarna, wanneer het slachtoffer inlogt en geld overboekt. Juridisch ligt de verantwoordelijkheid voor die betaling daarom bij de bank en de rekeninghouder zelf, niet bij het telefoonnetwerk.
- Banken vergoeden de schade vaak al: In Nederland hebben banken gelukkig strenge regels. Als een slachtoffer te goeder trouw heeft gehandeld en niet ‘grof nalatig’ is geweest, vergoedt de bank de gestolen euro’s meestal al. De overheid vindt het daarom niet eerlijk om ook de telecomproviders nog eens te laten betalen. Bovendien zouden telefoonabonnementen daardoor waarschijnlijk onbetaalbaar worden.
De bankoverval bij jou thuis
Wat moet er dan wél gebeuren om dit te stoppen?
Nu ligt de verantwoordelijkheid nog te vaak bij het slachtoffer zelf. Gelukkig werkt de overheid nu aan een nieuw wetsvoorstel. Zodra die wet er is, moeten telecombedrijven dit probleem verplicht bij de bron aanpakken.
Dit moet er gebeuren:
- Namen van bedrijven beschermen: Providers moeten ervoor zorgen dat oplichters niet zomaar de naam van een bank of overheidsdienst kunnen misbruiken als afzender.
- Slimme filters instellen: Net zoals e-mailprogramma’s een spammap hebben, moeten telecombedrijven gevaarlijke sms’jes al blokkeren vóórdat ze op jouw telefoon aankomen. Dit gebeurt al een beetje via een gezamenlijk Anti Phishing Shield, maar dat moet nog strenger.
- Strengere regels voor telefoonnummers: Providers moeten veel beter controleren aan wie ze grote aantallen telefoonnummers verhuren. Oplichters mogen niet meer anoniem sms-diensten kunnen kopen om miljoenen mensen tegelijk te appen. Als providers zich hier straks niet aan houden, kan de ACM hen wél zware boetes geven.
Smishing zal helaas nooit helemaal onmogelijk worden en de nieuwe wet gaat dat ook niet volledig oplossen
Oplichters bedenken steeds nieuwe trucs om de filters van telecombedrijven te omzeilen:
- SIM-boxen: Dit zijn kasten met honderden goedkope simkaarten. Criminelen zetten deze in Nederland neer. De sms’jes worden zo via het normale Nederlandse netwerk verzonden. Het filter ziet dan geen verschil met een sms van een echte persoon.
- Te strenge filters: Als een filter té streng is, worden er ook goede berichten geblokkeerd. Denk aan een sms van de huisarts of de bezorger van uw pakketje. Dat willen telecombedrijven voorkomen.
- Buitenlandse routes: Het wereldwijde sms-systeem is oud. Berichten uit het buitenland worden vaak blind vertrouwd door Nederlandse netwerken.
Wanneer gaat de nieuwe wet in?
Het kabinet heeft in juli 2026 een nieuw concept-wetsvoorstel gepresenteerd. Burgers en bedrijven kunnen hier tot eind september 2026 op reageren. Daarna moet de wet nog worden besproken in de Tweede en Eerste Kamer.
Het is nog niet officieel bekend wanneer de wet precies ingaat, maar de verwachting is dat dit in de loop van 2027 zal zijn. De wet verplicht telecombedrijven om strengere blokkades te gebruiken, vooral voor sms’jes met namen van banken of de overheid.
Wordt smishing daarna onmogelijk?
Nee, smishing wordt hiermee niet onmogelijk. De nieuwe wet maakt het criminelen wel een stuk moeilijker om Nederlandse telefoonnummers en banknamen te misbruiken.
Criminelen verplaatsen hun werk echter snel. Als sms-beveiliging te goed wordt, stappen ze over naar andere apps. Denk aan oplichting via WhatsApp, Signal, Telegram of e-mail. Eigen alertheid blijft dus altijd nodig.
Conclusie
Smishing is een professionele industrie geworden waar oplichters veel geld mee verdienen. Zolang de wetten en de telecombedrijven de digitale deur niet volledig op slot doen, moeten we zelf heel goed opletten.
Zie je een link in een sms? Klik er nooit op. Ook niet als het bericht van een bekend bedrijf lijkt te komen.
Geef een reactie