Er is één moment in het jaar waarop oplichters niet eens goed hoeven te zijn: ze hoeven er alleen op het juiste moment te zijn. Dat moment is het vertrek op vakantie, het weekend van de terugreis, de herfstvakantie, de week van de grote trek. Niet omdat vakantiegangers naïever zouden zijn, maar omdat ze in een heel bijzondere mentale toestand verkeren: ze verwáchten berichten, veel berichten, van mensen die ze niet kennen.
Een bevestiging van een huurwoning. Een toegangscode voor een sleutelkluisje. Een herinnering van een luchtvaartmaatschappij. Een sms van de autoverhuurder. Een trackinglink voor de shuttle. In het gewone leven zet een bericht van een onbekend nummer dat u vraagt te klikken meteen alle alarmbellen aan. Op reis is het routine geworden. Precies die normalisering buit smishing — phishing via sms, zoals Cybermalveillance.gouv.fr het definieert — uit tijdens vakantieperiodes.
Waarom reizen de waakzaamheid ontwapent
Frauduleuze sms-campagnes werken volgens een eenvoudig principe: stuur een geloofwaardig scenario naar honderdduizenden nummers en wacht tot het toeval het bericht laat samenvallen met de werkelijke situatie van de ontvanger. In vakantietijd wordt dat toeval bijna een zekerheid.
Vier factoren stapelen zich op.
U verwacht echt berichten van onbekenden. Een Airbnb-verhuurder, een makelaar, een camping, een luchthavenparking: allemaal legitieme partijen die u schrijven vanaf nummers die u nog nooit gezien hebt. Het mentale filter "dit nummer ken ik niet" werkt niet meer.
De tijd dringt. Een sms die drie dagen voor vertrek een probleem met uw boeking aankondigt, laat geen ruimte om even te wachten. De urgentie hoeft niet eens verzonnen te worden: die staat al in uw agenda.
De leesomstandigheden zijn slecht. Staand in een rij bij de gate, op een tankstation langs de snelweg, met zon op het scherm en een kind dat aan uw mouw trekt. Niemand controleert onder die omstandigheden de spelling van een domeinnaam.
De telefoon staat onder druk. Lege batterij, wisselvallig netwerk op het platteland, gedeelde hotelwifi. Een smartphone op 8% zet aan tot snel handelen, tot klikken in plaats van controleren, tot "ik kijk er later wel beter naar".
Daarom is een powerbank voor onderweg ook geen luxegadget maar een echt veiligheidsinstrument: een opgeladen telefoon is een telefoon waarmee u de tijd kunt nemen om het échte nummer van het hotel te bellen in plaats van op de ontvangen link te klikken.
De vijf meest voorkomende seizoensscenario's
1. De boeking die "niet is bevestigd"
Het bericht komt enkele dagen voor aankomst: "Uw reservering van 12/08 kon niet worden bevestigd, de betaling is geweigerd. Regulariseer binnen 24 uur om annulering te voorkomen." De link leidt naar een pagina die een bekend boekingsplatform tot in de details nabootst.
De val is dubbel. Eerst is er de angst om de accommodatie kwijt te raken, soms al maanden geleden geboekt. Vervolgens het kleine bedrag: er wordt geen 800 euro gevraagd, maar of u uw kaart even wilt "hervalideren", of een borg van 50 euro wilt betalen. De DGCCRF en de platformen zelf herhalen geregeld één onwrikbare regel: een legitieme betaling verloopt nooit buiten het boekingsplatform om. Een verhuurder die aandringt op een rechtstreekse overschrijving, een betaallink per sms of een betaling met cadeaubonnen is vrijwel altijd een oplichter.
2. Het valse bericht over onbetaalde tol
Dit scenario is geëxplodeerd met de opmars van tolheffing zonder slagbomen, waarbij achteraf op een officiële site wordt betaald. Het bericht is kort: "Niet-betaalde passage op 09/08 op de A79. Bedrag: € 4,20. Regularisatie binnen 72 uur om verhoging te voorkomen."
Alles klopt: het bedrag is realistisch, de snelweg bestaat, de termijn is aannemelijk. Veel automobilisten weten simpelweg niet of ze hun passage wel of niet betaald hebben. De regel: u betaalt tol nooit via een link die u per sms ontvangt. U typt zelf het adres van de officiële site van de betreffende snelwegmaatschappij in, of u gebruikt de app van uw tolbadge. Hetzelfde geldt voor valse verkeersboetes: de officiële site van het Agence nationale de traitement automatisé des infractions is het enige toegangspunt, en die stuurt u nooit een sms met een betaallink.
3. De gewijzigde vlucht en de valse instapkaart
"Uw vlucht AF1234 is gewijzigd. Raadpleeg uw nieuwe instapkaart." De link vraagt om uw boekingsnummer, uw naam, soms uw paspoort en uw bankkaart voor "de herafgiftekosten".
Hier is het niet alleen het geld dat men wil, maar ook uw identiteitsgegevens. Een compleet reisdossier — naam, geboortedatum, paspoortnummer, adres — wordt doorverkocht en dient later om rekeningen te openen of leningen af te sluiten. De juiste reflex: open de officiële app van de maatschappij, of kijk op het vertrekbord. Een échte vluchtwijziging staat altijd in uw dossier, nooit alleen in een sms.
4. Het sleutelkluisje en de toegangscode
Subtieler, geniepiger. De dag voor aankomst ontvangt u een bericht: "Goedendag, laatste-minutewijziging voor de sleuteloverdracht, gelieve hier uw identiteit te bevestigen." De link verzamelt een gescand identiteitsbewijs, soms ook uw rekeningnummer "voor de teruggave van de borg".
Het waarschuwingssignaal: een wisseling van kanaal. Als het hele gesprek via de berichtendienst van het platform is verlopen en plotseling naar sms overspringt, is dat een rode vlag. Oplichters halen openbare advertenties op en benaderen reizigers blindelings, in de hoop iemand te treffen die daadwerkelijk geboekt heeft.
5. De bankhulplijn tijdens de reis
Dit is de duurste variant. Na een eerste waarschuwings-sms ("betaalpoging in het buitenland van € 749") volgt vrijwel meteen een telefoontje, vaak vanaf een nummer dat dankzij spoofing wordt weergegeven als dat van uw bank. Een kalme gesprekspartner vraagt u om de transactie te "blokkeren" door uw codes door te geven of een melding in uw app te bevestigen.
De regel die de Fédération bancaire française en de banken zelf keer op keer herhalen, is absoluut: een bankmedewerker zal u nooit vragen een transactie te valideren, een per sms ontvangen code door te geven of software voor toegang op afstand te installeren. U hangt op en belt zelf het nummer op de achterkant van uw kaart.
De sorteertabel in tien seconden
Wanneer er een bericht binnenkomt en u noch de tijd noch de rust hebt om te onderzoeken, volstaat deze schifting in de overgrote meerderheid van de gevallen.
| Wat het bericht zegt | Legitieme reactie | Riskante reactie |
|---|---|---|
| Een betaling is mislukt | Zelf de betreffende app openen | Op de meegestuurde link klikken |
| Er is een bedrag verschuldigd binnen 24-72 uur | Het officiële adres met de hand intypen | Betalen via de link |
| Er wordt om een identiteitsbewijs gevraagd | Via de berichtendienst van het platform gaan | Een scan per sms versturen |
| Een medewerker belt u na een sms | Ophangen, het nummer op de kaart bellen | Aan de lijn blijven en bevestigen |
| De link bevat een vreemde merknaam | Negeren en verwijderen | "Even kijken" op de pagina |
Eén technisch punt wordt vaak verkeerd begrepen: het adres dat bij een verkorte link wordt getoond, zegt niets. Campagnes maken massaal gebruik van linkverkorters en van domeinnamen waarin het legitieme merk als subdomein voorkomt. Een adres als secure-colissimo.paiement-xyz.top heeft niets te maken met de dienst die het nabootst: wat telt, is wat er onmiddellijk vóór de extensie staat, niet wat er vooraan staat.
De telefoon voorbereiden vóór vertrek
De beste bescherming onderweg regelt u de dag voor vertrek, rustig, thuis.
Zet de officiële kanalen op een rij. Sla het nummer van uw bank, uw verzekering en uw accommodatie op in uw contacten. Een nummer dat al in het geheugen staat, verschijnt met een naam: als er een zogenaamd bankgesprek binnenkomt van een niet-geïdentificeerd nummer, twijfelt u meteen.
Vergrendel het voorbeeld van meldingen. Eenmalige verificatiecodes verschijnen standaard op het vergrendelscherm. In een trein, een wachtrij of een gedeelde kamer volstaat dat om een account te compromitteren. De instelling vindt u bij de meldingsinstellingen, onder "Voorbeelden" of "Inhoud tonen". In dezelfde geest maakt een privacyfilter voor smartphonescherm het scherm onleesbaar vanuit een hoek — handig in het vliegtuig én op een terras.
Neem mee waarmee u het zonder openbare oplaadpunten redt. De open USB-oplaadpunten op luchthavens en stations vormen een reëel probleem: een datapoort die u niet zelf in de hand hebt, kan in bepaalde configuraties misbruikt worden. Een simpele USB-adapter met stopcontact, of een oplaadkabel zonder datatransfer, maakt de vraag overbodig. Dat is geen paranoia, het is dezelfde logica als geen usb-stick inpluggen die u op straat gevonden hebt.
Maak een back-up vóór vertrek. Een telefoon die tijdens de vakantie verloren gaat of gestolen wordt, betekent mogelijk toegang tot uw berichten, uw mail en uw bank-apps. Een actuele back-up en ingeschakelde locatiebepaling op afstand veranderen de afloop volledig. Denk ook aan fysieke bescherming van het toestel: zand, zout water en strandtassen richten meer schade aan dan u denkt, en een waterdicht hoesje voor smartphone kost minder dan een nieuw scherm.
Hotelwifi, openbare netwerken en valse portalen
De gratis wifi van de camping of de hotellobby verdient een aparte vermelding. Het grootste risico is tegenwoordig niet zozeer het onderscheppen van gegevens — de meeste sites en apps versleutelen hun verkeer — maar het valse captive portal: die pagina die opengaat en u vraagt om "in te loggen" voordat u toegang krijgt tot het netwerk, en die soms om een e-mailadres, een wachtwoord of zelfs een bankkaart "ter verificatie" vraagt.
Drie regels volstaan:
- Een legitiem captive portal vraagt nooit om uw e-mailwachtwoord of uw kaartnummer.
- Vraag de exacte netwerknaam na bij de receptie. Een netwerk met de naam "Hotel_Wifi_Free" naast het echte "Hotel-Wifi" is een klassieke val.
- Gebruik voor gevoelige handelingen — bankzaken, belasting, aankopen — liever uw mobiele verbinding. Tethering via uw eigen abonnement is veiliger dan een open netwerk, en een lokale prepaid simkaart blijft een goede optie voor lange verblijven buiten Europa.
Als het bericht al geopend is
Een frauduleuze sms openen is op zich niet gevaarlijk. Het risico begint bij de klik en wordt ernstig zodra u gegevens invult.
- U hebt alleen geklikt zonder iets in te vullen. Sluit de pagina, ga er niet naar terug, vul niets in. Controleer of er geen app buiten uw medeweten is geïnstalleerd, vooral onder Android, waar installatie vanuit een externe bron mogelijk blijft.
- U hebt bankgegevens ingevuld. Blokkeer onmiddellijk via de app van uw bank of het nummer op de achterkant van de kaart. Vanuit het buitenland blijft dat nummer bereikbaar. Bewaar de schermafbeeldingen.
- U hebt een identiteitsbewijs doorgestuurd. Meld dit en houd in de gaten of er rekeningen op uw naam worden geopend. Aangifte doen, ook op afstand, levert een nuttig bewijsstuk op.
- Meld het bericht. In Frankrijk ontvangt het nummer 33700 meldingen van frauduleuze sms'jes: stuur het bericht door naar 33700 en verstuur vervolgens het nummer van de afzender wanneer daarom wordt gevraagd. De dienst is gratis. U kunt ook melding doen op het officiële platform Cybermalveillance.gouv.fr, dat u de juiste stappen wijst, en op internet-signalement.gouv.fr (PHAROS) voor illegale inhoud.
- Waarschuw uw omgeving. Campagnes richten zich op hele reeksen nummers. Als u het ontvangen hebt, hebben uw naasten die tegelijk met u vertrokken zijn het waarschijnlijk ook gekregen.
Het bijzondere geval van oudere reizigers
Ouderen gaan vaak op vakantie met minder stevige digitale houvasten en vooral met de angst om "iets stoms te doen", waardoor ze eerder gehoorzamen dan controleren. Drie eenvoudige aanpassingen helpen enorm.
Spreek vóór vertrek een vertrouwenspersoon af die bij twijfel bereikbaar is: een telefoontje van dertig seconden naar een kind of buur ontmantelt elke oplichting. Schrijf de echte nummers van de bank en de verzekering op een briefje in de portemonnee, want in een stressvolle situatie gaat niemand in een telefoon zoeken. En voor wie onderweg geen smartphone nodig heeft, beperkt een mobiele telefoon met grote toetsen het aanvalsoppervlak automatisch: geen browser, geen klikbare links, geen bank-app.
Eén regel past in één zin en dekt 95% van de situaties: u betaalt en identificeert zich nooit via een ontvangen link, wie de afzender ook lijkt te zijn. U keert altijd terug naar het kanaal dat u zelf gekozen hebt.
Wat u moet onthouden
Sms-oplichting in vakantietijd is niet geraffineerder dan andere vormen. Ze is alleen beter afgestemd op uw leven. De remedie bestaat er niet in om expert in informatiebeveiliging te worden, maar om een heel klein uitstel in te bouwen tussen lezen en handelen: zelf de app openen, zelf het adres intypen, zelf het officiële nummer bellen.
Dat uitstel kost dertig seconden. En dat is precies wat oplichters u niet kunnen veroorloven te gunnen.
