Eerste week van september. U heeft in drie dagen veertien formulieren ingevuld, een vakje aangekruist voor de klassenfoto, een bijdrage aan de ouderkas betaald en een account aangemaakt op een ouderportaal waarvan u het wachtwoord alweer bent vergeten. De telefoon trilt: « Overblijfdienst — negatief saldo vastgesteld op de rekening van uw kind. Betaal vóór 08/09 om toegang tot de schoolkantine te behouden: [link] ».
U vindt het niet absurd. U heeft vorige week inderdaad iets betaald, zonder helemaal zeker te weten of dat de kantine was. U weet niet meer of de automatische incasso is verlengd. En het idee dat uw kind donderdagmiddag zonder maaltijd zit, geeft de doorslag.
Smishing rond school berust op geen enkel technisch hoogstandje. Het berust op iets veel banalers: in september zijn ouders het overzicht over hun eigen administratie kwijt.
Waarom het begin van het schooljaar een ideaal schootsveld is
Sms-oplichtingscampagnes volgen de kalender. Nepberichten over pakketten pieken in november-december, valse boetes na lange weekenden, valse belastingteruggaven in de zomer. September is van de school — en het terrein is er om drie redenen bijzonder gunstig.
Het aantal legitieme berichten is abnormaal hoog. Tussen de schoolapp, het ouderportaal van de gemeente, de oudervereniging, de sportclub en het leerlingenvervoer kan een gezin in veertien dagen tijd een tiental officiële mededelingen ontvangen. Een frauduleus bericht dat in die stroom wordt geschoven, valt niet op.
De betaalcircuits zijn versnipperd. Afhankelijk van de gemeente wordt de overblijfregeling betaald via een gemeentelijk portaal, via een private dienstverlener, per incasso, per kaart of via een gemeentelijke kas. Geen enkele ouder kent uit het hoofd de naam van de dienstverlener van zijn stad. Precies die normale onwetendheid buit de oplichter uit: hij hoeft niet eens de juiste instantie te imiteren, want u weet zelf niet welke u moet verwachten.
Het gaat om een kind. Dat is het echte verschil met een nep-sms van de bank. Het controleren van een rekening kun je uitstellen tot morgen. Iets wat je kind een maaltijd kan onthouden, een schoolreisje kan afnemen of van een activiteit kan uitsluiten, stel je niet uit. De hefboom is niet de angst om geld te verliezen, maar de angst om een slechte ouder te zijn.
De meest voorkomende scenario's dit jaar
De formuleringen veranderen, het mechanisme blijft. Dit zijn de varianten die het vaakst opduiken in meldingen rond het begin van het schooljaar.
| Voorwendsel | Voorbeeldbericht | Wat men u werkelijk vraagt |
|---|---|---|
| Openstaande overblijfkosten | « Negatief saldo, betaal binnen 48 u » | Bankkaartgegevens op een nepportaal |
| Schoolspullen of boeken | « Bestelling schoolboeken onvolledig, bijbetaling vereist » | Kleine betaling + bankgegevens |
| Excursie / schoolreis | « Aanbetaling voor de reis niet geregistreerd » | Overboeking naar een frauduleus IBAN |
| Schoolverzekering | « Verplicht attest ontbreekt, sluit hier af » | Nepverzekering + volledige identiteitsgegevens |
| Leerlingenvervoer | « Buskaart niet gevalideerd, activeer uw pasje opnieuw » | Inloggegevens van het regionale portaal |
| Klassenfoto | « Uw fotobestelling verloopt » | Betaling op een gekopieerde site |
| Account digitale leeromgeving | « Uw toegang wordt gedeactiveerd, log opnieuw in » | Inloggegevens die elders herbruikbaar zijn |
Twee tendensen verdienen bijzondere aandacht.
De eerste is de oplichting met financiële steun. Berichten kondigen een restant schoolstartbudget aan, een « kantinebonus » of een provinciale toelage die u nog kunt ophalen. Het principe is hetzelfde als bij valse terugbetalingen van de CAF of de ziektekostenverzekering: men belooft u geld om een bankrekeningnummer en een identiteitsbewijs te bemachtigen, die vervolgens dienen om een lening te openen of echte uitkeringen om te leiden. Voor alle duidelijkheid: de schoolstarttoelage wordt automatisch uitbetaald door de CAF of de MSA aan gezinnen die er recht op hebben, zonder sms-procedure en zonder link om aan te klikken.
De tweede is het noodbericht dat zogenaamd van de school komt: « incident op school, raadpleeg de mededeling aan de ouders », met een link. Dat voorwendsel vraagt geen geld. Het mikt op het installeren van een app of het verzamelen van inloggegevens, door in te spelen op een emotie die elk redeneren kortsluit. Geen enkele school communiceert een veiligheidsalarm via een externe link vanaf een onbekend mobiel nummer.
Wat deze berichten geloofwaardig maakt
De naam van de afzender bewijst niets
Veel van deze sms'jes verschijnen met een tekstuele afzendernaam — « SCHOOL », « KANTINE », « GEMEENTE » — in plaats van een nummer. Die vervalsing van de afzenderkop, of spoofing, is technisch triviaal via bepaalde internationale sms-gateways. Erger nog: wanneer de weergegeven naam overeenkomt met een afzender die al in uw geschiedenis staat, kan het valse bericht in dezelfde conversatie terechtkomen als de echte sms'jes van de school, vlak onder het legitieme bericht van de week ervoor.
Dat is het punt waar ouders het meest van schrikken. Het gespreksdraadje is geen bewijs van echtheid: uw telefoon groepeert berichten op weergegeven naam, niet op geverifieerde identiteit.
Persoonlijke informatie bewijst evenmin iets
Sommige berichten noemen de voornaam van het kind, de gemeente, soms de naam van de school. Dat lijkt onmogelijk zonder toegang tot de bestanden van de school — en toch circuleren die gegevens: datalekken bij aanbieders van buitenschoolse opvang, mailinglijsten van verenigingen, inschrijvingen voor activiteiten, sociale media waar ouders bij elke schoolstart foto's en schoolnamen publiceren. Een bekende voornaam is geen handtekening.
De regel die altijd geldt: een correct gegeven in een bericht valideert het bericht niet. Het valideert alleen dat de afzender op de een of andere manier toegang tot die informatie heeft gehad.
Het bedrag is bewust belachelijk laag
12,40 €. 6,90 €. 23 €. De gevraagde bedragen zijn zo gekalibreerd dat ze geen argwaan wekken: te klein om de gemeente voor te bellen, plausibel genoeg om overeen te komen met een paar maaltijden. Die incasso is bijna nooit het doel. Het doel is dat u uw kaartnummer, vervaldatum en veiligheidscode invoert op een gekopieerde pagina — gegevens die daarna worden gebruikt voor veel zwaardere transacties, met een omzeilde bevestiging via een nepmedewerker die u een paar dagen later belt.
De controle in dertig seconden
U hoeft geen expert te zijn. U heeft maar één gewoonte nodig: nooit de weg volgen die het bericht aanreikt.
- Klik niet op de link. Ook niet om « even te kijken ». Sommige pagina's proberen op Android automatisch iets te downloaden.
- Open zelf het gebruikelijke portaal. Via de app die u al heeft geïnstalleerd, via uw opgeslagen favoriet, of door het webadres van de gemeente in te typen. Als er echt een openstaand bedrag is, ziet u het daar.
- Bel het secretariaat van de school of de onderwijsdienst van de gemeente op het nummer dat op een papieren document van de schoolstart staat, nooit op het nummer uit de sms.
- Bekijk het domein van de link zonder hem te openen, via een lange druk die de URL toont. Officiële Franse adressen eindigen op
.gouv.fr, op de.frvan de gemeente, of dragen de naam van de bekende dienstverlener — niet op exotische extensies of eindeloos lange domeinnamen. - Vraag het aan een andere ouder. Eén berichtje aan de klassenouders volstaat vaak om binnen dertig seconden te weten of de hele klas dezelfde sms heeft ontvangen.
Dat laatste punt wordt onderschat. Smishingcampagnes rond school zijn massaal: als uw overbuurman hetzelfde bericht kreeg terwijl zijn kind op een andere school zit, is de twijfel meteen weg.
De verzwarende factor: de telefoon van het kind
September is ook de maand waarin veel kinderen hun eerste toestel krijgen. En frauduleuze berichten stoppen niet bij de ouders: tieners krijgen hun eigen versies — valse gamecodes, valse abonnementsaanbiedingen, valse prijzen uit wedstrijden — en zij klikken statistisch gezien sneller.
Drie voorzorgsmaatregelen zeggen meer dan een lang betoog:
- Stel filtering van onbekende afzenders in in de berichtenapp (zowel Android als iOS bieden een automatische sortering van berichten van niet-opgeslagen afzenders).
- Schakel de installatie van apps buiten de officiële winkel uit op Android-toestellen.
- Voorzie een fysieke drager voor wachtwoorden: een wachtwoordboekje dat thuis ligt, blijft voor veel gezinnen veiliger dan een bestand « codes.txt » in de notities van de telefoon.
En als het toestel bedoeld is voor zeer beperkt gebruik, verkleint een eenvoudige mobiele telefoon met grote toetsen, zonder browser of app-installatie, mechanisch het aanvalsoppervlak — het valse bericht kan wel binnenkomen, maar leidt nergens heen. Het is ook de oplossing die veel gezinnen kiezen voor een grootouder die dezelfde berichten ontvangt zonder de houvast om ze te kunnen filteren.
Het toestel beveiligen dat deze berichten ontvangt
Een smartphone die de enige toegangspoort vormt tot het administratieve leven van het gezin, verdient een paar elementaire materiële voorzorgen die vaak worden vergeten.
Houd het systeem up-to-date. De meeste phishingpagina's misbruiken goedgelovigheid, geen kwetsbaarheden — maar de pagina's die spyware proberen te installeren, mikken op oude, niet-gepatchte versies.
Bescherm het scherm en de behuizing. Een gebarsten telefoon wordt uiteindelijk halsoverkop vervangen, vaak door back-ups snel terug te zetten en apps lukraak opnieuw te installeren: precies daar sluipen de beveiligingsfouten binnen. Een screenprotector van gehard glas en een schokbestendig hoesje zijn allesbehalve glamoureus, maar ze voorkomen zo'n overhaaste overgang.
Let op de accuduur. Een toestel dat op het verkeerde moment uitvalt, ontneemt u de toegang tot uw bankapps en tweestapsverificatie, net wanneer u iets zou willen controleren. Een compacte powerbank in de tas lost dat op voor de duur van een schooldag.
Als u geklikt of betaald heeft
De slechtste reflex is zwijgen uit schaamte. Deze berichten zijn door professionals ontworpen om oplettende mensen te misleiden; erin trappen is geen gebrek aan intelligentie.
Binnen het uur:
- Neem contact op met uw bank om de gebruikte kaart te blokkeren en de transactie te melden.
- Wijzig het wachtwoord van het betreffende portaal, en van elke andere dienst waar u hetzelfde wachtwoord gebruikte.
- Neem geen enkele inkomende oproep aan van iemand die zich als uw bank voorstelt: de nepmedewerker belt bijna altijd nadat de gegevens zijn ingevoerd.
In de dagen erna:
- Meld het bericht bij 33700, het officiële Franse meldpunt voor frauduleuze sms'jes (stuur de sms door naar 33700 en geef daarna het nummer van de afzender door wanneer daarom wordt gevraagd).
- Doe aangifte, online of op het politiebureau. Het bewijs van aangifte wordt vaak door de bank gevraagd.
- Raadpleeg Cybermalveillance.gouv.fr, dat een begeleide diagnose aanbiedt en u naar de juiste stappen leidt, en de gratis dienst Info Escroqueries (0 805 805 817).
- Waarschuw de school: die kan de andere gezinnen alarmeren, wat een campagne veel doeltreffender stopt dan een geïsoleerde melding.
Artikel L. 133-18 van de Franse monetaire en financiële code voorziet in terugbetaling van niet-geautoriseerde transacties, behalve bij grove nalatigheid van de klant. Het vrijwillig doorgeven van codes op een frauduleuze site wordt door banken vaak als nalatigheid bestempeld, maar de rechtspraak is geëvolueerd in het voordeel van slachtoffers van overtuigende spoofing. Houd vol, en aarzel niet om bij weigering de bankombudsman in te schakelen.
De reflex die u zich voorgoed moet aanleren
De schoolstart gaat voorbij en de voorwendsels zullen veranderen: Halloween, kerstcadeaus, inschrijvingen in januari, schoolreizen in het voorjaar. Wat niet verandert, is de structuur van de val.
Een echte instantie + een korte deadline + een klein bedrag + een link. Zodra die vier elementen samen in één bericht voorkomen, beschouw het dan als vals tot het tegendeel bewezen is — en zoek dat bewijs ergens anders dan in het bericht zelf.
Leg het uit aan uw kinderen, aan uw ouders, aan de andere gezinnen uit de klas. Een toegankelijk boek over cyberveiligheid in het gezin kan helpen om de basis te leggen met tieners, maar de kern past in één zin die iedereen kan onthouden: je controleert een bericht nooit met datzelfde bericht.
En als u andere ouders snel moet waarschuwen dat er een campagne rondgaat, volstaat een eenvoudig tekstbericht via een onlinedienst, zonder iets te installeren. De beste collectieve verdediging tegen een smishingcampagne blijft de snelheid waarmee de informatie tussen buren de ronde doet.
