"BANK: poging tot overschrijving van € 1.249,00 naar een onbekende begunstigde. Als u deze transactie niet zelf hebt uitgevoerd, onderneem dan niets, een adviseur belt u terug."
Deze sms heeft een geduchte eigenschap: hij vraagt u niets. Geen link om aan te klikken, geen formulier om in te vullen, geen code om in te voeren. Hij installeert alleen een angst — die van uw geld te zien verdwijnen — en kondigt een oplossing aan die vanzelf komt. Twee minuten later gaat de telefoon. Op het scherm verschijnt het nummer van uw bankkantoor, hetzelfde dat op de achterkant van uw bankpas staat. En op dat moment laat het slachtoffer alle verdediging vallen.
Dit is wat men de oplichting met de valse bankadviseur noemt, of "CEO-fraude in de particuliere versie". Het is vandaag een van de duurste vormen van oplichting voor huishoudens: de gestolen bedragen lopen zelden in tientallen euro's, maar in duizenden, soms tienduizenden. De Banque de France en het Observatoire de la sécurité des moyens de paiement waarschuwen regelmatig voor deze "fraude door manipulatie", waarbij het slachtoffer zelf de frauduleuze transacties uitvoert.
Waarom deze sms niet op oplichting lijkt
Klassieke smishingcampagnes — het nepbericht over een pakket, een valse boete, een valse zorgpas — draaien allemaal om een besmette link. We hebben geleerd wantrouwig te zijn tegenover links. De oplichters hebben zich aangepast.
De sms van de valse-adviseurfraude is ontworpen om door alle mentale filters te glippen die we hebben opgebouwd:
- Hij bevat geen enkele link: onmogelijk om "per ongeluk te klikken".
- Hij vraagt geen enkel gegeven: niets in te vullen, dus schijnbaar niets te stelen.
- Hij zegt u uitdrukkelijk niets te doen: wat paradoxaal genoeg vertrouwen wekt. Een oplichter zou u toch juist tot actie willen aanzetten, denkt men.
- Hij verschijnt vaak in het bestaande berichtgesprek van uw bank, direct na de echte berichten met verificatiecodes.
Dat laatste punt verdient uitleg. Zakelijke sms'jes gebruiken een "alfanumerieke afzender": in plaats van een nummer leest u "MijnBank", "Ameli" of "Colissimo". Dat veld is niet end-to-end geauthenticeerd: een fraudeur kan het naar believen invullen via bepaalde internationale sms-gateways. Het gevolg: de telefoon, die berichten sorteert op afzendernaam, plaatst het valse bericht bij de echte. Het frauduleuze bericht erft zo alle geloofwaardigheid die maandenlange legitieme berichten hebben opgebouwd.
De sms is niet de oplichting. De sms is de enscenering die het telefoontje geloofwaardig maakt.
Het gesprek: dertig minuten strak geregisseerd toneel
Het telefoontje dat volgt is de kern van de opzet. Het maakt gebruik van telefonische spoofing: de weergave van het oproepende nummer wordt vervalst zodat het dat van uw bank overneemt. Sinds de toepassing van de wet-Naegelen en het systeem voor nummerauthenticatie dat door de Arcep is ingevoerd, filteren Franse operatoren een deel van deze vervalste oproepen — maar er blijven blinde vlekken, met name bij gesprekken die via buitenlandse operatoren binnenkomen.
Aan de lijn klinkt een kalme, professionele stem, bijna verveeld door de routine. Ze vraagt u nooit om uw wachtwoord. En juist dat maakt haar geloofwaardig.
Stap 1: gezag vestigen
De valse adviseur stelt zich voor met een naam, een personeelsnummer, soms een afdeling ("fraudebestrijding, platform Nantes"). Hij noemt informatie die alleen hij zou kunnen kennen: de laatste vier cijfers van uw kaart, uw geboortedatum, de naam van uw kantoor, soms uw laatste transacties. Die gegevens komen uit gelekte klantenbestanden of uit eerdere phishing.
Stap 2: de bewijslast omdraaien
"Voor uw veiligheid moet ik controleren of ik wel met de rekeninghouder spreek." Ú moet uw identiteit bewijzen, terwijl híj heeft gebeld. Die omkering is een klassieker uit de social engineering: ze plaatst het slachtoffer in de positie van vragende partij.
Stap 3: gecontroleerde urgentie creëren
"Er zijn drie betalingspogingen in verwerking. Ik heb nog 12 minuten voordat de interbancaire verrekening ze definitief bevestigt." De aftelklok verhindert elke controle, elk telefoontje naar een naaste, elke afstand nemen.
Stap 4: de beslissende vraag
Die neemt een van deze vormen aan:
| Wat de valse adviseur vraagt | Wat er werkelijk gebeurt |
|---|---|
| "Bevestig de melding in uw app om de transactie te annuleren" | U keurt een overschrijving of het toevoegen van een begunstigde goed |
| "Lees me de 6-cijferige code voor die ik u zojuist heb gestuurd" | Hij bevestigt een onlinebetaling met uw kaart |
| "We zetten uw geld over op een beveiligde tussenrekening" | U schrijft uw spaargeld over naar een katvangersrekening |
| "Installeer deze hulpapp zodat ik een diagnose kan stellen" | Hij neemt uw telefoon op afstand over |
| "Er komt een koerier langs om uw door te knippen kaart op te halen" | Hij haalt de kaart op, die nog bruikbaar is |
De "tussenrekening", de "escrowrekening" of de "kluis van de centrale bank" bestaan niet. Geen enkele bank, geen enkele instelling, geen enkele autoriteit beschikt over een wachtrekening waarop een particulier zijn spaargeld zou moeten storten. Dat is de centrale fictie van de oplichting.
De signalen die de valse adviseur verraden
Sommige elementen liegen nooit, ook niet wanneer al het overige authentiek lijkt.
1. Een echte adviseur vraagt u nooit om tijdens het gesprek iets te bevestigen. Geen code die u per sms ontving, geen melding in de app, geen vingerafdruk. Sterke authenticatie dient om een transactie te autoriseren, nooit om ze te annuleren. Als men u vraagt te bevestigen om te annuleren, wordt u op dat moment opgelicht. Dat is het enige criterium om te onthouden als u er maar één onthoudt.
2. Een echte adviseur vindt het prima dat u terugbelt. De valse nooit. Hij zal de wachtrij aanhalen, de overbelaste lijn, het verlies van het dossier, de aansprakelijkheid die dan bij u zou liggen. Het juiste antwoord is steeds hetzelfde: "Ik hang op en bel het nummer op de achterkant van mijn kaart terug."
3. Een echte adviseur laat u geen software installeren. Apps voor bediening op afstand zijn legitieme tools die worden misbruikt. Een bank zal u nooit vragen er een te installeren.
4. Een echte adviseur vraagt u niet te liegen. "Als uw bank belt, zeg dan dat het een meubelaankoop is": deze zin, die veel voorkomt in scenario's van overschrijvingsfraude, is een volledige bekentenis.
5. De tijdsdruk is altijd kunstmatig. Een verdachte overschrijving kan volgens het Franse monetaire en financiële wetboek dertien maanden lang worden betwist. Geen enkele transactie hangt af van twaalf minuten.
De handeling die alles doorbreekt: ophangen en zelf terugbellen
Er bestaat een tegenmaatregel van absolute eenvoud, en die volstaat om het hele scenario te laten mislukken: ophangen en vervolgens zelf het officiële nummer bellen.
Ophangen is niet onbeleefd. Het is evenmin "een risico nemen": als het gesprek legitiem was, belt de bank u terug of vindt ze een spoor van het incident. Wel is voorzichtigheid geboden bij oude vaste lijnen: sommige oplichters bleven aan de lijn om de kiestoon na te bootsen. Op een mobiele telefoon bestaat dat risico niet zodra het gesprek daadwerkelijk is beëindigd; bij twijfel gebruikt u een ander toestel, of wacht u dertig seconden voordat u het nummer intoetst.
Voor wie nog veel de vaste lijn gebruikt, met name ouderen, elimineert een vaste telefoon met oproepfiltering en blokkering van onbekende nummers een groot deel van deze benaderingen nog vóór de telefoon overgaat. Het principe is hetzelfde als bij sms: minder ongevraagde contacten, minder gelegenheden om in de val te lopen.
Drie nummers om te kennen, en op te slaan voordat u ze nodig hebt:
- Het nummer van uw bankkantoor, overgenomen van de achterkant van uw bankpas of van een papieren afschrift — nooit uit een sms of een zoekmachineresultaat, waar soms valse nummers opduiken.
- Het 0 892 705 705: interbancaire dienst voor het blokkeren van kaarten, 24 uur per dag bereikbaar.
- Het 17 119: nationaal nummer voor slachtoffers van cyberaanvallen en online oplichting, gratis, elke dag bereikbaar.
Wat te doen in het uur na een frauduleuze transactie
De reactietijd bepaalt rechtstreeks de kans om het geld terug te krijgen. Een SEPA-overschrijving is niet onmiddellijk onomkeerbaar: een verzoek tot terughaling van het geld (recall) kan soms door de verzendende bank worden gestart als het geld nog niet van de rekening van de begunstigde is opgenomen.
- Onmiddellijk de kaart laten blokkeren en, indien nodig, vragen om blokkering van uitgaande overschrijvingen.
- De inloggegevens van uw online bankieren wijzigen vanaf een ander toestel dan het mogelijk gecompromitteerde apparaat.
- Elke app die tijdens het gesprek is geïnstalleerd verwijderen, en vervolgens in de instellingen van de telefoon de apps met uitgebreide rechten controleren.
- Een schriftelijke, gedateerde verklaring opstellen voor de bank: tijdstip van het gesprek, weergegeven nummer, naam die de beller opgaf, bedragen, IBAN van de begunstigde indien zichtbaar. Verzending per aangetekende brief met ontvangstbevestiging. Een eenvoudig A5-notitieblok naast de telefoon maakt het mogelijk deze gegevens meteen te noteren, wanneer het geheugen nog vers is — dat maakt vaak het verschil in het dossier.
- Aangifte doen bij de politie. Aangifte doen is geen wettelijke voorwaarde voor terugbetaling, maar het versterkt het dossier.
- De sms melden bij 33700 door hem door te sturen, en het frauduleuze telefoontje eveneens melden via het platform Signal Conso of 33700.
Wat de wet zegt over terugbetaling
Dit is het punt dat de meeste slachtoffers niet kennen, en dat sommige banken zich wel wachten uit te leggen.
Het Franse monetaire en financiële wetboek (artikelen L133-18 en volgende) stelt een duidelijk principe: bij een niet-geautoriseerde betalingstransactie moet de bank onmiddellijk terugbetalen, uiterlijk op de eerste werkdag na de melding. Ze mag dit alleen weigeren als ze grove nalatigheid van de klant aantoont — en het is aan haar om dat bewijs te leveren, niet aan de klant om zijn onschuld te bewijzen.
De Cour de cassation heeft bovendien meerdere uitspraken gedaan die gunstig zijn voor slachtoffers van spoofing. In een opmerkelijk arrest uit 2024 oordeelde de handelskamer dat het doorgeven van beveiligingsgegevens aan een gesprekspartner die zich als adviseur voordeed, in een context waarin het weergegeven nummer dat van de bank was, niet automatisch grove nalatigheid vormt. Met andere woorden: wanneer de identiteitsvervalsing technisch geloofwaardig is, rust de schuld niet mechanisch op het slachtoffer.
In de praktijk:
- Weigert de bank, richt u dan eerst schriftelijk tot haar klachtendienst.
- Vervolgens tot de bankombudsman van de instelling (gratis, in principe antwoord binnen 90 dagen).
- In laatste instantie tot de bevoegde rechter voor consumentengeschillen. Verenigingen zoals UFC-Que Choisir en CLCV begeleiden regelmatig dit soort dossiers.
Let op een belangrijke nuance: de bescherming is duidelijk sterker voor niet-geautoriseerde transacties (een betaling buiten uw medeweten) dan voor overschrijvingen die het slachtoffer zelf onder manipulatie heeft opgedragen. Het onderscheid is technisch, maar er valt over te pleiten — te meer daar de Europese richtlijn betaaldiensten, die momenteel wordt herzien, voorziet in uitbreiding van de vergoeding naar gevallen van fraude met identiteitsmisbruik van een instelling.
Het terrein voorbereiden voordat u doelwit wordt
Deze oplichting slaat willekeurig toe, maar ze slaagt beter wanneer iemand alleen is, gehaast, of weinig vertrouwd met bankmechanismen. Een paar maatregelen die u in alle rust neemt, veranderen de afloop radicaal.
Een limiet op overschrijvingen instellen. De meeste banken laten toe een daglimiet voor overschrijvingen in te stellen in de app. Die limiet verlagen naar een realistisch bedrag (500 of 1.000 €) verandert een ramp in een incident. Het verhogen ervan vergt een wachttijd — en die wachttijd is precies de vijand van de oplichter.
Spaargeld isoleren. Een spaarrekening die niet gekoppeld is aan instant overschrijvingen, of waarvan mutaties een bezoek aan het kantoor vereisen, beschermt het leeuwendeel van het vermogen.
Een familiaal wachtwoord afspreken. Een zin die alleen u en uw naasten kennen, en die u vraagt wanneer een familielid u belt voor een financieel noodgeval. Dat werkt ook tegen de oplichting met het "kind in nood".
De regel op papier zetten. Een notitieboekje met alfabetisch register naast de telefoon, met daarin de echte nummers en de zin "Ik hang altijd op en bel zelf terug", helpt aanzienlijk mensen die onder druk van slag raken. Het is basaal, en het werkt.
Uzelf bijscholen zonder u bang te maken. Er bestaan uitstekende toegankelijke boeken over cyberveiligheid voor particulieren, geschreven zonder jargon, die de manipulatiemechanismen uitleggen in plaats van de techniek. Cybermalveillance.gouv.fr publiceert daarnaast gratis, afdrukbare handleidingen om thuis of bij een oudere ouder op te hangen.
Het toestel zelf beschermen. Een beschadigde of uitgevallen telefoon op het verkeerde moment betekent dat u niet snel kunt laten blokkeren. Een versterkt beschermhoesje en een externe noodbatterij zijn in deze context geen comfortaccessoires: het zijn garanties om te kunnen handelen.
Samengevat
De oplichting met de valse bankadviseur berust noch op hacking, noch op een technisch lek. Ze berust op een aaneenschakeling: een sms die onrust zaait, een telefoontje dat opluchting brengt, een gezag dat geruststelt, een urgentie die het nadenken belet.
Eén enkele zin ontmantelt het hele mechanisme, en die verdient het hardop herhaald te worden tot ze een reflex wordt:
"Ik hang op en bel zelf het nummer op de achterkant van mijn kaart."
Geen enkele legitieme adviseur zal daar aanstoot aan nemen. Geen enkele oplichter zal het overleven.
