"Uw mobiele abonnement wordt op 14/09 geblokkeerd wegens niet-betaling (€ 1,90 openstaand). Regel het hier: espace-client-regularisation[.]info"
Een belachelijk klein bedrag. Een deadline over twee dagen. En vooral: een dienst die u met absolute zekerheid hebt, want u leest dit bericht op precies het toestel waar het over gaat.
Daarin schuilt de statistische superioriteit van deze oplichting ten opzichte van alle andere. Een nep-sms over een pakketje werkt alleen als u een pakket verwacht. Een valse boete werkt alleen als u rijdt. Een nep-sms van een zorgverzekeraar veronderstelt dat u er een hebt. Maar een nep-sms van een telecomprovider raakt per definitie 100 % van de ontvangers: om het bericht te ontvangen moet u een mobiele lijn hebben, dus een provider, dus een factuur. De relevantiegraad is maximaal, zonder ook maar enige targeting.
Waarom dit scenario rekenkundig het meest rendabele is
Smishingcampagnes worden beoordeeld op hun rendement: het aantal slachtoffers afgezet tegen het aantal verzonden berichten. Oplichters, die nummerbestanden per kilo inkopen, denken exact zoals adverteerders.
Welnu, het "provider"-scenario combineert vier voordelen:
- Een universeel doelwit. Er is geen enkele filtering nodig. Orange, SFR, Bouygues Telecom en Free dekken vrijwel de hele Franse markt: door willekeurig een van de vier te kiezen, heeft de oplichter al één kans op vier of vijf om raak te schieten — en nog meer wanneer hij simpelweg "uw provider" schrijft zonder merknaam.
- Een geloofwaardig en pijnloos bedrag. € 1,90, € 2,40, € 4,99: bedragen die overeenkomen met wat iedereen weleens op een telecomfactuur heeft zien staan (buiten de bundel, een duur betaald nummer, een per ongeluk geactiveerde optie). Te klein om er de klantenservice voor te bellen, echt genoeg om er vanaf te willen zijn.
- Een onmiddellijke en concrete sanctie. Het blokkeren van je lijn is geen abstracte dreiging. Zonder telefoon ontvang je geen bankcodes meer, kun je niet meer bellen, ben je afgesneden. Die angst weegt veel zwaarder dan die van een zoekgeraakt pakket.
- Een bestaande gewoonte. Providers sturen daadwerkelijk sms'jes: verbruiksmeldingen, einde van je databundel, betalingsherinneringen, orderbevestigingen. Het valse bericht glijdt zo in een stroom die al vertrouwd aanvoelt.
De Arcep herinnert er in haar aanbevelingen over ongewenste en frauduleuze berichten aan dat de telecomsector tot de meest misbruikte identiteiten behoort in phishingcampagnes in Frankrijk, naast overheidsdiensten en banken. Cybermalveillance.gouv.fr rekent smishing tot de meest gemelde bedreigingen door particulieren, met een groeiend aandeel scenario's die alledaagse dienstverleners nabootsen.
De vijf varianten die je in de praktijk tegenkomt
1. De openstaande factuur
De meest voorkomende. Klein bedrag, korte termijn, link naar een valse betaalpagina met het logo en de huisstijl van de provider. Het directe doel is de bankpas — nummer, vervaldatum, cvc — gevolgd door de 3D Secure-validatie, die wordt afgevangen door een nep-adviseur die u meteen daarna belt.
2. Het trouwheidscadeau
"Beste klant, 18 jaar trouw: ontvang gratis uw refurbished smartphone, verzendkosten € 2." Het register kantelt volledig: geen angst meer, maar beloning. Het is dezelfde hefboom als bij terugbetalingszwendel. De verzendkosten dienen om de bankpasgegevens te bemachtigen, en vooral om u in kleine lettertjes een doorlopend abonnement van € 49 per maand te laten ondertekenen.
3. De valse technische storingsdienst
"Er is een afwijking gedetecteerd op uw simkaart. Bevestig uw identiteit om onderbreking van de dienst te voorkomen." Hier wordt geen geld gevraagd. Er wordt gevraagd om uw klantnummer, uw wachtwoord van de klantomgeving, soms uw simkaartnummer of uw identiteitsbewijs. Dit is het gevaarlijkste scenario, en het minst goed begrepen door het publiek.
4. De valse terugbetaling van te veel betaalde telecomkosten
"Als gevolg van een factureringsfout hebt u recht op een tegoed van € 38,60." Commerciële variant van de valse belastingteruggave: er wordt om een rekeningnummer gevraagd "voor de overboeking", vervolgens om bankinloggegevens "om de rekeninghouder te verifiëren".
5. De valse tariefwijziging
"Uw abonnement verandert per 1 oktober: +€ 3 per maand. Klik hier om te weigeren." Technisch gezien mogen providers hun contractvoorwaarden wijzigen mits ze dat een maand van tevoren melden, en mag de klant kosteloos opzeggen: die echte regel, afkomstig uit de Franse Code des postes et des communications électroniques, geeft het valse bericht een geduchte geloofwaardigheid.
De echte buit: je klantomgeving, niet je bankpas
Dit is het punt dat de meeste preventieartikelen missen. € 1,90 stelen heeft geen enkel nut. Een bankpasnummer stelen is bruikbaar, maar de kaart wordt binnen enkele dagen geblokkeerd.
Toegang tot je klantomgeving bij je provider is daarentegen veel meer waard. Vanuit die omgeving kan een oplichter:
- een vervangende simkaart bestellen en laten bezorgen op een adres dat hij beheert — dat is de toegangspoort tot SIM swapping, waarmee hij vervolgens jouw bankcodes kan ontvangen;
- je RIO-code ophalen, onmisbaar om je nummer naar een andere provider mee te nemen: met die code en je identiteitsgegevens kan hij je lijn overzetten en je die afhandig maken;
- je gedetailleerde facturen inzien, met daarin je adres, je soms deels gemaskeerde rekeningnummer en je bestelgeschiedenis;
- opties afsluiten, op jouw naam een telefoon in termijnen bestellen, het contact-e-mailadres wijzigen om je van alle waarschuwingen af te snijden.
Met andere woorden: het formulier dat "alleen maar" je inloggegevens vraagt, is oneindig veel giftiger dan dat wat om je bankpas vraagt. Het eerste kost je je digitale identiteit, het tweede een bedrag dat je bij de bank kunt terugvorderen.
Simpele regel: een provider zal u nooit per sms om uw wachtwoord, uw RIO-code, uw PUK-code of een foto van uw identiteitsbewijs vragen. Die gegevens gaan niet via berichten.
Zes signalen die de nep-sms verraden
| Signaal | Legitiem bericht | Frauduleus bericht |
|---|---|---|
| Afzender | Korte, niet-beantwoordbare naam (bv. "Orange") of kort nummer van 5 cijfers | Gewoon mobiel nummer beginnend met 06/07, of een buitenlands nummer |
| Link | Officieel domein van de provider, zonder exotisch subdomein | Gelijkend domein: orange-facture-client[.]info, sfr-regul[.]xyz |
| Personalisering | Vaak uw naam, de laatste 4 cijfers van de lijn | "Beste klant", geen enkel controleerbaar gegeven |
| Bedrag | Komt overeen met uw werkelijke factuur | Rond of piepklein bedrag, nooit te herleiden |
| Termijn | Meerdere weken, gespreide herinneringen | 24 tot 72 uur, dwingende toon |
| Gevraagd betaalmiddel | Reeds lopende automatische incasso | Bankpasgegevens die u "bij uitzondering" moet invoeren |
Het betrouwbaarste signaal blijft de link. Franse providers gebruiken hun hoofddomeinen; alles wat lijkt op merknaam-iets.tld verdient onmiddellijk wantrouwen. Op mobiel wordt de URL afgekapt door het scherm: houd de link lang ingedrukt om hem volledig te zien zonder hem te openen, of typ hem met de hand over op een groter scherm. Veel lezers ontdekken het bedrog simpelweg door het bericht te bekijken op een computer of een tablet met verstelbare standaard, waar het adres volledig uitgeschreven verschijnt.
Wat u moet doen, in deze volgorde, als u hebt geklikt
Verlies geen tijd met zelfverwijt: snelheid telt zwaarder dan achteraf helder zien.
- Als u uw bankpasgegevens hebt ingevoerd: bel onmiddellijk het blokkeringsnummer van uw bank (of het nummer op de achterkant van de kaart) en laat de kaart blokkeren. Bij een uitgevoerde afschrijving moet de bank ongeautoriseerde transacties terugbetalen conform de Franse Code monétaire et financier, behalve bij grove nalatigheid van uw kant — vandaar het belang van snel melden.
- Als u uw providergegevens hebt ingevoerd: wijzig het wachtwoord van uw klantomgeving via de officiële app, activeer tweefactorauthenticatie als die wordt aangeboden, en controleer of er geen simkaartbestelling of adreswijziging is geregistreerd.
- Als u dat wachtwoord elders hergebruikte (heel gebruikelijk), verander het overal. Dit is het moment om over te stappen op een wachtwoordmanager, of anders op een papieren wachtwoordboekje dat u uit het zicht opbergt — een onvolmaakte oplossing, maar veel beter dan hetzelfde wachtwoord op vijftien sites.
- Meld het bericht bij 33700, het officiële meldpunt voor ongewenste sms'jes en oproepen, gedragen door de providers en onder toezicht van de Arcep: stuur het sms'je door naar 33700 en verstuur daarna het nummer van de afzender wanneer daarom wordt gevraagd. Het is gratis en het voedt de blokkering van verzendende nummers.
- Meld het webadres bij het platform Phishing Initiative of via cybermalveillance.gouv.fr, dat u ook doorverwijst naar gratis begeleiding.
- Doe aangifte bij financiële schade, op het politiebureau, bij de gendarmerie of via de online aangiftedienst van het Franse ministerie van Binnenlandse Zaken. Bewaar screenshots, afschriften en tijdstempels.
Het aanvalsoppervlak duurzaam verkleinen
Je kunt een oplichter niet beletten te schrijven. Wel kun je beperken wat hij met jouw reactie kan doen.
Vergrendel de fysieke toegang. De simkaart zelf blijft beschermd door een pincode: laat die niet op de fabrieksinstelling staan. Als u vaak van toestel wisselt of reist, voorkomt een klein opbergdoosje voor simkaarten dat u de originele kaart met de PUK-code kwijtraakt — een document dat oplichters maar al te graag als foto zien rondgaan.
Scheid het bankkanaal van het dagelijkse kanaal. Veel oplichting slaagt omdat dezelfde telefoon reclame, onbekende sms'jes én bankcodes ontvangt. Sommige huishoudens houden bewust een eenvoudige mobiele telefoon met grote toetsen aan, met een tweede lijn die alleen voor gevoelige instanties wordt gebruikt: een gangbare praktijk bij mensen die al eens slachtoffer zijn geweest, en bij ouderen die door hun naasten worden begeleid.
Installeer updates en een filter. Zowel Android als iOS filteren tegenwoordig een deel van de onbekende afzenders en waarschuwen voor bepaalde gevaarlijke links. Die bescherming werkt alleen op een bijgewerkt systeem — wat soms betekent dat je een versleten batterij moet vervangen in plaats van updates uit te stellen uit angst voor de accuduur.
Bescherm ook de hardware. Een gebarsten scherm is geen cyberbeveiligingskwestie, maar maakt het lezen van een URL vrijwel onmogelijk; een screenprotector van gehard glas en een fatsoenlijk hoesje kosten minder dan één leesfout.
Leer bij, rustig. De gidsen van Cybermalveillance.gouv.fr zijn uitstekend en gratis, maar voor wie minder digitaal vaardig is, werkt een papieren gids over online oplichting naast de telefoon vaak beter dan een link die de familie stuurt: je bladert erin op het moment van twijfel, zonder scherm.
De reflex die de oplichting machteloos maakt
Dit hele arsenaal steunt op één enkele regel, makkelijk te onthouden en zonder enige technische kennis toe te passen:
Gebruik nooit het pad dat het bericht u aanreikt.
Als de factuur echt is, staat hij in uw klantomgeving, bereikbaar via de officiële app die u zelf opent. Als de blokkering echt is, verschijnt die daar ook. Als het trouwheidscadeau bestaat, overleeft het vijf minuten controle. Geen enkele Franse provider sluit een lijn binnen 48 uur af voor € 1,90 zonder meerdere schriftelijke herinneringen vooraf.
Sluit het sms'je. Open de app. Bekijk de factuur. In 100 % van de frauduleuze gevallen valt er niets te betalen — en hebt u in dertig seconden een oplichting afgewend waar deze maand duizenden mensen duur voor betalen.
Nog een laatste tip, die voor elk gezin geldt: praat erover. Deze berichten werken omdat we ze alleen afhandelen, in haast, tussen twee taken door. Een sms'je dat hardop wordt voorgelezen in het bijzijn van iemand anders, verliest ogenblikkelijk zijn overtuigingskracht. Het is waarschijnlijk de goedkoopste veiligheidsmaatregel die bestaat.
