"VEILIGHEIDSWAARSCHUWING: er zijn 3 bedreigingen op uw toestel gedetecteerd. Uw bankgegevens liggen op straat. Neem onmiddellijk contact op met de erkende helpdesk via 01 84 XX XX XX."
U leest dit bericht op het scherm van precies het toestel dat zogenaamd geïnfecteerd zou zijn. Daarin schuilt de kracht van het scenario: het bewijs en het symptoom vallen samen. En anders dan bij 90 % van de frauduleuze sms'jes die we hier ontleden, bevat deze geen enkele link. Geen vreemd domein, geen [.]info om op te merken, niets om over te hoveren. Alleen een gewoon Frans telefoonnummer dat op één ding wacht: dat u belt.
Deze variant heeft een naam in het jargon van de cyberbeveiliging: callback phishing, oftewel hengelen naar een terugbelverzoek. Ze keert de gebruikelijke logica om. Het is niet langer de oplichter die u naar een website duwt, u kiest zelf vrijwillig zijn nummer. En vanaf dat moment staat u niet tegenover een formulier, maar tegenover een getraind mens.
Waarom oplichters de besmette link laten vallen
De klikbare link is lange tijd hét wapen van smishing geweest. Dat is steeds minder het geval, om drie heel concrete redenen.
De filters zijn beter geworden. Telecomoperators en de antispamsystemen die in iOS en Android zijn ingebouwd, analyseren tegenwoordig de URL's in berichten. Een domein dat gisteren is aangemaakt, gehost in een exotisch land en een bekend merk nabootst, heeft een levensverwachting die in uren wordt gemeten. Een sms zonder link zet daarentegen nauwelijks een automatisch alarm in werking: hij bevat alleen tekst en een nationaal telefoonnummer.
Het publiek is opgevoed — maar op één enkele reflex. De preventiecampagnes van Cybermalveillance.gouv.fr hebben massaal één simpele boodschap verspreid: "klik niet op de link". Uitstekend advies, maar het creëert een blinde vlek. Veel mensen hebben "link = gevaar" verinnerlijkt zonder "onbekend nummer = gevaar" mee te nemen. Bellen lijkt zelfs het voorzichtige gedrag: men "verifieert liever bij een echt mens" dan te klikken.
Een mens converteert beter dan een formulier. Een phishingpagina onderschept een gebruikersnaam en een wachtwoord. Een oplichter aan de telefoon krijgt veel meer: de naam van uw bank, uw beschikbaarheid, uw technische kennisniveau, uw emotionele toestand — en vooral uw actieve medewerking gedurende dertig tot veertig minuten. De Banque de France wijst in haar werk over fraude met betaalmiddelen trouwens op de duidelijke toename van de zogenoemde "manipulatiefraude", waarbij het slachtoffer de frauduleuze handelingen zelf uitvoert. Deze sms is daar een typische toegangspoort toe.
Het typische verloop van een gesprek met de "helpdesk"
De scenario's variëren, maar het mechanisme is opvallend stabiel. Dit is de volgorde die de meeste slachtoffers beschrijven.
1. Vertrouwen wekken met techniek
Aan de lijn een kalme stem, met op de achtergrond het lichte geroezemoes van een callcenter — vaak kunstmatig nagebootst om de indruk van een echt servicecentrum geloofwaardig te maken. U krijgt een "dossiernummer", men vraagt uw naam en uw telefoonmodel. Eventueel leest men u een referentie voor die in de sms stond. In dit stadium wordt niets gevoeligs gevraagd: dat is bewust. Het doel is u in een normale klantrelatie te plaatsen.
2. De demonstratie van de infectie
De nep-technicus laat u een onschuldig scherm van uw toestel openen: de lijst met recente apps, het inloglogboek van een account, de netwerkinstellingen. Vervolgens interpreteert hij. "Ziet u die regel? Dat is een verbinding vanuit het buitenland." Bijna altijd gaat het om volkomen normale elementen die voor een leek onleesbaar zijn. De aanpak is identiek aan wat al vijftien jaar wordt gebruikt bij de nep-Windowshelpdeskzwendel, alleen overgezet naar de mobiele telefoon.
3. De installatie van de toegang op afstand
Dit is het kantelpunt. U wordt gevraagd een "diagnose"-app te installeren, onder een geruststellende naam, beschikbaar in de officiële appstores omdat het echte software voor onderhoud op afstand is die wordt misbruikt. Zodra de toegankelijkheidsrechten zijn verleend, ziet de gesprekspartner uw scherm en kan hij erop handelen.
4. Het "veiligstellen" van het geld
Het scenario eindigt vrijwel altijd met dezelfde zin: uw spaargeld zou bedreigd zijn en moet worden overgemaakt naar een "beveiligde rekening" — soms voorgesteld als een rekening van de Banque de France of een escrowrekening. In andere varianten laat men u een transactie goedkeuren in uw bankapp terwijl de oplichter die op afstand bestuurt, of vraagt men u de per sms ontvangen codes voor te lezen om een afschrijving te "annuleren".
Geen enkele klantenservice, geen enkele bank, geen enkele operator en geen enkele overheidsinstantie zal u ooit vragen om software voor toegang op afstand op uw persoonlijke telefoon te installeren, of om geld over te maken naar een "veiligheidsrekening". Die twee verzoeken zijn op zichzelf al de handtekening van de oplichting.
Wie deze berichten krijgt, en waarom ze werken
Dit scenario richt zich vooral op twee profielen, om tegengestelde redenen.
Mensen die weinig vertrouwd zijn met techniek, die het idee hebben opgepikt dat een telefoon een "virus kan oplopen" zonder te weten wat dat concreet inhoudt. Voor hen past het bestaan van een hulplijn naadloos bij alles wat ze kennen: de internetmodem, de wasmachine, de verzekering. Een helpdesk bellen hoort bij het repertoire van normale handelingen. Precies daarom telt het begeleiden van een oudere naaste zwaarder dan welke software ook: een praktische gids over digitale veiligheid binnen handbereik, met de officiële nummers erop geschreven, maakt vaak meer indruk dan een lang betoog.
Mensen die juist behoorlijk digitaal onderlegd zijn, die veel accounts beheren, voortdurend legitieme veiligheidsmeldingen ontvangen en voor wie één melding extra geen enkel wantrouwen wekt. Bij hen speelt geen onwetendheid, maar waarschuwingsmoeheid.
Zes signalen die de nep-helpdesk verraden
| Waargenomen signaal | Wat een echte dienst doet | Wat de oplichter doet |
|---|---|---|
| Het contactkanaal | U neemt contact op via de officiële app of het nummer op de achterkant van uw pas | Hij dringt u een nummer op dat in het bericht staat |
| Het taalgebruik | Precies, genuanceerd, "we gaan het controleren" | Alarmerend, met cijfers, "3 bedreigingen gedetecteerd" |
| Het tempo | U mag later terugbellen | Elke minuut telt, er wordt niet opgehangen |
| De software | Niets te installeren | Een onmisbare "diagnose"-app |
| De per sms ontvangen codes | Worden nooit mondeling gevraagd | Voorgelezen "om de annulering te bevestigen" |
| De bestemming van het geld | Geen, uw geld blijft staan | Een "beveiligde" rekening, een inzamelpot, cryptomunten |
Eén extra detail verdient aandacht: de aard van de waarschuwing zelf. Een werkelijk gecompromitteerde telefoon zou u niet per sms waarschuwen met een telefoonnummer dat u moet bellen. Echte veiligheidsmeldingen van Android of iOS verschijnen in de systeeminstellingen of in de betrokken app, nooit als tekstbericht van een onbekende afzender.
Wat u onmiddellijk moet doen als u al hebt gebeld
De volgorde telt. Dit zijn de stappen, van het meest naar het minst dringend.
- Verbreek de verbinding. Vliegtuigmodus, of het toestel uitzetten. Als er software voor toegang op afstand actief is, beëindigt dit de lopende sessie.
- Verwijder de app die tijdens het gesprek is geïnstalleerd, evenals elke app die u niet herkent, en trek de toegankelijkheidsrechten in de instellingen in.
- Bel uw bank vanaf een ander toestel, via het nummer op de achterkant van uw bankpas — nooit het nummer dat men u heeft gegeven. Vraag om blokkering van de transacties en om een betalingsstop.
- Wijzig de wachtwoorden van gevoelige accounts vanaf een schoon toestel: eerst uw belangrijkste e-mailadres, dan de bank, dan webshopaccounts. Een wachtwoordmanager voorkomt dat u overal dezelfde combinatie hergebruikt, wat precies is waarop de oplichter hoopt.
- Doe aangifte bij de politie, met de screenshots, het gebelde nummer, de tijdstippen en de bedragen. Het officiële platform Cybermalveillance.gouv.fr verwijst ook door naar dienstverleners in uw buurt.
- Meld de sms bij 33700, de nationale meldlijn voor sms- en spraakspam, door het bericht door te sturen. Meld ook het gebelde nummer: zo wordt het sneller uit de roulatie gehaald.
Als er een overschrijving is uitgevoerd, verplicht artikel L. 133-18 van de Franse monetaire en financiële wetgeving de bank om een niet-toegestane transactie terug te betalen. De moeilijkheid bij manipulatiefraude is dat de transactie door de klant zelf is goedgekeurd: banken beroepen zich dan op grove nalatigheid. Geef daarom niet op. De Fédération bancaire française en de Médiateur national de l'Assurance et des banques behandelen dit soort geschillen regelmatig, en in meerdere uitspraken werd de instelling aansprakelijk gehouden wanneer de manipulatie bijzonder geraffineerd was.
Het aanvalsoppervlak verkleinen vóór het volgende bericht
Geen enkele bescherming maakt u immuun, maar een paar instellingen verlagen het risico aanzienlijk.
Vergrendel de bancaire voordeur. De sterke authenticatie van uw bankapp moet berusten op biometrische validatie of op een code die u in de app invoert, nooit op een code die mondeling wordt doorgegeven. Controleer ook uw overschrijvingslimiet: een lage limiet, die u tijdelijk verhoogt wanneer u die nodig hebt, beperkt de schade automatisch.
Isoleer kritieke accounts. Een fysieke beveiligingssleutel met FIDO2-ondersteuning, via USB aangesloten of via NFC aangeboden, maakt diefstal van uw inloggegevens nutteloos voor uw hoofdmailbox. Dat is de meest rendabele investering voor wie meerdere gevoelige accounts beheert, want de mailbox is de sleutel tot al de rest.
Laat de telefoon niet het enige toegangspunt zijn. Als uw mobiel uw enige manier is om u overal te authenticeren, staat de compromittering ervan gelijk aan alles verliezen. Een tweede factor elders bewaren — een tablet, een computer, of een boekje met back-upcodes dat uit het zicht ligt — scheidt de risico's.
Houd de updates bij. Een bijgewerkt systeem blokkeert bekende aanvalsvectoren. En een versleten batterij die u dwingt updates uit te stellen om stroom te sparen, is een indirect veiligheidsprobleem: een compacte powerbank volstaat vaak om die vicieuze cirkel te doorbreken.
Het bijzondere geval van oudere naasten
Bij deze groep richt de nep-helpdeskzwendel de meeste schade aan, omdat ze drie hefbomen combineert: de angst om "iets fout te doen" met technologie, het respect voor het veronderstelde gezag van een technicus, en het alleen zijn op het moment van het gesprek.
Een paar eenvoudige maatregelen, doeltreffender dan welk betoog ook:
- Schrijf de echte nummers op papier. Het nummer van de bank, de huisarts, de klantenservice van de operator, genoteerd op een kaartje naast de telefoon. De regel wordt: "we bellen alleen wat op het kaartje staat".
- Voer een pauzereflex in. "Voordat ik iets installeer of geld overmaak, bel ik jou." Eén simpele familieregel, één keer uitgesproken, ontmantelt de kunstmatige urgentie.
- Vereenvoudig de apparatuur waar dat zinvol is. Voor wie alleen belt, verkleint een telefoon met grote toetsen het aanvalsoppervlak drastisch: geen apps te installeren, geen toegang op afstand mogelijk.
- Schakel oproepfiltering in. De vier Franse operators bieden opties om ongewenste oproepen en berichten te blokkeren, vaak gratis en zelden geactiveerd.
Wat deze sms zegt over de evolutie van oplichting
De overstap van de link naar het telefoongesprek is geen technisch detail, het is een verandering van aard. Oplichters hebben begrepen dat de technologische verdediging sneller vordert dan de menselijke. Een kwaadaardige URL filteren is een opgelost probleem; voorkomen dat iemand een kalme stem aan de telefoon vertrouwt, is dat niet, en zal dat nooit helemaal zijn.
Vandaar de enige echt robuuste reflex, die werkt ongeacht het scenario, ongeacht het nagebootste merk, ongeacht de verfijning van het bericht: u belt nooit een nummer terug dat in een ongevraagd bericht staat. U hangt op, zoekt zelf het officiële nummer op en belt dat. Dat gebaar kost dertig seconden. Het maakt in zijn eentje de hele keten die in dit artikel is beschreven ongedaan.
En als de verleiding om toch te bellen "om het zeker te weten" groot blijft, denk dan aan de vraag die alles beslecht: waarom zou een dienst die werkelijk een bedreiging op uw toestel had ontdekt, u nodig hebben om die aan te pakken?
