Smishing: phishing-SMS herkennen en wat te doen bij ontvangst
Door Marthijn de VriesBijgewerkt op Gepubliceerd op 5 min lezen
Sms van PostNL die zegt dat je pakje wacht op betaling. Belastingdienst-SMS met dreiging boete. Bank-SMS met nep-link. Smishing wordt slimmer. Wij tonen de signalen, en wat je moet doen na ontvangst.
Wat is smishing en waarom werkt het?
Smishing = SMS + phishing. Criminelen sturen SMS-berichten die uit te zien als afkomstig van betrouwbare partij (bank, PostNL, Belastingdienst, telecom). Doel: persoonlijke gegevens, pincodes, of bankinlog ontfutselen.
Het werkt omdat:
- SMS voelt vertrouwd en persoonlijk, anders dan een algemene phishing-mail.
- Korte URL's (bit.ly, t.co) verbergen de echte bestemming.
- Tijdsdruk ('actie binnen 24 uur of pakje terug naar afzender').
- Spoofing van afzendernaam: SMS lijkt van 'PostNL' of 'ING' te komen, in werkelijkheid een bot-net.
Rode vlaggen die je SMS verdacht maken
- Onverwachte URL's: echte providers gebruiken eigen domeinen (postnl.nl, ing.nl). Verdachte: kort domein (post-nl-update.com), of url-verkorter.
- Tijdsdruk: 'reageer binnen 4 uur' is per definitie verdacht.
- Verzoek om persoonlijke gegevens: echte banken vragen NOOIT je pincode of volledige rekeningnummer per SMS.
- Onpersoonlijke aanhef: 'Beste klant' in plaats van je naam.
- Slecht Nederlands: spelling, vreemde zinsbouw, foute betaalmunten ('€' verkeerd geplaatst).
- Boetes of kortingen die te aardig klinken: 'u krijgt 250 euro toeslag terug, klik hier'.
Test de bron, klik niet
Open de echte app of website van de organisatie via je gewone bookmark of via Google. Log daar in en check of het verzoek echt klopt. Klik NIET op de link in de SMS.
Wat te doen na ontvangst
- NIET klikken op de link.
- Verstuur de SMS gratis door naar 7726 (= 'SPAM' op het toetsenbord). Alle Nederlandse providers werken hieraan mee. Ze gebruiken het om frauduleuze nummers te blokkeren.
- Meld bij de organisatie zelf: fraudehelpdesk.nl, of stuur het screenshot naar phishing@bank.nl van de bewuste bank.
- Verwijder de SMS daarna.
- Geklikt? Direct actie: mobiele bank-app uit, contact bank via vertrouwd nummer. Wijzig wachtwoorden van mogelijke compromised accounts. Meld bij Politie via politie.nl/melden.
Als je geld verloren bent
Direct bellen naar de bank-fraudelijn (24/7 bereikbaar bij alle grote banken). Hoe sneller je meldt, hoe groter de kans op terugboeken. Daarna aangifte bij politie.
Veelgestelde vragen
Ja. Sinds 2022 werken alle Nederlandse mobiele providers (KPN, Vodafone, Odido) hieraan mee. Doorgestuurde SMS'en worden geanalyseerd; bij voldoende meldingen blokkeren providers het verzendende nummer.
De Belastingdienst stuurt zelden SMS, en NOOIT met betalingslinks. Bij twijfel: bel de Belastingtelefoon op 0800-0543 of log in op MijnBelastingdienst.nl via een bookmark.
Sinds iOS 16 en Android 13 hebben telefoons ingebouwde SMS-spamfilters. Ze zijn niet feilloos maar redelijk. Bij melding 'verdacht': verwijder zonder te openen, eventueel ook doorsturen naar 7726.
Klikken alleen geeft criminelen al een 'actief nummer' bevestiging. Verwacht meer SMS, mails en lokvogel-belletjes erna. Bij echt invullen van gegevens (pincode, paspoortnummer) is identiteitsfraude een reëel risico.
PostNL stuurt alleen track-en-trace SMS bij verzendingen die je verwacht, en ze vragen NOOIT om betaling per SMS. Voor verzendkosten / inklaring: log in via postnl.nl of de officiele app, niet via SMS-link.