Stel: je moeder in Aalst wordt om kwart voor twaalf ‘s avonds gebeld. Ze hoort jouw stem. Niet zomaar iets dat erop lijkt: jouw tempo, jouw tussenwerpsels, die typische zucht voor je iets moeilijks zegt. “Mama, ik heb een ongeval gehad op de E313. Mijn gsm is kapot, ik bel met de telefoon van iemand anders. Ik moet nu de takeldienst en een voorschot betalen, kun je iets overschrijven?” Ze kent die stem al veertig jaar. Waarom zou ze twijfelen?

Dit is de kleinkind-truc van vroeger, maar dan met een stemkloon. Een paar seconden audio uit een filmpje op sociale media volstaan om een stem na te bootsen die een moeder niet van echt kan onderscheiden. De klassieke vriend-in-noodfraude via WhatsApp (“Hoi mama, mijn gsm is stuk, dit is mijn nieuw nummer”) kennen we intussen allemaal; Safeonweb waarschuwt er al jaren voor. De stemvariant is dezelfde oplichting, maar dan met je eigen kind of kleinkind hoorbaar aan de lijn. Dat maakt het gevaarlijk veel overtuigender.

Waarom een codewoord afspreken goed advies is

Het standaardadvies van politiediensten hier en in het buitenland: spreek binnen de familie een codewoord af. Wie belt met een noodgeval, moet eerst dat woord kunnen zeggen. En dat advies klopt. Een AI-stemkloon bootst klank na, geen kennis. De oplichter kan de stem laten wenen en smeken, maar hij kan ze geen woord laten zeggen dat hij nooit geleerd heeft. Het codewoord verplaatst de controle weg van het enige kanaal dat de aanvaller volledig in handen heeft: het geluid.

Bovendien werkt het zonder enige technologie. Je grootmoeder met een vast toestel kan het gebruiken. Net de mensen op wie deze fraude mikt, zijn vaak de mensen die nooit een beveiligingsapp zullen installeren.

Ik ga dat advies dus niet afbreken. Ik ga wel eerlijk zijn over waar het in de praktijk kapotgaat, want daarover lees je zelden iets.

Waar het codewoord in de praktijk faalt

Mensen vergeten het. Eén keer afgesproken op een rustige zondag, daarna nooit meer gebruikt: zo’n woord verdampt. En het moment waarop je het nodig hebt, is het slechtst denkbare moment om iets op te diepen uit je geheugen: laat op de avond, adrenaline, een huilende stem aan de lijn. Bij ons thuis was de eerste poging de naam van een overleden kat. Een jaar later bleken twee familieleden zich een ándere overleden kat te herinneren.

Het woord kan uit je gevist worden. Dit is de valkuil die mij het meest zorgen baart. Herbeluister het telefoontje: “Mama, ik ben het echt… ah ja, je gaat naar het woord vragen hé. Ik ben zo in de war, zeg jij het en ik bevestig.” Wie het codewoord luidop zegt om de beller te testen, geeft het weg. Bij het volgende telefoontje, naar je vader, zegt de oplichter het spontaan zelf. Een verkeerd gebruikt codewoord faalt niet gewoon; het bewapent de aanvaller.

Het roteert nooit. De meeste gezinnen kiezen één woord en houden dat tien jaar bij. Elke keer dat het door de telefoon gezegd wordt, “ter herinnering” in de familiegroep verschijnt of op een briefje belandt, brokkelt het geheim verder af. Een statisch geheim wordt alleen maar zwakker.

Eén woord voor de hele familie. Delen zeven mensen hetzelfde woord, dan is het geheim zo sterk als de minst voorzichtige van de zeven. De tiener wiens account gehackt wordt. De nonkel die het vertelt op een familiefeest. En als het lekt, wéét je meestal niet dat het gelekt is, terwijl meteen álle familieleden kwetsbaar zijn.

Ernaar vragen voelt onbeleefd, net op het slechtste moment. Slachtoffers van deze fraude zeggen achteraf vaak dat ze twijfelden en tóch betaalden. Als je kleinzoon snikkend over een ongeval vertelt, voelt “wat is ons codewoord?” als wantrouwen. Vooral oudere mensen slaan de controle dan liever over dan iemand te kwetsen die zogezegd in nood is.

Vijf oplossingen die geen app nodig hebben

Elk van die vijf gaten valt te dichten, met niets meer dan afspraken op papier.

Tegen vergeten: kies geen willekeurig woord maar een gedeelde herinnering, geformuleerd als vraag: “Wat aten we toen de tent onderliep in de Ardennen?” Een beleefd verhaal onthoud je; een los woord niet. Fris het twee keer per jaar op, bijvoorbeeld met Nieuwjaar en op één verjaardag.
Tegen het uitvissen: leg de richting vast. De beller in nood moet het woord zelf zeggen; wie opneemt, zegt het nooit eerst, bevestigt geen gokjes en “helpt niemand herinneren”. Wie jou vraagt om het woord te zeggen, is al gebuisd.
Tegen veroudering: behandel een uitgesproken codewoord als een afgestreken lucifer. Eén keer gebruikt, ook in een echt gesprek? Vervang het bij het eerstvolgende familiecontact, en roteer sowieso op vaste momenten.
Tegen het gedeelde geheim: werk per duo in plaats van met één familiewoord. Jij en je moeder hebben een woord, je moeder en je broer een ander. Lekt er één, dan brandt er één relatie af in plaats van de hele familie.
Tegen de gêne: spreek vooraf en luidop af dat vragen een teken van liefde is, en dat de echte zoon of kleindochter blij zal zijn met de controle. Geef iedereen dezelfde zin mee: “Je kent de regel, ook voor jou.” En zet daarboven een schuldloze noodrem die alles overrulet: leg neer en bel zelf terug op het nummer dat je al hebt. Eén terugbel-actie verslaat een vervalst nummer én een gekloonde stem tegelijk.

Schrijf desnoods de hint op (“de tentvraag”), nooit het antwoord. Een hint in een portefeuille is herstelbaar; het antwoord in een portefeuille is een cadeau voor een zakkenroller.

Als het telefoontje toch komt

Protocollen sneuvelen onder stress, dus beslis nu al wat er gebeurt als het misloopt. Klopt het woord niet, of ben je in paniek vergeten ernaar te vragen: geen overschrijving, geen Payconiq-betaling naar een onbekend nummer, geen cadeaubonnen, geen koerier aan de deur. Leg neer, adem, en bel de persoon terug op het gekende nummer. Lukt dat niet, bel dan een ander familielid. Een echt noodgeval overleeft tien minuten controle; een vals noodgeval verdampt.

Is er toch al geld vertrokken? Bel meteen je bank, en blokkeer je kaarten via Card Stop op 078 170 170. Doe daarna aangifte bij de lokale politie en meld verdachte berichten via verdacht@safeonweb.be. Melden voelt zinloos op zo’n moment. Dat is het niet: zo worden deze campagnes in kaart gebracht.

Waarom wij hier een app voor bouwden, eerlijk gezegd

Wie de oplossingen hierboven herleest, ziet dat je eigenlijk met de hand cryptografie aan het nadoen bent: geheimen per duo, een vaste richting, rotatie, weggooien na gebruik. Precies die vaststelling is waarom we Hongi gebouwd hebben. Twee mensen koppelen één keer, in levenden lijve, door een QR-code te scannen. Daarna toont de app elk van beiden een codewoord dat om de 30 seconden verandert, offline berekend op hun eigen toestel vanuit het gedeelde koppelgeheim. Niets om te onthouden, niets dat veroudert, en omdat elke kant een ander woord voorleest, kan een oplichter nooit beide woorden uit één afgeluisterd gesprek halen. De app is gratis en verificatie loopt zonder account of server.

Toverij is het niet, en dat wil ik er eerlijk bij zeggen: beide personen hebben de app nodig, en ze moeten vooraf fysiek gekoppeld hebben. Je grootmoeder met haar vast toestel heeft dus nog altijd het papieren protocol hierboven nodig, vandaag en morgen. Gebruik allebei. Het codewoord is de gordel die iedereen vandaag al kan omdoen; wie de versie wil die zichzelf roteert, vindt in de FAQ hoe de codewoorden onder de motorkap werken.