Het is maandagochtend 9u10 en uw klantendienst zit al vol met mensen die u nooit gebeld hebt. De eerste medewerker krijgt een vrouw aan de lijn die wil weten waarom “uw fraudedienst” haar zaterdagavond opbelde met de vraag om haar spaargeld naar een veilige rekening over te schrijven. De derde spreekt een man die een eenmalige code heeft voorgelezen, omdat de beller zijn adres en de laatste vier cijfers van zijn kaart kende. Tegen de middag: zestig tickets, vier bevestigde schadegevallen en een journalist die om een reactie vraagt. Niemand in uw gebouw heeft ook maar één van deze mensen gebeld. Het nummer op hun scherm was het uwe.

Wie fraudepreventie, communicatie of klantenzorg leidt bij een bank, telecomoperator, nutsbedrijf of overheidsdienst, kent dit patroon. Oplichters bellen namens uw bank of uw merk, en hoewel u geen enkel misdrijf pleegde, is het probleem van u. Uw naam is het wapen. Dit artikel behandelt hoe die imitatie technisch werkt, wat merkmisbruik via telefoonfraude een organisatie kost, wat de huidige regels wel en niet afdekken, en waar verificatie naartoe moet.

Het nummer op het scherm was nooit van u

Alles wat een klant ziet wanneer zijn telefoon rinkelt, is technisch gezien een bewering. Het oproepnummer is een veld dat de bellende partij zelf invult bij het opzetten van het gesprek, en via internettelefonie is spoofing van een bedrijfsnummer een configuratie-instelling, geen hack. Niets in het standaard belpad controleert of de beller enig recht heeft om uw klantenlijn te tonen. Het toestel van de klant doet vervolgens het merkwerk voor de aanvaller: het herkent het nummer, toont uw naam uit de contacten of een nummerdatabank, en soms verschijnt de oproep onder dezelfde vermelding als uw echte berichten.

Sms heeft dezelfde zwakte in scherpere vorm. Alfanumerieke afzendernamen, het label “UwBank” boven een bericht, worden door de verzender gekozen. Op veel toestellen schuift een vervalst bericht met uw afzendernaam in dezelfde conversatie als uw echte berichten, vlak onder de authentieke inlogcodes van vorige maand. De vervalsing erft het vertrouwen van elk echt bericht erboven.

De kern voor een fraudeteam: nummer én naam zijn door de aanvaller gekozen. De klant die het scherm gelooft, is niet onvoorzichtig. Het scherm liegt met uw gezicht.

De factuur komt in drie munten

De eerste kost zijn de directe verliezen die aan uw merk worden toegeschreven. Febelfin becijferde dat criminelen in 2024 zo’n 49 miljoen euro buitmaakten via phishing in België, en dat banken ongeveer 75% van de frauduleuze overschrijvingen tijdig konden detecteren, blokkeren of recupereren. Achter elk dossier zit een slachtoffer dat het voorval zal samenvatten als “de bank heeft mij gebeld”. Of de aansprakelijkheid nu bij u belandt of niet, de toeschrijving belandt er wél: terugbetalingsdiscussies, klachten bij de ombudsman, briefwisseling met de toezichthouder, en persartikels die uw logo naast het woord “oplichting” zetten.

De tweede kost is operationeel en staat in uw eigen wachtrijdata. Elke golf van valse oproepen produceert inkomend volume dat u niet had gepland: slachtoffers, bijna-slachtoffers die willen checken of het telefoontje echt was, kaartblokkeringen, betwistingsdossiers, vragen naar een politieattest. Elk contact kost minuten van een medewerker; elk fraudedossier kost uren. Klantenzorgdirecteurs zien een scamgolf vaak eerder in hun gespreksduurcijfers dan het fraudeteam ze een naam heeft gegeven.

De derde kost is de traagste en volgens mij de grootste: de uitholling van uw uitgaande kanaal. Praat met wie outbound belt voor een bank en u hoort overal hetzelfde: klanten nemen niet meer op. Jaren van “wij zullen u dit nooit telefonisch vragen”, plus de ervaring van echte valse oproepen, hebben mensen geleerd dat een telefoontje van hun bank waarschijnlijker een crimineel is dan een bankier. Dus gaat de echte fraudewaarschuwing naar voicemail, raakt het betalingsherinneringsgesprek nooit verbonden en sterft de opvolging onbeantwoord. U betaalt voor een kanaal dat uw eigen veiligheidscommunicatie mee heeft afgebrand. Dat is de strategische schade: geen incident, maar een permanente taks op elke legitieme oproep die u ooit nog doet.

Wat België al regelt, en waar het lekt

Het BIPT heeft de voorbije jaren stevig ingegrepen, en het eerlijke beeld is: echte vooruitgang, met structurele gaten.

Sinds het koninklijk besluit tegen spoofing moeten operatoren internationale oproepen blokkeren die een Belgisch nummer tonen aan een Belgische bestemmeling: voor geografische nummers sinds september 2024, voor mobiele nummers sinds december 2024. Bedrijven die vanuit het buitenland legitiem met Belgische nummers bellen, bijvoorbeeld via cloudcallcenters, moeten die nummers bij hun operator registreren. Daarbovenop kwam in mei 2025 de Do Not Originate-lijst: organisaties kunnen nummers die nooit uitgaand bellen, zoals fraudelijnen, laten opnemen op een blokkeerlijst, zodat elke oproep die zo’n nummer toont automatisch wordt tegengehouden.

Dat heeft de makkelijkste aanvalsroute, vanuit het buitenland bellen met een Belgisch banknummer, effectief afgesloten. Maar het blijft een nationale pleister op een internationaal systeem. Fraudeurs schakelen over op buitenlandse of onbekende nummers met uw merknaam in het gesprek, op sms met uw afzendernaam, en op oproepen die binnen de mazen van de uitzonderingen vallen. Frankrijk, dat met zijn MAN-mechanisme een cryptografische aanpak in de stijl van het Amerikaanse STIR/SHAKEN invoerde, zag de meldingen van spoofing na de invoering zelfs blijven stijgen. En de sensibilisering van Febelfin en Safeonweb, die campagnes zijn nodig en elke organisatie moet eraan meedoen, heeft een ingebouwde asymmetrie: ze leren klanten hoe een vals contact eruitziet, nooit hoe een echt contact eruitziet, want aan een echte oproep valt vandaag niets te bewijzen. Voorlichting leert wantrouwen, geen verificatie. Het logische eindpunt is de klant die op iedereen inhaakt, ook op u.

Wat een fraudeteam dit kwartaal kan doen

Wachten op een perfect telefoonnetwerk is geen plan. Concrete stappen, grofweg in volgorde van inspanning:

Inventariseer elk nummer en elke sms-afzendernaam die uw organisatie uitgaand gebruikt, over alle afdelingen en onderaannemers heen, en schrap inconsistente of ongeregistreerde nummers.
Registreer wat de regelgever u laat registreren: uw cloudcallcenternummers bij uw operator, uw inkomende-lijnen op de DNO-lijst van het BIPT, uw afzendernamen bij uw sms-aggregatoren.
Ontwerp uitgaande gesprekken zo dat weigeren veilig is: vraag nooit codes of betalingen in een gesprek dat u zelf startte, en nodig de klant bij het begin uit om in te haken en terug te bellen via het nummer op uw website of kaart.
Geef klantendienstmedewerkers een liveoverzicht van lopende belcampagnes, zodat “hebben jullie mij echt gebeld?” in seconden een feitelijk antwoord krijgt, plus een script voor bevestigde slachtoffers.
Meet merkmisbruik als KPI: slachtoffermeldingen, verificatieoproepen, klachtenpieken, antwoordpercentages op outbound. De uitholling van uw kanaal is onzichtbaar tot u ze in een grafiek zet.
Meld elke golf aan het BIPT en uw operatoren; blokkeerregels worden beter met gerapporteerde data.

Verificatie moet iets worden dat u bewijst

Alle maatregelen hierboven delen één plafond: ze maken valse oproepen moeilijker of leren klanten ze te vrezen, maar geen enkele geeft de klant een positief bewijs dat een echte oproep echt is. Het web heeft dat equivalente probleem jaren geleden opgelost. We zijn gestopt met mensen te vragen om URL’s te ontleden en gaven websites certificaten; de browser controleert het bewijs, en de last verschoof van de waakzaamheid van de gebruiker naar de bewijsplicht van de aanbieder. Telefonie heeft zijn versie daarvan nodig: een register van geverifieerde organisaties, en een identiteitsbewijs dat samen met het contact aankomt en op het toestel van de klant controleerbaar is, liefst offline, zodat het werkt op precies de momenten die aanvallers uitbuiten.

Daar bouwen we het organisatiespoor van Hongi naartoe. De consumentenapp bestaat vandaag al: twee gekoppelde personen zien elk een roterend codewoord, elke 30 seconden ververst en offline berekend, zodat beide kanten zich aan elkaar kunnen bewijzen. De organisatielaag trekt datzelfde mechanisme door: een register van geverifieerde organisaties, verificatie tussen medewerker en klant tijdens een gesprek, en een offline nummerherkenningslaag die “Organisatie X belt u — tik om te verifiëren” toont voor geregistreerde nummers. Over de status wil ik precies zijn, want dit domein heeft genoeg overdrijving: het portaal en de API zijn in aanbouw en de nummerherkenningslaag is in actieve ontwikkeling. Het is roadmap, geen product. Wilt u mee vormgeven of vroeg proefdraaien, begin dan bij onze organisatiepagina; ons complianceoverzicht beschrijft hoe we met de onderliggende gegevens omgaan.

Uw merk wordt hoe dan ook misbruikt; dat deel hebt u niet meer in de hand. Wat u wél in de hand hebt, is of uw klant het verschil kan zien wanneer de echte u belt.