Dinsdagavond, kwart voor zes. Je gsm rinkelt en op het scherm staat de naam van je bank, dezelfde naam als bij de sms’jes met je inlogcodes. Een rustige stem stelt zich voor als Thomas van de fraudedienst. Sorry dat hij stoort, maar er staan twee verdachte betalingen klaar op je rekening: eentje naar een cryptoplatform, eentje naar een webshop in het buitenland. Heb jij die goedgekeurd? Nee? Dat dacht hij al, en daarom belt hij. Hij leest de laatste vier cijfers van je kaart voor, “gewoon om te bevestigen dat hij de juiste klant aan de lijn heeft”. Ze kloppen. Je hartslag gaat omhoog. Hij blijft kalm. Die kalmte is het product: dat is wat jou moet overtuigen.

Alles aan dit telefoontje kan vals zijn. Het nummer, de naam op je scherm, de kaartcijfers, de fraudedienst, Thomas zelf. Dit stuk legt uit hoe zo’n phishingtelefoontje van een valse bankmedewerker in elkaar zit, en geeft je een verificatieprotocol dat overeind blijft wanneer elk zichtbaar signaal vervalst is.

Telefoonspoofing: het nummer van je bank is geen bewijs

Nummerweergave voelt als identificatie, maar dat is ze niet. Ze lijkt eerder op de afzender op een postkaart: een veld dat de verzender zelf invult en dat onderweg door niemand gecontroleerd hoeft te worden.

Bij het opzetten van een oproep declareert de bellende kant een nummer, en dat gedeclareerde nummer toont jouw toestel. Via internettelefonie is dat een instelling, meer niet. Fraudebendes routeren hun oproepen via diensten waarmee ze eender welk nummer kunnen tonen, dus tonen ze het officiële klantennummer van jouw bank. Je gsm herkent dat nummer, zoekt het op in je contacten en zet er behulpzaam de naam van de bank bij. Zelfs Belgische operatoren en Safeonweb waarschuwen geregeld voor golven van zulke oproepen, tot en met valse telefoontjes uit naam van Card Stop; je vindt de actuele waarschuwingen op Safeonweb.

De conclusie is hard maar simpel: een inkomende oproep kan nooit bewijzen wie er belt. En die kaartcijfers bewijzen ook niets. Gedeeltelijke kaartnummers, je adres of zelfs je saldo komen uit een eerder phishingbericht, een datalek of malware. Oplichters openen juist met correcte details, omdat jij aanneemt dat alleen je bank die kan kennen.

Het scenario van de valse fraudedienst

Deze telefoontjes volgen een script dat op duizenden slachtoffers is bijgeschaafd. Ken de stappen voor je ze live hoort.

Eerst het alarm: verdachte betalingen, een gecompromitteerde kaart, iemand die in een kantoor geld van jouw rekening probeert te halen. De dreiging is altijd nú actief. Urgentie is de dragende muur van het script; een slachtoffer dat tijd krijgt om na te denken, is een verloren slachtoffer.

Dan de redding, en daar splitsen de varianten. Bij kluisrekeningfraude legt Thomas uit dat je geld onmiddellijk naar een “kluisrekening” of “veilige rekening” moet, die de bank speciaal voor jou heeft klaargezet. Hij helpt je vriendelijk bij de overschrijving, en net dat maakt de fraude zo effectief: jij bent de echte klant die zelf een bewuste betaling uitvoert, dus de fraudedetectie van de bank slaat niet aan. Febelfin waarschuwt al jaren expliciet voor deze kluisrekeningfraude. Andere varianten: je moet een code voorlezen “om de frauduleuze betaling te annuleren” (in werkelijkheid keur je ze goed), je moet software zoals AnyDesk of TeamViewer installeren zodat de “technieker” je toestel kan beveiligen (bankhelpdeskfraude, in de woorden van Febelfin), of er komt een “collega” langs om je kaart thuis op te halen.

Tot slot de leiband: blijf aan de lijn. Bel niemand, ga niet naar een kantoor en vertel het vooral niet aan je familie, want “de fraudeur zit mogelijk in je omgeving” of “er loopt een onderzoek tegen personeel van je kantoor”. Isolatie is geen neveneffect van het script. Het ís het script.

Wat je bank nooit zal vragen

Banken en Febelfin publiceren telkens hetzelfde korte lijstje. Leer het vanbuiten, want het herleidt een gehaaide oplichting tot een simpele checklist. Je bank zal nooit:

vragen om geld over te schrijven naar een “kluisrekening” of “veilige rekening” — die bestaat niet, bij geen enkele bank
je volledige pincode, wachtwoord of een eenmalige code aan de telefoon vragen
iemand langssturen om je bankkaart op te halen, of vragen ze aan wie dan ook af te geven
je vragen om software voor toegang op afstand te installeren
je onder druk zetten om te handelen voor je kon ophangen en checken

Eén item volstaat om het gesprek te beëindigen. Zodra iemand over het verhuizen van je geld “voor de veiligheid” begint, praat je met een crimineel. Meer nuance is er op dat moment niet.

Ophangen en terugbellen, en waar dat protocol lekt

Het standaardadvies is goed: haak in en bel zelf je bank, op een nummer dat je onafhankelijk hebt opgezocht, op de achterkant van je kaart of via de website van de bank die je zelf intikt. Bel nooit een nummer dat de beller je zelf geeft; dan bel je gewoon terug naar de oplichter, maar nu met extra vertrouwen.

Wees wel eerlijk over de zwakke plekken, want de oplichters kennen ze beter dan jij.

De beruchtste is de vastgehouden lijn. Op oudere analoge vaste telefooncentrales werd een oproep pas volledig afgebroken wanneer de béller ophing. Haakte het slachtoffer in en belde het meteen terug op dezelfde vaste lijn, dan hielden sommige netwerken de oude verbinding nog twee à drie minuten open. Fraudeurs bleven aan de lijn, speelden een valse kiestoon af en lieten een kompaan “opnemen” als de bank. Die truc was reëel en werd vooral in het Verenigd Koninkrijk massaal uitgebuit, tot de operatoren daar rond 2014 die vertraging terugbrachten tot ongeveer twee seconden. Op een gsm heeft de truc nooit gewerkt: inhaken beëindigt de oproep, punt. Vandaag is de vastgehouden lijn dus vooral geschiedenis, maar “vooral” is niet “helemaal”: centrales en VoIP-installaties verschillen. De robuuste gewoonte kost je niets: bel terug met een ander toestel als er een in de buurt is, of wacht een paar minuten en luister eerst of je een normale kiestoon hoort.

De moderne opvolger is de samenvoegtruc: de beller overtuigt je om een “collega” bij het gesprek te voegen, en die samengevoegde oproep blijkt een automatisch telefoontje van je bank dat een eenmalige code voorleest, die de fraudeur nu meeluistert. Voeg nooit oproepen samen op vraag van een vreemde.

En het lek dat niemand dicht: terugbellen verifieert de bank, maar het kalmeert jou niet. Als het script je al heeft wijsgemaakt dat de bank zelf gecompromitteerd is, bel je de echte bank en geloof je ze niet. Daarom is de pauze even belangrijk als het nummer.

Als het geld al vertrokken is

Snelheid telt hier echt. Bel meteen de fraudelijn van je bank en vraag om de betaling terug te roepen; in de eerste uren is het geld vaak nog traceerbaar. Blokkeer je kaarten via Card Stop op 078 170 170 (vanuit het buitenland +32 78 170 170); check dat nummer zelf, want oplichters bellen ook uit naam van Card Stop. Doe aangifte bij de lokale politie en stuur verdachte berichten door naar verdacht@safeonweb.be. Dien schriftelijk een betwisting in bij je bank. En vertel het aan iemand. Schaamte is de dienst-na-verkoop van de oplichter: ze houdt slachtoffers stil en herbruikbaar.

De asymmetrie waar dit allemaal op draait

Dit is wat mij als oprichter blijft achtervolgen. Wanneer je bank jou belt, verifieert ze jou in enkele seconden: codes, apps, controlevragen. Jij kunt haar helemaal niet verifiëren. Het kanaal authenticeert maar in één richting, en elke oplichting in dit artikel leeft in precies die kier.

Met Hongi bouwen we daaraan. De app geeft twee gekoppelde mensen roterende codewoorden, elke 30 seconden ververst en offline berekend, zodat een imitator nooit beide kanten kan kennen. Vandaag levert dat al iets concreets op voor het slechtste moment van zo’n gesprek: bel, voor je onder druk ook maar één cent verplaatst, iemand met wie je gekoppeld bent, je partner, je dochter, een vriend, en verifieer die persoon eerst met het codewoord. Een echt “stop, dit is oplichting” van een geverifieerde stem verslaat elk script. Datzelfde mechanisme is waar ons werk voor organisaties naartoe gaat: dat “u spreekt met uw bank” ooit iets wordt dat een beller kan bewijzen. Tot dan is het protocol hierboven je beste verdediging; hoe de verificatie precies werkt, lees je in onze FAQ.

Eerst inhaken. Dan verifiëren. Nooit geld verplaatsen.