Module 3 · 3.4
Nederlands
Phishing via sms, chat, telefoon en QR
Module 3: Phishing herkennen · Leestijd: 12 minuten
Leerdoel: Na deze les kun je phishing buiten de mail herkennen: via sms en chat-apps, aan de telefoon (ook met een nagebootste stem), via QR-codes en via een stortvloed aan inlogmeldingen, en weet je hoe je per kanaal controleert.
Kernbegrippen: smishing, vriend-in-nood-fraude, vishing, spoofing van nummers, nep-helpdesk, stemkloon, quishing, MFA-bombardement
Waarom andere kanalen zo goed werken
Alles uit les 3.1 geldt ook hier: urgentie, autoriteit, angst, nieuwsgierigheid en beloning. Maar buiten de mail werken de trucs vaak nog beter:
- Op de telefoon lees je snel. Het scherm is klein, adressen worden afgekapt, en je zit vaak midden in iets anders.
- Er is minder techniek die helpt. Een mailserver controleert SPF, DKIM en DMARC en heeft een spamfilter. Voor sms, chat en telefoon is dat er veel minder.
- Het voelt persoonlijker. Een bericht in een chat-app of een stem aan de telefoon wekt meer vertrouwen dan een mail.
- Het is live. Een beller kan doorvragen, druk opvoeren en je stap voor stap meenemen.
De reflex blijft dezelfde: stop, check via je eigen weg, vraag. Wat per kanaal verschilt, is hoe die check eruitziet.
Sms en chat: smishing en vriend-in-nood
Smishing is phishing per sms. Oplichters doen zich voor als een organisatie waarvan je een sms zou kunnen verwachten: een vervoerder, de bank, een overheidsdienst, je energieleverancier. Volgens het NCSC gebeurt hetzelfde via chat-apps zoals WhatsApp en Telegram.
Een typisch voorbeeld:
Koeriersdienst: je pakket kon niet worden bezorgd wegens onvolledig adres. Plan een nieuwe bezorging:
https://koeriersdienst.track-nl.example/z8K
Lees de link zoals in les 3.2: het registreerbaar domein is track-nl.example en dus niet koeriersdienst.example van de vervoerder. Op een telefoon is dat extra lastig, omdat je alleen het begin ziet. Houd een link ingedrukt om het hele adres te zien, of open hem niet en ga zelf naar de app of site van de vervoerder.
Het afzendernummer of de afzendernaam zegt niets. Sms-afzenders en telefoonnummers kunnen worden vervalst (spoofing). Een nepbericht kan daardoor in dezelfde sms-draad verschijnen als echte berichten van die afzender. Ook een bekende naam boven een bericht is dus geen bewijs.
Vriend-in-nood-fraude gaat via chat-apps:
Hoi, dit is mijn nieuwe nummer, mijn telefoon is kapot. Kun je even iets voor me betalen? Ik betaal je morgen terug. Het moet vandaag nog.
In een bedrijf komt dezelfde truc voor als bericht van "de directeur" of "een collega" met een nieuw nummer, die snel een betaling of cadeaubonnen wil. Check: bel of app de persoon op het oude, bekende nummer, of stel een vraag die alleen de echte persoon kan beantwoorden.
De telefoon: vishing, nep-helpdesk en stemklonen
Vishing (voice phishing) is phishing aan de telefoon. Drie vormen komen veel voor.
De bankmedewerker. Iemand belt namens de bank of de "fraudeafdeling": er zijn verdachte betalingen, je geld moet "veilig" worden gezet, of je moet een code doorgeven of een betaling goedkeuren in je bankapp. Op je scherm staat soms zelfs het echte nummer van de bank. Ook dat kan gespooft zijn. Een echte bank vraagt nooit om je inlogcodes of om geld over te maken naar een "veilige rekening".
De nep-helpdesk. Iemand belt namens een softwareleverancier, je internetprovider of je IT-bedrijf: je computer is besmet, er is een probleem met je account. Hij vraagt je een programma te installeren om op afstand mee te kijken. Daarmee neemt hij je computer over. Het NCSC zegt het simpel: geef nooit zomaar iemand op afstand toegang tot je apparaten.
De nagebootste stem. Met AI kan een stem worden nagebootst op basis van geluidsopnames, bijvoorbeeld uit een video of voicemail. Een stemkloon van je directeur of een familielid kan dan bellen met een dringend verzoek. Je kunt je oren dus niet meer blind vertrouwen.
Wat werkt bij alle drie:
- Hang op zodra er druk komt of om codes, geld of toegang wordt gevraagd. Dat is niet onbeleefd.
- Bel zelf terug op een nummer dat je zelf opzoekt of al had: de achterkant van je bankpas, de officiële site, je eigen contactenlijst. Niet het nummer dat de beller noemt.
- Spreek een controlevraag of codewoord af met de mensen die je om geld kunnen vragen, zoals de directie en de boekhouding. Leg ook vast dat betalingen nooit alleen op basis van een telefoontje gebeuren (les 1.2).
QR-codes: quishing
Een QR-code is gewoon een link die je niet kunt lezen. Quishing is phishing met een QR-code. Twee vormen:
- Op straat of in een ruimte. Een sticker met een eigen QR-code over de echte heen, op een parkeerautomaat, een laadpaal, een menukaart of een poster. Je denkt dat je de parkeerapp betaalt, maar je vult je kaartgegevens in op een nepsite.
- In een mail of pdf. "Scan deze code om je mailbox te bevestigen." Een QR-code in een plaatje is voor jou niet te controleren met de muis. En je scant hem met je telefoon, waar je adressen slechter kunt lezen.
Het NCSC adviseert onder andere:
- Scan geen QR-code zonder begeleidende tekst of afbeelding, en wees voorzichtig met codes op openbare plekken.
- Kijk of de code echt in de poster of het bord is gedrukt, of dat er een sticker op is geplakt.
- Gebruik een scanner die eerst laat zien naar welk adres of domein je gaat. In nieuwere versies van Android en iOS doet de camera dat standaard.
- Herken je het adres niet, ga dan niet verder. Vul geen wachtwoord of betaalgegevens in als je niet zeker weet dat de site echt is.
Kijk bij het voorbeeld van het adres dat de camera toont naar het registreerbaar domein, precies zoals in les 3.2. Bij een parkeerautomaat kun je ook de officiële parkeerapp of het adres op het bord zelf gebruiken.
MFA-bombardement: als je telefoon blijft piepen
Veel diensten sturen bij het inloggen een melding naar je telefoon: "Probeer je in te loggen? Goedkeuren of weigeren." Heeft een aanvaller je wachtwoord al, dan probeert hij steeds opnieuw in te loggen. Je telefoon krijgt de ene melding na de andere, soms midden in de nacht. Dat heet een MFA-bombardement (ook MFA-moeheid). Hij hoopt dat je uit irritatie of per ongeluk op Goedkeuren drukt. Soms belt of appt hij er nog bij als "helpdesk": "We zijn je account aan het herstellen, druk even op goedkeuren."
Wat je doet:
- Keur nooit een melding goed die je zelf niet hebt gestart. Ook niet als iemand erom vraagt.
- Zie het als alarm. Een onverwachte inlogmelding betekent dat iemand je wachtwoord heeft. Verander het wachtwoord van dat account meteen, via de site of app zelf.
- Bekijk de actieve sessies en log onbekende sessies uit (les 2.5).
- Kies een sterkere vorm van tweestapsverificatie als die er is. Bij nummerkoppeling (number matching) moet je een getal van het inlogscherm overtypen in de app; een melding zonder dat scherm voor je neus kun je dan niet zomaar goedkeuren. Passkeys en beveiligingssleutels (les 2.4) zijn nog sterker, omdat ze niet op een nepsite werken.
In de praktijk: zo ziet het eruit
In Mijn WebOké zie je onder actieve sessies waar en wanneer je bent ingelogd, en kun je andere sessies uitloggen (WebOké-handleiding 3.6). Andere diensten, zoals je mailprogramma, boekhoudpakket of Nextcloud, hebben een vergelijkbaar overzicht onder de beveiligingsinstellingen van je account. Kijk daar na een onverwachte inlogmelding als eerste.
Samenvatting
- Buiten de mail werken dezelfde trucs, maar er is minder techniek die helpt en je leest sneller.
- Een nummer of afzendernaam op je scherm bewijst niets: die kunnen worden vervalst.
- Aan de telefoon: ophangen, zelf terugbellen op een bekend nummer, nooit codes, geld of toegang op afstand geven. Ook een bekende stem kan zijn nagebootst.
- QR-codes: kijk naar stickers, laat de camera het adres tonen en lees het registreerbaar domein.
- Een onverwachte inlogmelding is een alarm: weigeren, wachtwoord wijzigen, sessies nakijken.
Quiz
Opdracht
Opdracht A3.4: Een QR-code lezen zonder te openen. Het programma toont een QR-code. Scan hem met de camera van je telefoon, maar open de link niet. Lees het adres dat de camera toont en vul het registreerbaar domein in, en of je de link zou openen. Het programma kijkt na.
Opdracht D3.4: Afspraken voor telefoon, chat en inlogmeldingen. Maak met je team afspraken over terugbellen, een controlevraag of codewoord, en wat je doet bij een onverwachte inlogmelding. Controleer daarna op je eigen telefoon of de camera het adres van een QR-code toont voordat hij iets opent.
Opdracht D3.4: Afspraken voor telefoon, chat en inlogmeldingen
Zo pak je het aan: (1) Spreek met de mensen die betalingen doen of goedkeuren af dat een verzoek om geld, een IBAN-wijziging of codes nooit alleen via telefoon, sms of chat wordt uitgevoerd. Terugbellen gebeurt altijd op een nummer uit je eigen administratie of contactenlijst. (2) Spreek een controlevraag of codewoord af voor dringende verzoeken van de directie of van familie. Schrijf het codewoord nergens digitaal op waar een aanvaller het kan lezen. (3) Spreek af wat iedereen doet bij een onverwachte inlogmelding of een reeks meldingen: weigeren, melden, wachtwoord wijzigen, sessies nakijken (les 2.5). (4) Kijk op je eigen telefoon of de camera bij het scannen van een QR-code eerst het adres toont en pas opent als je tikt. Gebruik daarvoor een QR-code van een bekende, eigen bron (bijvoorbeeld een code die je zelf maakt voor https://www.example.com). (5) Kijk of je chat-app en je belangrijkste accounts een extra beveiliging hebben die je nog niet gebruikt (bijvoorbeeld tweestapsverificatie met een pincode, nummerkoppeling bij inlogmeldingen, of een passkey) en zet die aan.
Je vinkjes en aantekeningen blijven alleen in deze browser; we sturen ze nergens heen. Ben je aangemeld, dan bewaren we in Mijn cursussen alleen dat je de opdracht gedaan hebt.
Verder lezen
De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar.
- WebOké handleiding 3.6: Actieve sessies bekijken en uitloggen
- Nextcloud handleiding 3.6: Apparaten en sessies bekijken, intrekken of op afstand wissen
- NCSC, Sms-phishing ('smishing'): https://www.ncsc.nl/phishing/sms-phishing-smishing
- NCSC, Hoe herken ik een neptelefoontje?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-neptelefoontje
- NCSC, QR-codes: https://www.ncsc.nl/phishing/qr-codes
- Fraudehelpdesk, melden van fraude en phishing: https://www.fraudehelpdesk.nl