Wat is smishing en hoe herken en voorkom je het?

Wat is smishing? 

Smishing is een vorm van phishing waarbij criminelen je via sms'jes of appjes proberen op te lichten. Ze sturen een nepbericht dat lijkt te komen van een betrouwbare afzender, zoals je bank of een pakketdienst, met als doel je persoonlijke gegevens of geld te stelen.

De smishing-betekenis zit hem in de naam: smishing is een samentrekking van ‘sms’ en ‘phishing’. Het is eigenlijk een phishing-aanval die niet via e-mail, maar via je telefoon binnenkomt. Je krijgt bijvoorbeeld een appje van “je bank" met de melding dat je rekening geblokkeerd wordt, of een sms van een "pakketdienst" dat je nog verzendkosten moet betalen. De oplichters maken misbruik van social engineering: ze manipuleren je psychologisch zodat je in paniek of uit nieuwsgierigheid op een link klikt.

Smishing is populair bij criminelen omdat mensen sms'jes en appjes sneller openen dan e-mails en berichten op hun telefoon vaak eerder vertrouwen. Bovendien is het lastiger om op een klein scherm te controleren waar een link echt naartoe leidt.

Hoe werkt smishing?

Een smishing-aanval volgt meestal dit patroon:

1. 1.De aanvaller stuurt een bericht dat lijkt te komen van een vertrouwde afzender, zoals je bank, een pakketdienst of de overheid. Met spoofing wordt vaak zelfs een echte afzendernaam, een bekend telefoonnummer of een officieel ogend nummer nagebootst. Daardoor valt het bericht minder snel op tussen legitieme sms'jes en meldingen die je dagelijks ontvangt.
2. 2.Het bericht speelt in je emoties. Urgentie ("uw rekening wordt geblokkeerd"), angst ("verdachte inlogpoging gedetecteerd") of een beloning ("u heeft een prijs gewonnen") – alles is erop gericht om je snel te laten handelen, zonder eerst rustig na te denken of de afzender te controleren. Soms wordt daarbij ook een korte deadline genoemd, zodat je het gevoel krijgt dat je onmiddellijk iets moet doen.
3. 3.Je wordt naar een valse website geleid. Via een neplink beland je op een valse website die nauwelijks van de echte website te onderscheiden is. Daar word je gevraagd om bijvoorbeeld je gebruikersnaam, wachtwoord, betaalgegevens of verificatiecode in te voeren. In andere gevallen probeert de aanvaller je apparaat te besmetten met malware die persoonlijke gegevens kan stelen of andere schadelijke acties kan uitvoeren.

Smishing klinkt als iets wat makkelijk te voorkomen is, maar juist timing en vertrouwen maken het zo effectief. Een appje over een pakketje vlak na een bestelling of een waarschuwing van je bank na een betaling voelt al snel geloofwaardig. Zelfs wie bekend is met online fraude kan daardoor worden misleid. 

Smishing-voorbeelden: hoe zien verdachte berichten eruit?

Smishing kan zich op allerlei manieren voordoen, maar criminelen kiezen meestal voor situaties die vertrouwd en geloofwaardig aanvoelen. Ze doen zich bijvoorbeeld voor als je bank, een bezorgdienst of een overheidsinstantie en proberen je met een dringend verzoek naar een valse website te lokken. Dit zijn veelvoorkomende voorbeelden van smishing:

• Nepberichten van banken. Je ontvangt bijvoorbeeld een sms waarin staat dat er een verdachte betaling is gedaan, je rekening wordt geblokkeerd of je bankpas moet worden vervangen. Via een link zou je het probleem direct kunnen oplossen, maar in werkelijkheid kom je op een nagemaakte bankwebsite terecht waar criminelen je inlog- of betaalgegevens proberen te bemachtigen.
• Pakketfraude. Een bericht lijkt afkomstig van PostNL, DHL of een andere bezorgdienst en meldt dat je pakket niet kan worden bezorgd. Je moet bijvoorbeeld nog € 2,45 aan verzendkosten of invoerrechten betalen en krijgt daarvoor een link naar een betaalpagina die niet van de echte bezorgdienst is.
• Nepberichten van overheidsinstanties. Criminelen kunnen zich voordoen als de Belastingdienst, DigiD of een andere overheidsorganisatie en beweren bijvoorbeeld dat je recht hebt op een teruggaaf, nog een boete moet betalen of je identiteit moet bevestigen. Vervolgens word je gevraagd via een link in te loggen of persoonlijke gegevens door te geven.
• Neppe inlogwaarschuwingen. Je krijgt een bericht dat er vanaf een onbekend apparaat op je account is ingelogd en dat je onmiddellijk actie moet ondernemen. De knop of link om je account te ‘beveiligen’ leidt vervolgens naar een valse inlogpagina waar je gebruikersnaam, wachtwoord of verificatiecode wordt onderschept.
• Gewonnen prijzen en aantrekkelijke aanbiedingen. Een sms of appje vertelt dat je een smartphone, cadeaubon of geldbedrag hebt gewonnen, terwijl je nergens aan hebt meegedaan. Om de prijs te ontvangen, moet je eerst persoonlijke gegevens invullen, verzendkosten betalen of op een verdachte link klikken.

Een smishingbericht kan er bijvoorbeeld zo uitzien:

“PostNL: Uw pakket kon vandaag niet worden bezorgd. Betaal € 2,45 om een nieuwe bezorgpoging in te plannen via [verdachte link].”

Of:

“ING: Er is een verdachte transactie op uw rekening gedetecteerd. Controleer uw account direct via [verdachte link] om blokkering te voorkomen.”

De exacte boodschap verschilt, maar smishingvoorbeelden hebben vaak dezelfde kenmerken: er wordt een gevoel van urgentie gecreëerd, de afzender lijkt betrouwbaar en je wordt gevraagd op een link te klikken, gegevens in te vullen of een betaling te doen. In de volgende sectie leggen we beter uit hoe je smishing kunt herkennen.

Hoe herken je smishing?

Smishing herkennen is een stuk makkelijker als je weet waar je op moet letten. Loop deze checklist na bij een verdacht bericht:

• Er wordt druk op je uitgeoefend. Smishers willen dat je snel handelt. Woorden als "direct", "vandaag nog" en "anders wordt uw account geblokkeerd" zijn een klassiek signaal.
• Je wordt om gevoelige informatie gevraagd. Geen enkele bank of overheidsinstantie vraagt via sms om je pincode, wachtwoord of volledige bankgegevens.
• De afzender is onbekend. Een onbekend 06-nummer of buitenlands nummer, of een vage afzendernaam, is verdacht. Let ook op het domein in de link: ing.nl-inloggen.tk lijkt op ING, maar is het niet – het echte domein is simpelweg ing.nl.
• Er zit een link of verkorte URL in het bericht. Onverwachte links zijn de grootste rode vlag. Twijfel je? Controleer de link eerst met onze link checker voordat je erop klikt.
• Het bericht bevat spel- en taalfouten. Criminelen vertalen hun berichten vaak slordig. Vreemde zinsbouw en taalfouten in het Nederlands kunnen erop wijzen dat een bericht niet betrouwbaar is.
• De aanbieding is te mooi om waar te zijn. Een gratis telefoon, een erfenis of een prijs in een loterij waar je nooit aan hebt meegedaan? Dan klopt er iets niet.

Door deze signalen van sms-phishing te herkennen, kun je verdachte sms-berichten en appjes sneller onderscheiden van legitieme berichten en voorkom je dat je slachtoffer wordt van phishing via je telefoon.

Smishing vs. phishing vs. vishing: wat is het verschil?

De begrippen phishing, smishing en vishing worden vaak door elkaar gebruikt. Ze hebben hetzelfde doel – je gegevens of geld stelen – maar verschillen in het kanaal dat criminelen gebruiken:

Phishing is de overkoepelende term voor verschillende vormen van digitale oplichting waarbij criminelen proberen je gegevens of geld te stelen. Bij e-mailphishing gebeurt dat via phishingmail, bij smishing via sms of berichtenapps en bij vishing via een telefoongesprek. Ook WhatsApp-fraude en Telegram-scams kunnen onder smishing vallen wanneer criminelen via deze apps misleidende berichten sturen om je op een link te laten klikken, geld over te maken of gevoelige gegevens te delen.

Hoe bescherm je jezelf tegen smishing?

Smishing voorkomen is grotendeels een kwestie van gezond verstand en een paar goede gewoontes:

• Reageer niet op verdachte berichten. Antwoord niet, bel geen nummers uit het bericht en klik niet op links. Verwijder het bericht daarna gewoon.
• Neem zelf contact op via een officieel kanaal. Twijfel je of een bericht echt is? Open de app of website van de organisatie zelf – via een adres dat je zelf intoetst – of bel het officiële nummer dat op hun website staat.
• Vertrouw op je gezonde verstand. Krijg je onverwachts een bericht over een pakketje terwijl je niets hebt besteld, of een "teruggaaf" van de Belastingdienst uit het niets? Dan is de kans groot dat het nep is.
• Houd je telefoon up-to-date. Updates dichten beveiligingslekken waar criminelen misbruik van maken. Zet automatische updates aan voor je besturingssysteem en apps.
• Gebruik waar mogelijk een authenticator-app in plaats van sms-codes. Sms-gebaseerde tweefactorauthenticatie is kwetsbaar: smishers kunnen je code ontfutselen. Een authenticator-app is een veiligere vorm van tweefactorauthenticatie.
• Installeer een next-gen antivirus. Een next-gen antivirus herkent en blokkeert kwaadaardige websites en malware, ook als je per ongeluk op een verdachte link tikt.

Met deze gewoontes verklein je de kans dat een smishingpoging slaagt aanzienlijk. Blijf vooral kritisch bij onverwachte berichten die om snelle actie vragen, ook als de afzender betrouwbaar lijkt. 

Wat te doen als je op een smishing-link hebt geklikt

Heb je toch op een verdachte link geklikt? Handel dan zo snel mogelijk. Alleen het openen van een link betekent niet automatisch dat je gegevens zijn gestolen, maar het is verstandig om direct een paar voorzorgsmaatregelen te nemen. Volg deze stappen:

• Zet wifi, mobiele data en bluetooth uit.
• Sluit de verdachte pagina en deel geen informatie.
• Verander de wachtwoorden van getroffen accounts en kies voor elk account een uniek, sterk wachtwoord.
• Waarschuw je bank als je inlog- of betaalgegevens hebt gedeeld.
• Controleer je telefoon op malware en verdachte apps. Lees hoe je merkt of je telefoon gehackt is.
• Houd je rekeningen en accounts in de gaten en controleer ze op verdachte activiteit.

Hoe sneller je reageert, hoe groter de kans dat je eventuele schade kunt beperken. Blijf de dagen erna extra alert op onbekende transacties, gewijzigde accountgegevens en onverwachte inlogmeldingen. Heb je gevoelige gegevens gedeeld, neem dan ook rechtstreeks contact op met de betreffende organisatie om te bespreken welke aanvullende maatregelen nodig zijn.

Hoe meld je smishing in Nederland?

Heb je een smishing-bericht ontvangen, of ben je slachtoffer geworden? Dan is melden belangrijk – zo help je ook anderen beschermen.

• Meld het bericht bij de Fraudehelpdesk opens in a new tab. Zij verzamelen meldingen, waarschuwen het publiek en geven advies over de vervolgstappen.
• Doe aangifte bij de politie opens in a new tab als je slachtoffer bent geworden en financiële schade hebt. Bewaar het bericht en maak een screenshot als bewijs.
• Neem contact op met de organisatie die wordt nagebootst. Banken, pakketdiensten en overheidsinstanties willen het weten als criminelen hun naam misbruiken — vaak hebben ze een speciaal meldpunt of e-mailadres voor nepberichten.