Zo kun je een valse website herkennen

Een phishing-website is een domein dat wat naam en uiterlijk betreft op een officiële website lijkt, maar is opgezet om je gegevens en/of geld te stelen. Oplichting door phishing is een van de meest voorkomende vormen van cybercriminaliteit. Een cybercrimineel doet zich voor als een betrouwbaar persoon of bedrijf en probeert je zo je geld of gegevens afhandig te maken.

Er zijn verschillende vormen van phishing, afhankelijk van het medium dat de oplichter kiest om je te benaderen. Bij vishing belt de oplichter je op en doet zich voor als bijvoorbeeld een Microsoftmedewerker of de politie. Bij smishing ontvang je een sms-bericht. Als je een dergelijk sms-bericht of een frauduleuze e-mail krijgt, is het doel meestal om je naar een valse website te lokken. Op deze website laat je misschien nietsvermoedend je gegevens achter, of verricht je een transactie, waarna criminelen je informatie in handen hebben.

Omdat het een vrij makkelijke manier is om iemand op te lichten, circuleren er veel valse websites op het internet. Volgens ZDNet komen er alleen per maand al 1,4 miljoen valse websites bij. Deze websites blijven niet altijd online, omdat autoriteiten ze uit de lucht halen of hackers ze zelf opdoeken als ze hun winst gemaakt hebben.

Internetgebruikers worden via verschillende kanalen, zoals social media, e-mails en sms-berichten, naar valse websites gelokt. Ze kunnen ook bovenaan bij zoekresultaten verschijnen als de oplichters een beetje handig met SEO zijn. Deze nepwebsites proberen je vaak te verleiden met een onweerstaanbaar aanbod of spelen op je emoties in met een urgente situatie.

Je ontvangt bijvoorbeeld een bericht van een loterij over een prijs die je hebt gewonnen, terwijl je niet actief meespeelt. Of je krijgt een e-mail van het CJIB over een parkeerboete die je onmiddellijk via de bijgevoegde link moet voldoen. Als je op de link klikt, wordt je naar de valse website geleid, waar je wordt gevraagd persoonlijke of financiële informatie in te voeren.

Phishing is afgeleid van ‘fishing’ (vissen), omdat cybercriminelen hun slachtoffers op een soortgelijke manier binnenhengelen. Met deze stappen vangen oplichters je met een valse website:

• Het lokaas uitgooien. Oplichters bouwen een valse website en lokken slachtoffers hier via misleidende berichten op verschillende kanalen naartoe.
• Binnenhalen. Slachtoffers die in de val trappen, delen hun gegevens vrijwillig of verschaffen de criminelen toegang tot hun apparaten.
• De genadeklap. Vervolgens installeren de oplichters malware op het apparaat van het slachtoffer en/of gebruiken ze de buitgemaakte gegevens om accounts te hacken of identiteitsfraude te plegen.

En soms kun je zelfs legitieme websites niet vertrouwen, omdat hackers deze met kwaadaardige code injecteren. Dit is het geval bij cross-site scripting, een cyberaanval waarbij criminelen een vertrouwde website corrupteren.

Het bezoeken van valse websites brengt veel risico’s met zich mee. Alleen al door een phishing-website te laden, kan er malware op je apparaat worden geïnstalleerd. Voorbeelden hiervan zijn:

• Trojans. Dit type malware, vernoemd naar het paard van Troje, sluipt onopgemerkt je systeem binnen. Zelfs een firewall of antivirusprogramma heeft vaak niet in de gaten dat het om een vermomde indringer gaat. Eenmaal geïnstalleerd kunnen Trojans ontzettend veel schade aanrichten. Een Trojan kan gegevens verwijderen, wijzigen, blokkeren en kopiëren. Ook kan het de deur wagenwijd openzetten voor hackers die uiteindelijk het hele systeem over kunnen nemen.
• Spyware. Deze vorm van malware is actief op de achtergrond. Je hebt er dus geen erg in dat cybercriminelen meekijken met al je online activiteiten. Ze kunnen bijvoorbeeld zien welke wachtwoorden je intoetst, waar je je bevindt en welke transacties je verricht.
• Adware. Bij adware gaat het om ongewenste installatie van pop-upadvertenties. Als je apparaat geïnfecteerd raakt, krijg je voortdurend pop-upvensters te zien. Dit kan zodanig uit de hand lopen, dat je apparaat onbruikbaar wordt.

Een ander groot risico is dat cybercriminelen je gegevens in handen krijgen. Als je een valse website niet als zodanig herkent, kun je worden overgehaald om je persoonlijke of financiële informatie weg te geven.

Hoewel cybercriminelen vaak slim te werk gaan, kun je valse websites vaak aan een aantal zaken herkennen. Let op de volgende tekenen:

• Onduidelijke inhoud en taal- en spelfouten. De inhoud van een originele website is over het algemeen duidelijk en de teksten zijn goed geschreven en vrij van grammaticale, interpunctie- en spelfouten. Omdat phishing-websites soms haastig worden opgezet, of door mensen die de taal niet goed spreken, kun je ze soms aan slecht taalgebruik herkennen.
• Vreemde URL. Merk je iets vreemds op aan de spelling of schrijfwijze? Heeft de URL een vreemde extensie of extra cijfers of letters?
• Geweldige aanbiedingen. Als iets te mooi is om waar te zijn, is het dat waarschijnlijk ook. Winkels geven over het algemeen niets gratis weg, tenzij daar iets tegenover staat.
• Overkill aan logo’s. Phishing-websites plaatsen soms lukraak logo’s van bekende merken op hun website die niets met de site/webwinkel te maken hebben. Dit doen ze om vertrouwd over te komen.
• ‘HTTP’-extensie. Is er geen slotje zichtbaar in de adresbalk van de website? Dan is de website niet beveiligd met HTTPS, wat betekent dat de informatie die je invoert niet versleuteld is. Dit is altijd belangrijk, maar vooral voor extra gevoelige zaken zoals online bankieren.
• Zichtbare keurmerken en KvK-nummer. Je kunt bij de Kamer van Koophandel nagaan of je met een legitieme webwinkel te maken hebt. Bedrijven zijn namelijk verplicht om hun KvK-nummer te vermelden. Bij de Europese Commissie kun je de btw-nummers van Europese webshops controleren. Betrouwbare webwinkels hebben meestal een of meer keurmerken zichtbaar op de website staan. Om te verifiëren dat het niet om knip- en plakwerk gaat, klik je op het logo van het keurmerk. Op de website van het keurmerk kun je vervolgens nagaan of de webwinkel er ook daadwerkelijk bij is aangesloten.
• Contactmogelijkheden.Controleer verder op welke manieren je een webwinkel of bedrijf kunt contacteren. De stelregel is: hoe meer, hoe beter. Ga na of er sprake is van een herroepingsrecht en of de webwinkel dit recht duidelijk heeft omschreven. Vertrouw de website niet, als dit niet zo is.
• Slechte beoordelingen van andere gebruikers. Vertrouw de website niet als deze slecht door andere beoordeeld wordt, of veel mensen er problemen mee ondervinden.

Wacht niet tot je slachtoffer wordt van een cyberaanval.
Bescherm jezelf met een VPN.

Neem direct de volgende maatregelen als je op een phishing-link hebt geklikt en op een valse website terecht bent gekomen:

• Heb je gegevens ingevoerd? Verander de wachtwoorden van je accounts onmiddelijk;
• Neem contact op met je bank als je denkt dat oplichters toegang tot je account hebben of als je je tot een transactie hebt laten verleiden. Misschien kan je bank de transactie nog terugdraaien. En hoewel banken hiertoe niet verplicht zijn, vergoeden ze in sommige gevallen financiële schade.
• Voer een grondige virusscan uit. Misschien is er malware op je apparaat geïnstalleerd;

Volg deze tips om te voorkomen dat je het slachtoffer van een phishing-aanval wordt:

• Leer phishing-websites herkennen. Gebruik de tips die we eerder in het artikel hebben genoemd om valse websites te herkennen. Sluit de website meteen als je deze niet vertrouwt.
• Kijk goed naar de afzender van een e-mail. Je kunt via verschillende kanalen op een valse website terechtkomen. Ontvang je een e-mailbericht met een link? Controleer dan eerst of de afzender ook echt degene is die hij of zij beweert te zijn. E-mailadressen die opgebouwd zijn uit voornamen, cijfers en symbolen zijn hoe dan ook verdacht.
• Klik nooit zomaar op een link. Beweeg, voordat je een link aanklikt, met je muis over de link. Zo kun je zien naar welk adres de link of de knop leidt. Als je de link hebt aangeklikt, ben je al te laat. Je kunt de link in plaats daarvan in het adresbalk van de browser typen.
• Open alleen beveiligde websites. Heb je een website gevonden via een zoekmachine? Dan kun je vrij snel zien of het om een veilige website gaat. Aan het begin van de URL staat HTTPS, wat betekent dat de website over een SSL-certificaat beschikt. Een SSL-certificaat wordt alleen afgegeven aan authentieke en veilige websites. Je kunt het ook zien aan het slotje voor de URL. Als je op het slotje klikt, zie je meteen tot wanneer het certificaat geldig is.
• Installeer antimalwaresoftware en update deze regelmatig. Door een phishing-website te bezoeken, kan er automatisch malware op je apparaat geïnstalleerd worden. Een goede malwaredetectie-tool kan dit voorkomen door je voor schadelijke links te waarschuwen en je downloads op malware te scannen.

Kom je een frauduleuze website tegen of ben je slachtoffer van een phishing-scam geworden? Door een phishing-website te melden kun je voorkomen dat er nog meer mensen opgelicht worden.

Veel mensen schamen zich dat ze slachtoffer van phishing zijn geworden, omdat cybercriminelen misbruik van hun goedgelovigheid hebben gemaakt. Maar omdat oplichters steeds slimmer te werk gaan, kan het echt iedereen overkomen. Als je zelf slachtoffer bent geworden, meld dit dan altijd bij de Fraudehelpdesk. Zij houden nieuwe trends en ontwikkelingen op het gebied van cybercriminaliteit bij en waarschuwt mensen voor nieuwe vormen van fraude of online oplichting. Zo kun je helpen voorkomen dat er nog meer slachtoffers vallen.