Hoe werkt smishing en hoe bescherm je jezelf ertegen?

Smishing werkt met een nep-sms of nepbericht in een app, waarin oplichters zich voordoen als een bekende organisatie. Het bericht bevat een link naar een nepwebsite of een verzoek om te bellen. Wat je op die website invult, zoals inloggegevens of betaalgegevens, gaat rechtstreeks naar de oplichters.

Daarbij gebruiken ze vaak spoofing: ze vervalsen de afzendernaam, zodat die lijkt op die van je bank of pakketdienst. Omdat je telefoon berichten op afzendernaam sorteert, kan een nep-sms zelfs tussen de echte berichten van je bank staan.

Een herkenbare situatie: tussen twee vergaderingen door krijg je een sms dat je pakket niet bezorgd kon worden. Je tikt snel op de link. Op Android-telefoons vraagt de pagina dan soms om een track & trace-app te installeren. Zo’n app kan wachtwoorden onderscheppen, sms-berichten meelezen en zich via je contactenlijst verder verspreiden.

Je herkent een smishing-bericht aan een combinatie van haast, een onverwachte afzender en een link of een verzoek om gegevens. Het bericht wil dat je handelt voordat je nadenkt. Let vooral op deze vijf signalen:

• Valse urgentie: “Je pakket wordt vandaag teruggestuurd” of “Je rekening wordt geblokkeerd”.
• Vreemde of verkorte links: het webadres wijkt af van de officiële website.
• Onpersoonlijke aanhef: geen naam, maar “Beste klant” of “Beste gebruiker”.
• Spelfouten of vreemd taalgebruik: al zijn foutloze nepberichten door AI steeds gewoner.
• Verzoek om gevoelige gegevens: zoals je wachtwoord, betaalgegevens of DigiD-inlog.

Krijgt een collega op de financiële administratie een sms dat de zakelijke rekening vandaag geverifieerd moet worden? Stop dan eerst even. Een bekende afzendernaam bewijst niets, want die is eenvoudig te vervalsen.

Die signalen herken je sneller als je ermee oefent. In de CSA 1 en 2 Workshop oefen je met echte voorbeelden van nepberichten en andere vormen van misleiding.

Oplichters bootsen vooral organisaties na waar bijna iedereen mee te maken heeft: banken, pakketbezorgers, de overheid en grote techbedrijven. Zo is de kans groot dat het bericht past bij iets wat je verwacht.

• Banken: zoals ING, Rabobank en ABN AMRO, over een verdachte transactie of een geblokkeerde rekening.
• Pakketdiensten: zoals PostNL en DHL, over een mislukte bezorging of invoerkosten.
• Overheid: zoals de Belastingdienst of het CJIB, over een openstaande schuld of boete.
• Techbedrijven: zoals Apple, Google en Microsoft, over een probleem met je account.
• Telecomproviders: over een factuur, je databundel of een accountcontrole.

Op de administratie kan het ook een sms van je provider zijn over een onbetaalde zakelijke factuur. Nederlandse banken vragen je nooit om via een link in een sms in te loggen. Het CJIB stuurt boetes alleen per post. Twijfel je, ga dan zelf naar de officiële website of app van de organisatie.

Smishing is een vorm van phishing. Het verschil zit in het kanaal: phishing komt via e-mail, smishing via sms of een berichtenapp en vishing via de telefoon. Het doel is steeds hetzelfde: je gegevens of je geld.

Omdat steeds meer mensen een nepmail herkennen, wijken oplichters uit naar sms. Soms combineren ze de kanalen. Je krijgt dan eerst een sms over een verdachte betaling, met een nummer om te bellen. Aan de lijn zit een nep-bankmedewerker die je geld wil laten overboeken naar een ‘veilige’ rekening.

Het volledige overzicht lees je in het verschil tussen phishing, smishing en vishing.

Je beschermt jezelf tegen smishing door nooit via een link in een onverwacht bericht in te loggen of te betalen. Technische maatregelen maken het oplichters daarnaast moeilijker.

• Klik niet op links in sms-berichten van onbekende of onverwachte afzenders.
• Controleer de bron door zelf de officiële website of app te openen.
• Gebruik tweefactorauthenticatie, een extra inlogstap naast je wachtwoord. Een gestolen wachtwoord is dan niet genoeg.
• Houd je telefoon en apps up-to-date, zodat bekende beveiligingslekken gedicht zijn.
• Installeer apps alleen via de officiële appwinkel en gebruik eventueel een beveiligingsapp die verdachte links herkent.
• Deel je telefoonnummer zo min mogelijk online, zodat het minder snel bij oplichters belandt.

Krijg je op je werktelefoon een sms van “IT-support” dat je wachtwoord verloopt? Open dan zelf het intranet of bel de servicedesk. Meer tips lees je in hoe je je smartphone beveiligt tegen hackers.

Heb je op een smishing-link geklikt, verbreek dan direct de internetverbinding van je telefoon en wijzig je wachtwoorden. Heb je betaalgegevens ingevuld, bel dan meteen je bank. Hoe sneller je reageert, hoe kleiner de schade.

Volg deze stappen zo snel mogelijk:

1. Verbreek de verbinding: zet wifi en mobiele data uit, zodat eventuele malware, oftewel schadelijke software, niets meer kan versturen.
2. Wijzig je wachtwoorden: begin bij het account dat je hebt prijsgegeven en doe dit bij voorkeur op een ander apparaat.
3. Bel je bank: heb je betaal- of bankgegevens ingevuld, laat dan direct je pas of rekening blokkeren.
4. Controleer je telefoon: scan op malware en verwijder onbekende apps, of zet je telefoon terug naar de fabrieksinstellingen.
5. Meld het: meld het bij de Fraudehelpdesk en doe bij schade aangifte bij de politie. Is het je werktelefoon, licht dan meteen je IT-afdeling in.
6. Waarschuw je contacten: sommige malware stuurt vanaf jouw telefoon nep-sms’jes naar je contactenlijst.

Schaam je niet als het je overkomt: ook ervaren gebruikers trappen er soms in. Het volledige stappenplan lees je in wat je doet na een klik op een phishinglink. Gebeurt dit binnen je organisatie, lees dan ook wanneer een security awareness training zinvol is.

Je leert smishing sneller herkennen door te oefenen met echte voorbeelden, totdat je de patronen ook onder tijdsdruk ziet. Techniek houdt namelijk niet elke nep-sms tegen. Of je klikt, beslis je uiteindelijk zelf.

Oefenen loont vooral voor een receptiemedewerker die dagelijks berichten van bezorgers en leveranciers krijgt. Wie het patroon kent, waarschuwt collega’s bovendien sneller. We verzorgen al ruim 25 jaar IT-trainingen, ook voor mensen zonder IT-achtergrond.

In de Certified Security Awareness 1 en 2 Workshop (CSA 1 en 2) leer je in één dag ook verdachte berichten melden en bedrijfsinformatie beschermen. Technische voorkennis heb je er niet voor nodig. Werk je liever in je eigen tempo, dan volg je de stof als Engelstalige zelfstudie.