Betaalvereniging Nederland: Aantal phishing-sms'jes verdubbelde sinds begin 2019

Het aantal phishing-sms'jes is sinds het begin van dit jaar meer dan verdubbeld. In de eerste drie weken van september deden 15.000 mensen melding van valse berichten, ten opzichte van 7000 aan het begin van 2019.

De cijfers werden bekend gemaakt door Betaalvereniging Nederland. De brancheorganisatie deed een steekproef onder leden van de vereniging en kwam zo tot de meer dan dubbele cijfers. Het totale aantal meldingen van phishing is in die periode hetzelfde gebleven, zegt de Betaalvereniging. Daardoor is het percentage van sms-phishing een groter onderdeel geworden van het totale aantal phishingmeldingen. Dat percentage lag in februari nog op tien procent, maar in augustus en september op een kwart.

De meeste valse sms'jes werden verstuurd uit naam van grote organisaties zoals de Belastingdienst, DigiD, of het Centraal Justitieel Incassobureau. Ook worden er veel sms'jes verstuurd die zogenaamd van webwinkels of telecomproviders afkomstig zouden zijn. In de meeste gevallen gaat het om berichten waarbij een potentieel slachtoffer op een link moet klikken. Dat gebeurt meestal met een urgente boodschap, zoals een betaalrekening die bijna zou worden geblokkeerd of een app die niet meer veilig zou zijn.

Betaalvereniging Nederland deed de steekproef in opdracht van Omroep MAX. Dat zendt vrijdagavond een uitzending over het onderwerp uit. Het gaat dus om het aantal sms'jes waarover de aangesloten banken berichten kregen, maar het werkelijke aantal ligt waarschijnlijk veel hoger, erkent de vereniging. Andere instanties zoals de Fraudehelpdesk en de politie waarschuwden eerder ook al voor een toename in dergelijke 'smishing'.

Reacties (71)

[lucatoni]

Het wordt tijd dan banken überhaupt stoppen met legitieme e-mails.Dan maar een andere manier om met klanten te communiceren (bijvoorbeeld via een inbox in de app). Ik word doodgegooid met reclame e-mails van ING (bv aankondiging apple pay, rentepunten inwisselen etc etc, , en juist daardoor maken ze indirect phishing mogelijk. Kennelijk is het normaal om info te delen via mail en wat oudere klanten kunnen nooit het verschil zien tussen een legitieme mail en een foutieve.

[t2012]

Goed punt. Misschien moet de KvK dan ook stoppen met het verkopen van bedrijfsinformatie. Mijn vrouw staat ingeschreven met haar 06 en krijgt ook van zulke sms'jes. Ik ben bang dat deze criminelen via via gewoon een grote set aan 06 nummers via hun hebben.

Daarnaast heb je natuurlijk ook nog steeds de 06 nummers die via een datalek op straat komen te liggen...

[nl0jdb]

Ik hen gewoon een oud prepaid nummer aan de kvk toegevoegd, heerlijk rustig klanten weten me toch wel te vinden.

[SkyStreaker]

Kom, het is gewoon ouderwets: "0600000001 <...> 0699999999" afgaan. Daar zijn tools voor en met onbeperkt sms'en tegenwoordig...

[twkr18526]

Dit dus. Heb er ooit over geklaagd bij kvk dat ze een verdienmodel hebben op mijn gegevens die ik verplicht moet opgeven. Sindsdien lastig gevallen door oa energie en kabelbedrijven. Ook al geef ik aan niet gebeld te willen worden.

Kvk reageerde alleen laconiek dat niets te zeggen hebben over bedrijven die dit doen. Ehm jawel, niet meer verkopen.

Nu mn mobiel met vervangen door prepaid en zie daar steeds gemiste oproepen van onbekende nr’s. Helaas ook nog op mn eigen nr. Heb zelf ooit wel eens dm campagnes laten uitvoeren. Het verzamelen, ontdubbelen etc was altijd twijfelachtig.

[Bezulba]

Grappig hoe je het zelf wel doet, maar vervelend vinden als andere bedrijven hetzelfde doen met jouw gegevens.
Of grappig, eigenlijk dieptriest.

[twkr18526]

Op zich wel ironisch. Bij dat bedrijf hebben we wel aangegeven de richtlijnen goed te volgen, maar je kwam er bij sommigen uiteindelijk erachter dat het niet helemaal sjofel was. Ging ten koste van je merk, wat toen ook belangrijk was.

Wat ik nu veel zie zijn sms’jes “namens” Rabobank, terwijl ik daar geen rekening heb. Of een betalings herinnering van de Belastingdienst naar een split.to URL. Er hoeft maar een paar procent te reageren en het loont voor ze.

[eevh]

Een brief per post, prima oplossing. Werkt al eeuwen goed.

[Douweegbertje]

Er word ook net zo goed opgelicht en gefraudeerd met post. Zie hier ook direct het bewijs, jij denkt dat een brief per definitie goed is
Ik heb meer pogingen via de post gehad dan digitaal.

[TijsZonderH]

Ik krijg altijd mailtjes van ING met "Er staat een bericht klaar in de app". Werkt op zich goed maar voelt altijd erg spammy.

[supersnathan94]

Ik snap dat ook niet zo goed. Als je er nou gewoon voor zorgt dat je push notificaties het doen dan is er niks aan de hand.

[djwice]

Je kunt je gewoon afmelden voor de ING nieuwsbrief. Dat weet je zeker dat elk e-mailtje daarns in naam van ING aan jou van een scammer komt.

Je logt vaak genoeg in bij ING om belangrijke informatie rondom de producten die je afneemt niet te missen.

[Reactie gewijzigd door djwice op 23 juli 2024 13:40]

[Bitzer]

Ik heb onlangs zo'n phising-sms gemeld bij de provider maar die doen er niets mee: "Wij blokkeren geen telefoonnummers."
Ze hadden op zijn minst kunnen onderzoeken of en hoeveel klanten ook zulke sms-jes krijgen.

[Ragez]

Ik kon me eerder nooit voorstellen dan men hier in zou trappen, totdat mijn vader een Paypal email kreeg van een ongeautoriseerde betaling. Gelukkig zag ik dat het domein niet van Paypal zelf was, anders zouden we er gegarandeerd in zijn getrapt. Vooral zuur voor de oudere generatie die niet zo goed om kan gaan moderne tech.

[blinchik]

Tegenwoordig zetten ze zelfs SharePoint sites op waardoor het op een legitiem Microsoft domein draait en daar zetten ze fake office 365 logins op

[Mopperman]

Laatste tijd ontvang ik met regelmaat sms’jes van banken:

Laatste ook, betalen.bekendebank.nl.vaagdomein.ru

In je browser zie je de url welke je kent, maar dat laatste stukje “ah dat zal wel goed zijn”....

Vaak zijn de berichten in deze format:

[SNS Bank]: Uw huidige SNS Digipas vervalt 21 augustus. Vraag uw SNS Digipas aan en voorkom blokkade van uw pinpas en SNS Digipas via: <url>/voorkom-blokkade

De websites zijn exacte clones van de bank zelf - en de url die je vaak te zien krijgt volgt bovenstaand idee.

[Reactie gewijzigd door Mopperman op 23 juli 2024 13:40]

[HoppyF]

Noemen ze je naam en bankrekeningnummer in de SMS?
Vast niet.
Zo ook met phishing e-mails.

[thespeed]

Vandaag kreeg ik een sms met daarbij mijn achternaam.
Geen idee als ze de link al plat gegooid hebben. Ik heb hem in ieder geval bij de bank gemeld

Rabobank:Geachte ....... ,

Uw Huidige betaalpas vervalt voor gebruik. Vraag nu gratis onze vernieuwde betaalpas aan via: http://www.wereldpas-aanvraag.com .

met vriendelijke groet
Rabobank.

[HoppyF]

Zou kunnen want ze hebben je telefoonnummer ook ergens vandaag.
Voor criminelen is de naam/telefoonnummer koppeling niet zo moeilijk.
Het wordt een stuk lastiger als ze je bankrekening ook nog moeten toevoegen.
Bv uit jouw voorbeeld: “Uw huidige betaalpas van rekening NL19RABO.... enz.”
Blijft natuurlijk dweilen met de kraan open want iedere keer probeert men iets anders.
Controle op echtheid van een domein is er ook al niet, iedereen kan binnen een paar minuten een domein aan laten maken.

[SkyStreaker]

Je gaat bepaalde hits gewoon "doxxen", alle info consolideren en relaties nagaan. Er komen bepaalde dingen naar voren. Niet iedereen in je facebook-relaties heeft de boel dicht, linkedin-relaties, je oude whatever-social is nog niet helemaal van het internet verdwenen. Ergo: sms met achternaam.

Mensen realiseren zich niet (helemaal, gedeeltelijk) dat het internet ook daadwerkelijk interconnectie van al jouw gegevens kan betekenen.

[CivLord]

In de meeste gevallen is dat te veel werk.
Ze zullen eerder gegevens aankopen van een gehackte database, waar én je telefoonnummer én je naam in staat.

[Mopperman]

Klopt, maar ze reppen ook niet over je rekening. Bij een sms’je van snsbank is het je digipas. Bij een sms’je met Rabobank is het je random reader die vernieuwd moet worden en bij ING verloopt je wachtwoord.

Overigens communiceren de meeste banken geen rekeningnummers, hoogstens een naam, maar een sms is natuurlijk bedoelt voor korte berichten.

[HoppyF]

Als men mij niet met mijn volledige naam aanspreekt en geen rekeningnummer noemt dan kom ik niet eens in beweging. Sms, e-mail e.d. maakt mij niet uit.
Kortom, mensen opvoeden hierop te letten kan helpen dit soort fraude tegen te gaan.

[Itrme]

Dus als iemand via bijv social engineering (hoeft nieteens via jou te zijn maar bijv een kennis) dit weet op te noemen kom je wel in beweging?

Eigenlijk is de regel altijd al geweest "klik nooit op links in berichten/emails" (wordt iets lastiger als je je net geregistreerd hebt voor een account.)

[HoppyF]

Inderdaad.
Komt er echt een sms e-mail binnen met juiste naam, rekening enz. en is de aanhef correct dan wil ik wel serieus in de info kijken waar het over gaat.
Zonder overigens zomaar op een link te klikken.
Ik ben het ermee eens dat links in een e-mail daar niet horen.
Als men echt wil dat je actie onderneemt kan er ook staan, ga naar onze website en log in met je gegevens.
E-mail is ook onveilig en de afkomst ook niet gegarandeerd.
Iets waar al jaren over wordt gepraat maar niets mee wordt gedaan.
Technisch is het best mogelijk e-mail zwaar te beveiligen en te garanderen dan de afzender ook is wie hij zegt te zijn.

[darkfader]

En spam in je Google agenda zetten. Ze verzinnen elke keer iets nieuws.

[Luftbanana]

Valt dit onder Domain Fronting?

[caipirinha]

Mijn ervaring is dat juist de jongere generaties niet met tech kunnen omgaan zodra het een beetje afwijkt van het gangbare patroon.
De "het moet werken maar hoe interesseert me niet" generatie dus.
Binnen elke leeftijdsgroep heb je de twee uitersten (ongeinteresseerden en tweakers), digibetisme is niet exclusief voor ouderen..

[botoo]

Zelfs als je goed oplet kan je er nog intrappen dankzij de url's en/of verkorte url's waar legitieme bedrijven zoals banken zich regelmatig van bedienen en het word nog lastiger als jij net een bericht van je bank verwacht.
SMS phishing gaat 999 van de 1000 keer de mist in maar die ene keer dat ze beet hebben is genoeg als de spammers 10 duizenden phishing sms'jes zonder veel moeite kunnen versturen, keer op keer op keer.

[incaz]

Ik heb een keer een legitieme mail gerapporteerd (expres) omdat die alle dingen deed die phishing mails ook doen, inclusief een 'klik hier' naar een extern domein Als je de phishers niet veel ruimte wilt geven, doe het dan zelf ook niet zo!

[The Chosen One]

Inloggen op de paypal website en checken.

[DanielC.]

Dat os de beste manier om shit te voorkomen. Ik werk op de helpdesk van een redelijk bekende ISP en je wilt niet weten hoeveel vragen we dagelijks krijgen over dit soort emails. Als al die mensen nou eens inloggen op hun account en het zelf checken ....

[kodak]

Het gaat hier niet om urls waarin je nog wat kan herkennen, maar om sms berichten die geen nummer maar alleen een valse naam als afzender hebben. Er valt niet eens te controleren of de afzender klopt.

[FreshMaker]

Buurman verderop :
Dom in zo'n 'hello i'm from microsoft, you have a problem' getrapt
kosten : 250€t

2 dagen later, een mail van zijn bank ( Triodos meen ik ) dat er een verdachte transactie was.
Hij klikte daar op, want hij had het natuurlijk gemeld ... boem - weer 500€ afgeschreven
4 dagen, 750€ lichter, en niemand die hem kon helpen ( ja, goede adviezen achteraf .... maar centen blijven kwijt )
Volgens de bank aangifte doen, maar aangifte tegen onbekend is helaas geen prioriteit.
Nu er een paar MAX-kijkers hebben geklaagd ( het was vandaag op TV ) is het dus wel een probleem

Banken en financiele instellingen moeten betere vormen van communicatie gaan gebruiken, ze hebben hun apps, en desnoods achter de inlogpagina zelf, maar niet via SMS / Mail wat elke betalende crimineel groot kan inkopen.

[lappro]

Probleem is dat Paypal zelf ook verdachte mails stuurt. De regelmatig verstuurde "bekijk je recente transacties" mail bevat een "log nu in" link wat gaat naar het https://epl.paypal-communication.com/ domain ipv gewoon *.paypal.com.

Als zelfs betalingsverwerkers moeite hebben met duidelijke communicatie, snap ik dat mensen die minder verstand van computers hebben het niet meer te volgen vinden.

[Cerberus_tm]

Een wachtwoordmanager kan helpen. Als je dan bij PayPal bent maar Lastpass geeft geen accounts beschikbaar voor dat domein, kun je niet per ongeluk even inloggen, en zie je makkelijk dat het een verkeerd domein is.

[captain007]

Ik verbaas mij nog steeds dat anno 2019 banken en creditcardmaatschappijen nog gebruik maken van SMS als dit zo gemakkelijk te phishen is. Als je dat communicatiemedium gewoon uitfaseert is het ook veel duidelijker voor eindgebruikers wat echt is en wat niet.

[litebyte]

Ik verbaas me eigelijk meer dat bij u in EU(ropa) er vrijwel geen mogelijkheid meer is om je bankzaken 'gewoon analoog' te regelen.

'We' prijzen altijd de gemakken van online betalen en andere bankzaken, maar zodra er wordt gewezen op de zwakheden en de relatieve makkelijkheid om er misbruik van te maken - dan wordt dat vaak afgdaan als naiviteit dan wel stommiteit van de klant. Zeker als de klant vrijwel wordt gedwongen om er gebruik van te moeten maken heb je als bank verantwoordelijkheid.

Eerste 3 weken in September al om 15.000 slachtoffers gaat, dan gaat het om enorme aantallen.

Er is 1 goede oplossing: biedt klanten de mogelijkheid om de communicatie/bankzaken van de bank uit alleen via papieren post danwel loket te doen.

[Bert2000]

Ik weet niet bij welke bank jullie allemaal zitten maar ABN Amro stuurt zo goed als geen email of sms.

[kodak]

En hoe kan het dat criminelen in 2019 nog steeds massaal valse sms-berichten kunnen versturen waarbij de afzender niet klopt?

Het bedenken van protocollen zonder serieus rekening te houden met de beveiliging blijft ons jaren achtervolgen. En zelfs als al jaren bekend is dat je de opgegeven afzendernaam niet kan vertrouwen doen applicaties die het ontvangen en presenteren het ook nog steeds.

[Reactie gewijzigd door kodak op 23 juli 2024 13:40]

[skunkopaat]

Wat zou volgens jou een oplossing kunnen zijn? Je kunt spoofing toch niet tegen gaan in dit geval?

[PvtMashkov]

Verified SMS zou hier een belangrijke rol in kunnen gaan spelen!

https://developers.google...ty/sms-retriever/overview

[Reactie gewijzigd door PvtMashkov op 23 juli 2024 13:40]

[kodak]

Zolang de protocollen niet vervangen kunnen worden zit de oplossing in de ontvanger juist informeren. Als het bij email clients wel kan om te waarschuwen dat een afzender waarschijnlijk gespoofd is kan dat bij sms clients ook. Bijvoorbeeld door bij berichten met alleen een naam als afzender te waarschuwen (die stuurt je oma waarschijnlijk niet omdat afzenders bijna altijd wel een nummer meesturen).

[FreshMaker]

Geen onveilige manieren gebruiken

De bank wil me niet helpen met een IOS9 device, want onveilig
Maar ze willen wel mail / SMS sturen, wat NOG onveiliger blijkt te zijn

[N97]

Kreeg ook laatst zo'n smsje op mijn werktelefoon van een bank:

Uw van Lanschot Login App verloopt binnenkort
Verleng uw registratie van de Login App met uw digipas
Dit doet u via Mijn Van Lanschot: <<schimmige URL>>

1. Van Lanschot is niet mijn bank.
2. Dit is mijn werktelefoon
3. Vage URL
4. Sms ipv mail of brief
5. Sms met melding ipv dat de app de melding doet.

Kijk, ik heb IT achtergrond maar me bejaarde buuf die doet dit niet snappen. Enige wat ze snapt is nooit zomaar ergens op moet klikken en nooit haar wachtwoord en pincode moet afgeven aan 3e personen.
Laten we hopen dat maar weinig mensen in deze onzin zijn getrapt.

[Reactie gewijzigd door N97 op 23 juli 2024 13:40]

[CHKYBSTRD]

Je zult je verbazen hoeveel mensen hierin trappen en het zijn echt niet alleen maar bejaarden.

Helaas tegenwoordig hier bijna dagelijks mee te maken.

[N97]

Je zal vast gelijk hebben. Als we mijn voorbeeld nemen, Van Lanschot is een vermogensbank, zullen vast types zijn die denken dat het naar de verkeerde is gestuurd en nieuwsgierig op het linkje klikken.

[Reactie gewijzigd door N97 op 23 juli 2024 13:40]

[sapphire]

Dat zegt niets, ik krijg ze sinds een maand regelmatig met iedere bank er in.
Tot nu toe ING, Rabo, Knab, ABN en Buma voorbij zien komen.

[Lapa]

Alleen punt 1 en 2 zullen een groot deel van de mensen die niet zo technisch onderlegd zijn opvallen. En dat zijn punten die vaak genoeg wel gaan kloppen, als de spam maar genoeg mensen bereikt.
Ik heb er zelf ook een paar gehad die overduidelijk fake waren omdat ik niks met de betreffende banken te maken heb. Maar anders waren ze behoorlijk overtuigend geweest en snap ik dat mensen die niet weten hoe een URL is opgebouwd daar in kunnen trappen.

En het is absoluut logisch dat de meeste mensen niet weten hoe een URL is opgebouwd, net zoals ik niet weet hoe je (bijvoorbeeld) een ziekenhuisbed verstelt.

[Solopher]

Ik kreeg ze eerst nooit, afgelopen weekend opeens 3 stuks.
Ik open de link met curl, kijk naar welke bank het wordt doorgestuurd en stuur het betaalverzoek vervolgens door naar de betreffende bank.

Sommige banken reageren snel, van één bank helemaal geen reactie gehad. Ik trap er gelukkig niet in, maar kan me voorstellen dat sommige mensen denken dat dit echt is.

Vind dat ze de mensen die hun rekening laten misbruiken, hiervoor hard moeten aanpakken.

[Reactie gewijzigd door Solopher op 23 juli 2024 13:40]

[Verwijderd]

Misschien is het nuttig om die bank die niet reageert hier even te noemen, kan geen kwaad :-)

[Acid Vendetta]

Inmiddels een aantal van deze valse SMSjes mogen ontvangen met het verzoek om mijn betaalpas te vervangen door eentje met NFC 1337 inclusief vage link. Het rare is alleen dat het in een zelfde no reply notificatie "SMS gesprek" terecht komt als van mijn bank (Android beperking?). Hierbij kan ik niet achter de verzender komen. Ik snap wel dat op deze manier mensen beginnen te twijfelen ook al is het bericht zelf wel verdacht.

[AppieNL]

Ik heb begrepen dat het een beperking is van hoe de banken sms'jes versturen. Aangezien er geen telefoon nummer of zo achterzit, maar ze het gewoon versturen onder de "ING header", kan elke prutser hier op inhaken en ook onder die ING header verzenden. Hierdoor komen ze op je telefoon in hetzelfde gesprek als echte sms'jes van je bank. Zo werkt het een beetje.

De banken moeten wat mij betreft hier echt mee aan de slag, want dit wekt echt verwarring en ik twijfelde ook toen ik zo'n sms kreeg (om vervolgens in te loggen op de normale manier om te kijken wat er aan de hand was, niks dus).

[djwice]

Had de scammer in ieder geval wel humor 1337

Het is tegenwoordig kinderspel om de login van een bank na te maken én te laten functioneren als het origineel (incl. MFA). Zo'n man-in-the-middle website is gemaakt en operationeel in 20 tot 40 minuten.

[Reactie gewijzigd door djwice op 23 juli 2024 13:40]

[Finraziel]

Ik krijg ze de laatste maanden ook met enige regelmaat inderdaad... Maar ik negeer ze gewoon, ga ze echt niet ergens melden.

[Tuumke]

Waarom kunnen ze geen spamfilters installeren bij de provider? Kan voor je mail toch ook!

[kzin]

Het probleem is dat bij SMS is het vrij eenvoudig een willekeurig telefoonnummer als afzender te gebruiken. Bovendien heb je geen onderwerp, zoals bij mail. Je zou alleen kunnen filteren op de inhoud van het text bericht. Maar dat is voor algemene filtering weer lastig. Het filter weet niet of in een rekening heb bij de ABN-AMRO, ik wel.

[Groningerkoek]

Omdat die filters dan of zo streng moeten zijn dat er ook wel te ontvangen berichten achtergehouden worden, of juist wat te licht moeten staan zodat er nog steeds spam doorkomt en er een valse schijn van veiligheid word gewekt.

(Voor mail moet het eerste perfecte filter ook nog ontwikkeld worden)

[AppieNL]

Ik kreeg ook 2x zo'n sms en ben toen gaan zoeken hoe ik dat soort troep kon blocken op mijn telefoon. Bleek in sms instellingen gewoon een optie te staan om nummers te blokkeren of woorden. Aangezien je geen nummer krijgt bij dit soort troep en ze net als je bank gewoon onder die naam sturen heb ik toen wat woorden toegevoegd die ik alleen vind in dat soort phising sms-jes. Sindsdien heb ik niks meer gezien, maar zie ook niks in de "spam folder" die ook in dat menuutje staat, dus of het echt werkt? Dit is op een Android telefoon trouwens mocht je dat willen weten.

[Reactie gewijzigd door AppieNL op 23 juli 2024 13:40]

[Tuumke]

Ok dat klinkt wel nice. Thnx