“Uw pakket kon niet worden afgeleverd. Plan een nieuwe bezorging via [link].” Het sms’je verschijnt midden op de dag, precies op een moment dat je toevallig wel iets besteld hebt. Je klikt zonder er lang bij stil te staan, en komt op een pagina die eruitziet als die van PostNL of DHL. Daar wordt gevraagd om een paar euro aan “extra verzendkosten” te betalen met je bankkaart, of om een app te installeren voor “trackinginformatie”.
Hoe de truc precies werkt
Dit heet smishing, phishing via sms, en het draait volledig om tijdsdruk en herkenning. Criminelen weten dat een groot deel van Nederland op elk moment wel een pakket onderweg heeft. Een bericht over een mislukte bezorging of openstaande douanekosten komt daardoor bij veel mensen toevallig geloofwaardig over. Dat is geen toeval, dat is de hele opzet. De link in het bericht voert naar een nagemaakte pagina van PostNL, DHL of bpost, compleet met logo en vertrouwde kleuren. Vul je daar je kaartgegevens in, dan worden die direct gebruikt om geld bij je weg te halen. Op sommige pagina’s wordt in plaats daarvan gevraagd een app te installeren om de bezorging te “volgen”, en die app is in werkelijkheid malware die verder op je telefoon rondneust.
Het verschil met een echt bericht
Een echte bezorgmelding van PostNL of DHL komt vrijwel altijd pas nadat je al een bestelling hebt geplaatst waarvan je het tracknummer kent, en vraagt nooit om een betaling via een link in een sms. Douanekosten voor een pakket uit het buitenland worden door de vervoerder apart en via officiële kanalen afgehandeld, niet via een haastig sms’je met een betaalknop. Let ook op het afzendernummer: een officieel bedrijf verstuurt meestal via een herkenbare afzendernaam in plaats van een willekeurig buitenlands nummer, al is dat op zich geen garantie, want ook afzendernamen zijn te vervalsen.
De belangrijkste vraag die je jezelf kunt stellen: verwacht ik eigenlijk een pakket, en zo ja, klopt dit tracknummer met wat ik eerder heb gekregen? Twijfel je, open dan niet de link maar de eigen app van de vervoerder of de bevestigingsmail van de webshop, en zoek daar de status van je bestelling op.
Waarom dit vooral op Android berucht is
Op een Android-telefoon kan een gebruiker, na een waarschuwing weg te klikken, zelf een app buiten de Play Store installeren. Smishing-berichten die naar malware leiden, maken daar gretig gebruik van. In plaats van een betaalpagina krijg je een melding dat je een “pakket-app” of “DHL-tracker” moet installeren om verder te komen. Die app vraagt vervolgens om een hele reeks rechten, bijvoorbeeld toegang tot sms-berichten of de mogelijkheid om het scherm over te nemen, en gebruikt die om bankgegevens te onderscheppen of zelf sms’jes te versturen. Op een iPhone is dit lastiger, omdat installeren buiten de App Store standaard niet mogelijk is. Een valse betaalpagina blijft daar wel degelijk een risico.
Al geklikt of een app geïnstalleerd?
Heb je alleen op de link geklikt maar niets ingevuld, dan is er meestal weinig aan de hand, al kan het geen kwaad de pagina te sluiten en je telefoon even met rust te laten. Heb je kaartgegevens ingevuld, neem dan direct contact op met je bank om de kaart te blokkeren. Heb je een app geïnstalleerd, zet het toestel dan in de vliegtuigstand en verwijder de app zo snel mogelijk, bij voorkeur met hulp van iemand die verstand heeft van telefoons als je er zelf niet helemaal uitkomt. Verander daarna ook wachtwoorden die op het toestel opgeslagen stonden, voor de zekerheid vanaf een ander apparaat. Meld de sms ook bij de instantie die zogenaamd de afzender was, de meeste vervoerders hebben daar een vast mailadres voor, en bij Fraudehelpdesk.nl.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.