Je krijgt een e-mail. Onderwerp: “Dringend: je bunq rekening is tijdelijk beperkt.” Het logo ziet er juist uit. De toon klinkt professioneel. Er staat een knop in die je vraagt je gegevens te bevestigen.

Je hartslag gaat omhoog. Je klikt.

Zo werkt phishing. Niet door je toestel te hacken, maar door één moment van paniek, nog voordat je hoofd kan volgen. Hier lees je alles wat je moet weten om ervoor te zorgen dat het bij jou niet werkt.

Wat is phishing?

Bij phishing doet een oplichter zich voor als een vertrouwd bedrijf (je bank, een koeriersdienst, een overheidsinstantie) om je te misleiden zodat je persoonlijke gegevens afgeeft. Een wachtwoord, een kaartnummer, een eenmalige code. Alles waarmee ze binnenraken.

Het gebeurt via e-mail, SMS, telefoontjes en nepwebsites. De vorm verandert. De tactiek niet: jou snel laten handelen, voordat je even stilstaat om na te denken.

Voorbeelden van phishingmails

Dit zijn de meest voorkomende voorbeelden van phishingmails die nu de ronde doen. Fraudeurs hergebruiken deze sjablonen voortdurend, omdat ze blijven werken.

De mail over een “geschorste rekening”

Onderwerp: Dringend: je bunq rekening is tijdelijk beperkt
Van: support@bunq-secure-help.com

Die mail is gemaakt om je te laten klikken nog voordat je hem helemaal gelezen hebt. De afzender lijkt op het eerste gezicht geloofwaardig, en als je doorklikt, kom je op een valse inlogpagina die gemaakt is om je inloggegevens te stelen.

Wat het verraadt, is het afzenderdomein. De enige officiële e-mailadressen van bunq komen van bunq.com en help.bunq.com. Alles met een koppelteken, een voorvoegsel of een extra woord is frauduleus, hoe overtuigend het logo er ook uitziet: bunq-secure-help.com, mybunq.co, bunq.login-portal.com.

De mail over een “ongebruikelijke betaling”

Onderwerp: Actie vereist: ongebruikelijke transactie vastgesteld op je rekening
Van: no-reply@bunq-alerts.net

Deze is slim, omdat hij iets echts nabootst. Er staat een transactie in die je niet herkent en een link om die te “bevestigen of annuleren”. Klik je door, dan word je gevraagd om je inloggegevens, soms ook je kaartgegevens.

Het afzenderdomein is de eerste aanwijzing: bunq-alerts.net is geen bunq. Het grotere probleem is dat bunq verdachte betalingen markeert via Safety Shield, in de app. Als een transactie je aandacht nodig heeft, zie je dat daar, niet in een e-mail die je vraagt om via een link in te loggen.

De mail over een “openstaande terugbetaling”

Onderwerp: Je terugbetaling van € 89,00 staat klaar
Van: refunds@bunq-payments.eu

Onverwacht goed nieuws is een even sterk lokaas als onverwacht slecht nieuws. Bevestig je bankgegevens om de terugbetaling te ontvangen. Alleen bestaat die terugbetaling niet, en zijn je rekeninggegevens waar ze eigenlijk op uit zijn.

Geen enkele bank stuurt terugbetalingen via een ongevraagde link. Heb je echt nog geld tegoed, dan verschijnt dat in je transactieoverzicht.

De mail “werk je gegevens bij”

Onderwerp: Belangrijk: werk je gegevens bij om onderbrekingen te vermijden
Van: accounts@secure-bunq.com

Deze komt vaak binnen rond echte gebeurtenissen zoals rekeningmigraties, updates van de gebruiksvoorwaarden of wijzigingen in de app, zodat hij op het juiste moment lijkt te komen. Je wordt gevraagd om je naam, adres, geboortedatum en kaartnummer opnieuw in te geven.

bunq werkt je gegevens bij via de app, nooit via links in e-mails.

Meer dan e-mail: andere veelvoorkomende phishingsituaties

SMS 

Dezelfde sjablonen, maar dan per SMS. Vaak met een verkorte URL die verbergt waar de link echt naartoe gaat. Fraudeurs kunnen ook afzendernamen vervalsen, zodat het bericht in dezelfde gespreksthread verschijnt als echte meldingen van bunq.

Telefoontjes

Hier trappen de meeste mensen in. Iemand belt en zegt van het fraudeteam van bunq te zijn. Misschien kennen ze al je naam en de laatste vier cijfers van je pas, buitgemaakt bij een eerder datalek. Ze klinken rustig, professioneel en oprecht bezorgd.

Het script is altijd een versie van hetzelfde verhaal: je rekening wordt aangevallen, je moet je geld naar een veilige rekening verplaatsen, je moet handelen voordat het te laat is.

Hoor je dit, leg dan neer. bunq vraagt je nooit om geld te verplaatsen naar een “veilige rekening”, en zodra geld is overgeschreven, is het bijna onmogelijk om het terug te krijgen.

bunq zal je nooit bellen. Open de app en kijk in de in-app chat voordat je ergens geld naartoe overschrijft, ook naar iemand die beweert van bunq te zijn. Staat daar niets, dan is er geen noodgeval. Het telefoontje kwam niet van ons.

Nepwebsites

Een fraudeur kopieert het ontwerp van de website van bunq, registreert een domeinnaam die geloofwaardig klinkt en stuurt er bezoekers naartoe via advertenties of links. Alles wat je intikt, gaat rechtstreeks naar hen.

Controleer altijd de URL voordat je ergens inlogt. Het enige echte adres is bunq.com.

Zo herken je het, in welke vorm het ook komt

Welke vorm het ook aanneemt, de signalen zijn dezelfde:

• Tijdsdruk. “Handel nu”, “binnen 24 uur”, “je rekening wordt afgesloten”. Elk bericht dat je wil opjagen, is een reden om net trager te gaan.

• Een link om op te klikken. Echte communicatie van een bank vraagt je niet om iets te bevestigen via een link in een e-mail. Ga in de plaats rechtstreeks naar de app.

• Vragen naar je inloggegevens. Geen enkele bank vraagt per e-mail, SMS of telefoon naar je wachtwoord, Veiligheidscode of kaartnummer.

• Een afzenderadres dat net niet klopt. Kijk naar het volledige domein, niet alleen naar de weergavenaam. bunq verstuurt enkel vanaf bunq.com of help.bunq.com.

• “Beste klant”. Gebruikt het bericht je naam niet, dan is het naar duizenden mensen tegelijk verstuurd.

Zo controleer je of je echt met bunq praat

Elk echt contact van bunq begint in de app: een pushmelding of een bericht in de app. bunq belt je niet onverwacht op en stuurt je geen inloglink per e-mail.

bunq belt je niet en vraagt nooit buiten de app naar je wachtwoord, Veiligheidscode of kaartnummer. Twijfel je ooit, open dan de app en kijk in de in-app chat. Staat daar niets, dan kwam het telefoontje of bericht niet van ons.

Als je geld verstuurt, controleert de IBAN-naamcontrole van bunq ook of de naam van de rekeninghouder overeenkomt met de IBAN, voordat de betaling doorgaat. Komen ze niet overeen, dan krijg je een waarschuwing. Krijg je een waarschuwing, stop dan.

Ontvang je iets dat beweert van bunq te komen en je vraagt om je inloggegevens of een overschrijving, meld het dan en verwijder het.

Als je iets verdachts hebt ontvangen

1. Klik nergens op, ook niet op de link om je uit te schrijven.

2. Antwoord niet.

3. Open bunq rechtstreeks via de app, niet via een link in het bericht.

4. Meld het bij bunq. Zo kan het team nepwebsites sneller offline halen.

Als je al geklikt of iets gedeeld hebt

Wijzig meteen je Veiligheidscode in de app. Zo log je alle toestellen uit die met je rekening verbonden zijn, ook dat van wie er binnengeraakt is. Volg daarna de anti-fraudegids en dien een fraudemelding in. Hoe sneller je het meldt, hoe groter de kans dat je je geld terugkrijgt.

Wil je met iemand praten, dan is de SOS Hotline rechtstreeks bereikbaar via de app. Geen wachttijd, dag en nacht. Heeft je dossier een specialist nodig, dan is het meestal binnen enkele uren opgelost.

Gebeurt het toch, dan sta je er niet alleen voor. Het team van bunq staat bij elke stap aan je zijde, vanaf het moment dat je het meldt tot de zaak helemaal is opgelost.