Het telefoontje klinkt echt. De beller kent uw naam, uw bank en zelfs uw recente transacties. Er is een probleem met uw rekening en ze bellen om u te helpen het op te lossen.

Tegen de tijd dat het gesprek eindigt, heeft u het geld zelf overgemaakt. Naar een rekening die van de oplichter is.

Wat is social engineering?

Social engineering is psychologische manipulatie: een oplichter doet zich voor als een betrouwbaar persoon om u ertoe te brengen zelf toegang, geld of informatie te overhandigen.

Social engineering werkt door in uw hoofd te kruipen voordat de oplichter toegang krijgt tot uw rekening. De aanvaller speelt een rol: een fraudeonderzoeker, een beveiligingsagent van de bank, de klantenservice van uw telefoonmaatschappij. Dat is alles wat ze nodig hebben om vragen te gaan stellen. In de banksector verlopen deze aanvallen voornamelijk via telefoontjes, sms-berichten of beide. Soms alle drie, met weken ertussen.

AI maakt deze aanvallen moeilijker te herkennen. Een kort geluidsfragment is tegenwoordig al genoeg om iemands stem te klonen: een voicemail, een paar seconden uit een openbare video. Real-time deepfakes kunnen een gezicht op een videogesprek plakken terwijl het plaatsvindt. Gegevens zoals uw naam, uw bank en een recente transactie worden automatisch verzameld uit openbare profielen en gelekte databases. De oplichter hoeft u niet persoonlijk te kennen.

Hoe een aanval verloopt

Het begint met urgentie. "Uw rekening wordt aangevallen." "Er is verdachte activiteit geweest en we moeten uw geld nu meteen veiligstellen." Oplichters willen dat u zich zorgen maakt voordat u de kans krijgt om na te denken. Iemand in paniek handelt eerst en stelt later pas vragen.

Daarna autoriteit. De beller beweert van het fraudeteam van uw bank te zijn, een specialist die aan uw dossier is toegewezen. Er is een referentienummer, een functietitel, soms een echte naam van een werknemer die u op LinkedIn zou kunnen opzoeken. Sommige bellers verbinden u zelfs door tussen afdelingen. Het is bedoeld om te voelen als een echte organisatie die een echt probleem aanpakt.

Tegen de tijd dat ze u vragen om geld over te maken of iets te downloaden, bent u al een kwartier in gesprek. U heeft uw gegevens bevestigd. U heeft een geloofwaardig verhaal gehoord over wat er is misgegaan. U heeft stappen gevolgd die er precies zo uitzagen als een echt fraudeonderzoek. Tegen die tijd zegt u gewoon ja.

Niet elke aanval begint met een telefoontje. Sommige beginnen weken eerder met een phishing-e-mail of een verdacht sms-bericht. U klikt op een link, vult een formulier in en de oplichter heeft nu uw naam, uw bank en genoeg informatie om geloofwaardig over te komen wanneer hij later belt. Tegen de tijd dat de telefoon overgaat, voelt het alsof hij u kent, omdat hij al heeft wat hij nodig had.

Sommige aanvallen combineren dit alles in lagen: eerst een sms, dan een e-mail, dan een telefoontje, soms dagen of weken uit elkaar. Elk contact zorgt ervoor dat het volgende legitiemer aanvoelt. Phishing is vaak het startpunt van de keten. Door dit vroegtijdig te ontdekken, kan worden voorkomen dat het ooit tot een telefoontje komt. Telefoontjes waarbij specifiek uw bank wordt nagedaan, worden uitgebreider behandeld in valse banktelefoontjes en vishing.

Waarom het zelfs werkt bij voorzichtige mensen

Een technicus in uniform wordt binnengelaten in het gebouw. Een arts die zich voorstelt, wordt gevolgd naar de behandelkamer. Dat is geen naïviteit. Dat is gewoon hoe vertrouwen werkt. Aan de telefoon zijn een functietitel en een referentienummer al voldoende om legitiem over te komen.

Onder tijdsdruk denkt u sneller na en stelt u minder vragen. Na vijftien minuten meewerken en doorverbonden worden tussen afdelingen, begint het ophangen te voelen alsof u degene bent die het probleem veroorzaakt.

Deze aanvallen zijn ontworpen om te werken bij voorzichtige mensen. Als u dit heeft meegemaakt, ligt dat niet aan u.

Hoe bunq u beschermt

De meest betrouwbare regel: onderneem nooit actie naar aanleiding van een telefoontje zonder eerst de in-app chat te controleren.

bunq belt nooit. Elk telefoontje waarin wordt beweerd dat het van bunq is, is oplichterij. Open de app: er staat een echte waarschuwing als er iets is dat uw aandacht vereist.

Oplichters rekenen op urgentie. Safety Shield is ontworpen om dat tegen te gaan. Wanneer een betaling er ongewoon uitziet, wordt deze 24 uur gepauzeerd voordat deze wordt verwerkt. Deze vertraging kan niet door u of door bunq worden omzeild. Dat is bewust zo gedaan. Als de overboeking legitiem was, wordt deze na de 24 uur uitgevoerd. Was dit niet het geval, dan heeft u de tijd om dit op te merken.

Oplichters vragen u vaak om software voor externe toegang te installeren, zoals AnyDesk of TeamViewer. Hun verhaal: het "fraudeteam" moet op afstand een kijkje nemen. Zodra die software actief is, kan de aanvaller alles op uw scherm zien en besturen, inclusief uw bank-app. bunq detecteert wanneer een app voor het delen van schermen actief is en beperkt automatisch uitgaande betalingen.

Als uw bank ziet bunq alles wat een oplichter nooit zal zien: uw volledige rekeninggeschiedenis, uw patronen, in real-time. Als we iets ongewoons zien, grijpen we in nog voordat u erom hoeft te vragen.

Lees meer over hoe bunq uw geld veilig houdt, inclusief depositogarantie en fraudedetectie. Voor stappen die u zelf kunt instellen, behandelt veilig online bankieren de praktische kant.

Als u denkt dat u op dit moment het doelwit bent

Leg de telefoon neer.

Sluit alle software voor externe toegang die u heeft geïnstalleerd (AnyDesk, TeamViewer of vergelijkbaar). Stel uw beveiligingscode in de app opnieuw in om de oplichter buiten te sluiten van uw rekening. Neem vervolgens contact op met de SOS-support van bunq, die in minder dan 20 seconden bereikbaar is in de app, en meld de fraude via de Anti-Fraude Gids.

De SOS-lijn van bunq is in minder dan 20 seconden bereikbaar in de app. De Anti-Fraude Gids loodst u door elke stap heen.

Als een overboeking al is uitgevoerd, meld dit dan. bunq beoordeelt fraudezaken voor een coulancehalve vergoeding.

Tot slot

Social engineering werkt het beste bij mensen die niet weten wat het is. Nu weet u dat wel.

Of het nu gaat om een sms, een e-mail of een telefoontje: urgentie is een alarmsignaal, geen reden tot actie. Open eerst de app. Als er echt iets mis is, staat het daar.