Het telefoongesprek klinkt echt. De beller kent je naam, je bank, en zelfs je recente transacties. Er is een probleem met je rekening en ze bellen om je te helpen het op te lossen.

Tegen de tijd dat het gesprek eindigt, heb je het geld zelf overgemaakt. Naar een rekening die van de oplichter is.

Wat is social engineering?

Social engineering is psychologische manipulatie: een oplichter doet zich voor als een betrouwbaar persoon om ervoor te zorgen dat je zelf toegang, geld of informatie overdraagt.

Social engineering werkt door in je hoofd te kruipen voordat de oplichter toegang krijgt tot je rekening. De aanvaller speelt een rol: een fraudeonderzoeker, een beveiligingsmedewerker van de bank, of de klantenservice van je telecomprovider. Dat is alles wat ze nodig hebben om vragen te gaan stellen. In de bankensector verlopen deze aanvallen voornamelijk via telefoontjes, sms-berichten of beide. Soms alle drie, met weken ertussen.

AI maakt deze aanvallen steeds moeilijker te herkennen. Een kort audiofragment is tegenwoordig al genoeg om iemands stem te klonen: een voicemail of een paar seconden uit een openbare video. Real-time deepfakes kunnen een gezicht op een video-oproep projecteren terwijl het gesprek plaatsvindt. Gegevens zoals je naam, je bank en een recente transactie worden automatisch verzameld uit openbare profielen en gelekte databases. De oplichter hoeft je niet persoonlijk te kennen.

Hoe een aanval zich ontvouwt

Het begint met urgentie. "Je rekening wordt aangevallen." "Er is verdachte activiteit waargenomen en we moeten je geld nu direct veiligstellen." Oplichters willen dat je je zorgen maakt voordat je de kans krijgt om na te denken. Iemand in paniek handelt eerst en stelt pas later vragen.

Daarna volgt autoriteit. De beller beweert van het fraudeteam van je bank te zijn, een specialist die aan jouw dossier is toegewezen. Er is een referentienummer, een functietitel en soms een echte naam van een medewerker die je op LinkedIn zou kunnen controleren. Sommige bellers verbinden je zelfs door tussen afdelingen. Het is bedoeld om te voelen als een echte organisatie die een echt probleem oplost.

Tegen de tijd dat ze je vragen om geld over te maken of iets te downloaden, ben je al vijftien minuten in gesprek. Je hebt je gegevens bevestigd. Je hebt een geloofwaardig verhaal gehoord over wat er mis is gegaan. Je hebt stappen gevolgd die precies leken op een echt fraudeonderzoek. Tegen die tijd zeg je gewoon ja.

Niet elke aanval begint met een telefoontje. Sommige beginnen weken eerder met een phishing-e-mail of een verdacht sms-bericht. Je klikt op een link, vult een formulier in, en de oplichter heeft nu je naam, je bank en genoeg informatie om geloofwaardig over te komen wanneer ze later bellen. Tegen de tijd dat de telefoon overgaat, voelt het alsof ze je kennen, omdat ze al hebben wat ze nodig hadden.

Sommige aanvallen combineren dit allemaal: eerst een sms, dan een e-mail, dan een telefoontje, soms met dagen of weken ertussen. Elk contact zorgt ervoor dat het volgende betrouwbaarder aanvoelt. Phishing is vaak het startpunt van deze keten. Door dit vroegtijdig te herkennen, kun je voorkomen dat het ooit tot een telefoontje komt. Telefoontjes waarbij specifiek jouw bank wordt nagedaan, worden uitgebreider besproken in neppe telefoontjes van de bank en vishing.

Waarom het zelfs bij voorzichtige mensen werkt

Een monteur in uniform wordt binnengelaten in het gebouw. Een arts die zich voorstelt, wordt gevolgd naar de behandelkamer. Dat is geen naïviteit. Dat is simpelweg hoe vertrouwen werkt. Aan de telefoon zijn een functietitel en een referentienummer al genoeg om legitiem over te komen.

Onder tijdsdruk denk je sneller na en stel je minder vragen. Na vijftien minuten meewerken en doorverbonden worden tussen afdelingen, voelt stoppen alsof jíj degene bent die het probleem veroorzaakt.

Deze aanvallen zijn ontworpen om te werken bij voorzichtige mensen. Als je dit hebt meegemaakt, ligt de schuld niet bij jou.

Hoe bunq je beschermt

De meest betrouwbare regel: onderneem nooit actie naar aanleiding van een telefoontje zonder eerst de in-app chat te controleren.

bunq belt nooit. Elk telefoontje waarin wordt beweerd dat het van bunq is, is oplichting. Open de app: er staat een echte waarschuwing als er iets is dat je aandacht vereist.

Oplichters vertrouwen op urgentie. Safety Shield is ontworpen om dat tegen te gaan. Wanneer een betaling er ongebruikelijk uitziet, wordt deze 24 uur gepauzeerd voordat deze wordt verwerkt. Deze wachttijd kan niet door jou of door bunq worden omzeild. Dat is een bewuste keuze. Als de overboeking legitiem was, wordt deze na die 24 uur uitgevoerd. Was dat niet het geval, dan heb je de tijd om het tegen te houden.

Oplichters vragen je vaak om software voor externe toegang te installeren, zoals AnyDesk of TeamViewer. Hun verhaal: het "fraudeteam" moet op afstand even meekijken. Zodra die software actief is, kan de aanvaller alles op je scherm zien en beheren, inclusief je bank-app. bunq detecteert wanneer een app voor het delen van je scherm actief is en beperkt automatisch uitgaande betalingen.

Als jouw bank ziet bunq alles wat een oplichter nooit zal zien: je volledige rekeninggeschiedenis en je patronen, in real-time. Als we iets ongebruikelijks zien, grijpen we in nog voordat je erom hoeft te vragen.

Lees meer over hoe bunq je geld veilig houdt, inclusief depositogarantie en fraudedetectie. Voor stappen die je zelf kunt nemen, behandelt veilig online bankieren de praktische kant.

Als je denkt dat je nu het doelwit bent

Leg de telefoon neer.

Sluit alle software voor externe toegang die je hebt geïnstalleerd (AnyDesk, TeamViewer of vergelijkbaar). Stel je beveiligingscode in de app opnieuw in om de oplichter buiten te sluiten van je rekening. Neem vervolgens contact op met de bunq SOS-support, die in de app binnen 20 seconden bereikbaar is, en meld de fraude via de Anti-Fraude Gids.

De SOS-lijn van bunq is in minder dan 20 seconden bereikbaar in de app. De Anti-Fraude Gids loodst je door elke stap heen.

Als er al een overboeking is gedaan, meld dit dan direct. bunq beoordeelt fraudegevallen voor een eventuele coulancevergoeding.

Tot slot

Social engineering werkt het beste bij mensen die niet weten wat het is. Nu weet je het wel.

Of het nu gaat om een sms, een e-mail of een telefoontje: urgentie is een alarmsignaal, geen reden tot actie. Open altijd eerst de app. Als er echt iets mis is, zie je dat daar.