Phishing herkennen: 7 signalen en wat u moet doen

U krijgt een sms van uw bank: uw rekening wordt vandaag geblokkeerd, tenzij u direct uw gegevens controleert. Of er komt een e-mail van DigiD met een QR-code die u zou moeten scannen. Zulke berichten kunnen bedrieglijk echt lijken. Toch kan één verkeerde handeling voldoende zijn om oplichters toegang tot uw gegevens te geven.

Twijfelt u aan een bericht? Open dan zelf de officiële app of website van de organisatie. Klik niet op de meegestuurde link. Heeft u al geklikt of gegevens ingevuld? Hieronder ziet u precies wat u in uw situatie moet doen.

Wat is phishing?

Phishing is oplichting waarbij criminelen zich voordoen als een vertrouwde organisatie of bekende om uw gegevens of geld te krijgen. Ze sturen bijvoorbeeld een nepmail van uw bank, een sms over een pakketje of een WhatsApp-bericht dat van een familielid lijkt te komen. Vaak leidt een link naar een nagebouwde website waar u een wachtwoord, betaalgegevens of andere persoonlijke informatie moet invullen.

Phishing via sms heet ook wel smishing. Gebruiken oplichters een QR-code om u naar een valse website te sturen, dan heet dat quishing. Ook telefonische bankhelpdeskfraude kan met phishing beginnen: iemand verzamelt eerst uw gegevens via een nepbericht en belt u daarna zogenaamd namens de bank.

Phishing herkennen: let op deze 7 signalen

1. Er is plotseling grote haast. Uw rekening zou binnen een uur worden geblokkeerd, u krijgt een boete of u moet vandaag nog betalen. Die tijdsdruk is bedoeld om u snel te laten handelen.
2. U moet via een link of QR-code inloggen. Vooral een onverwacht verzoek om uw wachtwoord, DigiD-gegevens, bankgegevens of een verificatiecode in te vullen is verdacht.
3. Het webadres klopt niet. Een website kan het logo van uw bank tonen maar een heel ander adres hebben. Kijk naar de echte domeinnaam. Bij digid.nl.example.com is example.com de website, niet digid.nl. Dit is een fictief voorbeeld.
4. U verwachtte het bericht niet. Een bezorgbericht terwijl u niets heeft besteld, een vreemde betaalherinnering of een melding over een rekening die u niet gebruikt, verdient extra controle.
5. De afzender lijkt vertrouwd, maar dat bewijst niets. Oplichters kunnen een naam of telefoonnummer nabootsen. Een vals sms-bericht kan daardoor zelfs in dezelfde berichtendraad verschijnen als eerdere echte berichten.
6. Er wordt om geheime gegevens of een ongebruikelijke handeling gevraagd. Denk aan uw pincode, een inlogcode, het overmaken van spaargeld naar een 'veilige rekening' of het installeren van software waarmee iemand kan meekijken.
7. De tekst of opmaak voelt vreemd. Spelfouten, een ongebruikelijke aanhef of een rare knop kunnen waarschuwen. Maar let op: moderne phishingberichten kunnen ook foutloos en persoonlijk geschreven zijn.

Goed om te weten: ook een website met een slotje en https:// kan nep zijn. Dat slotje betekent alleen dat de verbinding is beveiligd, niet dat de organisatie betrouwbaar is.

5 herkenbare voorbeelden van phishing en online oplichting

De onderstaande berichtteksten zijn fictieve voorbeelden. Oplichters gebruiken steeds andere woorden, logo's en afzenders.

1. Een sms van uw bank over een geblokkeerde rekening

'Uw betaalrekening wordt om 18.00 uur geblokkeerd. Bevestig direct uw identiteit via de onderstaande link.'

Wat doet u? Open zelf uw bankapp en kijk of daar iets staat. Vertrouwt u het niet, bel dan het telefoonnummer dat in uw bankapp of op uw bankpas staat. Gebruik niet het nummer uit het sms-bericht.

2. Een e-mail of brief van DigiD met een link of QR-code

'Uw DigiD verloopt vandaag. Scan de code om uw account opnieuw te activeren.'

Wat doet u? Niet klikken en niet scannen. DigiD verstuurt nooit berichten met een link of QR-code. Ga zelf naar https://www.digid.nl/ om uw account te controleren.

3. Een bericht over zorgtoeslag, belasting of MijnOverheid

'U heeft nog een bedrag tegoed. Bevestig uw bankrekening om de betaling te ontvangen.'

Wat doet u? Vul geen gegevens in via het bericht. Ga rechtstreeks naar de officiële website of app van de betreffende overheidsorganisatie en controleer daar of er werkelijk iets voor u klaarstaat.

4. Een bezorgdienst vraagt om € 1,95 extra

'Uw pakket kon niet worden bezorgd. Betaal € 1,95 verzendkosten om een nieuwe bezorgdatum te kiezen.'

Wat doet u? Open zelf de app of website van de bezorgdienst. Controleer uw bestelling met het verzendnummer dat u al van de winkel heeft ontvangen. Betaal niets via de meegestuurde link.

5. Een WhatsApp-bericht van uw 'zoon' of 'dochter'

'Hoi mam, dit is mijn nieuwe nummer. Mijn telefoon is kapot. Kun je deze rekening even voorschieten?'

Wat doet u? Bel uw kind op het oude, bekende nummer of stel een vraag waarvan alleen diegene het antwoord weet. Geld overmaken doet u pas nadat u zelf heeft gecontroleerd met wie u spreekt. Dit heet meestal WhatsAppfraude en is een verwante vorm van digitale oplichting. Meer voorbeelden vindt u in ons artikel over veelvoorkomende oplichtingstrucs.

Is een bericht echt? Controleer het in drie stappen

1. Onderneem niets vanuit het bericht. Open de link of bijlage niet, scan geen QR-code en bel niet naar het vermelde telefoonnummer.
2. Ga zelf naar de organisatie. Open uw vertrouwde bankapp, typ zelf het bekende webadres in of gebruik het telefoonnummer op uw bankpas of in uw administratie. Zoek bij een dringend bankbericht liever niet naar een telefoonnummer via een advertentie in een zoekmachine.
3. Controleer of er echt iets aan de hand is. Staat de melding niet in uw eigen account of bevestigt de organisatie het verzoek niet? Verwijder het bericht en doe eventueel een fraudemelding.

Wilt u een verdachte link extra controleren zonder deze zelf te openen? Dan kunt u Checkjelinkje.nl gebruiken. Kopieer alleen de link, zonder erop te klikken. Een gunstige uitslag is geen garantie dat een website veilig is. Bij berichten over geld of inloggen is zelf naar de officiële website gaan de veiligste keuze.

Op een phishinglink geklikt? Dit moet u nu doen

Niet iedere vergissing heeft dezelfde gevolgen. Zoek hieronder op wat er bij u is gebeurd. Vooral als u bankgegevens heeft gedeeld of een betaling heeft bevestigd, is snel contact met uw bank belangrijk.

Bewaar bij vermoedelijke fraude de e-mail, sms, het telefoonnummer, de website en eventuele betalingsbewijzen. Maak zo nodig schermafbeeldingen. Daarmee kunnen uw bank en de politie beter onderzoeken wat er is gebeurd.

Meer informatie over schadelijke software en het beschermen van uw apparaten vindt u bij onze tips om cybercrime te herkennen en te voorkomen.

Phishing melden: bij wie moet u zijn?

• Uw bank: bel direct bij gedeelde bankgegevens, een verdachte betaling of een verzoek om geld 'veilig te stellen'. Gebruik de contactgegevens uit uw eigen bankapp of van uw bankpas.
• Fraudehelpdesk: voor vragen, advies en het melden van verdachte berichten. Bel 088 786 7372 of gebruik het meldformulier op fraudehelpdesk.nl/fraude-melden/. Online melden kan op ieder moment.
• Politie: doe aangifte als uw gegevens zijn misbruikt of u bent opgelicht. Via politie.nl ziet u hoe u aangifte kunt doen. U kunt ook bellen met 0900 8844. Bij direct gevaar belt u 112.
• DigiD: stuur een vals DigiD-bericht, of een foto daarvan, door naar [email protected]. Heeft u gegevens ingevuld, volg dan ook de stappen van DigiD bij fraude of misbruik.

Heeft u een melding gedaan? Verwijder het verdachte bericht daarna, tenzij uw bank of de politie u heeft gevraagd het als bewijs te bewaren.

Krijgt u uw geld terug na phishing? Belangrijke uitspraak in oktober 2026

Het is niet juist dat banken phishingschade vrijwel nooit vergoeden. Er is een belangrijk verschil tussen een betaling die een crimineel zonder uw toestemming uitvoert en geld dat u zelf onder valse voorwendselen overmaakt.

Een crimineel heeft zonder uw toestemming geld overgemaakt

Op 15 oktober 2026 oordeelde het Europees Hof van Justitie dat banken een ongeautoriseerde betaling in beginsel onmiddellijk moeten terugbetalen, uiterlijk aan het einde van de volgende werkdag nadat zij de betaling hebben opgemerkt of erover zijn geïnformeerd. De bank kan daarna onderzoeken of er sprake was van opzet of grove nalatigheid. Onder voorwaarden kan zij het geld dan alsnog van de klant terugvorderen. Bij een gerechtvaardigd vermoeden van fraude door de klant zelf geldt een uitzondering op de directe terugbetaling.

U heeft zelf geld overgemaakt naar een oplichter

Heeft u zelf de betaling goedgekeurd, bijvoorbeeld omdat een nepbankmedewerker u dat vroeg? Dan geldt de verplichte terugbetaling voor ongeautoriseerde betalingen in principe niet. Bij bepaalde vormen van bankhelpdeskfraude kunnen banken onder voorwaarden wel uit coulance vergoeden. Meld de fraude daarom altijd direct bij uw bank en vraag om een schriftelijke beoordeling.

Komt u er met uw bank niet uit? Dien dan eerst een klacht in bij de bank. U kunt daarna onderzoeken of u met uw klacht terechtkunt bij Kifid, het klachteninstituut voor financiële dienstverlening. De uitkomst hangt af van wat er precies is gebeurd.

Phishing voorkomen: 6 gewoontes die echt helpen

• Open bankzaken vanuit uw bankapp. Log nooit in om een onverwacht sms-bericht of een e-mail 'te bevestigen'.
• Gebruik voor ieder belangrijk account een ander, sterk wachtwoord. Een wachtwoordmanager kan daarbij helpen. Verander een wachtwoord direct als u vermoedt dat het is uitgelekt.
• Zet tweestapsverificatie aan. Daarmee is alleen het stelen van uw wachtwoord meestal niet genoeg om in te loggen. Geef ontvangen controlecodes nooit door aan een ander.
• Werk uw telefoon, tablet en computer bij. Installeer beveiligingsupdates en gebruik alleen apps uit betrouwbare appwinkels.
• Maak haastige betalingen moeilijker. Overweeg een lagere overboekingslimiet en zet meldingen van uw bank aan, zodat u ongebruikelijke betalingen sneller ziet.
• Controleer een onverwacht verzoek buiten het bericht om. Bel uw bank zelf of bespreek een vreemd betaalverzoek met iemand die u vertrouwt. Een echte organisatie zal begrijpen dat u eerst wilt controleren.

Gebruikt u DigiD liever zonder smartphone? Bekijk dan de mogelijkheden om met DigiD in te loggen zonder smartphone.

Let ook op wanneer iemand u na een phishingbericht belt en beweert dat uw spaargeld in gevaar is. Geen enkele echte bankmedewerker vraagt u geld over te maken naar een 'veilige rekening' of uw bankpas te laten ophalen. Meer over verwante telefonische trucs leest u in ons artikel over nepagenten aan de telefoon en aan de deur.

Korte checklist bij een verdacht bericht

• Word ik onder druk gezet om snel te betalen of in te loggen?
• Moet ik op een link klikken, een QR-code scannen of een code doorgeven?
• Heb ik zelf contact gezocht met deze organisatie?
• Kan ik het verzoek controleren in de officiële app of via een bekend telefoonnummer?
• Twijfel ik nog? Dan doe ik niets totdat ik het onafhankelijk heb gecontroleerd.

Tot slot

Een overtuigend bericht is nog geen betrouwbaar bericht. U hoeft niet te bepalen of ieder logo, telefoonnummer of webadres echt is. De eenvoudigste regel is: regel belangrijke zaken via de officiële app of website die u zelf opent. Heeft u toch gegevens gedeeld of een betaling gedaan, neem dan meteen contact op met uw bank. Snel handelen kan veel verschil maken.