Wat is phishing (valse e-mail of sms)? En hoe herken je het?
Mijn 16-jarige zoon ontving vorige week een sms-bericht. Het leek afkomstig van Rabobank. Er was slechts één probleem: hij heeft nooit een Rabobank-rekening gehad.
Dit heet smishing — phishing via sms. Het is een van de snelst groeiende cyberdreigingen voor bedrijven en gezinnen in Nederland.
Als je vader een cybersecuritybedrijf heeft
Mijn zoon is 16. Altijd met zijn iPhone in zijn handen — WhatsApp, Snapchat, Instagram en nog veel meer. Hij klikte niet op de link. Hij belde mij.
Mijn eerste vraag was: "Heb je op de link geklikt?" Dat had hij niet gedaan. Maar dat ene telefoontje leidde tot een reeks vragen — en deze serie artikelen.
Hij had al eerder een accountovername meegemaakt op Instagram. We hadden al het gesprek gehad. Maar let een tiener écht op kwaadaardige links, met de constante FOMO en honderden berichten die elke dag binnenkomen?
"Eén verkeerde tik opent de deur naar de volgende aanval — zelfs zonder dat je iets invult."
Wat had er kunnen gebeuren
Mijn zoon klikte niet op de link. Maar wat als hij dat wel had gedaan? De link had geleid naar een neppe Rabobank-pagina, ontworpen om identiek te lijken aan de echte. De gevolgen hadden ernstig kunnen zijn — zelfs zonder bankrekening.
Criminelen hebben niet altijd bankgegevens nodig. Een naam, een telefoonnummer, een e-mailadres en een geboortedatum zijn genoeg om een profiel op te bouwen. Dat profiel wordt verkocht, hergebruikt en gecombineerd met gegevens uit andere datalekken. De schade kan maanden of jaren later opduiken.
Op een link klikken — zelfs zonder iets in te vullen — kan malware installeren, bevestigen dat je nummer actief is of een vervolg-vishingoproep triggeren. Eén verkeerde tik opent de deur naar de volgende aanval.
Hoe criminelen tieners benaderen
Cybercriminelen weten precies hoe tieners denken en zich online gedragen — en ze maken er bewust misbruik van.
Ten eerste gebruiken ze platforms die tieners vertrouwen. Neppe meldingen die lijken op Instagram, Snapchat of WhatsApp, met de waarschuwing dat een account is opgeschort of benaderd vanaf een onbekend apparaat. De branding ziet er echt uit, de urgentie voelt oprecht.
Daarnaast is FOMO een krachtig wapen. Een bericht als "je account wordt binnen 24 uur verwijderd" veroorzaakt paniek — en paniek schakelt kritisch denken uit. Dat moment van angst is precies waar criminelen op rekenen.
Ten slotte gaan criminelen naar waar tieners al zijn. Niet alleen sms — WhatsApp, Discord, TikTok, Roblox. Overal waar volume, snelheid en afleiding zijn. Als gevolg daarvan is een tiener die honderden berichten per dag ontvangt en gewend is snel te tikken en te scrollen, precies het soort afgeleid slachtoffer dat een crimineel nodig heeft.
De cijfers zullen je verbazen
Waarom werkt het?
De meeste smishing-aanvallen vertrouwen niet op geavanceerde targeting. In plaats daarvan sturen criminelen miljoenen berichten zonder je naam, je bank of je klantrelatie te kennen. Schaal, vertrouwen en een moment van afleiding zijn vaak alles wat ze nodig hebben.
Zo arriveert een neppe bezorgmelding terwijl je een pakket verwacht. Een bankalert verschijnt terwijl je druk aan het werk bent. Een beveiligingswaarschuwing komt laat op de avond. In elk geval overheerst urgentie voor een kort moment het gezond verstand. Als gevolg daarvan is slechts een handvol slachtoffers uit duizenden berichten genoeg om deze campagnes winstgevend te maken.
Toch weten aanvallers soms meer dan je denkt. Datalekken, sociale mediaprofielen en uitgelekte persoonsgegevens kunnen frauduleuze berichten verrassend overtuigend maken.
Wat kunnen wij doen?
Tieners toespreken werkt zelden. Wat ik bepleit is storytelling — het gebruik van echte, herkenbare voorbeelden die aansluiten bij hun wereld — gecombineerd met duidelijke do's en don'ts die ze écht onthouden en toepassen.
Mijn zoon klikte niet op de link, mede omdat we al hadden gesproken over zijn eigen Instagram-accountovername. Die ervaring maakte het concreet. Wanneer iets jou of iemand die ze kennen overkomt, deel het dan. Een echt verhaal werkt beter dan een waarschuwing.
Blijf het gesprek aangaan. Één gesprek is nooit genoeg. Cybercriminelen evolueren voortdurend — en jouw gesprekken thuis zouden dat ook moeten doen.
✓ Wat je wel doet
- Pauzeer voordat je op een onverwachte link klikt — vraag jezelf: "Verwacht ik dit?"
- Bel een ouder of vertrouwd persoon als iets niet klopt
- Schakel MFA in op elk account, vooral sociale media
- Meld smishing via Fraudehelpdesk.nl of bel je bank direct
- Ontvang je alleen een link zonder tekst — verwijder die direct
- Stuur een bekende alleen een link? Controleer eerst bij hen of het klopt
✗ Wat je niet doet
- Nooit op een link klikken alleen omdat die bekend of urgent lijkt
- Nooit verificatiecodes, wachtwoorden of bankgegevens delen via sms of telefoon
- Nooit aannemen dat een bericht echt is omdat het een bekend merk gebruikt
- Nooit handelen onder druk — een echte bank eist nooit actie binnen minuten
Mijn zoon deed het juiste.
Hij pauzeerde. Hij twijfelde aan het bericht. Hij belde iemand die hij vertrouwde. Dat is precies hoe bewustwording eruitziet.
Technologie helpt, maar gesprekken maken het verschil. Hoe meer we met onze kinderen praten over oplichting, online manipulatie, accountovernames en social engineering — hoe moeilijker het wordt voor criminelen om te slagen.
Bij Magicstone helpen we MKB-bedrijven hun cyberweerbaarheid te versterken via bewustwordingstraining, e-mailbeveiliging en AI-gedreven bescherming.
Neem contact op →
