In het kort: phishing herken je aan een bericht dat je onder druk zet om snel te klikken, in te loggen of te betalen, terwijl de afzender, de link of de toon net niet klopt. Vertrouw nooit blind op de naam boven een mail of appje. Controleer de link zonder te klikken, ga bij twijfel zelf naar de officiële website of app, en meld verdachte berichten bij [email protected] en bij de organisatie die wordt nagebootst.
Wat is phishing precies?
Bij phishing doen criminelen zich voor als een organisatie of persoon die je vertrouwt, om je gegevens of geld te ontfutselen. Ze hengelen (to fish) naar je inloggegevens, je pincode, je burgerservicenummer of een betaling. Meestal gebeurt dat met een bericht dat er echt uitziet: het logo klopt, de opmaak klopt, en er staat een dringende reden bij om nu meteen te handelen.
De truc zit altijd in die haast. Je rekening zou geblokkeerd zijn, een pakket kan niet bezorgd worden, of je moet nog snel iets betalen. Door die druk klik je eerder dan je nadenkt, en dat is precies de bedoeling.
De vormen van phishing
Phishing komt via bijna elk kanaal binnen. De aanpak is steeds hetzelfde, alleen het middel verschilt.
- E-mail: de klassieke vorm. Een nepmail van je bank, een webwinkel of de overheid met een knop of link naar een valse inlogpagina.
- Sms (smishing): een kort tekstberichtje, vaak over een pakket of een boete, met een link die naar een nepsite leidt.
- WhatsApp: een appje van een ‘familielid’ of ‘vriend’ met een nieuw nummer dat om geld vraagt, of een nepaanbieding in een groep.
- Telefoon (vishing): iemand belt namens ‘de bank’, ‘de politie’ of ‘Microsoft’ en praat je richting een betaling of installatie van software.
- QR-code (quishing): een QR-code op een brief, parkeerautomaat of e-mail die je naar een valse site stuurt. Deze vorm groeit hard, juist omdat je de link achter de code niet ziet.
Let op quishing bij parkeerautomaten en oplaadpalen: criminelen plakken soms een eigen QR-sticker over de echte. Zie je een sticker die scheef zit of over iets anders heen is geplakt, betaal dan via de officiële app of automaat in plaats van via de code.
Herkenbare voorbeelden uit Nederland
De meeste phishing die je in Nederland tegenkomt volgt een handvol vaste scenario’s. Als je die kent, prik je er sneller doorheen.
- De nepbank: een mail of sms dat je ‘nieuwe bankpas moet activeren’ of je ‘digitale handtekening moet vernieuwen’. Echte banken vragen dit nooit via een link in een bericht.
- De Belastingdienst: een bericht over een ’teruggave’ of ‘openstaande aanslag’ met een betaalverzoek. De Belastingdienst mailt of sms’t je nooit om geld of gegevens te vragen; officiele post komt via de Berichtenbox van MijnOverheid.
- De pakketdienst: ‘PostNL’ of ‘DHL’ meldt dat er nog een klein bedrag aan verzendkosten open staat. Je klikt, en belandt op een nepbetaalpagina.
- Tikkie-fraude: een link die op een echt Tikkie lijkt, maar naar een valse iDEAL-pagina leidt waar je je bankgegevens invult.
- Marktplaats-fraude: een ‘koper’ stuurt een linkje om ‘1 cent te betalen ter verificatie’. In werkelijkheid log je in op een nep-bankpagina en geef je de oplichter toegang.
- ‘Hallo pap, hallo mam’: een WhatsApp van een onbekend nummer dat zegt je zoon of dochter te zijn met een ‘kapotte telefoon’ en met spoed een rekening moet betalen.
Hoe herken je phishing? De checklist
Loop bij elk onverwacht bericht dat om actie vraagt deze punten langs. Eén rood vlaggetje is al reden om te stoppen.
- Zet je onder druk. Woorden als ‘direct’, ‘binnen 24 uur’ of ‘anders wordt je account geblokkeerd’ zijn een klassiek signaal.
- Controleer de afzender. Klik op de naam om het volledige e-mailadres te zien. Een adres als ‘[email protected]’ is niet van PostNL.
- Bekijk de link zonder te klikken. Houd je muis boven de link (of houd op je telefoon je vinger even op de link) en lees waar hij echt naartoe gaat.
- Let op de aanhef en de taal. ‘Beste klant’ zonder je naam, kromme zinnen of vreemde spelfouten wijzen op nep. Let wel: dankzij AI zijn veel phishingberichten tegenwoordig foutloos, dus foutloze taal is geen bewijs dat het echt is.
- Vraagt het om gegevens of een betaling? Geen enkele bank, overheid of webwinkel vraagt via een link om je pincode, wachtwoord of volledige bankgegevens.
- Klopt het adres van de website? Op de inlogpagina hoort het echte domein te staan (bijvoorbeeld ‘ing.nl’, niet ‘ing-veilig.com’). Twijfel je, lees dan hoe je beoordeelt of een website betrouwbaar is.
En pharming dan?
Pharming is een sluwere neef van phishing. In plaats van je met een link naar een nepsite te lokken, zorgen criminelen ervoor dat je op de valse site belandt terwijl je het juiste adres intikt. Dat kan via malware op je apparaat of via een aanval op je router of DNS. Je merkt er weinig van, want de website ziet er precies zo uit als je gewend bent.
Je beschermt je hiertegen op dezelfde manier als tegen andere online risico’s: houd je apparaat en browser bijgewerkt, gebruik een sterk wachtwoord op je router, en let op het adres en het slotje in de adresbalk. Ziet een vertrouwde site er ineens anders uit of krijg je een waarschuwing over een ongeldig certificaat? Stop dan en log niet in.
Je bent erin getrapt: wat nu?
Het overkomt heel veel mensen, dus schaam je niet en verlies geen tijd. Snel handelen beperkt de schade.
- Bel meteen je bank als je bankgegevens hebt ingevuld of geld hebt overgemaakt. Grote banken zijn 24/7 bereikbaar en kunnen je rekening en pas blokkeren. Je pas blokkeren kan bij de meeste banken via het gratis nummer 0800-0313; bij ING gaat dat via 020-22 888 00.
- Verander je wachtwoord van het getroffen account, en van andere accounts waar je datzelfde wachtwoord gebruikte.
- Zet tweefactorauthenticatie aan waar dat kan, zodat een gestolen wachtwoord alleen niet meer genoeg is. Lees hoe dat werkt in onze uitleg over tweefactorauthenticatie (2FA).
- Heb je op een link geklikt of iets geinstalleerd? Scan je apparaat met bijgewerkte beveiligingssoftware en verwijder verdachte apps.
- Bewaar het bericht en eventuele schermafbeeldingen. Die heb je nodig voor je melding en aangifte.
Phishing melden: waar en hoe
Melden helpt niet alleen jezelf, maar ook anderen: organisaties kunnen valse sites laten blokkeren en waarschuwen. Doe het altijd, ook als je niet bent opgelicht.
- Fraudehelpdesk: stuur een verdachte e-mail met link of bijlage door naar [email protected] (bij voorkeur als bijlage). Voor sms, WhatsApp of een telefoontje gebruik je het meldformulier op fraudehelpdesk.nl. Bellen kan gratis via 0800-1234.
- Je bank: stuur phishing die de bank nabootst door naar het speciale adres van die bank, bijvoorbeeld [email protected], [email protected] of [email protected]. Meer info staat op veiligbankieren.nl.
- De politie: ben je geld kwijt of is er identiteitsfraude in het spel, doe dan aangifte. Bel de politie via 0900-8844 of doe online aangifte via politie.nl.
Zo verklein je de kans dat het je overkomt
- Klik niet op links in onverwachte berichten. Ga zelf naar de site of app via je eigen bladwijzer of de officiele app.
- Gebruik voor elk account een uniek, sterk wachtwoord, het liefst met een wachtwoordmanager.
- Zet tweefactorauthenticatie aan op je belangrijke accounts.
- Houd je telefoon, computer en browser up-to-date.
- Bespreek de bekende trucs met familie, zeker met kinderen en oudere familieleden die vaker doelwit zijn.
Wil je je basis op orde brengen, begin dan bij onze gids over veilig internetten voor beginners. Voor de trucs via je telefoon en app is er een apart stappenplan over online oplichting via WhatsApp en telefonische scams voorkomen.
Veelgestelde vragen
Wat is het verschil tussen phishing en spam?
Spam is ongevraagde reclame, meestal alleen vervelend. Phishing is bewust bedrog: de afzender wil je gegevens of geld stelen. Phishing is dus altijd schadelijk, spam vaak alleen hinderlijk.
Kan ik geld terugkrijgen als ik ben opgelicht?
Soms wel. Bel direct je bank; hoe sneller je meldt, hoe groter de kans dat een betaling nog is tegen te houden. Of je je geld terugkrijgt hangt af van de situatie en of je zelf gegevens hebt afgegeven.
Is een bericht zonder spelfouten altijd echt?
Nee. Criminelen gebruiken tegenwoordig AI om foutloze, professioneel ogende berichten te maken. Beoordeel daarom altijd de afzender, de link en of er om gegevens of een betaling wordt gevraagd, en niet alleen de taal.
Is het gevaarlijk om alleen een phishingmail te openen?
Een mail openen is meestal niet het probleem. Het gaat mis als je op een link klikt, een bijlage opent of gegevens invult. Open je per ongeluk een mail, verwijder hem dan gewoon zonder ergens op te klikken.
Bron: Fraudehelpdesk (‘Valse e-mail melden’), Veilig Bankieren en veiliginternetten.nl. Laatst gecontroleerd in juli 2026. Meldadressen en menu’s kunnen wijzigen; controleer bij twijfel de officiele website van de betreffende organisatie.