Spoofing is een vorm van online oplichting waarbij criminelen een valse identiteit aannemen, bijvoorbeeld door zich voor te doen als een medewerker van de bank, een helpdesk of een overheidsinstantie. Ze vervalsen een telefoonnummer, e-mailadres of website, zodat het lijkt alsof het bericht van een betrouwbare bron komt. Voor financiële instellingen is spoofing een groot risico: niet alleen voor de eigen organisatie, maar vooral voor klanten die worden opgelicht in naam van hun bank of adviseur. In dit artikel lees je wat spoofing is, hoe je het herkent en wat je ertegen kunt doen.
Wat is spoofing?
Spoofing is een techniek waarbij oplichters een afzender vervalsen, zodat een slachtoffer denkt dat hij met een vertrouwde partij te maken heeft. Het doel is meestal om persoonlijke gegevens, inloggegevens of geld buit te maken. Spoofing wordt vaak gecombineerd met phishing: de vervalste afzender zorgt voor vertrouwen, het bericht zelf verleidt het slachtoffer tot actie.
Welke vormen van spoofing zijn er?
- Telefoonspoofing: criminelen bellen met een vervalst telefoonnummer, bijvoorbeeld het werkelijke nummer van de bank. Op het scherm van het slachtoffer verschijnt dan de naam van de bank, terwijl de oplichter vanaf een ander nummer belt.
- E-mailspoofing: een e-mail lijkt te komen van een bekend e-mailadres, terwijl de afzender is vervalst. Vaak staat er een link in naar een valse website.
- Sms-spoofing: sms-berichten verschijnen onder de naam van een bank of bedrijf, soms zelfs in dezelfde berichtenreeks als echte berichten.
- Websitespoofing: oplichters bouwen een valse website die lijkt op de officiële website, met een domeinnaam die er nauwelijks van afwijkt. Wie daar zijn gegevens invult, geeft ze aan criminelen.
- IP-spoofing: cybercriminelen vervalsen een IP-adres om netwerken binnen te dringen of beveiligingsmaatregelen te omzeilen.
Een bekend voorbeeld: de nepbankmedewerker
Bij bankhelpdeskfraude wordt een klant gebeld door iemand die zich voordoet als bankmedewerker, met het nummer van de bank op het scherm. De oplichter vertelt dat de rekening is gehackt en dat het geld naar een veilige rekening moet worden overgemaakt. In werkelijkheid is dat de rekening van de crimineel. Banken vragen nooit om geld over te maken naar een veilige rekening, en vragen nooit om een pincode of inlogcode.
Hoe herken je spoofing?
Spoofing is lastig te herkennen, omdat de afzender er echt uitziet. Let daarom vooral op de inhoud en de toon van het bericht of telefoontje:
- Er is haast: de afzender zet je onder druk om direct actie te ondernemen, bijvoorbeeld omdat je rekening anders wordt geblokkeerd.
- Er wordt om gevoelige informatie gevraagd: een betrouwbare organisatie vraagt nooit om je pincode, wachtwoorden of volledige inloggegevens.
- De link klopt niet: controleer de URL voordat je klikt. Een kleine afwijking in de domeinnaam wijst op een valse website.
- Het verzoek is ongebruikelijk: een vraag om geld over te maken naar een veilige rekening, of om software te installeren waarmee iemand op afstand meekijkt.
Twijfel je of een bericht echt is? Neem dan zelf contact op met de organisatie via het nummer op de officiële website of je bankpas, niet via het nummer of de link in het bericht. Ben je gebeld en vertrouw je het niet, hang dan op en bel zelf terug.
Hoe bescherm je je organisatie tegen spoofing?
Financiële instellingen zijn vaak het merk waarachter oplichters zich verschuilen. Daarom heb je een dubbele rol: je beschermt je eigen organisatie, en je helpt klanten om niet opgelicht te worden in jouw naam.
Technische maatregelen
- E-mailauthenticatie: stel SPF, DKIM en DMARC in voor je domeinnaam. Daarmee kunnen ontvangende mailservers controleren of een e-mail echt van jouw organisatie komt, en vervalste e-mails blokkeren.
- Domeinbewaking: houd in de gaten of er domeinnamen worden geregistreerd die sterk op die van jou lijken, en laat valse websites offline halen.
- Multifactorauthenticatie: zorg dat gestolen inloggegevens alleen niet genoeg zijn om toegang te krijgen tot systemen of klantaccounts.
Organisatorische maatregelen
- Train medewerkers: spoofing richt zich ook op medewerkers, bijvoorbeeld bij CEO-fraude, waarbij een oplichter zich voordoet als een bestuurder en vraagt om een spoedbetaling. Leg vast dat betalingsverzoeken altijd via een tweede kanaal worden gecontroleerd.
- Informeer klanten: communiceer duidelijk wat je wel en niet vraagt, bijvoorbeeld dat je nooit om een pincode vraagt of klanten vraagt geld over te maken naar een veilige rekening.
- Bescherm klantgegevens: hoe minder gevoelige informatie criminelen over je klanten kunnen achterhalen, hoe moeilijker het is om een geloofwaardig spoofingverhaal op te bouwen.
Wat doe je als je slachtoffer bent van spoofing?
Ben je, of is een klant, opgelicht via spoofing, dan is snel handelen belangrijk:
- Neem direct contact op met de bank: laat de rekening of betaalpas blokkeren en vraag of een betaling nog kan worden teruggehaald.
- Wijzig je wachtwoorden: vooral als je inloggegevens hebt ingevuld op een valse website.
- Doe aangifte bij de politie: dat kan vaak online.
- Meld het bij de Fraudehelpdesk: zo kunnen andere mensen worden gewaarschuwd.
- Meld een datalek: zijn er bij jouw organisatie persoonsgegevens van klanten buitgemaakt, beoordeel dan of je een melding moet doen bij de Autoriteit Persoonsgegevens.
In het kort
- Spoofing is een vorm van online oplichting waarbij criminelen een afzender vervalsen, zoals een telefoonnummer, e-mailadres of website.
- Bekende vormen zijn telefoon-, e-mail-, sms-, website- en IP-spoofing.
- Je herkent spoofing vooral aan haast, vragen om gevoelige informatie en ongebruikelijke verzoeken.
- Organisaties beschermen zich met e-mailauthenticatie (SPF, DKIM, DMARC), domeinbewaking, multifactorauthenticatie en training.
- Bij twijfel neem je zelf contact op via een officieel kanaal.
Veelgestelde vragen over spoofing
Spoofing is het vervalsen van een afzender, zoals een telefoonnummer of e-mailadres. Phishing is het misleiden van iemand om gegevens af te staan of op een link te klikken. De twee worden vaak gecombineerd: spoofing maakt een phishingbericht geloofwaardiger.
Ja. Criminelen kunnen elk telefoonnummer laten verschijnen op het scherm van de persoon die ze bellen, ook dat van jou of je organisatie. Je kunt dat zelf niet voorkomen. Krijg je meldingen van mensen die door jouw nummer zijn gebeld, waarschuw dan je contacten en je telefoonprovider.
Controleer het volledige e-mailadres van de afzender, niet alleen de weergegeven naam. Beweeg met je muis over een link om de echte URL te zien voordat je klikt. Bij twijfel open je de website zelf via je browser in plaats van via de link.
Spoofing zelf is een middel, maar het wordt bijna altijd gebruikt voor strafbare feiten zoals oplichting, computervredebreuk of identiteitsfraude. Doe daarom altijd aangifte als je slachtoffer bent.
Disclaimer
De informatie in dit artikel is uitsluitend bedoeld ter algemene voorlichting. Het mag niet worden beschouwd als bindend fiscaal, juridisch of financieel advies. Hoewel we ernaar streven dat de inhoud actueel en correct is, kunnen er geen rechten aan worden ontleend. Voor advies op maat, afgestemd op de specifieke situatie van uw organisatie, raden wij aan contact op te nemen met een bevoegde adviseur of specialist.
