Nepbericht

Waarom een nepbericht jouw echte naam en IBAN kan bevatten

door

Je krijgt een sms’je van je bank. Je volledige naam staat erin. Misschien zelfs je echte rekeningnummer. Het bericht ziet er netjes uit en de afzender lijkt betrouwbaar. Dan zal het toch wel echt zijn?

Helaas niet. Oplichters beschikken steeds vaker over echte persoonsgegevens. Een naam, telefoonnummer, e-mailadres, woonadres of zelfs een IBAN kan worden gebruikt om een vals bericht veel geloofwaardiger te maken. Dat maakt moderne phishing gevaarlijker dan de klassieke nepmail vol spelfouten die begint met “Geachte klant”.

Een bericht kan tegenwoordig persoonlijke informatie bevatten die helemaal klopt — en toch volledig nep zijn.

Een echte naam is geen bewijs meer

Veel mensen gebruiken persoonlijke informatie onbewust als controle. Staat mijn naam erin? Dan kennen ze mij blijkbaar. Klopt mijn bank? Dan zal het wel van de bank zijn. Weten ze mijn adres? Dan moet de afzender wel toegang hebben tot mijn dossier.

Dat klinkt logisch. Alleen werkt die controle steeds minder goed. Persoonsgegevens komen op allerlei manieren terecht bij commerciële bedrijven, webwinkels, sociale media, organisaties en overheidsdiensten. Soms worden gegevens openbaar gedeeld, soms worden ze verzameld voor marketing en soms komen ze door een datalek of cyberaanval op straat te liggen.

Criminelen kunnen zulke gegevens vervolgens combineren. Een telefoonnummer alleen zegt misschien niet zoveel, maar een combinatie van je volledige naam, mobiele telefoonnummer, e-mailadres, woonplaats, geboortedatum, de naam van je bank en een rekeningnummer of IBAN maakt een nepbericht ineens een stuk overtuigender.

En precies daarvan maken oplichters gebruik.

Een valse sms mét je echte IBAN

Dat dit geen theoretisch risico is, bleek in april 2026. De Fraudehelpdesk waarschuwde toen voor een valse sms over het blokkeren van een betaalpas. In het bericht stond dat eerdere herinneringen waren genegeerd en dat de betaalpas daarom zou worden geblokkeerd. Om dat te voorkomen moest de ontvanger op een link klikken.

Dat soort berichten kennen we inmiddels. Maar er zat een belangrijk verschil in deze campagne: in het nepbericht werd het echte IBAN van de ontvanger genoemd.

Dat maakt een enorme psychologische indruk. Je ziet immers je eigen rekeningnummer staan en denkt: Hoe kan een willekeurige oplichter mijn rekeningnummer kennen? Dit moet wel mijn bank zijn.

Maar die conclusie is gevaarlijk. De Fraudehelpdesk waarschuwde juist dat de aanwezigheid van het juiste IBAN het bericht niet betrouwbaar maakte. Het bericht was vals.

Ook je volledige naam wordt gebruikt

Hetzelfde patroon is te zien bij andere fraudecampagnes. In mei 2026 waarschuwde de Fraudehelpdesk voor een valse sms uit naam van de Rijksoverheid. De ontvanger moest zogenaamd een cryptowallet verifiëren en kreeg te horen dat anders een boete zou volgen. Opvallend was opnieuw de persoonlijke benadering: slachtoffers werden aangesproken met hun volledige voor- en achternaam.

Een maand later volgde opnieuw een waarschuwing. Dit keer ging het om een valse sms over een zogenaamde onbetaalde schuld. Ook daarin werd de volledige naam van de ontvanger gebruikt. Wie niet snel betaalde, zou volgens het bericht te maken krijgen met een gerechtsdeurwaarder en beslaglegging. De link leidde naar een website die zich voordeed als die van de Belastingdienst.

Naam correct. Overheidsinstantie herkenbaar. Professioneel ogende website. Dreigende boodschap. En toch: nep.

Hoe komen criminelen aan je gegevens?

Dat is vaak de eerste vraag wanneer iemand zo’n bericht ontvangt: Hoe weten ze dit van mij? Daar is niet één antwoord op. Persoonsgegevens kunnen uit veel verschillende bronnen afkomstig zijn.

1. Een oud datalek

Bedrijven en organisaties bewaren enorme hoeveelheden informatie over klanten en gebruikers. Denk aan namen, telefoonnummers, e-mailadressen, adressen en soms financiële gegevens. Als zo’n organisatie wordt gehackt of gegevens per ongeluk openbaar maakt, kunnen gegevens worden buitgemaakt.

Het vervelende is dat gestolen gegevens niet na een paar maanden waardeloos worden. Je geboortedatum verandert niet. Een e-mailadres gebruik je misschien tien jaar en een mobiel nummer houd je soms jarenlang. Een oud datalek kan daardoor jaren later nog worden gebruikt.

2. Meerdere databronnen worden gecombineerd

Een crimineel hoeft niet één bestand te hebben waarin alles over jou staat. Stel dat uit database A blijkt: naam + e-mailadres. Uit database B blijkt: e-mailadres + telefoonnummer. En uit een andere bron komt bijvoorbeeld telefoonnummer + bankrekening.

Dan kunnen die gegevens aan elkaar worden gekoppeld. Zo ontstaat geleidelijk een completer profiel.

3. Sociale media

We vertellen zelf verrassend veel op internet. Facebook, Instagram, LinkedIn en andere platforms kunnen informatie prijsgeven over waar je woont, waar je werkt, met wie je bent getrouwd, wie je kinderen of kleinkinderen zijn, wanneer je jarig bent, waar je op vakantie bent en met welke bedrijven of organisaties je te maken hebt.

Los lijkt dat allemaal onschuldige informatie. Gecombineerd kan het heel bruikbaar zijn voor iemand die zich tegenover jou geloofwaardig wil voordoen.

4. Eerdere phishing

Soms heeft iemand maanden eerder op een phishinglink geklikt en gegevens ingevuld. Daar hoeft toen niet onmiddellijk iets mee te zijn gebeurd. De verzamelde informatie kan later opnieuw worden gebruikt of worden doorverkocht.

Een eerste phishingactie kan dus vooral bedoeld zijn om informatie te verzamelen voor een veel overtuigender tweede aanval.

Wil je meer weten over phishing? Lees dan ook: Wat is phishing? Zo herken je digitale oplichting op tijd.

Criminelen bouwen vertrouwen op

Het uiteindelijke doel is meestal niet om te bewijzen dat criminelen iets over jou weten. Het doel is dat jij daardoor vertrouwen krijgt in de rest van het verhaal.

Geachte mevrouw Jansen, vanwege verdachte activiteit op rekening NL12 XXXX 0123 4567 89 wordt uw betaalpas vandaag om 18.00 uur geblokkeerd. Controleer uw gegevens via onderstaande link.

Je naam klopt. Je rekeningnummer klopt. Misschien wordt zelfs de juiste bank genoemd. Daarmee heeft de oplichter de belangrijkste hobbel genomen: twijfel wegnemen.

Vervolgens wordt tijdsdruk toegevoegd: vandaag, meteen, binnen twee uur, laatste waarschuwing. Dat is geen toeval. Hoe meer haast je voelt, hoe kleiner de kans dat je rustig gaat controleren wat er werkelijk aan de hand is.

Ze hoeven je pincode nog niet te weten

Een belangrijk misverstand is dat een crimineel die je IBAN kent automatisch toegang heeft tot je bankrekening. Dat is niet zo. Je IBAN is geen wachtwoord. Mensen en bedrijven aan wie je geld overmaakt of van wie je geld ontvangt, kunnen je rekeningnummer bijvoorbeeld ook kennen.

Het gevaar ontstaat vooral doordat bestaande informatie wordt gebruikt om nieuwe, veel gevoeligere informatie van je los te krijgen.

  • inloggegevens;
  • verificatiecodes;
  • betaalgegevens;
  • pincodes;
  • wachtwoorden;
  • kopieën van identiteitsbewijzen;
  • toegang tot je computer of telefoon.

Je echte gegevens zijn dan het lokaas. De phishingpagina doet de rest.

Het kan in verschillende stappen gaan

Moderne oplichting bestaat bovendien lang niet altijd uit één bericht. Een aanval kan bijvoorbeeld zo verlopen:

  1. Je ontvangt een geloofwaardige sms met je echte naam of IBAN.
  2. Je klikt op de link.
  3. Je vult enkele gegevens in op een nagemaakte website.
  4. Kort daarna word je gebeld.
  5. De beller zegt medewerker van je bank te zijn en weet opvallend veel van je.

Dat laatste voelt als bewijs. Maar een deel van de informatie heeft de oplichter misschien enkele minuten eerder van jou gekregen.

In maart 2026 waarschuwde de Fraudehelpdesk bijvoorbeeld voor een valse sms uit naam van MijnOverheid. Ontvangers moesten via een link hun gegevens bijwerken en een betaling van één cent uitvoeren. Sommige melders werden daarna gebeld door een zogenaamde bankmedewerker. Vervolgens werd verteld dat een wijkagent bankpassen zou komen ophalen.

Eén nep-sms kan dus het begin zijn van een veel uitgebreider scenario.

Je gegevens kunnen tegen je worden gebruikt zonder dat ze geheim zijn

Dat is misschien wel de belangrijkste les. Niet alle persoonsgegevens zijn geheim. Je naam staat misschien gewoon op internet. Je rekeningnummer staat mogelijk op facturen. Je telefoonnummer staat in verschillende databases. Je geboortedatum heb je ooit bij een webshop ingevuld.

Het gevaar zit in de combinatie en de context. Een crimineel kan bekende informatie gebruiken om onbekende informatie te verkrijgen.

Vergelijk het met iemand die aanbelt en zegt: “Goedemiddag meneer De Vries. Ik kom namens uw energieleverancier. U woont hier op nummer 24 en u bent klant bij ons.”

Alles wat hij zegt kan kloppen. Maar daarmee is nog niet bewezen dat hij werkelijk voor het energiebedrijf werkt. Online geldt precies hetzelfde.

Ook het telefoonnummer op je scherm kan vals zijn

Nog een reden waarom oude controlemethoden niet meer voldoende zijn: het nummer dat op je scherm verschijnt, hoeft niet werkelijk het nummer van de beller te zijn. Dat heet spoofing.

Bij telefoonnummerspoofing manipuleert een oplichter de getoonde afzender. Daardoor kan het lijken alsof je wordt gebeld door een bekende organisatie. Zelfs een bekend nummer op je scherm is daarom niet altijd voldoende bewijs dat de beller werkelijk bij die organisatie werkt.

In juli 2026 waarschuwde de Fraudehelpdesk zelfs dat criminelen het telefoonnummer van de Fraudehelpdesk zelf gebruikten bij valse telefoontjes. De beller vertelde bijvoorbeeld dat er verdachte bankzaken waren en probeerde slachtoffers vervolgens software te laten installeren waarmee op afstand op hun computer of telefoon kon worden meegekeken.

Dat laat goed zien waarom je nooit uitsluitend op het weergegeven telefoonnummer moet vertrouwen.

De bank weet mijn gegevens toch ook?

Ja. En precies daarom werkt deze vorm van fraude. Een echte bank kent je naam en rekeningnummer. Een echte verzekeraar kent waarschijnlijk je adres. Een echte webshop weet wat je hebt besteld. Een echte telefoonprovider kent je telefoonnummer.

Maar daaruit volgt niet dat iedereen die deze informatie noemt ook werkelijk voor die organisatie werkt. Maak daarom een onderscheid tussen informatie die iemand over jou weet en bewijs van de identiteit van degene die contact zoekt. Dat zijn twee verschillende dingen.

Een simpelere en veiligere manier van controleren

Probeer een verdacht bericht niet helemaal technisch te ontleden. Je hoeft niet te weten hoe een website is gebouwd, hoe sms-spoofing werkt of hoe een hacker aan je gegevens is gekomen.

Gebruik één simpele regel:

Controleer belangrijke berichten buiten het bericht zelf om.

Krijg je een sms van je bank? Open dan zelf de bankapp. Krijg je een bericht van MijnOverheid? Open zelf de MijnOverheid-app of typ zelf het bekende webadres in. Word je gebeld door je bank en vertrouw je het niet? Hang op en bel zelf het telefoonnummer dat op de officiële website, in je bankapp of op je bankpas staat.

Gebruik dus niet de link uit het bericht, het telefoonnummer in de sms, een nummer dat de beller je geeft of een zoekresultaat waarvan je niet zeker weet of het officieel is.

Je creëert daarmee een tweede, onafhankelijke route naar de organisatie. Dat is veel betrouwbaarder.

“Maar er staan helemaal geen spelfouten in”

Ook dat is geen goede controle meer. Vroeger kon je veel phishing herkennen aan krom Nederlands, vreemde hoofdletters en slecht vertaalde teksten. Die tijd is grotendeels voorbij.

Professionele fraudeurs kunnen keurige websites bouwen en overtuigende berichten schrijven. Bovendien maken moderne taal- en AI-tools het bijzonder eenvoudig om foutloze en professioneel klinkende teksten te produceren.

Een perfect geschreven bericht kan dus nog steeds phishing zijn. Ook een logo bewijst niets. Ook een nette website bewijst niets. Ook je naam bewijst niets. En zelfs je echte IBAN bewijst niet dat het bericht van je bank afkomstig is.

De link ziet er bijna goed uit

Oplichters proberen ook webadressen betrouwbaar te laten lijken. Soms verschilt een domeinnaam maar één letter van het echte adres. Soms staat de naam van een bank ergens in een veel langer webadres.

En soms proberen criminelen je juist vertrouwen te geven doordat ze helemaal geen klikbare link gebruiken. JeWiltWat schreef eerder bijvoorbeeld over een phishingcampagne waarbij slachtoffers werd gevraagd een URL zelf te kopiëren en in de browser te plakken. Dat voelt veiliger dan op een verdachte knop klikken, maar kan uiteindelijk naar precies dezelfde nepomgeving leiden.

Lees ook: Nieuwe phishingtruc: ‘kopieer-en-plak’-URL maakt nepbericht extra geloofwaardig.

En: Phishing in de praktijk: de nepmail van ‘Rabobank’.

WhatsApp-fraude werkt volgens hetzelfde principe

De techniek verschilt, maar psychologisch gebeurt bij WhatsApp-fraude ongeveer hetzelfde. Iemand stuurt bijvoorbeeld: “Hoi mam, mijn telefoon is kapot. Dit is mijn nieuwe nummer.”

Daarna wordt persoonlijke informatie gebruikt om vertrouwen op te bouwen. Misschien kent de oplichter de naam van een zoon of dochter. Misschien staat die informatie openbaar op sociale media. Misschien wordt die tijdens het gesprek slim uit het slachtoffer gehaald. Daarna volgt het verzoek om geld.

Wie wil zien hoe die truc werkt, kan ook lezen: WhatsApp-oplichting: ‘Mam ik heb een nieuw nummer’ – hoe deze internettruc werkt.

En soms wordt zelfs je telefoonnummer overgenomen

Een nog verdergaande vorm is SIM-swapping of simscamming. Daarbij probeert een crimineel jouw telefoonnummer op een andere simkaart te laten activeren. Lukt dat, dan kunnen sms’jes en soms verificatiecodes bij de crimineel terechtkomen.

Dat maakt duidelijk waarom alleen een telefoonnummer steeds minder geschikt is als bewijs dat iemand werkelijk is wie hij zegt te zijn.

Meer hierover: Simscamming (SIM-swap): wat is het?.

Van persoonsgegevens naar identiteitsfraude

Een gestolen persoonsgegevensbestand kan veel langer bruikbaar blijven dan bijvoorbeeld een gestolen wachtwoord. Een wachtwoord kun je veranderen. Je geboortedatum niet. Je naam meestal ook niet.

Daarom is het belangrijk voorzichtig om te gaan met informatie die organisaties over je verzamelen. Eén gegeven lijkt misschien onschuldig, maar veel kleine gegevens samen kunnen een behoorlijk nauwkeurig profiel vormen.

Dat profiel kan worden gebruikt voor phishing, telefonische oplichting, WhatsApp-fraude, identiteitsfraude, accountovername, overtuigende nepaccounts en gerichte financiële fraude.

Privacy gaat daarom niet alleen over de vraag of je iets te verbergen hebt. Het gaat ook over de vraag hoeveel informatie onbekenden kunnen verzamelen om zich tegenover jou — of tegenover anderen — geloofwaardig voor te doen.

Senioren zijn een aantrekkelijke doelgroep

Deze vorm van fraude verdient extra aandacht bij senioren. Niet omdat oudere mensen per definitie minder goed met internet kunnen omgaan. Integendeel: steeds meer senioren regelen zelfstandig hun bankzaken, pensioen, zorg, belastingzaken en communicatie met de overheid online.

Juist daardoor bestaan er veel geloofwaardige onderwerpen waarmee een oplichter iemand kan benaderen, zoals de bankrekening, betaalpas, het pensioen, DigiD, MijnOverheid, de zorgverzekering, apotheek, Belastingdienst, energierekening of familieleden.

Daar komt bij dat criminelen vaak bewust gebruikmaken van autoriteit en tijdsdruk. Denk aan boodschappen als “Wij zijn van de bank”, “Ik bel namens de politie”, “Uw rekening is niet veilig” of “Er komt iemand uw bankpas ophalen”.

De politie waarschuwt regelmatig voor dergelijke vormen van bankhelpdeskfraude en fraude door nepagenten. In april 2026 meldde de politie dat het aantal incidenten met nepagenten in 2025 was gestegen tot ruim 13.000. Slachtoffers zijn volgens de politie vaak oudere en kwetsbare mensen.

Dat maakt voorlichting aan senioren belangrijk — maar ook aan kinderen, familieleden, buren en mantelzorgers.

Niemand van de bank komt je pas “veilig ophalen”

Een bijzonder gevaarlijk vervolg op phishing is de zogenaamde bankmedewerker of nepagent aan de deur. Het verhaal klinkt vaak ongeveer zo: er is fraude geconstateerd op je rekening, je bankpas moet onmiddellijk worden geblokkeerd en voor je veiligheid wordt iemand gestuurd om de pas op te halen.

Dat hoort niet. De politie benadrukt dat medewerkers van politie, banken, verzekeraars of thuiszorginstellingen niet onverwacht aan de deur komen om financiële zaken af te handelen.

Geef daarom nooit zomaar je betaalpas, pincode, geld, sieraden of inlogcodes mee. Ook niet wanneer de persoon aan de telefoon jouw naam, adres of rekeningnummer weet. En ook niet wanneer degene die aan de deur staat een professioneel verhaal vertelt.

JeWiltWat schreef eerder ook over een vergelijkbare vorm van fysieke misleiding: Fraude met nepmonteurs: hoe criminelen servicenummers misbruiken.

Vijf signalen waarbij je altijd extra alert moet zijn

Persoonlijke gegevens kunnen een bericht geloofwaardig maken. Kijk daarom vooral naar wat iemand van je wil.

1. Er is grote haast

Nu betalen. Vandaag reageren. Binnen één uur uw rekening beveiligen. Haast voorkomt dat je gaat controleren.

2. Je moet op een link klikken

Zeker wanneer het gaat om bankzaken, DigiD, belastingzaken of betalingen is dat reden om extra voorzichtig te zijn. Ga liever zelf naar de officiële website of app.

3. Je moet informatie bevestigen

Een veelgebruikte formulering is: “Wij hebben uw gegevens al, u hoeft ze alleen nog te bevestigen.” Dat klinkt onschuldig, maar kan juist bedoeld zijn om ontbrekende gegevens te verzamelen.

4. Er wordt om codes of toegang gevraagd

Geef nooit zomaar pincodes, inlogcodes of verificatiecodes door. Installeer ook geen programma waarmee een onbekende op afstand je telefoon of computer kan bedienen.

5. Iemand wil dat je geld “veiligstelt”

Een bank vraagt je niet om je spaargeld naar een zogenaamde veilige rekening of kluisrekening over te maken. Dat is een bekende vorm van bankhelpdeskfraude.

Wat moet je doen als je zo’n bericht krijgt?

De veiligste reactie is vaak verrassend eenvoudig: doe voorlopig niets met het bericht zelf.

Klik niet. Bel het nummer niet. Antwoord niet. Open geen bijlage. Maak niets over.

Controleer vervolgens onafhankelijk of het verhaal klopt:

  1. Open zelf je bankapp.
  2. Kijk zelf in MijnOverheid.
  3. Zoek het officiële telefoonnummer van de organisatie.
  4. Bel eventueel een familielid als het bericht zogenaamd van die persoon komt.
  5. Vraag iemand die je vertrouwt om mee te kijken.

Dat laatste is geen teken dat je iets niet begrijpt. Oplichters ontwerpen berichten bewust om mensen onder druk te zetten. Een tweede paar ogen haalt die druk vaak meteen uit de situatie.

Wat als je al hebt geklikt?

Alleen klikken betekent niet automatisch dat je geld kwijt bent. Maar wat je daarna hebt gedaan, is belangrijk.

Alleen de website geopend

Sluit de pagina. Vul niets in en download niets.

Een wachtwoord ingevuld

Verander dat wachtwoord zo snel mogelijk via de echte website of app. Gebruik je hetzelfde wachtwoord ergens anders? Verander het daar ook.

Bankgegevens of bankcodes ingevoerd

Neem onmiddellijk rechtstreeks contact op met je bank. Gebruik daarvoor het officiële nummer van de bank, niet een telefoonnummer uit het verdachte bericht.

Een programma geïnstalleerd omdat een “medewerker” wilde meekijken

Verbreek indien nodig de internetverbinding en neem contact op met je bank wanneer bankzaken betrokken waren. Laat het apparaat controleren voordat je er opnieuw gevoelige handelingen mee uitvoert.

Geld overgemaakt

Neem zo snel mogelijk contact op met je bank en meld wat er is gebeurd. Doe waar passend aangifte bij de politie en meld de fraude bij de Fraudehelpdesk. Hoe sneller er wordt gehandeld, hoe beter.

Een goede familietip: spreek één regel af

Vooral wanneer ouders, grootouders of andere familieleden regelmatig digitaal bankieren, kan één simpele afspraak veel ellende voorkomen:

Bij onverwachte verzoeken om geld, bankpassen of belangrijke gegevens controleren we het altijd eerst via een tweede contactroute.

Dus: een WhatsApp-bericht van je dochter? Bel haar op haar bekende nummer. Een telefoontje van de bank? Hang op en bel zelf de bank. Een sms van MijnOverheid? Open zelf MijnOverheid. Een agent die bankgegevens wil ophalen? Ga daar niet op in en controleer zelf bij de politie.

Op die manier hoef je niet iedere nieuwe fraudevariant uit je hoofd te leren. De verhalen veranderen. Het controleprincipe blijft hetzelfde.

Persoonlijke informatie is geen echtheidskenmerk meer

We zullen moeten wennen aan een nieuwe werkelijkheid. Vroeger kon een persoonlijke aanhef juist een teken zijn dat een organisatie je kende. Nu kan dezelfde persoonlijke informatie worden gebruikt om je vertrouwen te misbruiken.

Je naam kan echt zijn. Je adres kan echt zijn. Je telefoonnummer kan echt zijn. Je IBAN kan echt zijn. Het logo kan echt zijn. Het nummer op je telefoonscherm kan zelfs het officiële nummer lijken. En toch kan het verhaal nep zijn.

De belangrijkste vraag is daarom niet: “Hoe kan deze persoon mijn gegevens kennen?” Maar: “Kan ik via een onafhankelijke route controleren of dit verzoek echt is?”

Doe dat vóór je klikt, betaalt, gegevens doorgeeft of iemand toegang geeft tot je apparaat. Want bij moderne digitale fraude zijn echte gegevens soms juist het middel waarmee een leugen geloofwaardig wordt gemaakt.

Lees ook op JeWiltWat.nl

Bronnen