Phishing via bezorg- en betaalberichten

Waarom een bericht over een pakketje zo'n goede vermomming is

Een sms over een pakketje werkt zo goed als oplichting juist omdat het geloofwaardig is. De meeste mensen die online shoppen verwachten op vrijwel elk moment wel een bezorging, dus een bericht dat er een probleem is met een pakket past naadloos in een verwachting die er al is, in tegenstelling tot bijvoorbeeld een bericht over een prijs waar je nooit voor hebt meegedaan. Deze vorm van oplichting heeft zelfs een eigen naam in de literatuur over fraudepreventie: smishing, phishing via sms in plaats van e-mail. Het wordt in meerdere landen door anti-fraude-organisaties bijgehouden als een specifieke, terugkerende categorie oplichting.

Hoe het nepbericht over een bezorging precies werkt

Het patroon wordt in fraudevoorlichting steeds op dezelfde manier beschreven: er komt een sms binnen die zegt afkomstig te zijn van een bezorgdienst of postbedrijf, vaak met de naam van een echt, bekend bedrijf erbij, met een zogenaamde trackingcode en een link om "bezorgvoorkeuren bij te werken" of een probleem met het adres op te lossen. Wie op de link klikt, komt op een pagina die is nagemaakt om op de echte site van de bezorger te lijken, waar persoonlijke of financiële gegevens worden gevraagd, of soms om een klein "herbezorgtarief" te betalen dat rechtstreeks naar de oplichter gaat. Een nuttig detail: post- en bezorgdiensten sturen doorgaans geen ongevraagde sms-updates, tenzij je je specifiek hebt aangemeld voor trackingmeldingen. Een onverwachte bezorgsms is dus al enigszins verdacht nog voordat je de inhoud goed hebt gelezen.

Dit wordt in verschillende landen als een bekend, grootschalig probleem behandeld

Hoe wijdverspreid dit is geworden, blijkt uit de manier waarop landen het aanpakken. In meerdere landen bestaan aparte, officiële meldroutes: verdachte e-mails en sms'jes kunnen worden doorgestuurd naar een meldpunt, dat het bericht vervolgens doorgeeft aan de betreffende telecomprovider zodat vergelijkbare berichten sneller herkend en geblokkeerd kunnen worden. Nationale organisaties voor fraude- en cybercrimemeldingen zien pakketphishing bovendien terugkomen als een seizoenspatroon, vooral rond periodes van drukke online verkoop, en raden aan om nooit bankgegevens of wachtwoorden op te geven naar aanleiding van een bezorgbericht, hoe officieel het er ook uitziet. Check welke meldmogelijkheden er in jouw land zijn als je iets wilt melden.

Betaalmeldingen gebruiken dezelfde truc, met een ander doel

Een naaste verwant van de nepbezorgsms is de nepmelding over een betaling of account: een bericht dat een kaartbetaling is mislukt, dat een abonnement binnenkort duurder wordt verlengd, of dat een account is geblokkeerd, weer met een link om het probleem "op te lossen". Het mechanisme is hetzelfde als bij bezorgoplichting, urgentie plus een link naar een overtuigende nepwebsite, alleen nu gericht op het direct buitmaken van inloggegevens of kaartnummers in plaats van via een nepherbezorgtarief. Dezelfde voorzichtigheid geldt: een echt betaalprobleem bij een echte webshop of bank hoeft meestal niet te worden opgelost door op een link in een onverwacht bericht of e-mail te klikken.

Gewoontes die deze vorm van oplichting veel minder effectief maken

• Klik niet op een link in een onverwacht bericht over een bezorging of betaling; als je denkt dat het echt kan zijn, open dan de app of bekende website van de bezorger of het bedrijf zelf, in plaats van de link te gebruiken.
• Check of je je eigenlijk hebt aangemeld voor trackingmeldingen van die specifieke vervoerder; een ongevraagde bezorgsms is op zichzelf al reden voor argwaan.
• Vul nooit een kaartnummer of wachtwoord in op een pagina die je via een link uit een sms hebt bereikt, hoe officieel de pagina er ook uitziet.
• Meld verdachte sms'jes en e-mails via de officiële meldpunten die in jouw land beschikbaar zijn, bijvoorbeeld via je provider, je bank of een nationale organisatie voor fraude- of cybercrimemeldingen; dat helpt om herhalende oplichtingspatronen sneller te herkennen.

Dit alles heeft niets te maken met een echte kortingscode of couponcode van een webshop; die pas je zelf toe in de kassa van de webshop, nooit via een link die achteraf wordt gestuurd met een verhaal over een bezorg- of betaalprobleem. Wij vermelden gecontroleerde codes bij honderden webshops in veel landen op daily-coupons.info, en vragen nooit om kaartgegevens of accountwachtwoorden om een vermelde code te gebruiken, zoals ook toegelicht op onze FAQ-pagina.

Dit artikel is algemene veiligheidsinformatie, geen juridisch advies. Denk je dat je doelwit bent geweest of heb je al gegevens ingevuld naar aanleiding van een phishingbericht, neem dan snel contact op met je bank en met de relevante nationale meldinstantie.