Tag: cybersecurity

  • Wat is tweestapsverificatie en hoe werkt 2FA?

    Wat is tweestapsverificatie en hoe werkt 2FA?

    Wat is tweestapsverificatie?

    Tweestapsverificatie is een extra beveiliging voor je online accounts. Bij een gewone login heb je alleen een wachtwoord nodig. Met tweestapsverificatie moet je na je wachtwoord nog op een tweede manier bewijzen dat jij het bent.

    Illustratie van tweestapsverificatie met een wachtwoord en tweede controle
    Tweestapsverificatie voegt na je wachtwoord een tweede controle toe.

    Dat kan bijvoorbeeld met een code die je op je telefoon ontvangt, een authenticator-app of een bevestiging op een ander apparaat.

    Het idee is eenvoudig: iemand die alleen je wachtwoord heeft, kan dan niet zomaar bij je account.

    Stel dat iemand je wachtwoord heeft bemachtigd. Zonder tweestapsverificatie kan die persoon mogelijk direct proberen in te loggen. Met tweestapsverificatie is er nog een tweede controle nodig.

    Die extra stap beschermt vooral belangrijke accounts, zoals je e-mail, Google- of Apple-account en accounts waarmee je toegang hebt tot persoonlijke of financiële gegevens.

    Tweestapsverificatie wordt ook wel 2FA genoemd. Dat staat voor two-factor authentication.

    Hoe werkt 2FA?

    Bij tweestapsverificatie bestaat het inloggen uit twee controles. Eerst vul je je wachtwoord in. Daarna volgt een tweede controle waarmee je laat zien dat jij degene bent die probeert in te loggen.

    Een eenvoudig voorbeeld:

    Je wilt inloggen op je Google-account. Je vult eerst je e-mailadres en wachtwoord in. Daarna vraagt Google om een tweede bevestiging. Dat kan bijvoorbeeld een melding op je smartphone zijn waarop je bevestigt dat jij probeert in te loggen.

    Pas daarna krijg je toegang tot je account.

    Die tweede controle hoeft dus niet altijd een code te zijn. Het kan ook een melding zijn die je op je telefoon bevestigt, een code uit een authenticator-app, een beveiligingssleutel of een passkey.

    Het belangrijkste is dat de tweede stap iets toevoegt naast je wachtwoord. Heeft iemand je wachtwoord gestolen, dan is dat nog niet voldoende om zomaar in je account te komen.

    Twee stappen betekent niet altijd twee apparaten

    Een veelgehoorde misvatting is dat je voor tweestapsverificatie altijd twee verschillende apparaten nodig hebt. Dat is niet zo.

    Je kunt bijvoorbeeld op je computer inloggen en de tweede controle op je smartphone uitvoeren. Maar sommige methoden werken ook volledig op één apparaat.

    Welke methode je gebruikt, hangt af van de dienst en de beveiligingsmogelijkheden die deze aanbiedt.

    Waarom is een wachtwoord alleen niet genoeg?

    Een sterk wachtwoord is belangrijk, maar goede accountbeveiliging bestaat uit meerdere lagen. In mijn artikel over Smartphone beveiligen leg ik uit welke andere maatregelen je kunt nemen.

    Een wachtwoord kan bijvoorbeeld worden gestolen bij een datalek. Ook kunnen mensen hetzelfde wachtwoord voor meerdere accounts gebruiken. Als één van die accounts wordt getroffen, kan een aanvaller proberen hetzelfde wachtwoord ergens anders te gebruiken.

    Met tweestapsverificatie voeg je een extra controle toe. Zelfs wanneer iemand je wachtwoord kent, moet die persoon ook nog door de tweede beveiligingsstap heen.

    Dat maakt vooral belangrijke accounts een stuk lastiger om over te nemen. Denk aan je e-mailaccount, Google- of Apple-account en accounts waarin persoonlijke of financiële gegevens staan.

    Je kunt tweestapsverificatie daarom zien als een extra slot op de deur. Een goed wachtwoord blijft belangrijk, maar je vertrouwt niet meer op één beveiligingslaag.

    Welke accounts moet je als eerste beveiligen?

    Begin met je belangrijkste accounts. Je e-mailaccount is daarbij extra belangrijk. Wie toegang krijgt tot je e-mail, kan namelijk bij veel andere accounts een nieuw wachtwoord aanvragen.

    Daarna zijn bijvoorbeeld je Google- of Apple-account, sociale media en accounts met financiële gegevens goede kandidaten.

    Heb je nog niet overal tweestapsverificatie ingesteld? Begin dan met de accounts die voor jou het belangrijkst zijn. Je hoeft niet alles tegelijk te doen.

    Welke vormen van tweestapsverificatie zijn er?

    Niet iedere dienst gebruikt dezelfde vorm van tweestapsverificatie. Je kunt bijvoorbeeld een code per sms krijgen, een code uit een authenticator-app gebruiken of een melding op je smartphone bevestigen.

    De verschillende methoden bieden niet allemaal dezelfde mate van beveiliging.

    Sms-code

    Bij deze methode ontvang je na het invoeren van je wachtwoord een code per sms. Je vult die code vervolgens in om de login te bevestigen.

    Een sms-code is beter dan alleen een wachtwoord, maar het is niet de sterkste vorm van tweestapsverificatie. Daarom bieden veel diensten tegenwoordig ook andere mogelijkheden aan.

    Authenticator-app

    Een authenticator-app maakt steeds nieuwe inlogcodes aan. Bekende voorbeelden zijn Google Authenticator en Microsoft Authenticator.

    Je opent de app wanneer je daarom wordt gevraagd en voert de actuele code in. De code verandert regelmatig, waardoor een eerder gebruikte code niet opnieuw kan worden gebruikt.

    Een authenticator-app is over het algemeen een goede keuze wanneer een dienst deze mogelijkheid aanbiedt.

    Bevestiging op je smartphone

    Sommige diensten sturen geen code, maar een melding naar je smartphone. Je krijgt bijvoorbeeld de vraag of jij probeert in te loggen en hoeft alleen maar te bevestigen.

    Dat is vaak makkelijker dan een code overtypen en kan tegelijkertijd een goede beveiligingslaag zijn.

    Beveiligingssleutel

    Een beveiligingssleutel is een klein fysiek apparaat dat je gebruikt om een login te bevestigen. Je sluit hem bijvoorbeeld aan via USB of houdt hem tegen je smartphone wanneer de dienst dat ondersteunt.

    Dit is vooral interessant voor mensen die extra sterke beveiliging willen. Voor de meeste gebruikers is een authenticator-app of bevestiging op de smartphone eenvoudiger.

    Passkey

    Een passkey werkt anders dan een traditioneel wachtwoord. Je bevestigt het inloggen bijvoorbeeld met je vingerafdruk, gezichtsherkenning of de schermvergrendeling van je apparaat.

    Passkeys zijn ontworpen om beter bestand te zijn tegen phishing dan wachtwoorden. Steeds meer diensten bieden ze daarom als alternatief voor een wachtwoord aan.

    Welke vorm van tweestapsverificatie kun je het beste gebruiken?

    Als een dienst meerdere mogelijkheden aanbiedt, kan het lastig zijn om te bepalen welke je moet kiezen. Gelukkig hoef je het niet ingewikkelder te maken dan nodig.

    Een authenticator-app is voor de meeste mensen een goede keuze. Je bent daarbij niet afhankelijk van een sms-bericht en de codes worden rechtstreeks door de app gegenereerd.

    Een bevestiging op je smartphone is vooral handig wanneer je snel en eenvoudig wilt inloggen. Je hoeft dan meestal alleen op je telefoon te bevestigen dat jij probeert in te loggen.

    Een sms-code is minder sterk dan deze opties, maar nog altijd beter dan helemaal geen tweestapsverificatie. Als een dienst alleen sms aanbiedt, is het daarom verstandig om die optie gewoon in te schakelen.

    Een beveiligingssleutel biedt een zeer sterke beveiliging, maar is voor de meeste mensen niet noodzakelijk.

    Een passkey is een interessante keuze wanneer een dienst deze aanbiedt. Je hoeft dan geen wachtwoord te onthouden en de methode is goed bestand tegen veel vormen van phishing.

    Mijn advies

    Kijk bij belangrijke accounts eerst welke mogelijkheden je krijgt. Kies bij voorkeur een authenticator-app, passkey of andere sterke methode wanneer die beschikbaar is.

    Kun je alleen kiezen voor sms? Schakel tweestapsverificatie dan toch in. Een extra beveiligingslaag is beter dan alleen een wachtwoord.

    Hoe stel je tweestapsverificatie in?

    Het instellen van tweestapsverificatie verschilt per dienst, maar de stappen zijn meestal vergelijkbaar.

    Ga eerst naar de beveiligingsinstellingen van je account. Zoek daar naar een onderdeel met een naam als Tweestapsverificatie, 2FA, Twee-factor-authenticatie of Inloggen in twee stappen.

    Vervolgens kies je de methode die je wilt gebruiken. De mogelijkheden verschillen per dienst. Je kunt bijvoorbeeld een authenticator-app, sms-code, bevestiging op je smartphone of passkey gebruiken.

    Bij het instellen van een authenticator-app moet je meestal een QR-code scannen of een speciale sleutel invoeren. De app gaat daarna codes genereren die je tijdens het inloggen kunt gebruiken.

    Bewaar je herstelmogelijkheden

    Bij het instellen van tweestapsverificatie krijg je bij sommige diensten herstelcodes. Dit zijn eenmalige codes waarmee je toegang tot je account kunt krijgen als je bijvoorbeeld je telefoon kwijtraakt.

    Bewaar deze codes op een veilige plek. Sla ze niet alleen op je smartphone op, want juist wanneer je je telefoon kwijtraakt, heb je er niets aan.

    Controleer ook welke andere herstelmogelijkheden de dienst aanbiedt. Denk bijvoorbeeld aan een tweede telefoonnummer, een ander vertrouwd apparaat of een extra beveiligingsmethode.

    Begin met je belangrijkste accounts

    Je hoeft niet alle accounts op dezelfde dag te beveiligen. Begin met de accounts die voor jou het belangrijkst zijn.

    Je e-mailaccount is een goed startpunt. Daarna kun je bijvoorbeeld je Google– of Apple-account, sociale media en andere belangrijke accounts beveiligen.

    Zodra je tweestapsverificatie hebt ingesteld, is je account beter beschermd tegen iemand die alleen je wachtwoord weet.

    Wat als je je telefoon kwijtraakt?

    Tweestapsverificatie maakt je accounts veiliger, maar het kan lastig zijn als je telefoon kwijt is of wordt gestolen. Je gebruikt je smartphone immers vaak om een login te bevestigen of een code te ontvangen.

    Daarom is het verstandig om bij het instellen van tweestapsverificatie meteen te kijken naar de herstelmogelijkheden van je account.

    Heb je herstelcodes gekregen? Bewaar die dan op een veilige plek waar je ook bij kunt als je telefoon niet beschikbaar is. Sommige diensten bieden daarnaast de mogelijkheid om een tweede apparaat, telefoonnummer of andere methode als back-up te gebruiken.

    Ben je je telefoon kwijtgeraakt? Probeer dan eerst je telefoon terug te vinden of op afstand te vergrendelen. Gebruik daarvoor de functie die bij je smartphone hoort, zoals Zoek mijn op een iPhone of de vind mijn apparaat zoekfunctie op Android.

    Kun je niet meer bij je account omdat de tweede verificatiestap op je verloren telefoon staat? Gebruik dan de herstelprocedure van de betreffende dienst. Probeer daarbij niet zomaar beveiligingsinstellingen uit te schakelen of onbekende hulpmiddelen te gebruiken.

    Tweestapsverificatie is dus geen reden om geen 2FA te gebruiken. Zorg er vooral voor dat je vooraf weet hoe je weer toegang krijgt als je telefoon wegvalt.

    Kan tweestapsverificatie worden omzeild?

    Tweestapsverificatie maakt je account een stuk veiliger, maar het is geen garantie dat een account nooit kan worden overgenomen.

    Oplichters proberen daarom soms niet de beveiliging zelf te kraken, maar jou ervan te overtuigen de tweede stap zelf goed te keuren. Je kunt bijvoorbeeld een onverwachte inlogmelding krijgen en die per ongeluk bevestigen.

    Ook kunnen criminelen proberen je via phishing naar een valse website te sturen. Daar kunnen ze proberen om naast je wachtwoord ook een verificatiecode van je te krijgen.

    Daarom blijft het belangrijk om voorzichtig om te gaan met onverwachte inlogmeldingen, codes en berichten. Bevestig nooit een inlogpoging die je zelf niet hebt gestart.

    Krijg je een beveiligingscode terwijl je helemaal niet probeert in te loggen? Deel die code dan met niemand. Het kan betekenen dat iemand probeert toegang te krijgen tot je account.

    2FA werkt dus het beste in combinatie met andere goede beveiligingsgewoonten: gebruik sterke, unieke wachtwoorden, wees voorzichtig met phishing en houd je apparaten up-to-date.

    Q&A

    Is tweestapsverificatie hetzelfde als 2FA?

    Ja. 2FA staat voor two-factor authentication en is de Engelse term voor tweestapsverificatie. Beide betekenen dat je naast je wachtwoord nog een tweede controle gebruikt om in te loggen.

    Is tweestapsverificatie echt nodig?

    Voor belangrijke accounts is het sterk aan te raden. Vooral je e-mailaccount, Google- of Apple-account en accounts met persoonlijke of financiële gegevens zijn belangrijk om extra te beveiligen.

    Wat is beter: een sms-code of een authenticator-app?

    Een authenticator-app is over het algemeen een betere keuze dan een sms-code. De codes worden rechtstreeks door de app gegenereerd en zijn niet afhankelijk van je mobiele netwerk. Kun je alleen voor sms kiezen? Schakel tweestapsverificatie dan alsnog in.

    Wat gebeurt er als ik mijn telefoon kwijtraak?

    Daarom zijn herstelmogelijkheden belangrijk. Bewaar eventuele herstelcodes op een veilige plek en stel, als dat mogelijk is, een andere manier in om weer toegang tot je account te krijgen. Ben je je telefoon kwijt? Gebruik dan de zoek- en vergrendelfunctie van je smartphone.

    Kan iemand met mijn wachtwoord nog steeds in mijn account komen?

    Met tweestapsverificatie is alleen je wachtwoord normaal gesproken niet voldoende. De aanvaller heeft ook de tweede verificatiestap nodig. Let wel op onverwachte inlogmeldingen en verzoeken om codes: bevestig nooit een inlogpoging die je zelf niet hebt gestart.

    Conclusie

    Tweestapsverificatie is een eenvoudige manier om je online accounts beter te beveiligen. Zelfs wanneer iemand je wachtwoord weet, is er nog een tweede controle nodig om toegang te krijgen.

    Voor belangrijke accounts is het daarom verstandig om 2FA in te schakelen. Kies daarbij bij voorkeur voor een authenticator-app, passkey of andere sterke methode wanneer die beschikbaar is.

    Vergeet ook de herstelmogelijkheden niet. Bewaar herstelcodes veilig en zorg dat je weet wat je moet doen als je je telefoon kwijtraakt.

    Je hoeft niet alles tegelijk te beveiligen. Begin met je belangrijkste accounts en voeg daarna stap voor stap extra beveiliging toe.

    Lees ook deze artikelen:

    Meer technologie, minder ruis

    Ontdek meer eerlijke uitleg, praktische adviezen en duidelijke vergelijkingen. Zonder marketingtaal, zodat jij met vertrouwen de juiste keuze kunt maken.

    Bekijk alle artikelen
  • Phishing herkennen: zo weet je of een bericht nep is.

    Phishing herkennen: zo weet je of een bericht nep is.

    Je krijgt een bericht van je bank. Of misschien van een pakketbezorger, de overheid of een bekende. Er staat dat je iets moet controleren, betalen of bevestigen. Onderaan staat een link waarop je snel kunt klikken.

    Het bericht ziet er betrouwbaar uit. Het logo klopt, de naam van de organisatie staat erbij en misschien worden zelfs gegevens genoemd die echt bij jou horen. Toch kan het phishing zijn.

    Phishing is een vorm van oplichting waarbij criminelen proberen je gegevens, geld of toegang tot je accounts te ontfutselen. Dat gebeurt niet alleen via e-mail, maar ook via sms, WhatsApp, telefoontjes en QR-codes.

    Maar hoe herken je phishing als een bericht er steeds overtuigender uitziet? En wat moet je doen als je twijfelt of zelfs al op een link hebt geklikt?

    In dit artikel leg ik uit waar je op kunt letten, hoe je een verdacht bericht veilig controleert en wat je kunt doen als het toch mis is gegaan.

    Wat is phishing?

    Phishing is een vorm van online oplichting waarbij iemand probeert je te misleiden om persoonlijke gegevens, geld of toegang tot een account af te staan.

    Dat gebeurt vaak met een bericht dat afkomstig lijkt te zijn van een organisatie of persoon die je kent. Denk aan je bank, een pakketbezorger, de overheid, een webshop of zelfs een vriend of familielid.

    In zo’n bericht wordt je bijvoorbeeld gevraagd om op een link te klikken, een betaling te doen, je gegevens te controleren of een beveiligingscode door te geven. De afzender probeert je ervan te overtuigen dat je snel iets moet doen.

    Phishing gaat daarom niet zozeer over het hacken van je telefoon. De aanvaller probeert vooral jou ervan te overtuigen dat je zelf iets moet doen wat je normaal gesproken niet zou doen.

    Dat maakt phishing soms lastig te herkennen. Een bericht kan er professioneel uitzien en toch volledig nep zijn.

    Waarom ziet phishing er steeds echter uit?

    Misschien denk je bij phishing aan een bericht met opvallende spelfouten, een vreemd logo en een onhandig webadres. Dat kan inderdaad een aanwijzing zijn, maar je kunt er tegenwoordig niet meer zomaar vanuit gaan.

    Phishingberichten worden steeds overtuigender gemaakt. Een bericht kan dezelfde huisstijl gebruiken als een bekende organisatie, professioneel geschreven zijn en op het eerste gezicht precies lijken op een bericht dat je normaal gesproken zou krijgen.

    Ook kunnen criminelen informatie gebruiken die ze al over jou hebben. Denk bijvoorbeeld aan je naam, een bestelling die je daadwerkelijk hebt geplaatst of de naam van je bank. Daardoor kan een bericht veel geloofwaardiger overkomen.

    Daar komt bij dat kunstmatige intelligentie het makkelijker maakt om overtuigende teksten te schrijven. Een phishingbericht hoeft daardoor niet meer herkenbaar te zijn aan slecht Nederlands of vreemde zinnen.

    Een foutloze tekst betekent dus niet dat een bericht betrouwbaar is. Kijk bijvoorbeeld naar het fictieve bericht hieronder. Op het eerste gezicht lijkt er weinig bijzonders aan de hand, maar er zijn verschillende signalen waaraan je kunt zien dat je voorzichtig moet zijn.

    Voorbeeld van een verdacht sms-bericht over een niet-bezorgd pakket
    Fictief voorbeeld van een phishingbericht. Let vooral op de onverwachte boodschap, de tijdsdruk en de link.

    Kijk daarom niet naar één detail, maar naar het geheel. Waarom krijg je dit bericht? Verwachtte je het? Wat wordt er van je gevraagd? En probeert de afzender je onder druk te zetten?

    Juist die combinatie van signalen helpt je om phishing beter te herkennen. Naast het goed veilig houden van je telefoon blijft opletten altijd belangrijk.

    7 signalen waaraan je phishing kunt herkennen

    Een phishingbericht herken je niet altijd aan één opvallend detail. Vaak zijn het meerdere kleine signalen die samen laten zien dat er iets niet klopt. Let daarom vooral op het geheel.

    1. Je moet snel iets doen

    Phishingberichten proberen je vaak onder druk te zetten. Je moet bijvoorbeeld binnen een paar uur betalen, je account bevestigen of een probleem oplossen.

    Die tijdsdruk is bedoeld om ervoor te zorgen dat je niet rustig nadenkt over het bericht.

    2. Er wordt om persoonlijke gegevens gevraagd

    Wees extra voorzichtig wanneer een bericht vraagt om gegevens zoals je wachtwoord, bankgegevens, een pincode of een beveiligingscode.

    Een betrouwbare organisatie zal je niet zomaar via een onverwacht bericht vragen om gevoelige gegevens door te geven.

    3. Er staat een link in het bericht

    Een link is op zichzelf geen bewijs dat een bericht nep is. Het is wel verstandig om extra voorzichtig te zijn wanneer een onverwacht bericht je vraagt om via een link in te loggen, te betalen of gegevens te controleren.

    Klik bij twijfel niet op de link. Open zelf de officiële app of website van de organisatie.

    4. Het bericht komt onverwacht

    Krijg je ineens een bericht over een pakket, betaling of account terwijl je daar helemaal niets mee hebt gedaan? Dan is dat een reden om extra alert te zijn.

    Ook als de afzender een bekende organisatie lijkt te zijn, betekent dat niet automatisch dat het bericht echt is.

    5. De afzender klopt niet helemaal

    Controleer bij e-mail het volledige e-mailadres van de afzender. Bij sms of WhatsApp kan dat lastiger zijn, omdat daar vaak alleen een naam of telefoonnummer zichtbaar is.

    Let ook op kleine afwijkingen in namen en webadressen. Een adres dat bijna hetzelfde is als het officiële adres kan toch naar een heel andere website leiden. Meer tips over het herkennen van verdachte berichten vind je bij de Fraudehelpdesk.

    6. Het bericht ziet er anders uit dan je gewend bent

    Misschien gebruikt een organisatie normaal gesproken een andere manier om contact met je op te nemen. Of de vormgeving, aanhef of manier van betalen wijkt plotseling af.

    Eén afwijking hoeft niets te betekenen, maar in combinatie met andere signalen is het verstandig om het bericht niet zomaar te vertrouwen.

    7. Je wordt gevraagd geld over te maken of een beveiligingscode te delen

    Een verzoek om geld over te maken is altijd reden om goed te controleren wat er aan de hand is. Hetzelfde geldt voor een verzoek om een verificatie- of beveiligingscode.

    Deel zo’n code nooit zomaar met iemand die daarom vraagt. Ook niet wanneer die persoon beweert namens je bank, een helpdesk of een andere organisatie te bellen.

    Kijk altijd naar het geheel

    Geen van deze signalen betekent op zichzelf dat een bericht zeker phishing is. Een echte organisatie kan je bijvoorbeeld ook vragen om iets te betalen of je kunt onverwacht een bericht over een bestelling ontvangen.

    Het wordt verdacht wanneer verschillende signalen samenkomen.

    Twijfel je? Klik dan niet op de link en controleer het bericht via een officiële weg. De Rijksoverheid geeft vergelijkbaar advies bij phishing.

    Praktijktip van Tech Zonder Ruis

    Twijfel je aan een bericht? Doe dan niets via het bericht zelf. Open de officiële app of website van de organisatie en controleer daar of er werkelijk iets aan de hand is.

    Kijk niet alleen naar de afzender

    Een bericht kan afkomstig lijken van een organisatie die je kent, terwijl dat helemaal niet zo hoeft te zijn. Alleen de naam, het logo of het telefoonnummer dat je in beeld ziet, is daarom geen bewijs dat een bericht echt is.

    Bij e-mail kun je het volledige e-mailadres van de afzender controleren. Soms zie je daar een vreemd of afwijkend domein staan. Let ook op webadressen in het bericht. Een adres dat bijna hetzelfde lijkt als het officiële adres, kan toch naar een andere website leiden.

    Bij sms en WhatsApp is het vaak moeilijker om de afzender betrouwbaar te controleren. Een bekende naam of een vertrouwd telefoonnummer geeft je dan niet automatisch zekerheid.

    Ook kan een oplichter zich voordoen als iemand die je persoonlijk kent. Een bericht als “Hoi mam, ik heb een nieuw nummer” kan bijvoorbeeld afkomstig zijn van iemand die zich als je kind voordoet.

    Kijk daarom niet alleen naar wie het bericht lijkt te sturen, maar vooral naar wat er van je wordt gevraagd en of dat logisch is.

    Twijfel je? Neem dan zelf contact op met de organisatie of persoon via een manier waarvan je zeker weet dat die betrouwbaar is.

    Controleer een bericht zonder op de link te klikken

    Twijfel je of een bericht echt is? Dan is de veiligste aanpak eenvoudig: doe niets via het bericht zelf.

    Wil je bijvoorbeeld controleren of er werkelijk iets met je bankrekening aan de hand is? Open dan zelf de app van je bank. Krijg je een bericht over een pakket? Ga dan zelf naar de website of app van de betreffende bezorgdienst.

    Gebruik daarbij niet de link uit het bericht. Typ het webadres zelf in of gebruik een opgeslagen bladwijzer. Op die manier weet je zeker dat je op de officiële website terechtkomt.

    Hetzelfde geldt wanneer je een bericht krijgt over een account. Wil je controleren of je Google-, Apple- of ander account inderdaad aandacht nodig heeft? Open dan zelf de bijbehorende app of website en log daar in.

    Een telefoontje kan ook verdacht zijn

    Ook wanneer iemand je belt, hoef je niet direct te doen wat die persoon vraagt. Een beller kan bijvoorbeeld zeggen dat hij namens je bank belt en dat er dringend iets moet worden gecontroleerd.

    Geef tijdens zo’n gesprek geen wachtwoorden, pincodes of beveiligingscodes door. Twijfel je? Verbreek dan het gesprek en bel zelf terug via het officiële telefoonnummer van de organisatie.

    De belangrijkste regel is daarom: gebruik bij twijfel nooit de contactgegevens of links uit het verdachte bericht zelf. Zoek zelf de officiële weg.

    Wat als je toch op de link hebt geklikt?

    Je hebt op een link geklikt en begint daarna te twijfelen. Geen paniek. Alleen het openen van een link betekent niet automatisch dat je smartphone is gehackt.

    Wat je vervolgens hebt gedaan, maakt wel verschil.

    Heb je de pagina alleen geopend en verder niets ingevuld of gedownload? Sluit de pagina dan en doe verder niets. Open eventueel zelf de officiële app of website van de organisatie om te controleren of het bericht echt was.

    Heb je op de pagina een bestand gedownload of een app geïnstalleerd? Verwijder het bestand of de onbekende app en controleer je smartphone. Op Android kun je hiervoor bijvoorbeeld Google Play Protect gebruiken.

    Heb je op de website je wachtwoord, bankgegevens of andere persoonlijke gegevens ingevuld? Dan is het belangrijk om meteen actie te ondernemen. Wat je precies moet doen, hangt af van welke gegevens je hebt ingevuld.

    Daarom is het belangrijk om niet alleen te denken: “Ik heb op een verkeerde link geklikt, dus ik ben gehackt.” Kijk vooral naar wat er daarna is gebeurd.

    Hoe eerder je actie onderneemt, hoe groter de kans dat je de schade kunt beperken.

    Wat als je gegevens hebt ingevuld?

    Heb je op een phishingwebsite toch je gegevens ingevuld? Wacht dan niet af. Welke stappen je moet nemen, hangt af van de gegevens die je hebt ingevuld.

    Heb je een wachtwoord ingevuld? Verander dit dan zo snel mogelijk via de officiële website of app van de betreffende dienst. Gebruik je hetzelfde wachtwoord ook ergens anders, verander het daar dan eveneens. Kies bij voorkeur voor een uniek wachtwoord dat je nergens anders gebruikt.

    Heb je je bankgegevens, pincode of beveiligingscode ingevuld of doorgegeven? Neem dan direct contact op met je bank via het officiële telefoonnummer. Gebruik daarvoor niet het telefoonnummer uit het verdachte bericht.

    Heb je een beveiligingscode doorgegeven die je per sms of via een authenticator-app hebt ontvangen? Meld dit ook direct bij de betreffende dienst. Zo’n code kan namelijk worden gebruikt om toegang tot je account te krijgen.

    Controleer daarna of er iets met je account is veranderd. Kijk bijvoorbeeld of je onbekende apparaten of actieve sessies ziet en controleer of je herstelgegevens, zoals je telefoonnummer of e-mailadres, nog kloppen.

    Heb je financiële gegevens gedeeld of is er geld afgeschreven? Neem dan zo snel mogelijk contact op met je bank en meld de fraude bij de Fraudehelpdesk.

    Schaam je er vooral niet voor als het is misgegaan. Phishingberichten worden steeds overtuigender en iedereen kan erin trappen. Snel handelen is belangrijker dan jezelf verwijten maken.

    Phishing via sms, WhatsApp en QR-code

    Phishing gebeurt allang niet meer alleen via e-mail. Ook via sms, WhatsApp en QR-codes proberen oplichters je naar een verkeerde website te krijgen of je persoonlijke gegevens te laten delen.

    Phishing via sms

    Een verdacht sms-bericht kan bijvoorbeeld zeggen dat je pakket niet bezorgd kon worden, dat je een betaling moet bevestigen of dat je bankrekening is geblokkeerd.

    Omdat een sms kort is en je het bericht vaak snel leest, kan de boodschap overtuigend overkomen. Let daarom vooral op onverwachte berichten, tijdsdruk en links.

    Klik bij twijfel niet op de link. Controleer zelf via de officiële app of website of er daadwerkelijk iets aan de hand is.

    Phishing via WhatsApp

    Ook WhatsApp wordt gebruikt voor phishing. Een oplichter kan zich bijvoorbeeld voordoen als een familielid dat een nieuw telefoonnummer heeft en dringend geld nodig heeft.

    Krijg je zo’n bericht? Maak dan niet zomaar geld over. Neem op een andere manier contact op met de persoon die het bericht zou hebben gestuurd. Bel bijvoorbeeld het oude, bekende telefoonnummer.

    Ook wanneer het bericht afkomstig lijkt van een bekende, is dat dus geen garantie dat het echt is.

    Phishing via een QR-code

    Een QR-code kan naar dezelfde soort phishingwebsite leiden als een gewone link. Het verschil is dat je vaak minder goed kunt zien waar de code naartoe verwijst voordat je hem opent.

    Een QR-code op een onverwachte brief, in een sms of in een e-mail verdient daarom dezelfde voorzichtigheid als een gewone link.

    Een QR-code is niet automatisch veilig omdat je hem met je camera scant.

    Controleer na het scannen altijd waar de code naartoe leidt en vul geen gegevens in wanneer je de website niet vertrouwt.

    Dezelfde regel blijft gelden

    Of een phishingbericht nu via e-mail, sms, WhatsApp of een QR-code binnenkomt: de belangrijkste regel blijft hetzelfde.

    Laat je niet opjagen en controleer het bericht via een officiële weg die je zelf hebt geopend.

    Q&A

    Hoe weet ik of een bericht phishing is?

    Let vooral op de combinatie van signalen. Denk aan onverwachte berichten, tijdsdruk, een verzoek om persoonlijke gegevens, een link of QR-code en een afzender die niet helemaal klopt. Eén signaal betekent niet automatisch dat een bericht phishing is, maar meerdere signalen samen zijn reden om voorzichtig te zijn.

    Kan ik een phishingbericht openen zonder gehackt te worden?

    Een bericht alleen openen betekent meestal niet dat je direct bent gehackt. Het risico ontstaat vooral wanneer je op een link klikt, gegevens invult, een bestand opent of een onbekende app installeert. Bij twijfel kun je het bericht daarom beter met rust laten.

    Wat moet ik doen als ik op een phishinglink heb geklikt?

    Raak niet meteen in paniek. Sluit de website en kijk vooral wat je daarna hebt gedaan. Heb je niets ingevuld of gedownload, dan is er meestal geen reden om direct van het ergste uit te gaan. Heb je wel gegevens ingevuld, een bestand gedownload of een app geïnstalleerd? Neem dan de passende stappen om je account of apparaat te beveiligen.

    Kan een phishingbericht van mijn bank echt lijken?

    Ja. Oplichters kunnen de naam en huisstijl van een bank gebruiken en een bericht zo opstellen dat het betrouwbaar lijkt. Ook kan een telefoontje na een phishingbericht onderdeel zijn van dezelfde oplichting. Vertrouw daarom niet alleen op de naam of het telefoonnummer dat je in beeld ziet.

    Wat moet ik doen als ik twijfel aan een bericht?

    Doe niets via het bericht zelf. Klik niet op links en gebruik geen telefoonnummer of andere contactgegevens uit het bericht. Open zelf de officiële app of website van de organisatie en controleer daar of er werkelijk iets aan de hand is.

    Conclusie

    Phishing wordt steeds overtuigender. Een bericht kan er professioneel uitzien en toch bedoeld zijn om je gegevens, geld of toegang tot een account afhandig te maken.

    Gelukkig hoef je niet ieder bericht technisch te kunnen beoordelen. Kijk vooral naar het geheel: verwachtte je het bericht, wordt er tijdsdruk opgelegd, wordt er om gegevens of geld gevraagd en moet je via een link of QR-code iets doen?

    Twijfel je? Doe dan niets via het bericht zelf. Open zelf de officiële app of website van de organisatie en controleer daar of het bericht klopt.

    En heb je toch op een verkeerde link geklikt of gegevens ingevuld? Raak dan niet in paniek, maar onderneem zo snel mogelijk de juiste stappen. Daarmee kun je de mogelijke schade vaak beperken.

    Lees ook deze artikelen:

    Meer technologie, minder ruis

    Ontdek meer eerlijke uitleg, praktische adviezen en duidelijke vergelijkingen. Zonder marketingtaal, zodat jij met vertrouwen de juiste keuze kunt maken.

    Bekijk alle artikelen