Valse sms van bpost, itsme of de bank: wat zegt u tegen uw team?

Waarom het hele team dit moet weten

Valse sms’en zijn niet alleen op particulieren gericht. De telefoon van het onthaal, de gsm van de zaakvoerder of die van een assistente krijgen dezelfde berichten als iedereen. En in een bedrijf kan één klik geld kosten, of toegang geven tot een account.

Eerst twee begrippen. Phishing is een vals bericht dat zich voordoet als een vertrouwde organisatie, zodat u klikt, betaalt of uw codes geeft. Komt het via sms, dan spreken we van smishing.

De Belgische cijfers tonen de omvang. Ze komen uit het dossier 2025 van Febelfin, de federatie van de banken, dat ook de gegevens van Safeonweb overneemt, de dienst van het Centrum voor Cybersecurity België:

• Bijna 26.000 meldingen per dag van verdachte berichten bij Safeonweb, of zo’n 9,5 miljoen per jaar.
• 49 miljoen euro buitgemaakt via phishing in 2024.
• 75 % van de frauduleuze overschrijvingen gedetecteerd, tegengehouden of teruggevorderd door de banken.
• 13 % van de ondervraagde Belgen zegt al slachtoffer te zijn geweest.

Hoe een simpele pakjes-sms tot fraude leidt

Voorbeeld, verzonnen ter illustratie. Op een dinsdagochtend krijgt de secretaresse van een tandartspraktijk op de telefoon van het onthaal een sms van ‘bpost’: er wacht een pakje, en voor de levering moet nog een paar euro kosten betaald worden. De praktijk verwacht net materiaal. Ze klikt, komt op een pagina in de kleuren van bpost en tikt de debetkaart van de praktijk in.

De dag erna belt een ‘bankmedewerker’. Er zijn verdachte betalingen opgemerkt, zegt hij, en die moeten geannuleerd worden door ze in itsme te bevestigen. In werkelijkheid keurt elke bevestiging een betaling naar de oplichter goed.

Die tweede stap is niet verzonnen: Febelfin beschrijft hem in zijn dossier. Slachtoffers denken dat ze verdachte betalingen via itsme annuleren, maar keuren in werkelijkheid die van de fraudeur goed. Febelfin stelt ook vast dat fraudeurs hun slachtoffers steeds vaker overtuigen om de overschrijving zelf uit te voeren. De sms is vaak maar de toegangspoort.

De valse sms’en die het vaakst terugkomen, en wat de echte nooit doet

Berichten in naam van een ziekenfonds of het RIZIV (vooral via e-mail) en van een watermaatschappij (via e-mail en sms) hoorden bij de meest gemelde berichten aan Safeonweb in de eerste helft van 2025, volgens de lijst van de tien meest gemelde berichten die Safeonweb in augustus 2025 publiceerde (hier overgenomen door Forum for the Future). Het logo, de vertrouwde naam en de officiële toon bewijzen niets: dat zijn net de elementen die fraudeurs kopiëren.

De vijf regels voor uw team

1. Een bericht dat opjaagt, is een stopsignaal. Een termijn van 24 uur, dreigende blokkering, kleine kosten: de haast moet u beletten na te denken. bpost zegt het zonder omwegen: lijkt het zo dringend, dan is het vast een poging tot oplichting.
2. Niet op de link klikken, er zelf naartoe gaan. Voor een pakje de app My bpost. Voor de bank haar app, of haar website die u zelf intikt. Voor itsme de itsme-app.
3. Codes, pincode, kaart, itsme-bevestiging: nooit op vraag van iemand anders. Een bank vraagt nooit uw codes. En in itsme bevestigt u alleen een actie die u zelf hebt gestart: itsme legt uit dat de fraude net draait om een verzoek dat u niet zelf hebt gestart.
4. Een oproep na een sms: inhaken en terugbellen. U belt het nummer dat u kent (achter op de kaart, in de app van de bank), nooit het nummer dat de beller of het bericht geeft.
5. Melden, zonder schaamte. Een screenshot van de sms naar [email protected] volstaat, op voorwaarde dat de link zichtbaar is: overtikken is niet nodig. En verwittig de verantwoordelijke op kantoor.

De vijfde regel telt evenveel als de andere. Wie bang is om veroordeeld te worden, zwijgt, en net dat zwijgen maakt van een klik een financieel verlies. Zeg het duidelijk: wie snel meldt, bewijst iedereen een dienst, ook als hij heeft geklikt.

Iemand heeft geklikt: wat nu?

Volgens de enquête van Febelfin weet 39 % van de 16- tot 30-jarigen niet wat te doen na een geslaagde phishingpoging, en 27 % van de 31- tot 79-jarigen. Febelfin benadrukt dat snel handelen vaak het verschil maakt tussen beperkt verlies en grote schade. Zorg dus dat iedereen het antwoord kent voordat het nodig is.

Een punt dat vaak vergeten wordt: het professionele wachtwoord. Een valse sms kan ook naar een valse aanmeldpagina van de mailbox leiden in plaats van naar de bank. Heeft iemand daar zijn wachtwoord ingetikt, dan moet het account nog dezelfde dag beveiligd worden, niet op het einde van de week.

In een zorgpraktijk: drie extra voorzorgen

In een praktijk lijken berichten in naam van het RIZIV of een ziekenfonds heel gewoon: de hele dag gaat het over terugbetalingen. En de telefoon van het onthaal gaat vaak van hand tot hand. Met een paar eenvoudige regels vermijdt u de meeste valkuilen.

• Geen enkele betaling via een link uit een sms, ook niet van een paar euro: verzendkosten, een boete, een abonnement. Een echte betaling doet u via de website of de app die u kent.
• De kaart van de praktijk wordt nooit ingetikt op een pagina die vanuit een bericht is geopend. Vraagt een verwachte leverancier echt iets, dan belt u hem op het nummer dat u al hebt.
• Eén naam voor veiligheidsvragen. Iedereen weet aan wie hij een twijfelachtig bericht toont, ook vervangers en stagiairs.

Tien minuten op het teamoverleg, en klaar

Een opleiding van een hele dag is niet nodig. Een korte, concrete herinnering die af en toe terugkomt, werkt beter dan een lange presentatie die de dag erna vergeten is.

1. Twee of drie echte, recente voorbeelden tonen uit de waarschuwingen van Safeonweb.
2. Samen de vijf regels hierboven lezen, met de nadruk op de laatste: melden, zonder schaamte.
3. Bij het onthaal een kleine fiche ophangen met [email protected], Card Stop op 078 170 170, het nummer van de bank en de naam van de persoon die u verwittigt.
4. Herhalen bij elke nieuwe collega, en twee keer per jaar voor iedereen.

Het zijn eenvoudige gewoontes, maar ze veranderen de reactie op het moment dat het bericht binnenkomt. Het doel is niet dat uw team expert wordt, wel dat het de juiste reflex heeft. Vertragen, controleren, melden.

Bereid uw team voor op valse berichten→