Oplichting herkennen: telefoon, sms, WhatsApp en online

Een onbekend nummer op uw scherm, een sms over een pakket, een appje van uw 'zoon' met een nieuw nummer, een webshop met een opvallend lage prijs. Het zijn verschillende situaties met dezelfde opbouw: iemand wil dat u snel handelt, zonder te controleren. Deze gids loopt de vormen van oplichting langs die u het vaakst tegenkomt, laat zien waaraan u ze herkent en wat u doet als het toch misgaat.

De gids is gebaseerd op pagina's van het Nationaal Cyber Security Centrum (NCSC), Veilig Bankieren, de Fraudehelpdesk, de politie, Veilig Internetten en ACM ConsuWijzer. Wat die pagina's niet zeggen, staat hier niet. Alles is geraadpleegd op 31 oktober 2026. Procedures en telefoonnummers kunnen veranderen, dus controleer bij twijfel de brontekst.

Het kort: zo gaat oplichting meestal

Het NCSC schrijft dat phishing werkt via urgentie en vertrouwen. De afzender laat u denken dat er haast is of dat u met een bekende organisatie te maken heeft. Dat patroon komt terug bij bijna elke vorm van oplichting in deze gids. Daarom helpt één vaste reactie bij bijna alle situaties: stop, controleer via een andere weg en deel niets.

Dit zijn de stappen die de bronnen steeds noemen:

1. Niet overhaast reageren. Haast is zelf een waarschuwingssignaal. Veilig Bankieren noemt het in zijn campagne zo: uw gevoel is de beste waarschuwing tegen fraude.
2. Niet klikken bij twijfel. Het NCSC adviseert om bij twijfel niet op links te klikken en geen onverwachte bijlagen te openen.
3. Zelf contact opnemen. Bel de organisatie op een nummer dat u al kende of dat u zelf opzoekt, niet op het nummer uit het bericht of van de beller.
4. Geen inloggegevens of codes delen. Het NCSC raadt aan nooit inloggegevens of verificatiecodes in te vullen via een e-mail.
5. Geen toegang op afstand geven. Installeer geen software en geef niemand toegang tot uw computer of telefoon.
6. Bij een betaling: meteen uw bank bellen. Ook als u twijfelt of u het goed gedaan heeft.

Oplichting per telefoon

Telefonische oplichting kent een paar vaste varianten. Het NCSC beschrijft drie vormen: social engineering, helpdeskfraude en gemiste oproepen. Veilig Bankieren voegt daar de bankhelpdeskfraude aan toe.

Bankhelpdeskfraude

Bij bankhelpdeskfraude doet de beller zich voor als medewerker van uw bank. Veilig Bankieren beschrijft dat criminelen spoofing gebruiken, waardoor het lijkt of de oproep of het bericht van het echte nummer of de echte naam van uw bank komt. Volgens dezelfde pagina hebben banken en telecomproviders samen maatregelen genomen tegen nummerspoofing. Daardoor ziet u tegenwoordig vrijwel altijd een onbekend 06-nummer of een anoniem nummer.

Waarschuwingssignalen zijn:

• een onverwacht telefoontje of bericht van 'uw bank';
• een 'medewerker' die zegt dat criminelen proberen af te schrijven of dat uw rekening niet meer veilig is;
• het verzoek om uw saldo over te maken naar een 'kluisrekening' of 'veiligheidsrekening';
• het verzoek om pincodes of beveiligingscodes door te geven of mee te kijken op uw computer;
• een sms met een link om een betaling te controleren.

Veilig Bankieren geeft ook regels die uw bank nooit overtreedt. Uw bank vraagt nooit aan de telefoon of in een tekstbericht om geld over te boeken naar andere rekeningen en nooit om toegang tot uw computer of smartphone. Een bank stuurt ook niemand naar uw huis om uw bankpas, inlogapparaatje of pincodes op te halen.

Wat doet u? Hang op en bel uw bank zelf op het officiële nummer. Doe aangifte bij de politie. Volgens Veilig Bankieren zijn banken niet verplicht te vergoeden, maar doen ze dat meestal uit coulance, onder voorwaarden zoals aangifte, een privérekening en een eerste keer. De bank beslist daar zelf over.

Helpdeskfraude en phishing via de telefoon

Bij helpdeskfraude belt iemand die zegt te werken voor uw internetprovider, een softwarebedrijf of een apparaatfabrikant. Het verhaal gaat over een virus, een hack of een verlopen licentie. Het NCSC adviseert nooit zomaar iemand toegang op afstand te geven tot uw apparaten en geen website te bezoeken om software te installeren. Bent u onzeker? Hang op en vraag bij de provider, het softwarebedrijf of de fabrikant na of zij echt hebben gebeld.

Veilig Bankieren schrijft dat echte helpdesks u nooit onverwacht bellen. Wie niet inlogt en niets installeert, kan volgens die pagina niets doen. Noteer als het kan de naam en het nummer van de beller. Heeft u toch meegewerkt, informeer dan direct uw bank of creditcardmaatschappij, wijzig uw wachtwoorden en laat zo nodig schadelijke software verwijderen.

Meer over dit onderwerp leest u in het artikel over helpdeskfraude herkennen.

Social engineering: de beller die u onder druk zet

Bij social engineering vraagt de beller om persoonlijke of zakelijke gegevens, zoals rekeningnummers. Vaak noemt hij de naam van een leidinggevende en zet hij u onder tijdsdruk. Andere varianten gaan over een gewonnen prijs, een geblokkeerde rekening of verkeerde instellingen bij internetbankieren. Het NCSC adviseert deze gegevens niet af te geven, het gesprek te beëindigen en zelf het nummer van de bank of het bedrijf op te zoeken. Laat u niet ompraten of intimideren.

Gemiste oproepen uit het buitenland

Bij deze vorm gaat de telefoon één keer over en is de beller weg. Het doel is dat u terugbelt. ACM ConsuWijzer legt uit dat de oplichter aan uw terugbelgesprek verdient. U hoort een beltoon, maar dat kan een opname zijn, en de verbinding is duur. Hoe langer het gesprek duurt, hoe meer de oplichter verdient. Bellen naar 0088-nummers gaat via de satelliet en is daarom duurder dan normaal.

Dit adviseren het NCSC en de ACM:

• Bel een onbekend nummer dat maar één keer is overgegaan niet terug, zeker niet bij een 0088- of +88-nummer.
• Kijk naar het landnummer. Het Nederlandse landnummer is +31. Zoek het nummer ook online op.
• Blokkeer het nummer op uw telefoon. Hoe dat werkt, hangt af van uw toestel. Uw provider of de verkoper kan het uitleggen.
• Meld het bij ACM ConsuWijzer. De ACM kan optreden bij misbruik van Nederlandse en Europese nummers. Bij nummers van buiten Europa kan de ACM niet optreden, maar wel consumenten waarschuwen.

Nederlandse 088-bedrijfsnummers kunt u volgens de ACM gerust bellen. Ze kosten hetzelfde als bellen naar een vast nummer.

Spoofing: een nummer dat niet klopt

Oplichters tonen vaak een vertrouwd nummer, bijvoorbeeld dat van uw bank. De ACM schrijft dat dit spoofing is en dat het verboden is. Wordt uw eigen nummer gebruikt zonder dat u het weet? Waarschuw dan zo snel mogelijk uw contacten en meld het bij de Fraudehelpdesk en de politie. Een ander gevolg: een nummer op uw scherm bewijst niets. Controleer elk verzoek via een tweede weg.

Wilt u weten welke gegevens over u openbaar te vinden zijn? Oplichters werken geloofwaardiger als ze uw naam, nummer of e-mailadres kennen. Remove Me biedt een gratis analyse zonder account. Die doorzoekt openbaar zichtbare webresultaten, bekende datalekken (Have I Been Pwned) en een register van databrokers. U ontgrendelt het rapport met een zescijferige code die per e-mail komt. Verzoeken tot gegevenswissing verstuurt Remove Me nog niet voor u. Start mijn gratis analyse.

Oplichting per sms en e-mail

Phishing is volgens het NCSC een vorm van internetfraude waarbij criminelen persoonlijke gegevens, wachtwoorden of andere vertrouwelijke informatie proberen te stelen. Ze gebruiken misleidende e-mails, sms-berichten of websites. Iedereen kan hiermee te maken krijgen. Uitgebreid over phishing leest u in de gids Phishing herkennen, voorkomen en melden.

Sms-phishing (smishing)

Het NCSC noemt sms-phishing een vorm van cybercriminaliteit. Het kan ook via berichtenapps zoals WhatsApp of Telegram gebeuren. Let op deze punten:

• Onbekende of ongebruikelijke afzender. De kans is dan groot dat het om sms-phishing gaat. Telefoonnummers kunnen worden gespoofd en ook een naam als afzender kan worden nagemaakt. Een bekende naam is dus geen bewijs.
• Verdachte link. Klopt het adres niet met wat u verwacht? Het NCSC verwijst bij twijfel naar checkjelinkje.nl om de link eerst te laten controleren.
• Onverwacht bericht. Verwachtte u iets van deze afzender? Zo niet, wees extra alert.

Het NCSC adviseert verdachte berichten te negeren, niet op links te klikken en via een echt kanaal na te gaan of de organisatie u echt heeft benaderd. Meld het bericht bij de organisatie die wordt nagebootst, via haar eigen kanalen, en bij de Fraudehelpdesk. Was er sprake van (poging tot) misbruik, dan kunt u aangifte doen. Meer hierover staat in het artikel over sms-phishing en smishing herkennen.

Valse e-mails

Een vals bericht lijkt vaak van uw bank, een webwinkel of de overheid. Veilig Internetten schrijft dat nepmails vaak nauwelijks van echte berichten te onderscheiden zijn en dat de naam van de afzender precies kan kloppen terwijl het e-mailadres vaag of afgeleid is. Een bank of andere betrouwbare instantie vraagt volgens die bron nooit om persoonlijke gegevens per e-mail of telefoon.

Een verdachte e-mail met een link of bijlage stuurt u als bijlage door naar valse-email@fraudehelpdesk.nl. Staat de e-mail op naam van een bank, stuur hem dan ook door naar het adres van die bank. Veilig Bankieren geeft die adressen, bijvoorbeeld valse-email@ing.nl. Sms, WhatsApp en e-mails zonder link of bijlage meldt u niet per e-mail, maar via het formulier van de Fraudehelpdesk.

Een QR-code die niet klopt

Quishing is phishing met een QR-code. Het NCSC schrijft dat u aan een code niet kunt zien waar die naartoe leidt. Scan daarom geen code zonder uitleg of afbeelding, wees voorzichtig met codes op openbare plaatsen en scan geen code die eruitziet als een sticker die u kunt afpellen. Gebruik een scanner die het webadres toont en ga niet verder als u het adres niet herkent. Vul na het scannen geen wachtwoord of betaalgegevens in tenzij u zeker weet dat de site echt is. Uitgebreider leest u het in het artikel over quishing en QR-code-oplichting.

Oplichting via WhatsApp en andere berichtenapps

Bij WhatsApp-fraude doen criminelen zich voor als iemand die u kent, vaak een kind, ouder of vriend, en vragen om geld. Soms hebben ze het bestaande nummer of e-mailadres van die persoon overgenomen. Veilig Bankieren noemt deze signalen:

• een dringend betaalverzoek van een bekende, ook als het bericht van een bekend nummer lijkt te komen;
• de 'persoon' wil niet bellen of videobellen en geeft een smoes, zoals een kapotte telefoon of een nieuw nummer dat nog niet werkt voor gesprekken;
• grote druk om snel te betalen;
• een bericht dat het nummer is veranderd, ook als er een foto bij staat;
• een betaallink, voordat u met de afzender heeft gesproken.

Dit raadt Veilig Bankieren aan: bel de persoon op een nummer dat u al kende of via de belknop van de app, en betaal pas als u de stem heeft gehoord en herkend. Stel een controlevraag waarvan het antwoord niet in een e-mail, chat of social-mediabericht staat, of neem contact op met een andere naaste. Zet tweestapsverificatie aan voor uw apps. Hoe dat werkt, leest u in het artikel over tweestapsverificatie activeren.

Bent u al opgelicht? Vertel het zo snel mogelijk uw bank en stuur het bericht met de betaallink of het IBAN door. Doe online aangifte bij de politie, ook als u geen geld kwijt bent, en meld het bij de Fraudehelpdesk. Meer vindt u in het artikel over WhatsApp-fraude en phishing.

Oplichting bij online kopen en verkopen

De Fraudehelpdesk noemt op zijn meldpagina onder meer oplichting via advertenties, webshops en handelsplaatsen, waarbij u betaalt zonder iets te ontvangen. Voor webshops geeft de Fraudehelpdesk deze controlepunten:

• Let op de prijs. Is iets te mooi om waar te zijn, dan is dat meestal ook zo.
• Zoek de webshop op. Een winkel die al langer bestaat, staat in zoekresultaten en heeft ervaringen van klanten.
• Controleer het domein. Zoek op wie het domein heeft geregistreerd en wanneer. Een zeer recent geregistreerde site is verdacht.
• Controleer de contactgegevens. Staan vestigingsplaats en telefoonnummer op de site? Ontbreekt een retourbeleid, koop dan liever elders. Telefoon- en KvK-nummers kunnen ook zijn overgenomen.
• Controleer het keurmerk. Klik op het beeldmerk om te zien of het certificaat klopt.
• Gebruik de controle van de politie. Op politie.nl kunt u controleren of er meldingen zijn over een rekeningnummer, telefoonnummer of website. De Fraudehelpdesk benadrukt: geen melding betekent niet dat u geen risico loopt.

Over betalen schrijft de Fraudehelpdesk dat u liever achteraf betaalt, via PayPal of met een creditcard. Volgens dezelfde pagina zijn webshops wettelijk verplicht klanten minimaal 50 procent achteraf te laten betalen, dus wees voorzichtig als een winkel alles vooraf wil. Betaalmethoden zoals iDEAL zeggen niets over de betrouwbaarheid van de winkel. Bij een creditcard kunt u de transactie aanvechten als de bestelling niet binnenkomt, en de winkelier moet dan kunnen bewijzen dat het product is geleverd.

Heeft u betaald zonder iets te ontvangen? De Fraudehelpdesk wijst erop dat het van de situatie afhangt of het echt fraude is. Soms is er een leverprobleem, en daarvoor verwijst de site naar ACM ConsuWijzer. Bij vermoeden van fraude doet u aangifte of meldt u het bij de Fraudehelpdesk.

Oplichting herkennen in één overzicht

Deze tabel zet de belangrijkste vormen naast elkaar. Alles komt uit de bronnen hierboven.

Wat doet u als u bent opgelicht?

Dit kan iedereen overkomen. Veilig Internetten schrijft het zo: een klik op een valse link betekent niet automatisch dat uw rekening is leeggehaald of dat uw gegevens zijn misbruikt. Wel is het belangrijk snel de juiste stappen te zetten.

1. Geef geen gegevens meer. Vul niets meer in en deel geen bankgegevens.
2. Koppel het apparaat los. Veilig Internetten adviseert de wifi uit te zetten of de vliegtuigmodus aan te zetten, een back-up van gevoelige bestanden te maken en dan een virusscan uit te voeren.
3. Wijzig uw wachtwoorden. Heeft u op een nepsite ingelogd, wijzig dan direct het wachtwoord, vooral van e-mail, bank en sociale media. Gebruikt u het wachtwoord ook elders, wijzig het daar ook. Een wachtwoordmanager helpt hierbij, zie het artikel over een wachtwoordmanager kiezen en gebruiken.
4. Bel uw bank. Veilig Bankieren raadt aan incidenten direct aan de bank te melden en de aanwijzingen op te volgen. Een bankpas of creditcard laat u via de bank blokkeren. Een sms met een betaallink of IBAN stuurt u zo snel mogelijk naar uw eigen bank.
5. Doe aangifte. Veilig Bankieren raadt aan online aangifte te doen bij de politie, ook als u geen geld kwijt bent. De Fraudehelpdesk benadrukt dat er zonder aangifte geen vervolging is. Bij een afspraak kunt u volgens Veilig Internetten vragen om een digitaal rechercheur.
6. Meld het bij de Fraudehelpdesk. Dat kan online of op 088-7867372. Het is voor particulieren vanaf 16 jaar.
7. Zoek steun. Wilt u advies of even met iemand praten, dan noemt Veilig Internetten Slachtofferhulp.

Kunt u uw geld terugkrijgen?

De bronnen geven geen vast antwoord, wel een paar aanknopingspunten:

• Overschrijving naar een Nederlandse rekening. Heeft u binnen 13 maanden betaald, dan kunt u volgens de Fraudehelpdesk uw bank vragen om naam, adres en woonplaats van de ontvanger. Daarmee kunt u eventueel een incassobureau inschakelen.
• Creditcard. Neem contact op met uw creditcardmaatschappij, met bewijs van betaling en uw correspondentie met de verkoper.
• Webshopaankoop. Bij webshops geldt meestal een bedenktijd van minimaal twee weken, waarmee u de overeenkomst kunt ontbinden, aldus de Fraudehelpdesk.
• Vergoeding door de bank. Veilig Internetten schrijft dat u uw geld kunt terugkrijgen als u volgens de bank zorgvuldig was bij het internetbankieren en de fraude direct na ontdekking meldde. Veilig Bankieren beschrijft vergoeding bij helpdeskfraude als gebaar van coulance onder voorwaarden. De bank beslist.

Bij aan- en verkoopfraude kunt u volgens de politie online aangifte doen. Heeft u de gegevens van de andere partij niet, dan beschrijft de politie hoe u het formulier toch invult. Komt er later nieuwe informatie, vul dan uw bestaande aangifte aan in Mijn Politie in plaats van een nieuwe in te dienen. Krijgt u het product alsnog of vergoedt de andere partij u, dan kunt u de aangifte intrekken.

Waar meldt u wat?

Waarom oplichters u kunnen bereiken

Een oplichter weet vaak meer dan u denkt. Hoe meer persoonsgegevens een crimineel heeft, hoe echter een bericht kan lijken. Die gegevens komen onder meer uit datalekken. Heeft u een melding gehad dat uw gegevens zijn gelekt, lees dan de gids Datalek: wat te doen als uw gegevens zijn gelekt. Over het afhandelen van ongewenste verkoopgesprekken leest u meer in de gids Ongewenste telefoontjes en spam stoppen.

Er is geen enkele maatregel die oplichting uitsluit. Wat wel werkt, is een vaste gewoonte: onverwacht verzoek, dan eerst controleren via een andere weg. Zet tweestapsverificatie aan, gebruik per account een eigen wachtwoord en deel codes nooit, ook niet met iemand die zegt van de bank te zijn.

Wat de bronnen niet zeggen

De pagina's die wij lazen geven geen cijfers over hoe vaak elke vorm van oplichting voorkomt, dus noemen wij die ook niet. Ze zeggen niet hoe lang een aangifte of een melding duurt en niet hoe groot de kans is dat u uw geld terugkrijgt. De pagina van het NCSC over phishing noemt geen stappen voor wat u na een klik doet en verwijst daarvoor naar andere onderdelen van de site. Voor de stappen na een klik hebben wij daarom Veilig Internetten gebruikt. Over de vergoeding door banken verschillen de bronnen in toon: Veilig Bankieren spreekt van coulance, Veilig Internetten van zorgvuldigheid. Vraag bij uw eigen bank na hoe zij ernaar kijken.

Bronnen

Geraadpleegd op 31 oktober 2026.

• Politie: aangifte of melding doen
• NCSC: tips voor phishing (e-mail en sms)
• NCSC: sms-phishing (smishing)
• NCSC: neptelefoontjes
• NCSC: QR-codes (quishing)
• Veilig Bankieren: bankhelpdeskfraude
• Veilig Bankieren: phishing via de telefoon
• Veilig Bankieren: WhatsApp-fraude
• Veilig Bankieren: fraude melden
• Fraudehelpdesk: fraude melden als particulier
• Fraudehelpdesk: valse e-mail melden
• Fraudehelpdesk: voorkom oplichting door een webshop
• Politie: aangifte doen van aan- en verkoopfraude
• ACM ConsuWijzer: ik krijg vervelende telefoontjes
• ACM ConsuWijzer: gemist telefoontje uit het buitenland
• Veilig Internetten: wat moet ik doen als ik op een valse link heb geklikt?