Phishing herkennen, voorkomen en melden: de complete gids

Een e-mail van uw bank die dringend uw gegevens wil controleren, een sms over een pakket, een telefoontje van een zogenaamde medewerker: dit is phishing. Het werkt omdat het er vertrouwd uitziet en omdat het haast brengt. Deze gids zet op een rij hoe u phishing herkent, wat u doet als u er toch in trapte en waar u het meldt.

De gids is gebaseerd op pagina's van het Nationaal Cyber Security Centrum (NCSC), de politie, Veilig Bankieren en de Fraudehelpdesk. We blijven bij wat zij schrijven. Dit is algemene informatie en geen advies voor uw persoonlijke situatie.

Wat u nu kunt doen

Twijfelt u over een bericht dat u net kreeg? Dit is de volgorde die uit de bronnen volgt.

1. Reageer niet en klik niet. Open geen bijlagen en vul niets in.
2. Kijk naar het totaalbeeld. Het NCSC schrijft dat u phishing zelden aan één kenmerk herkent, maar aan het geheel.
3. Ga zelf naar de organisatie. Gebruik niet de link in het bericht, maar ga via de normale website of app. Bel alleen via een nummer dat u zelf heeft opgezocht.
4. Heeft u al iets ingevuld? Neem bij inloggegevens van uw bank direct contact op met uw bank.
5. Meld het bericht. Stuur het door naar de organisatie die wordt nagebootst en, bij een e-mail met verdachte links of bijlagen, naar de Fraudehelpdesk.

Hoe meer persoonlijke gegevens criminelen van u hebben, hoe geloofwaardiger een nepbericht kan zijn. De gratis analyse van Remove Me laat zien wat er openbaar over u te vinden is, ook in bekende openbare datalekken (Have I Been Pwned) en bij databrokers. Ze werkt zonder account, het rapport opent u met een zescijferige code per e-mail. Remove Me blokkeert geen phishing en verstuurt voorlopig geen verzoeken tot gegevenswissing.

Start mijn gratis analyse

Wat is phishing?

Het NCSC omschrijft phishing als een aanvalstechniek waarbij een aanvaller zich voordoet als een betrouwbare organisatie of persoon om vertrouwelijke gegevens te verkrijgen. Meestal gaat het om e-mail, maar ook sms-berichten (smishing), appberichten, bellen, QR-codes (quishing) en sociale media worden gebruikt. Het doel is bijna altijd hetzelfde: iemand verleiden om op een link te klikken, een bijlage te openen of gegevens zoals inloggegevens of betaalinformatie achter te laten.

Veilig Bankieren legt de naam uit: bij phishing “vissen” fraudeurs naar vertrouwelijke informatie, zoals bankgegevens, het burgerservicenummer (BSN) en wachtwoorden voor digitaal betalen en bankieren. Ze kunnen ook direct een betaalverzoek doen, bijvoorbeeld via Tikkie. Valse berichten komen binnen per e-mail, telefoon, sms, chatapp zoals WhatsApp en zelfs in een brief op papier.

Wat criminelen willen hebben

Veilig Bankieren noemt onder meer:

• een kopie van uw paspoort, rijbewijs of bankpas;
• uw wachtwoord;
• een eenmalige beveiligingscode voor internetbankieren;
• de pincode voor uw bankpas, creditcard of mobiel bankieren;
• een directe betaling, bijvoorbeeld met een betaalverzoek.

Een vals bericht kan u ook misleiden om kwaadaardige software of apps te installeren, zoals malware, spyware of ransomware. Dat kan via een bijlage die u moet openen of via een link naar een valse website waar u de software kunt downloaden.

Wie doen ze na?

De valse berichten lijken van banken of andere bekende organisaties, bijvoorbeeld uw bank, PostNL, de Belastingdienst of DigiD. Zelfs Veilig Bankieren, de Nederlandse Vereniging van Banken en de Fraudehelpdesk worden nagebootst. Berichten kunnen ook van familie, vrienden of bekenden lijken te komen, met de vraag om snel geld te lenen of een dringende rekening voor te schieten. Het adres of nummer van de afzender kan dan zelfs het echte nummer van die bekende zijn, omdat het door fraudeurs is gekaapt.

Steeds persoonlijker

Phishingberichten zijn vaak onpersoonlijk, maar volgens Veilig Bankieren steeds vaker persoonlijk gericht, met uw echte naam en gegevens zoals uw adres, uw rekeningnummer of het kenteken van uw auto. Uw gegevens kunnen bij criminelen terechtkomen omdat een bedrijf of instantie ze per ongeluk heeft gelekt, via gehackte mailboxen van familie of bekenden, of omdat u ze zelf voor iedereen zichtbaar op sociale media heeft gezet. Wat u kunt doen na een datalek, leest u in onze gids Datalek: wat te doen als uw gegevens zijn gelekt.

Phishingmail herkennen: zes controles

Het NCSC schrijft dat phishing moeilijker te herkennen wordt. Door het toenemende gebruik van AI worden phishingcampagnes steeds geavanceerder. Duidelijke spelling- en grammaticafouten worden zeldzamer en inlogpagina's zien er steeds echter uit. Dat een pagina er goed uitziet, betekent niet dat ze betrouwbaar is. Het NCSC geeft zes controles. Vaak wijst een combinatie van signalen op phishing.

Controle 1: de afzender

De afzender is het eerste waar u naar kijkt. Het NCSC noemt drie signalen:

• Het e-mailadres wijkt subtiel af van het echte domein. De naam van de afzender kan precies hetzelfde zijn als die van uw bank, maar het adres is vaak een afgeleide versie. Kijk naar alles wat achter het @-teken staat. Een veelgebruikte truc is het vervangen van letters door cijfers of andere tekens.
• Het bericht komt van een organisatie waar u geen relatie mee heeft. Is het logisch dat u een mail van deze afzender krijgt?
• De aanhef is algemeen, zoals “Geachte klant” of “Beste gebruiker”. Het NCSC waarschuwt dat criminelen dit omzeilen als ze uw persoonsgegevens hebben. Kijk daarom naar de combinatie van signalen.

Veilig Bankieren is er duidelijk over: komt de naam achter de @ niet letter voor letter overeen met de naam die de echte bank zelf gebruikt, dan is het vals. Wat er vóór de @ staat, is niet belangrijk. Een extra punt tussen twee woorden telt dus ook als verschil.

Controle 2: spoed en dreigementen

Veel valse mails zetten u onder druk met laatste waarschuwingen of spoedmeldingen. Het NCSC noemt als kenmerken:

• een duidelijke oproep tot actie;
• een verzoek snel te reageren;
• dreigende gevolgen, zoals het blokkeren van een rekening of creditcard.

Let ook op bijlagen: onverwachte facturen, documenten of pakketmeldingen, en het verzoek om een bijlage te openen om iets te controleren. Een verzoek om snel te handelen is volgens het NCSC een belangrijke rode vlag. Aanvallers willen tijdsdruk creëren, zodat u minder kritisch leest.

Controle 3: vragen om vertrouwelijke gegevens

In veel nepmails staat het verzoek uw persoonsgegevens “te controleren”, “bij te werken” of “aan te vullen” via een link. Doe dat nooit zomaar. Het NCSC schrijft dat uw bank, verzekeraar en overheidsinstanties nooit op deze manier naar vertrouwelijke gegevens vragen. Bel de organisatie eerst op om te controleren of zij de mail echt hebben gestuurd. Gebruik daarvoor nooit de contactgegevens uit de mail, maar zoek ze zelf op.

Controle 4: de links

Links in nepmails kunnen schadelijke software installeren of u naar een valse website leiden. Beweeg de cursor over de link zonder erop te klikken en kijk welk adres verschijnt. Het NCSC noemt vier signalen:

• De link verwijst naar een ander domein dan zichtbaar is.
• De link bevat extra woorden, cijfers of spelfouten.
• U moet inloggen via een link in plaats van via de normale website of app.
• De link is verkort met een linkverkorter, waardoor u niet ziet waar u naartoe gaat.

De politie wijst bovendien op de website Check je linkje voor als u een link niet vertrouwt.

Controle 5: taalgebruik en vormgeving

Nepmails staan allang niet meer vol taal- en spelfouten, ook door het gebruik van AI. Logo's en foto's worden steeds professioneler. Het blijft volgens het NCSC wel belangrijk de mail goed te lezen en te bekijken op onregelmatigheden. Een eerdere mail van het bedrijf ernaast leggen kan helpen om te vergelijken.

Controle 6: twijfelt u? Ga zelf naar de website of app

Phishing herkent u zelden aan één kenmerk, maar aan het totaalbeeld. Bij twijfel gebruikt u niet de link in de mail, maar gaat u zelf via de gewone website of app naar de organisatie. Het NCSC waarschuwt dat een aanvaller de rode vlaggen kent. Vooral bij spearphishing doet hij er alles aan om u te overtuigen, bijvoorbeeld door u in contact te brengen met een meelevende “klantenservice” die zich verontschuldigt, zodat u toch opnieuw uw bankgegevens invult.

Phishing per kanaal

Sms: smishing

Phishing via sms heet smishing. Volgens Veilig Bankieren lijkt de afzender van het sms-bericht uw bank of een ander vertrouwd bedrijf te zijn, omdat oplichters het echte telefoonnummer of de naam van een bekende organisatie kunnen kapen. Meestal staat er een link in die naar een valse website leidt. Meer daarover leest u in ons artikel over sms-phishing herkennen.

Telefoon

Bij telefonische phishing belt iemand u onverwacht en ongevraagd en zegt voor uw bank, Microsoft, Apple of een andere bekende organisatie te werken. Volgens Veilig Bankieren spreekt de beller u persoonlijk aan, zodat het lijkt alsof hij u kent. Op enig moment vraagt hij bijvoorbeeld om:

• te betalen via internet- of mobiel bankieren;
• uw pincode of andere beveiligingscodes door te geven;
• uw betaalpas op te sturen of af te geven aan iemand die langskomt;
• een valse website te bezoeken;
• software te installeren of op afstand toegang te geven tot uw computer.

Vertrouwt u de beller niet? Bel dan zelf de bank of organisatie, via een officieel openbaar telefoonnummer dat u zelf heeft opgezocht uit een betrouwbare bron. Veilig Bankieren waarschuwt ook dat op het scherm van uw telefoon zelfs het echte nummer van uw bank kan staan. Echte helpdesks van bijvoorbeeld Microsoft, Apple of uw internetprovider bellen u volgens Veilig Bankieren nooit onverwacht om te zeggen dat u een computerprobleem heeft. Hang dan direct op.

Zogenaamd van uw bank

Veilig Bankieren beschrijft drie varianten:

• Een bericht met een link of een brief met een QR-code naar een valse website, waar u de beveiligingscodes van uw bank moet invoeren. De smoes verschilt: er wordt een bedrag afgeboekt, uw rekening wordt geblokkeerd, er is iets mis met uw app. In alle gevallen is het zogenaamd heel dringend.
• Een bericht of brief dat u uw bankpas moet opsturen, soms met een nepbankpas erbij, met een link of QR-code naar een valse website.
• Een telefoontje van een zogenaamde bankmedewerker. Die vraagt om uw pincode of beveiligingscodes, om zelf transacties te doen of om iemand van de bank bij u thuis te ontvangen. Hij kan ook een sms, WhatsApp of e-mail sturen met een link naar een valse inlogpagina.

Een echte bank vraagt volgens Veilig Bankieren nooit om een wachtwoord, pincode of andere beveiligingscode, om op een link of QR-code te klikken om in te loggen, of om uw pas of inlogapparaatje op te sturen. Een nieuwe pas of een nieuw inlogapparaatje wordt automatisch naar uw woonadres gestuurd. Een oude pas knipt u door, dwars door de chip, en gooit u weg. Een bank vraagt nooit om een oude pas op te sturen, te laten recyclen of aan iemand af te geven.

Zogenaamd van een bedrijf of instelling

U kunt een bericht krijgen dat lijkt van de Belastingdienst of uw energiebedrijf. Het houdt u voor dat u nog iets moet betalen of dat u geld terugkrijgt, zoals een belastingteruggave. Via een link of QR-code komt u op een valse website die om beveiligingscodes voor internetbankieren of iDEAL vraagt, of op een vals betaalverzoek, bijvoorbeeld via Tikkie. Met zo'n betaalverzoek betaalt u niet aan het bedrijf, maar aan oplichters.

QR-codes: quishing

De politie noemt quishing een nieuwe vorm van phishing waarbij criminelen QR-codes gebruiken. Zo'n code leidt naar een nepwebsite, waar ze inloggegevens kunnen stelen of u kunnen vragen geld over te maken naar hun rekening. De codes worden vaak verspreid via e-mails of als bijlage, maar ze zijn ook fysiek aangetroffen. De politie geeft het voorbeeld van een QR-code in een parkeergarage die lijkt van het bedrijf, maar van een crimineel is: als u daar betaalt, gaat het geld naar de crimineel. Over dit onderwerp komt een apart artikel over quishing.

Zo voorkomt u phishing

De politie geeft deze preventietips:

• Reageer nooit op e-mails of appjes die vragen om inlogcodes of een pincode. Uw bank, creditcardmaatschappij of internetprovider vraagt daar nooit om.
• Klik nooit op de link in de e-mail. Wilt u online geld overmaken? Ga dan naar de website van uw bank of gebruik de app.
• Klik betaalverzoeken van onbekenden niet aan.
• Stuur uw bankpas niet op.
• Stuur nooit een kopie van uw identiteitsbewijs op. Criminelen kunnen uw BSN gebruiken om een bankpas aan te vragen.
• Zet geen foto van uw rijbewijs op sociale media. De zichtbare persoonsgegevens kunnen worden misbruikt.
• Geef nooit zomaar persoonlijke gegevens door over de telefoon. U weet niet wie er aan de andere kant zit.
• Rondt u een koop via Marktplaats of Facebook af? Betaal dan in uw eigen bankapp of op de website van uw bank. De politie schrijft dat de fraudeur dan vaak al afhaakt.
• Zorg dat uw computer de nieuwste software- en beveiligingsupdates heeft gehad.

Het NCSC, dat zich vooral op organisaties richt, benadrukt twee dingen die ook voor u gelden. Voer nooit inloggegevens of verificatiecodes in via een e-mail. En heeft u een bericht gekregen van iemand die u kent, maar twijfelt u? Bel diegene dan op een nummer dat u al kende of via een andere bron dan de mail. Het NCSC adviseert organisaties ook om te zorgen dat verdachte berichten makkelijk gemeld kunnen worden en dat melden altijd wordt aangemoedigd, ook als iemand al op een link klikte. Snel melden beperkt de schade.

Wilt u verder lezen over andere vormen van oplichting? Kijk dan in onze gids Oplichting herkennen.

Wat te doen als u op een phishinglink klikte

Raak niet in paniek. Wat u moet doen hangt af van wat u precies heeft gedaan.

U klikte alleen op de link

De politie schrijft dat er in principe niets aan de hand is als u alleen op de link klikte en geen rekeninggegevens heeft ingevuld omdat u het toch niet vertrouwde. Blijf wel alert.

U heeft inloggegevens van uw bank ingevuld

De politie en de Fraudehelpdesk geven vergelijkbare adviezen:

1. Neem direct contact op met uw bank. Vraag te controleren of er geld is afgeschreven van uw rekening. Laat uw rekening desnoods blokkeren of transacties stoppen.
2. Doe aangifte. Bewaar de e-mail of het WhatsApp-bericht, zodat u die aan de politie kunt laten zien.
3. Doe dit ook als u iets heeft betaald nadat u uw gegevens invulde.

U heeft andere gegevens ingevuld

Neem dan contact op met de Fraudehelpdesk voor advies. Dat kan ook als u niets heeft ingevuld, maar toch ongerust bent. De Fraudehelpdesk legt uit wat oplichters met uw gegevens kunnen doen: inloggen op uw bankrekening en geld overmaken, contact opnemen als zogenaamde bankmedewerker (met uw gegevens komen ze betrouwbaar over) en zich voordoen als u, ofwel identiteitsfraude.

U heeft een bijlage geopend

Hebt u een bijlage geopend en vertrouwt u het achteraf niet? De politie adviseert uw computer, tablet of smartphone te laten controleren op schadelijke software en daarna uw wachtwoorden te wijzigen. Wacht met internetbankieren tot u zeker weet dat uw apparaat weer schoon is. Leg voor de zekerheid de situatie voor aan uw bank.

Wordt u daarna gebeld door uw “bank”?

De Fraudehelpdesk waarschuwt: gebeurt dit nadat u gegevens heeft ingevuld? Hang dan op en bel zelf uw bank om te vragen of ze u hebben gebeld.

Wat een bank doet

Veilig Bankieren schrijft dat banken verdachte transacties proberen te herkennen en te onderscheppen en dat uw bank contact met u kan opnemen als ze er een vaststelt. Soms kan de bank de schade door phishing geheel of gedeeltelijk vergoeden, vooral bij phishing via een valse website die zogenaamd van uw eigen bank was. Of dat voor u geldt, hangt af van uw situatie. Vraag het uw bank.

Phishing melden: wie, hoe en waarom

Melden helpt anderen. De Fraudehelpdesk plaatst bijvoorbeeld waarschuwingen zonder uw persoonsgegevens op de website. Banken kunnen valse afzenders en websites laten blokkeren als ze snel van een melding horen.

Bij de nagebootste organisatie

Veilig Bankieren raadt aan phishing zo snel mogelijk door te sturen naar de bank die wordt nagebootst. Lijkt het bericht van een andere organisatie, zoals de Belastingdienst of PostNL? Stuur het dan door naar die organisatie. De meeste grote organisaties hebben daarvoor een speciaal meldpunt. Veilig Bankieren noemt voor valse e-mails de adressen van onder andere ING (valse-email@ing.nl), Rabobank (valse-email@rabobank.nl) en Knab (valse-email@knab.nl), en voor ABN AMRO valse-email@nl.abnamro.com. Bij een sms kopieert u de volledige tekst, inclusief de link, in een e-mail aan de bank.

Bij de Fraudehelpdesk

Heeft u een e-mail met verdachte linkjes of bijlagen ontvangen? De Fraudehelpdesk wil die graag ontvangen op valse-email@fraudehelpdesk.nl om te onderzoeken. Lijkt de mail van een bank of bekend bedrijf, zet dan het adres van die organisatie in de cc. De Fraudehelpdesk kan alleen goed onderzoeken als u de e-mail als bijlage meestuurt. Lukt dat niet, stuur de mail dan toch gewoon door. Vanaf een smartphone of tablet blijft doorsturen mogelijk, al veranderen de technische eigenschappen van de mail dan.

Andere berichten, zoals WhatsApp, sms of verdachte mails zonder links of bijlagen, meldt u via het meldformulier van de Fraudehelpdesk. Weet de Fraudehelpdesk na onderzoek zeker dat uw mail malware of phishing is, dan krijgt u volgens de website dezelfde dag nog een e-mail terug met meer informatie en tips.

Bij de politie

Aangifte doen kan op de website van de politie voorlopig alleen voor betaalverzoekfraude of Tikkiefraude en voor phishing van uw bankgegevens. Van andere vormen, bijvoorbeeld phishing van andere inloggegevens, doet u aangifte op een politiebureau. U belt voor een afspraak 0900-8844 (lokaal tarief). Dat nummer kunt u ook bellen als u niet zeker weet om welke vorm van phishing het gaat. Veilig Bankieren raadt aan ook aangifte te doen als u geen schade heeft, omdat de politie zo beter zicht krijgt op de criminelen.

Phishing en uw eigen gegevens

Phishing begint vaak met gegevens die al bekend zijn. Het NCSC schrijft dat spearphishing gebruikmaakt van vooraf verzamelde informatie uit bijvoorbeeld openbare bronnen, een datalek of sociale media. Daardoor is het moeilijker te herkennen. De AP vult aan dat met gegevens uit een datalek criminelen hun nepberichten geloofwaardiger kunnen maken.

U kunt dus twee dingen doen: berichten kritisch beoordelen, en weten wat er over u openbaar is. De gratis analyse van Remove Me kijkt naar openbaar zichtbare zoekresultaten, bekende openbare datalekken en een register van databrokers. Ze toont de bevindingen en doet geen uitspraak over uw juridische positie. Het verwijderen van gegevens vraagt u zelf aan, bijvoorbeeld bij de betreffende organisatie. Remove Me verstuurt voorlopig geen verzoeken tot gegevenswissing.

Wat de bronnen niet zeggen

• De gelezen pagina's noemen geen cijfers over hoeveel mensen slachtoffer worden van phishing. We noemen daarom geen aantallen.
• Of uw bank uw schade vergoedt, kan geen van de pagina's voor u beantwoorden. Veilig Bankieren zegt alleen dat het soms geheel of gedeeltelijk gebeurt.
• Veilig Bankieren somt adressen op waar u valse e-mails kunt melden. Deze kunnen veranderen. Controleer het adres op de website van uw bank.

Bronnen

Alle bronnen zijn geraadpleegd op 31 oktober 2026.

• NCSC, Hoe herken ik een phishing e-mail?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-phishing-e-mail
• NCSC, Aan de slag tegen phishing!: https://www.ncsc.nl/phishing/aan-de-slag-tegen-phishing
• Veilig Bankieren, Phishing: https://www.veiligbankieren.nl/fraude/phishing/
• Veilig Bankieren, Meld fraude: https://www.veiligbankieren.nl/meld-fraude/
• Veilig Bankieren, Phishing via de telefoon: https://www.veiligbankieren.nl/fraude/phishing-via-de-telefoon/
• Veilig Bankieren, Valse e-mails: https://www.veiligbankieren.nl/fraude/valse-e-mails/
• Politie, Phishing / smishing: https://www.politie.nl/onderwerpen/phishing-of-smishing.html
• Politie, Ik ben slachtoffer van phishing: https://www.politie.nl/informatie/ik-ben-slachtoffer-van-phishing.html
• Politie, Ik wil aangifte doen van phishing: https://www.politie.nl/informatie/ik-wil-aangifte-doen-van-phishing.html
• Politie, Preventietips phishing: https://www.politie.nl/informatie/preventietips-phishing.html
• Politie, Wat is fraude met QR-codes (quishing)?: https://www.politie.nl/informatie/wat-is-fraude-met-qr-codes-quishing.html
• Fraudehelpdesk, Valse e-mail melden: https://www.fraudehelpdesk.nl/valse-e-mail-melden/
• Fraudehelpdesk, Ik heb gegevens ingevuld na klikken op een link: https://www.fraudehelpdesk.nl/fraude/ik-heb-gegevens-ingevuld-na-klikken-op-een-link/
• Autoriteit Persoonsgegevens, Slachtoffer van een datalek?: https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken/slachtoffer-van-een-datalek