Duizenden euro’s in rook op

De slogan van Bunq bank luidt ‘Sparen zonder zorgen – Sparen zonder risico’. Ik denk dat de Bunq-klanten die onlangs slachtoffer werden van phishing (en gezamenlijk 1,6 miljoen euro kwijtraakten) daar inmiddels heel anders over denken. Ze verloren binnen enkele minuten vele duizenden euro’s en een van de slachtoffers zag zelfs meer dan een ton in rook opgaan. De bankfraude bij Bunq ging bij een aantal gedupeerden op de volgende manier:

Sms’je

Een aantal van de slachtoffers kreeg een sms’je dat zogenaamd van Bunq bank afkomstig was met de tekst:

‘U bent verplicht uw nieuwe gegevensbeveiliging te activeren via http://eu-validatie.com’.

Nadat de gedupeerden op de link hadden geklikt kwamen ze terecht op een website die exact leek op de officiële website van Bunq. Vervolgens probeerden ze tevergeefs in te loggen op hun account. Na meerdere inlogpogingen te hebben gedaan werden de slachtoffers gebeld door iemand die zich voordeed als een medewerker van Bunq bank (naar verluid ene ‘Luc’). Deze Luc informeerde bij de bankklanten of het klopte dat er op datzelfde moment geld naar het Turkse İzmit werd overgemaakt. Toen de bankklanten zeiden dat daar absoluut géén sprake van was, gaf ‘bankmedewerker’ Luc te kennen dat ze waarschijnlijk slachtoffer waren van fraude en dat hij ze direct ging helpen. Vervolgens verzocht hij de klanten van Bunq om aan de lijn te blijven en stelde hen gerust:

‘Maakt u zich geen zorgen, wij gaan dit voor u oplossen. U hoeft geen gegevens te geven aan ons. Nadat wij de fraude hebben gestopt kunt u gewoon weer inloggen’.

Kapitale fout

Bunq-klanten die op de website controleerden of ‘Luc’ daar ook echt in dienst was, zagen dat dat ook daadwerkelijk klopte. Omdat de gedupeerden geen persoonlijke of bankgegevens hoefden de geven kregen ze ook geen argwaan, want (dachten ze) als je die informatie niet afstaat dan kunnen ze niet frauderen. Dat bleek echter een kapitale fout.

Een vrouwelijke klant van Bunq bank ontdekt op haar smartphone dat er geld van haar bankrekening wordt gestolen

In de val gelokt

De meest klanten waren opgelucht dat Bunq bank zo snel en adequaat insprong op deze oplichtingspraktijken en blij dat ze zo goed door Luc werden ‘geholpen’. Toen een aantal gedupeerden even later met hun mobiel probeerden in te loggen op de Bunq-website sloeg de schrik hen om het hart. Op hun scherm zagen ze hoe grote bedragen (soms wel duizenden euro’s) in hoog tempo werden afgeschreven van hun bankrekening. Vervolgens werd de telefoonverbinding verbroken en realiseerden de slachtoffers zich dat ze in de val waren gelokt.

Geen contact met Bunq

Toen de geschrokken klanten probeerden om contact met Bunq te krijgen, bleek dit bijzonder lastig en nagenoeg onmogelijk. Het enige telefoonnummer dat op de website te vinden was, is een geautomatiseerde SOS Hotline, waarop via een bandjesmenu kan worden ingesproken wat het probleem is. Pas veel later ontvingen klanten een e-mailbericht met de mededeling dat hun boodschap was ontvangen en werden ze doorverwezen naar de chat-app van Bunq. Ook toen de gedupeerden op andere manieren probeerden om in contact te komen met de bank (zoals via de zakelijke sociaalnetwerksite LinkedIn) werden klanten terugverwezen naar de chat-app.

Wazig gesprek met een chatbot

In de chat-app kwamen de gedupeerden terecht in een wazig gesprek met een chatbot, die hen niet verder kon helpen. Een gesprek met Bunq om de situatie op te lossen bleek echter onmogelijk. Bij de grote banken daarentegen is doorgaans één belletje genoeg om je hele bankrekening te blokkeren, zodat verdere schade mogelijk nog kan worden voorkomen.

De zwakste schakel

Iedereen kan slachtoffer worden van phishing-oplichters. Criminelen gebruiken steeds geavanceerdere methoden en zoeken voortdurend naar de zwakste schakel. Phishing (veel geld stelen van klanten) gaat gemakkelijker bij Bunq dan bij andere banken. De grote banken (zoals bijvoorbeeld ING, Rabobank of ABN Amro) hanteren allemaal een bepaald geldlimiet (maximaal een paar duizend euro) die je binnen een bepaalde vastgestelde tijd kunt opnemen. Dit bedrag kun je uiteraard wel ophogen tot bijvoorbeeld 40.000 euro als je dat wilt, maar dan moet je wel een aantal uren wachten voordat dit mogelijk is.

Nauwelijks een limiet

Echter, is er bij Bunq nauwelijks een limiet en kun je in principe direct 1 miljoen euro opnemen, als je dat op je bankrekening hebt staan. Omdat er dus géén wachttijd is en géén limiet kunnen criminelen razendsnel grote bedragen van Bunq-klanten ontfutselen. Het feit dat Bunq vervolgens niet bereikbaar was, maakte de nachtmerrie voor klanten nog groter.

Geld bevriezen

Bij de grote banken kun je vaak alleen maar geld overmaken naar anderen vanaf je betaalrekening, maar bij Bunq kan dat ook direct vanaf je spaarrekening. Als criminelen eenmaal in je account zitten kunnen ze dus ook meteen je spaarrekening plunderen. Alleen de bank kan slachtoffers van phishing helpen, het geld bevriezen en andere acties ondernemen om de gevolgen van de fraude tegen te gaan. Uiteraard is het belangrijk om aangifte te doen bij de politie, maar die kan verder niets veranderen aan het feit dat er geld van je bankrekening is weggesluisd naar een andere locatie. En wanneer de bank niet thuis geeft, sta je in principe machteloos (wat de gedupeerden van Bunq hebben ervaren).

Meer rente en een eigen IBAN

Mensen kiezen vaak voor Bunq omdat zij bij deze innovatieve online bank meer rente ontvangen dan bij de grote banken. Bovendien hoef je bij Bunq geen verplichte betaalrekening met extra kosten af te sluiten als je wilt gaan sparen. Tevens heb je de mogelijkheid om meerdere rekeningen te openen en je eigen IBAN te kiezen.

Groene en duurzame benadering

Vooral milieubewuste mensen kiezen voor Bunq bank, vanwege zijn groene en duurzame benadering van bankieren. Bunq staat bekend om het ondersteunen van verschillende groene initiatieven. Zo investeert de bank bijvoorbeeld in duurzame projecten en worden er opties aangeboden om CO2-uitstoot te compenseren bij het gebruik van Bunq-diensten. Voor iedere honderd euro die je spendeert bij de bank plant Bunq een nieuwe boom aan, waardoor klanten (volgens de bank) binnen twee jaar ‘CO2-neutraal leven’. Bovendien streeft Bunq papierloos bankieren na, waardoor de ecologische voetafdruk wordt verminderd. Voor milieubewuste consumenten is Bunq dus een aantrekkelijke bankkeuze, omdat ze zo kunnen bijdragen aan een beter milieu terwijl ze hun financiële behoeften vervullen.

Geen telefonisch klantcontact met Bunq

Het feit dat je je bank niet kunt bereiken op het moment dat je je zuurverdiende centen in no time ziet verdampen is natuurlijk je grootste nachtmerrie. Op het moment dat je constateert dat je online beroofd wordt moet je natuurlijk meteen actie kunnen ondernemen en niet eerst urenlang in een loop met een chatbot terechtkomen. In de talkshow van Sophie & Jeroen gaf Bunq-oprichter Ali Niknam te kennen dat de bank bewust geen telefonisch contact aanbiedt, omdat klanten meestal juist op deze manier worden opgelicht. Nikman hamert erop dat door het niet aanbieden van telefonisch klantcontact het risico om per telefoon te worden opgelicht in principe tot nul kan worden gereduceerd. Bunq belt tenslotte nooit en Bunq-klanten horen te weten dat deze bank je dus ook nóóit zal bellen. Bunq neemt alleen contact op met klanten via de app.

Paniek bij Bunq-klanten

Er was sprake van grote paniek bij Bunq-klanten die op de link in het SMS-bericht hadden geklikt, hun gebruikersnaam en wachtwoord op de valse website hadden ingevuld en vervolgens werden gebeld door een ‘medewerker’ van Bunq. Toen hen werd verteld dat er geld van hun bankrekening werd overgemaakt naar een stad in Turkije, was het volstrekt logisch dat ze in paniek raakten en hun medewerking verleenden aan de ‘bankmedewerker’. En oké, het is dan weliswaar zo dat Bunq nooit telefonisch contact opneemt, maar dit was een ‘noodsituatie’ en het is niet zo gek dat klanten dan zo snel mogelijk geholpen willen worden en dat de diefstal direct wordt gestopt. Daar hoef je echt niet dom of hoog bejaard voor te zijn. Dit kan iedereen overkomen.

Biometrisch inloggen

Volgens Ali Niknam is het echter niet zo dat Bunq-klanten alleen maar hun inloggegevens hoeven in te vullen om in te loggen op de app. Bunq maakt ook gebruik van biometrische beveiliging in de vorm van een gezichtsscanner (Face ID) of vingerafdrukscanner. Bovendien ontvangen klanten waarschuwings-e-mails wanneer iemand anders probeert in te loggen, vanaf een ander apparaat. In deze e-mails staat een link met de tekst ‘klik hier als dit niet klopt’, zodat de bankrekening direct kan worden bevroren. Echter, lijkt mij het klikken op een link in een e-mail in strijd met het anti-phishingbeleid van banken, omdat de waarschuwingsmails ook van criminelen afkomstig kunnen zijn.

De transactie wordt direct uitgevoerd

Wanneer je vroeger geld overmaakte zat er minstens een dag tussen, voordat de transactie daadwerkelijk werd uitgevoerd. Als klanten van Bunq de opdracht geven voor een transactie, dan wordt de betaling direct uitgevoerd en is er geen enkele mogelijkheid meer voor enige controle. Met andere woorden: verstuurd is verstuurd. De grote banken daarentegen hanteren een bepaalde tijd voordat de transactie daadwerkelijk wordt uitgevoerd. Er is dan dus nog wat tijd om eventuele malafide transacties te voorkomen. Volgens Ali Niknam kan iedere Bunq-klant direct alle transacties blokkeren op het moment dat hij of zij merkt dat er geld wordt weggesluisd. Maar laten we eerlijk zijn, wie gaat eerst uitzoeken op de website hoe je alles kunt blokkeren op het moment dat je een ‘Bunq-medewerker’ aan de lijn hebt die de fraude heeft opgemerkt en je meteen kan helpen?

Richtlijnen en gedragscodes van de NVB

De Nederlandse Vereniging van Banken (NVB) vertegenwoordigt de collectieve belangen van de banksector in ons land en speelt een belangrijke rol bij het ontwikkelen van richtlijnen en gedragscodes voor banken, om ethische en verantwoorde bedrijfsvoering te bevorderen. De opgestelde richtlijnen gelden voor alle banken, dus ook voor Bunq. De financiële schade door bankhelpdeskfraude wordt in 69% van alle gevallen door banken vergoed. Of gedupeerde klanten hun geld terugkrijgen hangt af van verschillende factoren, waaronder:

Directe melding

De klant moet de fraude zo snel mogelijk bij de bank melden. Er moet dus direct contact met de bank worden opgenomen om verdere schade te voorkomen. Neem dus onmiddellijk contact op met de bank (wat bij Bunq dus problematisch is) en gebruik daarvoor het officiële telefoonnummer dat op de officiële website staat vermeld. Gebruik nóóit het telefoonnummer uit de verdachte e-mail, sms of WhatsApp-bericht. Vraag je bank om je rekening direct te blokkeren om verdere transacties te voorkomen en de criminelen een halt toe te roepen. Wijzig onmiddellijk de wachtwoorden van al je bankaccounts en andere belangrijke accounts. Kies altijd sterke en unieke wachtwoorden. Het is aan te raden om je wachtwoorden niet in je browser op te slaan, omdat dit het voor hackers gemakkelijker maakt om je wachtwoorden te achterhalen.

Fraudehelpdesk

Doe altijd aangifte bij de politie. Dit is niet alleen van belang voor het onderzoek naar de bankfraude, maar kan ook noodzakelijk zijn voor verzekeringsclaims. Meld de fraude ook bij Fraudehelpdesk. Zij kunnen advies geven en de fraude registreren. Controleer je bankafschriften en onderzoek deze op verdachte transacties. Meld verdachte activiteiten direct aan je bank. Als je persoonlijke informatie is gestolen, informeer dan ook andere betrokken partijen (zoals bijvoorbeeld je werkgever of creditcardmaatschappijen), zodat ook zij passende maatregelen kunnen nemen.

Zorgvuldigheid met bankgegevens

Klanten moeten kunnen aantonen dat ze zorgvuldig met hun bankgegevens zijn omgegaan. Ze mogen dus geen pincodes of wachtwoorden hebben gedeeld. Geef nóóit je bankgegevens, wachtwoorden of pincodes via e-mail, telefoon, sms, WhatsApp-bericht of ander communicatiemiddel aan anderen. Banken zullen hier nóóit om vragen. Maak gebruik van sterke, unieke en complexe wachtwoorden voor al je bankaccounts. Gebruik nóóit dezelfde wachtwoorden voor meerdere accounts. Schakel altijd twee-factor-authenticatie (2FA) in. Dit is een extra beveiligingsstap die het moeilijker maakt voor criminelen om toegang te krijgen tot je accounts. Er zijn verschillende 2FA-methodes die kunnen worden gecombineerd met je gebruikersnaam en wachtwoord, zoals:

  • SMS-codes
  • authenticator-apps
  • e-mailcodes
  • biometrische verificatie
  • hardware tokens
  • pushmeldingen.

SMS-code

Bij 2FA met SMS-code ontvang je een code via SMS. Je voert eerst je wachtwoord in en daarna de code die naar je telefoon is gestuurd. Dit is een eenvoudige en veelgebruikte methode, maar minder veilig vanwege mogelijke interceptie. Het is voor criminelen mogelijk om de sms-berichten te onderscheppen. Ze plaatsen zich dan tussen jou en de dienst die de code verstuurt (in dit geval je bank), waardoor zij de code ontvangen in plaats van jijzelf.

SIM-swapping

Daarnaast maken criminelen vaak gebruik van zogenaamde ‘SIM-swapping’, waarbij ze je telefoonnummer stelen door je telecomprovider te misleiden. Ze laten je telefoonnummer overzetten naar een nieuwe SIM-kaart die zij bezitten, waardoor de criminelen jouw SMS-codes ontvangen. Ook schadelijke software (zoals spyware en malware) op je telefoon kan SMS-berichten lezen, waardoor criminelen directe toegang kunnen krijgen tot je 2FA-codes.

Wat kan ik doen om interceptie van SMS-codes te voorkomen?

Gebruik geen openbare wifi-netwerken

Om interceptie van je SMS-codes te voorkomen kun je beter geen gebruikmaken van openbare wifi-netwerken wanneer je banktransacties gaat uitvoeren. Openbare wifi-netwerken zijn veel minder veilig en doorgaans makkelijker te hacken.

Maak gebruik van Authenticator-apps

Maak gebruik van authenticator-apps (zoals Google Authenticator, Authy  of  Microsoft Authenticator). Deze apps genereren lokale codes die moeilijker te onderscheppen zijn.

Bescherm je SIM-kaart

Zet een PIN-code op je SIM-kaart, waardoor het voor criminelen moeilijker wordt om je telefoonnummer te stelen.

Wees alert op verdachte activiteiten

Houd je telefoonrekening in de gaten en controleer op ongeautoriseerde wijzigingen. Neem direct contact op met je provider als je verdachte activiteiten opmerkt.

Authenticator-apps

Apps zoals Google Authenticator, Microsoft Authenticator en Authy genereren unieke, tijdelijke codes. Na het invoeren van je wachtwoord, voer je de code die wordt getoond in de app in op de website of app van je bankaccount (of andere dienst). Deze 2FA-methode is een stuk veiliger dan de beveiligingsstap met SMS-codes, omdat de codes lokaal op je apparaat worden gegenereerd en dus minder gevoelig zijn voor interceptie door criminelen.

E-mailcodes

Sommige banken (of andere diensten) sturen een verificatiecode naar je e-mail. Na het invoeren van je gebruikersnaam en wachtwoord, voer je de code in die je per e-mail hebt ontvangen. Echter, kan dit een onveilige 2FA-methode zijn als je e-mailaccount niet goed beveiligd is.

Biometrische verificatie

Bij biometrische verificatie wordt gebruikgemaakt van unieke fysieke kenmerken, zoals vingerafdrukken, gezichtsherkenning of irisscans. Na het invoeren van je wachtwoord, bevestig je je identiteit met je biometrische gegevens. Biometrische verificatie is een zeer veilige methode omdat biometrische gegevens moeilijk te vervalsen zijn.

Wat zijn de nadelen en risico’s van biometrische verificatie?

Biometrische verificatie biedt dan weliswaar een moderne en veilige manier om toegang te krijgen tot je (bank)accounts, maar ondanks de voordelen zijn er ook een aantal nadelen en risico’s ten aanzien van deze 2FA-methode. Zoals eerder gezegd zijn biometrische gegevens uniek en persoonlijk. Als deze gegevens worden gestolen, kunnen ze niet zomaar worden gewijzigd (zoals bijvoorbeeld wachtwoorden die je opnieuw kunt aanmaken). De implementatie van biometrische systemen is erg duur en er is vaak speciale apparatuur en software nodig. Niet alle apparaten ondersteunen biometrische verificatie, wat kan leiden tot inconsistenties in de 2FA-beveiliging. Bovendien kan niet iedereen gebruikmaken van biometrische identificatie, zoals bijvoorbeeld mensen met bepaalde lichamelijke beperkingen.

Biometrische verificatie, gezichtsherkenning

Vervalsing van biometrische gegevens

Criminelen kunnen vingerafdrukken of gezichtskenmerken vervalsen. Hoewel dit erg moeilijk is, is dit zeker niet onmogelijk. Hierdoor zou er onverhoopt toch ongeautoriseerde toegang kunnen plaatsvinden. Biometrische gegevens worden opgeslagen in databases. Deze databases zijn voor hackers en criminelen dus erg aantrekkelijk. Een succesvolle aanval kan ernstige gevolgen hebben voor de privacy van (bank)klanten. Ook zijn biometrische systemen niet foutloos. Vingerafdrukscans kunnen falen bij een beschadigde huid en gezichtsherkenning kan problemen ondervinden bij veranderingen in het uiterlijk van mensen. Tevens zijn er zorgen over hoe overheden biometrische gegevens kunnen gebruiken. Toegang tot deze gegevens zou uiteindelijk kunnen leiden tot ongewenste surveillance.

Hoe kan biometrische verificatie veilig worden toegepast?

De biometrische gegevens moeten in ieder geval goed versleuteld zijn, om de kans op datadiefstal zo klein mogelijk te maken. Daarnaast is het verstandig om biometrische verificatie te combineren met andere vormen van authenticatie, waardoor de beveiliging wordt verhoogd. Hou je biometrische systemen (zowel de hardware als de software) continu up-to-date met de nieuwste beveiligingspatches, waardoor je optimaal beschermt blijft tegen nieuwe bedreigingen en criminele activiteiten. Gebruik biometrische verificatie alleen waar dit noodzakelijk is. Voor minder kritieke toepassingen kunnen traditionele 2FA-methoden volstaan.

Hardware tokens

Hardware tokens zijn fysieke apparaten die unieke codes genereren, zoals bijvoorbeeld YubiKey of andere USB-beveiligingssleutels. Na het invoeren van je wachtwoord, verbind je het apparaat om toegang te krijgen tot je account. Deze 2FA-methode is zeer veilig en robuust tegen hacking door criminelen.

Nadelen van hardware tokens

Het nadeel van hardware tokens is echter dat ze gemakkelijk verloren kunnen gaan of gestolen kunnen worden, waardoor de veiligheid in het geding kan komen. Bovendien moet je het token altijd bij je hebben om toegang te krijgen tot je accounts. Wanneer je het token vergeten bent kun je dus niet inloggen. Tevens zijn niet alle systemen compatible met hardware tokens. Het gebrek aan ondersteuning kan dan leiden tot beperkingen in de bruikbaarheid van deze 2FA-methode. Ook kunnen hardware tokens (net zoals alle elektrische apparaten) defect raken. Door een defecte token kun je van je accounts worden buitengesloten. Zorg er daarom altijd voor dat je een back-up plan hebt (zoals een alternatieve 2FA-methode) voor het geval er sprake is van technisch falen.

Risico’s van hardware tokens

Criminelen die gebruikmaken van social engineering kunnen proberen je te misleiden om je token af te geven. Dit kan onder andere door middel van phishing. Wees je daarom altijd bewust van alle nieuwe social engineering-trucs, zodat je niet overdonderd wordt als criminelen je benaderen. Een onjuist configuratie of implementatie van hardware tokens kan beveiligingslekken veroorzaken. Zorg daarom altijd voor een goede setup en gebruik de hardware tokens op de juiste manier. Deel je tokens nooit met anderen. Bewaar je hardware tokens op een veilige plek wanneer je ze niet gebruikt. Zo verklein je de kans op verlies of diefstal. Controleer regelmatig of je hardware tokens nog op de juiste manier werken en vervang ze als er tekenen van slijtage zijn.

Pushmeldingen

Bij pushmeldingen ontvang je een melding op je smartphone. Na het invoeren van je gebruikersnaam en wachtwoord, bevestig je de inlogpoging door op de melding te klikken. Pushmeldingen bieden een extra beveiligingslaag en snelle verificatie. In tegenstelling tot 2FA met SMS-code hoef je geen code in te voeren, waardoor je typefouten kunt voorkomen. Pushmeldingen zijn versleuteld en worden direct naar je apparaat gestuurd, waardoor ze minder kwetsbaar zijn voor onderschepping dan SMS-codes.

Risico’s van pushmeldingen

Echter, zijn er ook een aantal risico’s verbonden aan het gebruik van pushmeldingen. Als je smartphone verloren gaat of wordt gestolen kunnen criminelen toegang krijgen tot je accounts. Zorg daarom voor een goede beveiliging van je toestel met een pincode of biometrische verificatie. Bovendien kunnen criminelen je misleiden met valse pushberichten. Ze kunnen bijvoorbeeld een nep-app gebruiken om je gegevens te stelen. Controleer dus altijd de herkomst van de meldingen zodat je zeker weet dat ze van een vertrouwde partij (zoals je eigen bank) afkomstig zijn. Als je niet zeker weet of de pushmelding daadwerkelijk van je bank afkomstig is, klik dan nooit op de link en verwijder het bericht.

Minder alert

Een ander nadeel van pushberichten voor 2FA is dat de meldingen afhankelijk zijn van een stabiele internetverbinding. Slechte netwerkverbindingen kunnen vertragingen of gemiste meldingen veroorzaken. Bovendien ondersteunen niet alle apparaten en systemen pushmeldingen, waardoor deze 2FA-methode niet altijd kan worden gebruikt. Als je teveel pushmeldingen ontvangt, wordt je over het algemeen minder alert en kun je per ongeluk frauduleuze inlogpogingen goedkeuren, waardoor je criminelen toegang geeft tot je accounts.

Installeer géén apps van onbekende of verdachte herkomst

Beveilig je smartphone met een sterke pincode, vingerafdruk of gezichtsherkenning, zodat criminelen geen toegang kunnen krijgen als je toestel wordt gestolen. Gebruik alleen officiële apps van vertrouwde bronnen en installeer géén apps van onbekende of verdachte herkomst. Blijf altijd alert op meldingen en controleer altijd de herkomst van de berichten. Wees voorzichtig met meldingen die onverwacht of ongebruikelijk lijken. Zorg er ook voor dat je smartphone en de bijbehorende apps altijd up-to-date zijn. Updates bevatten vaak belangrijke beveiligingsverbeteringen. Zorg ook voor een alternatieve 2FA-methode voor noodgevallen, wanneer je geen toegang hebt tot je pushberichten.

Waakzaamheid en alertheid

Van bankklanten wordt verwacht dat ze waakzaam en alert zijn bij verdachte transacties of activiteiten. Zo mogen ze bijvoorbeeld geen verdachte links hebben aangeklikt of informatie hebben gedeeld met onbekenden. Door verdachte transacties snel op te merken kun je eerder voorkomen dat criminelen je geld stelen. Hoe sneller je een verdachte activiteit meldt, hoe sneller je bank kan ingrijpen om verdere financiële schade te voorkomen. Kijk wekelijks (of nog beter dagelijks) naar je bankafschriften en let daarbij op onbekende transacties. Meldt deze bij je bank zodra je ze opmerkt. Schakel meldingen in voor je bankrekening, zodat je direct een bericht krijgt bij elke uitgevoerde transactie en snel op verdachte activiteiten kunt reageren.

Rode vlag

Transacties die je niet herkent zijn een belangrijke rode vlag en zou alle alarmbellen moeten doen rinkelen. Criminelen testen vaak eerst met hele kleine bedragen, voordat ze grotere geldhoeveelheden stelen. Houd ook rekening met automatische incasso’s die je nooit hebt ingesteld, maar die plotseling wel geld van je bankrekening afschrijven. Wanneer je opmerkt dat er iets is veranderd aan je contactgegevens (terwijl je daar zelf geen veranderingen in hebt aangebracht), moet je dit direct aan je bank melden. Doe je bankzaken alleen via vertrouwde apparaten en gebruik geen openbare computers en onbeveiligde wifi-netwerken. Gebruik unieke, sterke wachtwoorden voor je bankaccounts en gebruik nooit dezelfde wachtwoorden voor meerdere accounts.

Wat moet ik doen bij verdachte activiteiten op mijn bankaccount?

Als je verdachte activiteiten (zoals verdachte transacties) opmerkt op je bankaccount, blokkeer dan direct je bankrekening. Als je vermoedt dat je bankpas is misbruikt, laat deze dan meteen blokkeren. Verander direct al je wachtwoorden als je denkt dat deze op de een of andere manier zijn gecompromitteerd. Informeer je bank zo snel mogelijk over de verdachte activiteit, zodat ze je snel en adequaat kunnen helpen om verdere diefstal te voorkomen. Doe vervolgens aangifte bij de politie.

Een hacker achter zijn laptop

De crimineel doet zich voor als medewerker van de bank

Om in aanmerking te komen voor een schadevergoeding moeten criminelen zich hebben voorgedaan als een medewerker van de eigen bank (in dit geval dus Bunq) en niet van een andere organisatie (mits klanten zich niet nalatig hebben gedragen). Banken zijn verantwoordelijk voor hun eigen medewerkers en de beveiliging van hun systemen. Ze nemen dan ook extra maatregelen om hun klanten te beschermen tegen fraude. Klanten hebben logischerwijs meer vertrouwen in communicatie die zogenaamd van hun eigen bank komt. Dit vertrouwen maakt het gemakkelijker voor criminelen om slachtoffers te misleiden. Banken hebben speciale protocollen om fraude te detecteren en te voorkomen. Wanneer een crimineel zich voordoet als een bankmedewerker (zoals gebeurde bij de Bunq-fraude), omzeilt hij of zij deze beveiligingsmechanismen.

Bel alleen naar de bank via het officiële telefoonnummer

Banken verwachten van hun klanten dat ze zich op ieder moment bewust zijn van alle communicatie die er tussen de bank en rekeninghouders plaatsvindt. Bankklanten moeten verdachte oproepen of berichten die beweren van de bank te komen direct melden. Als je wordt benaderd door iemand die beweert van je eigen bank te zijn, verifieer dan altijd hun identiteit. Doe dit niet door hun naam te googelen en vervolgens te controleren hetgeen de ‘bankmedewerker’ zegt ook klopt, maar bel je eigen bank terug via het officiële telefoonnummer en verifieer de informatie van de medewerker. Dit is de enige manier waarop je er zeker van kunt zijn dat het ook een echte bankmedewerker betreft. Iedereen kan immers van alles op internet zetten en de bron van de informatie is niet altijd precies duidelijk.

De bank belt nóóit

Ga nóóit in op telefonische verzoeken van bankmedewerkers. De bank belt nóóit. Wanneer je wordt gebeld door iemand van de bank die zegt dat je bankrekening wordt geplunderd of dat er een ander noodgeval is, verbreek dan direct de verbinding. De ‘bankmedewerker’ probeert in te spelen op de angst dat er mogelijk iets mis is met je bankaccount. Dit is niet het geval. Er is niets aan de hand met je bankaccount en als je vermoedt dat dit misschien wel zo is, blokkeer dan je account en neem via de officiële kanalen contact op met je bank. Wanneer je toch ingaat op de verzoeken van de ‘bankmedewerker’ die je zogenaamd gaat ‘helpen’ met de beveiliging, dan kun je er nagenoeg zeker van zijn dat je het nakijken hebt en wordt beroofd van je geld.

Phishing, vishing en spoofing

Criminelen gebruiken verschillende methoden om zich voor te doen als bankmedewerker, waaronder:

Phishing

Criminelen sturen valse e-mails, sms’jes of WhatsApp-berichten van de bank waarin ze vragen om inloggegevens of andere gevoelige informatie.

Vishing

Bij vishing bellen fraudeurs (die zich voordoen als bankmedewerker) bankklanten op. Vervolgens proberen ze informatie te verkrijgen door het wekken van vertrouwen en het inspelen op angst en urgentie:

‘Er is iets mis met uw bankaccount, op dit moment worden er grote bedragen van uw bankrekening afgeschreven naar een rekeningnummer in Turkije. Maar wij kunnen u nu helpen om erger te voorkomen.’

Spoofing

Ook maken criminelen gebruik van spoofing. Daarbij vervalsen ze het telefoonnummer van de bank, waardoor het lijkt alsof de oproep echt van de bank afkomstig is. Spoofing kan ook plaatsvinden via e-mail of IP-adressen en wordt vaak gebruikt voor phishing-aanvallen.

Meewerken aan het bankonderzoek

Bankklanten moeten actief meewerken aan het onderzoek van de bank om in aanmerking te komen voor financiële compensatie na een fraudegeval. Dit kan onder meer inhouden dat er aangifte bij de politie moet worden gedaan (doe dit sowieso altijd). Bankklanten moeten alle nodige informatie verstrekken en samenwerken met de bank, om de fraude te onderzoeken en te documenteren. Zonder volledige medewerking van de gedupeerde kan het voor de bank moeilijk zijn om de fraude volledig te onderzoeken en te begrijpen. Daarom is het van groot belang dat klanten alle relevante details verstrekken om de fraudezaak op te lossen.

Schaamte

Veel bankklanten die het slachtoffer zijn geworden van bankfraude schamen zich daarvoor, want hoe konden ze zo ‘stom’ zijn om daarin te trappen. Toch is die schaamte onnodig. Criminelen gebruiken steeds geavanceerdere technieken om mensen op te lichten en iedereen kan op een bepaald moment slachtoffer worden van hun trucs. Bedenk dat criminelen zeer bedreven zijn in het manipuleren van mensen en situaties. Het is tenslotte hun ‘vak’. Zelfs de meest voorzichtige en intelligente mensen kunnen slachtoffer worden van deze malafide praktijken. In plaats van jezelf de schuld te geven, is het beter om samen te werken met de bank en volledig openheid van zaken te geven. Alleen dan kan de fraude goed worden onderzocht en verdere schade worden voorkomen.

Gebruik van beveiligde apparatuur

Om voor schadevergoeding in aanmerking te komen na een fraudegeval, moet de klant kunnen aantonen dat hij of zij gebruik heeft gemaakt van goed beveiligde computers en mobiele apparaten, waarop antivirussoftware en firewalls draaien die up-to-date zijn. Door gebruik te maken van beveiligde apparatuur kunnen klanten het risico op fraude en hacking aanzienlijk verkleinen, waardoor ze beter beschermd zijn tegen financiële verliezen. Voer daarom regelmatig software-updates uit, gebruik antivirussoftware en neem de nodige voorzorgsmaatregelen om de veiligheid van de apparaten waarmee je bankzaken doet te waarborgen.

Eerdere schadevergoeding

Gedupeerde rekeninghouders die al eens eerder een vergoeding hebben gehad na benadeeld te zijn door fraude, komen niet nog een keer in aanmerking voor een vergoeding. Dit beleid is van toepassing om misbruik van het systeem te voorkomen en om consistentie te handhaven in de compensatieprocedures van de bank. Het is belangrijk dat bankklanten begrijpen dat ze niet meerdere keren kunnen profiteren van vergoedingen voor dezelfde schade. Dit stimuleert klanten om extra voorzichtig te zijn en de noodzakelijke voorzorgsmaatregelen te nemen, om toekomstige fraude te voorkomen.

Juridisch traject

Omdat de gedupeerde Bunq-klanten nog in een juridisch traject zitten met de bank kon Ali Niknam niet op de specifieke gevallen ingaan. Het blijft dus voorlopig nog onzeker of zij hun geld ooit nog terugzien. Wel gaat Bunq de beveiliging opschroeven en verschillende aanpassingen doorvoeren om phishing-activiteiten tegen te gaan. Zo heeft de bank het voornemen om bij transacties het geld minimaal 24 uur vast te houden voordat het naar de tegenrekening wordt overgemaakt. Hierdoor heeft een Bunq-klant dus 1 hele dag om de uitgevoerde betaling te annuleren.

Uitgestelde betaling

Deze zogenaamde ‘uitgestelde betaling’ gebeurt onder meer als de geldlimiet wordt verhoogt, maar ook transacties die boven de oude geldlimiet vallen worden uitgesteld. Het vasthouden van het transactiebedrag gebeurt ook als een klant voor de eerste keer inlogt op een nieuwe pc, laptop, tablet of smartphone. Dit betekent dat het geld niet meer meteen, maar maximaal twee werkdagen later op de tegenrekening staat. Als Bunq vermoedt dat er iets niet klopt met de rekening en er mogelijk sprake is van fraude, kan de rekening direct worden bevroren, waarna er door de klant opnieuw moet worden ingelogd in de app of op de website.

Worden Bunq-klanten gecompenseerd voor de geleden schade?

De grote banken hebben een zogenaamde ‘coulanceregeling’, waarbij de financiële schade bij fraude meestal altijd wordt vergoed (bij Bunq was van vergoeding tot op heden nog geen sprake, dus klanten waren hun centen kwijt). Echter, gaat ook Bunq nu de coulanceregeling verbeteren. De coulanceregeling van banken biedt klanten financiële verlichting in speciale situaties. Deze regeling komt doorgaans in beeld als blijkt dat de strikte regels onredelijk zijn. Banken tonen coulance bij bijzondere omstandigheden zoals bijvoorbeeld ziekte, werkloosheid of overlijden. Dit geeft klanten financiële ademruimte.

Ieder coulanceverzoek wordt individueel beoordeeld

Tevens kunnen banken tijdelijke aanpassingen in betalingsvoorwaarden bieden, zoals bijvoorbeeld uitstel van betaling of een tijdelijke verlaging van de maandlasten. In specifieke gevallen passen banken hun regels aan om klanten te helpen financiële problemen te voorkomen. Klanten moeten wel zelf een verzoek voor coulance indienen bij Bunq. Volgens Ali Niknam zal ieder verzoek individueel worden beoordeeld. Er zal worden gekeken naar de persoonlijke situatie van de gedupeerde klant en op basis daarvan worden bepaald wat de mogelijkheden voor coulance zijn.

Extra beveiligingsmaatregelen

Naast het verbeteren van de coulanceregeling zegt Bunq ook de bereikbaarheid van de bank te gaan verbeteren voor klanten die vermoeden dat ze het slachtoffer zijn geworden van phishing of andere vormen van fraude. Dit wil Bunq gaan doen met behulp van pushberichten en een noodtelefoonnummer dat direct kan worden gebeld en klanten onmiddellijk worden geholpen. Eveneens gaat Bunq extra beveiligingsmaatregelen treffen tegen malafide software waarmee criminelen pc’s, laptops, tablets en smartphones op afstand kunnen overnemen.

Phishing

Wat is phishing nu precies?

Bij phishing proberen criminelen om gevoelige persoonlijke en/of bankgegevens te stelen, door zich voor te doen als een betrouwbare organisatie (in dit geval dus Bunq bank). Deze informatie kan onder andere bestaan uit inloggegevens, creditcardnummers of andere persoonlijke informatie. De criminelen sturen vaak e-mails die lijken te komen van je eigen bank, overheidsinstanties of andere vertrouwde organisaties. Deze e-mails bevatten vaak een urgente boodschap, zoals een probleem met je account of in het geval van Bunq het sms’je met de melding over het beveiligingsprobleem en het verzoek om de beveiliging te activeren via de link http://eu-validatie.com.

Identieke website

De links in de e-mails, sms’jes of WhatsApp-berichten leiden meestal naar een nepwebsite die bijna identiek is aan de echte website. Ook de gedupeerden klanten van Bunq dachten daadwerkelijk dat ze op de officiële Bunq-website zaten toen ze probeerden in te loggen (en dus hun persoonlijke en bankgegevens invulden). Zodra klanten de gegevens op de nepwebsite hebben ingevuld, worden deze doorgestuurd naar de criminelen die zo toegang krijgen tot hun bankrekening en andere gevoelige informatie. Met de gestolen gegevens kunnen criminelen vervolgens geld overmaken en aankopen doen.

Social engineering

Criminelen maken bij phishing vaak gebruik van ‘social engineering’. Dit is een gevaarlijke techniek waarbij criminelen menselijke emoties en vertrouwen manipuleren om gevoelige informatie te stelen. Ze gebruiken dan psychologische trucs om het vertrouwen van bankklanten (of klanten van andersoortige organisaties) te winnen en de slachtoffers te misleiden. Ze doen zich dan bijvoorbeeld voor als een medewerker van de bank die je dringend om informatie vraagt.

Criminelen spelen in op angst en urgentie

Door in te spelen op angst en urgentie hopen de criminelen dat je snel reageert zonder na te denken. Dit is dus precies wat er bij de gedupeerden van Bunq bank is gebeurd. De criminelen gebruiken verschillende methoden om informatie te verkrijgen, zoals telefoongesprekken, e-mails of persoonlijke interactie. Ze vragen bijvoorbeeld naar je inloggegevens, wachtwoorden of financiële informatie.

Waarom is social engineering effectief?

‘Oh, hoe dom kun je zijn!’ is een veelgehoorde reactie op iemand die zojuist slachtoffer is geworden van phishing. Toch heeft dit niets met domheid te maken en echt iedereen kan op een bepaald moment slachtoffer worden van deze vorm van oplichting. Criminelen worden steeds inventiever en maken ook steeds vaker gebruik van nieuwe zeer geavanceerde oplichtingstechnieken, waardoor onze online kwetsbaarheid in de toekomst alleen nog maar groter zal worden. Met behulp van social engineering spelen criminelen behendig in op emoties zoals angst, nieuwsgierigheid of hulpvaardigheid.

Misbruik van vertrouwen

Oplichters maken misbruik van het vertrouwen dat mensen hebben in anderen of in bekende organisaties. De misdadigers creëren een gevoel van urgentie waardoor slachtoffers sneller geneigd zijn om te handelen, zonder goed na te denken. Ook Geraldine (een slachtoffer van phishing die een rekening had bij Bunq en meer dan 100.000 euro kwijtraakte) werd op deze manier in de val gelokt. Geraldine wilde immers zo snel mogelijk dat de fraude werd gestopt.

De werkwijze van criminelen gaat meestal als volgt:

Ze sturen een valse phishing-e-mail, sms of WhatsApp-bericht die lijkt te komen van een betrouwbare bron (in dit geval dus Bunq). In dit bericht staat een verzonnen verhaal om toegang te krijgen tot informatie. Vervolgens lokken de criminelen hun slachtoffers met aantrekkelijke aanbiedingen of nepprijzen in de val. Met de verkregen informatie (zoals gebruikersnaam en wachtwoord) kunnen de criminelen inloggen op het (bank)account van het slachtoffer, geld stelen of verdere fraude plegen.

Hoe kan ik mezelf beschermen tegen phishing en social engineering?

Je kunt jezelf beschermen tegen phishing en social engineering door de volgende voorzorgsmaatregelen te treffen:

Wees wantrouwig

Vertrouw niet zomaar blindelings op onverwachte verzoeken om informatie. Open geen verdachte e-mails, sms’jes en WhatsApp-berichten en kijk goed naar de afzender. Waar komt het bericht precies vandaan? Klik nooit op onbekende links. Als je een onverwachte e-mail van je bank ontvangt bel de bank dan op om te controleren of de e-mail echt is. Gebruik hiervoor het officiële telefoonnummer van de bank en niet het nummer dat in de e-mail staat vermeld. Geeft nooit (maar dan ook nooit) je wachtwoorden, pincodes of andere gevoelige informatie via e-mail, sms, WhatsApp of telefoon. Betrouwbare organisaties (zoals je eigen bank) vragen hier nooit om.

Gebruik sterke wachtwoorden en 2FA

Maak gebruik van sterke, complexe en unieke wachtwoorden voor al je accounts. Gebruik nooit dezelfde wachtwoorden voor meerdere accounts maar maak andere wachtwoorden aan. Zorg ervoor dat je antivirussoftware en firewalls up-to-date zijn, zodat verdachte activiteiten kunnen worden gedetecteerd en geblokkeerd. Maak ook gebruik van twee-factor-authenticatie (2FA), waarmee je een extra beveiligingslaag inschakelt. Wanneer je 2FA hebt ingesteld is het voor criminelen nog moeilijker om toegang te krijgen tot je accounts.

Verifieer de bron

Controleer altijd de identiteit van de persoon of organisatie die om informatie vraagt. Kijk goed naar het e-mailadres van de afzender of het telefoonnummer van de beller. Als deze er verdacht uitzien of afwijken van hetgeen je zou verwachten, wees dan heel voorzichtig. Als je wordt benaderd door iemand die beweert van de bank te zijn, vraag dan meer informatie om hun identiteit te verifiëren. Gebeurt de benadering telefonisch, verbreek dan de verbinding en bel terug naar het officiële telefoonnummer van je bank om te controleren of de personen die jouw hebben benaderd ook daadwerkelijk zijn wie ze zeggen te zijn.

Neem zelf contact op met de bank

Als je onverwachte berichten ontvangt waarin om persoonlijke of financiële informatie wordt gevraagd, wees dan sceptisch en geef deze informatie niet, tenzij je zeker weet dat het bericht van een vertrouwde bron afkomstig is. Banken vragen nooit om gevoelige informatie via e-mail, sms, WhatsApp of telefoon. Ga hier dus nooit op in. Neem zelf contact op met je eigen bank om te achterhalen of het bericht dat je hebt ontvangen daadwerkelijk door hen is verstuurd. Gebruik alleen beveiligde communicatiekanalen als je gevoelige informatie deelt. Controleer het groene slotje in de adresbalk van je browser en gebruik versleutelde e-maildiensten.

Deel geen gevoelige informatie met anderen

Geeft nooit persoonlijke gegevens, wachtwoorden of financiële informatie aan onbekenden. Criminelen kunnen deze informatie gebruiken voor het stelen van je identiteit of het uitvoeren van financiële transacties zonder jouw toestemming. Het delen van persoonlijke gegevens met onbekenden kan ook leiden tot inbreuken op je privacy. Zodra je gevoelige informatie deelt met onbekenden verlies je de controle over hoe deze informatie wordt gebruikt en gedeeld, wat ongewenste consequenties kan hebben op lange termijn (wanneer deze data later op een bepaald moment ineens bruikbaar wordt voor criminelen).

Maak gebruik van beveiligingstools

Installeer antivirussoftware en gebruik firewalls om je pc, laptop, tablet of smartphone te beschermen. Antivirussoftware beschermt je tegen schadelijke software die kan worden gebruikt voor phishingaanvallen. De software kan verdachte e-mails blokkeren voordat ze daadwerkelijk schade kunnen aanrichten. Een firewall controleert het inkomende en uitgaande verkeer op je netwerk en blokkeert ongeautoriseerde toegang tot je systeem, waardoor phishingpogingen kunnen worden afgeslagen.

100% bescherming bestaat niet

Spamfilters kunnen verdachte e-mails identificeren en naar de spammap verplaatsen, voordat je ze te zien krijgt. Hierdoor kunnen phishing-e-mails worden gefilterd voordat ze je inbox bereiken. Ook zijn er verschillende browserextensies die je kunnen waarschuwen voor verdachte websites en phishingpogingen. Door gebruik te maken van deze beveiligingstools kun je jezelf beter beschermen tegen phishingaanvallen en social engineering-pogingen. Besef wel dat geen enkele tool 100% bescherming tegen criminelen kan bieden, dus blijf zelf altijd alert en voorzichtig bij het openen van e-mails, het bezoeken van websites en het omgaan met verdachte communicatie

Blijf op de hoogte van de nieuwste oplichtingstechnieken

Zorg ervoor dat je op de hoogte blijft van de nieuwste technieken die criminelen gebruiken om mensen op te lichten en wees altijd alert op verdachte activiteiten. Criminelen maken steeds vaker gebruik van deepfake-technologieën om nepvideo’s en –audiomateriaal te maken, waarin ze zich voordoen als bekende personen of organisaties. Met dit materiaal proberen ze mensen te misleiden en gevoelige informatie te verkrijgen.

Spear Phishing

Naast deepfake-methoden wordt ook steeds vaker gebruikgemaakt van spear phishing. Bij spear phishing richten criminelen zich specifiek op individuele personen of organisaties, waarbij ze gebruikmaken van gepersonaliseerde informatie om hun geloofwaardigheid te vergroten. Hierdoor lijkt het alsof de phishingaanval afkomstig is van een vertrouwde bron (zoals van je bank).

Blijf altijd alert!

Het is dus zeer belangrijk dat je de nieuwste oplichtingsmethoden kunt herkennen en dat je weet hoe je jezelf tegen deze malafide praktijken kunt beschermen. Blijf altijd alert op verdachte communicatie en wees voorzichtig met het delen van persoonlijke of financiële informatie (vooral als je wordt benaderd door onbekende personen of organisaties).

Hoe kan ik een nepwebsite herkennen?

Als je jezelf aanleert om gewoon nooit zomaar op onbekende links te klikken in e-mails en andere berichten, dan kun je het risico op phishing al aanzienlijk verkleinen. Wanneer je wel op een mogelijk malafide link hebt geklikt en op een valse website bent terechtgekomen is het belangrijk dat je een nepwebsite kunt herkennen. Dat kan op de volgende manieren:

Controleer het e-mailadres

Als je via een e-mail, sms’je of WhatsApp-bericht naar de website bent geleid, controleer dan het e-mailadres van de afzender zorgvuldig. Criminelen gebruiken vaak e-mailadressen die sterk lijken op die van legitieme bedrijven, maar met kleine afwijkingen.

Controleer de URL

Controleer altijd eerst het webadres (URL) van de website. Kijk of de URL begint met ‘https://’. De ‘s’ staat voor ‘secure’. Een slotje in de adresbalk is weliswaar een goed teken, maar nog altijd géén garantie dat je op de officiële website zit. Controleer in ieder geval de beveiligingscertificaten, door op het slotje in de adresbalk te klikken. Legitieme websites hebben certificaten die zijn uitgegeven door vertrouwde certificeringsinstanties.

Check de domeinnaam

Let op vreemde of afwijkende domeinnamen. Criminelen gebruiken vaak namen die sterk lijken op de echte, maar met kleine wijzigingen (bijvoorbeeld ‘b0l.com’ in plaats van ‘bol.com’).

Spelfouten

In het verleden kon je malafide websites vaak herkennen aan spelfouten op de pagina’s, maar helaas gaat die vlieger sinds de ontwikkeling van OpenAI niet meer op. Alles kan tegenwoordig foutloos en in perfect Nederlands worden vertaald, waardoor taalfouten eigenlijk geen aanwijzing meer zijn voor een nepwebsite.

Contactinformatie

Kijk ook of er echte en traceerbare contactinformatie op de website staat. Nepwebsites missen vaak gedetailleerde contactinformatie of gebruiken onprofessionele e-mailadressen.

Online tools

Er zijn verschillende online tools en extensies voor browsers die je kunnen helpen bij het identificeren van nepwebsites (zoals bijvoorbeeld VirusTotal of Google Safe Browsing).

Beoordelingen

Zoek online naar recensies van de website. Negatieve ervaringen van andere gebruikers kunnen wijzen op een nepwebsite.

Blijf alert en geïnformeerd

Om bancaire fraude zoals bij Bunq gebeurd is te voorkomen, is het belangrijk om altijd alert en geïnformeerd te blijven. Door op de hoogte te zijn van de nieuwste phishing- en social engineering-technieken, kun je jezelf en je persoonlijke gegevens beter beschermen. Gebruik de beschikbare beveiligingstools en 2FA-methoden, verifieer altijd de bron van verdachte berichten en deel nooit (maar dan ook nóóit) gevoelige informatie met onbekenden. Blijf waakzaam en zorg ervoor dat je bekend bent met het specifieke beveiligingsprotocol van je eigen bank (banken hanteren immers verschillende protocollen). Dan kun je jezelf en je bankaccount optimaal beschermen tegen de slimme en doortrapte trucs van criminelen.

Terug naar boven ↑

Logo Allemaal Veilig