Spoofing: de afzender is een bewering, geen bewijs

Wat is spoofing?

Spoofen betekent letterlijk: nadoen, voor de gek houden. Bij spoofing neemt een aanvaller de identiteit van iemand anders aan op precies de plek waar jij die identiteit afleest — de afzenderregel van een mail, het nummer op je telefoonscherm, het adres in je browser. Die plekken voelen als bewijs, maar zijn in werkelijkheid verrassend makkelijk te manipuleren.

Dat is meteen het ongemakkelijke inzicht van deze pagina: de afzender die jij ziet, is een bewering, geen feit. E-mail is ontworpen in een tijd waarin niemand aan misbruik dacht, en de telefonie-infrastructuur vertrouwt grotendeels op wat de beller zelf doorgeeft. Oplichters hoeven dus geen systeem te kraken om zich voor te doen als je bank — ze hoeven alleen het juiste veld in te vullen.

Spoofing komt in meerdere gedaanten voor, en bijna altijd in dienst van een grotere truc:

E-mailspoofing: de afzender liegt

Bij e-mail heb je grofweg twee smaken. De simpelste is display name spoofing: de aanvaller verandert alleen de weergavenaam. Er staat “Jan de Vries (Directeur)” in je scherm, maar het adres erachter is een willekeurig gratis mailadres. Op een telefoon, waar veel mailprogramma’s alleen de naam tonen, valt dat vrijwel niemand op — en daar rekent de afzender op.

De tweede smaak is geraffineerder: lookalike-domeinen. De aanvaller registreert een domein dat op het echte lijkt — een letter verwisseld, een streepje toegevoegd, een andere extensie — en mailt vanaf dat domein. Het adres klopt dan “bijna”, en bijna is precies genoeg, want mensen lezen wat ze verwachten te lezen. In de meest brutale variant wordt het echte domein zelf vervalst in de technische kopregels van de mail; of dat lukt, hangt af van hoe goed het domein van de nagebootste partij beschermd is.

E-mailspoofing is zelden doel op zich. Het is de motor onder vrijwel alle soorten phishing: van de massamail tot het gerichte betaalverzoek aan één medewerker. De vervalste afzender levert het vertrouwen, de rest van het bericht doet de overtuiging.

Telefoonnummer-spoofing: je bank belt — of toch niet

Telefoonnummer-spoofing is misschien wel de meest ontwrichtende vorm, omdat hij ons sterkste controlemiddel ondermijnt: even kijken wie er belt. Een aanvaller kan het nummer dat op jouw scherm verschijnt vrij kiezen, inclusief het echte servicenummer van je bank. Zoek je dat nummer tijdens het gesprek op, dan klopt het — en juist die check, die als gezond wantrouwen voelt, duwt je dieper het verhaal in.

De enige verificatie die standhoudt, draait de richting om: niet kijken wie er belt, maar zélf bellen. Hang op, wacht even, en bel het nummer dat je onafhankelijk opzoekt — op je bankpas, in de officiële app. Een echte bankmedewerker heeft daar nooit moeite mee; een oplichter probeert het je uit je hoofd te praten. En onthoud de regel die banken zelf steeds herhalen: een bank vraagt je nooit om geld “veilig te stellen” op een andere rekening of om inlogcodes te delen. Hoe zo’n gesprek verder wordt opgebouwd, met druk, scripts en achtergrondgeluiden van een callcenter, lees je op de pagina over vishing.

Is spoofing strafbaar — en krijg je je geld terug?

Spoofing wordt vrijwel altijd ingezet om mensen op te lichten of zich als iemand anders voor te doen, en dat soort gedrag is in Nederland strafbaar — denk aan oplichting en misbruik van andermans identiteit. Dat de techniek van het vervalsen zelf soms een grijs gebied lijkt, doet er voor slachtoffers weinig toe: wie via een gespoofd nummer of adres geld of gegevens afhandig wordt gemaakt, is slachtoffer van een misdrijf en kan daarvan aangifte doen bij de politie.

Of je je geld terugkrijgt, is helaas geen kwestie van een vaste regel. Banken beoordelen zulke gevallen per situatie en wegen mee hoe de fraude verliep en welke rol jouw eigen handelen speelde. Soms wordt schade vergoed, soms gedeeltelijk, soms niet; doe daar vooraf geen aannames over en laat je door je eigen bank informeren. Wat je in elk geval zelf in de hand hebt, is snelheid en vastlegging:

1. Bel direct je bank. Hoe sneller een betaling of toegang gemeld is, hoe groter de kans dat er nog iets te stoppen of te bevriezen valt.
2. Leg alles vast. Bewaar het gespoofte bericht, noteer nummer, tijdstip en gespreksverloop, maak schermafbeeldingen. Verwijder niets.
3. Doe aangifte bij de politie. Ook als de dader waarschijnlijk niet gepakt wordt: zonder aangifte sta je bij elke vervolgstap zwakker.
4. Meld het bij de Fraudehelpdesk. Die helpt je verder met advies en brengt oplichtingsvormen in kaart, zodat anderen gewaarschuwd kunnen worden.

Waarom techniek dit niet alleen oplost

Voor e-mail bestaan er degelijke afspraken om spoofing tegen te gaan: SPF, DKIM en DMARC, technieken waarmee een domeineigenaar vastlegt wie er namens zijn domein mag mailen en wat er met twijfelgevallen moet gebeuren. Elke organisatie zou die moeten instellen — het maakt het rechtstreeks vervalsen van je domein een stuk moeilijker en beschermt vooral de mensen die mail van jou ontvangen.

Maar dek je daarmee alles af? Nee. Deze technieken controleren het domein, niet de bedoeling. Een lookalike-domein met keurig ingestelde SPF en DKIM komt gewoon door de controles heen, want technisch klopt het — het is alleen niet van wie jij denkt. Display name spoofing raakt aan geen enkele controle, telefoonnummer-spoofing speelt zich buiten het e-mailsysteem af, en bij pharming wordt zelfs de route naar een correct adres ondermijnd. De vervalsing schuift dus op naar de plekken waar de techniek niet kijkt.

Daarom eindigt dit verhaal waar het op deze site altijd eindigt: bij de mens die het laatste oordeel velt. Techniek filtert de bulk weg, en dat is veel waard. Maar het bericht dat overblijft, beoordeelt een mens — en die mens moet weten dat een afzender een bewering is, geen bewijs. Dat besef, gecombineerd met de gewoonte om bij verzoeken om geld of gegevens zelf het contact te leggen via een kanaal dat je vertrouwt, is de kern van een human firewall. Spoofing verslaat de techniek regelmatig; een mens die terugbelt, verslaat spoofing.

Veelgestelde vragen over spoofing