- Valse bankmails volgen vrijwel altijd hetzelfde driedelige script: een geloofwaardige aanleiding, een tijdsdruk en één duidelijk handelingsverzoek.
- De mail is vaak niet het einddoel maar de opwarmer: hij maakt je rijp voor een telefoontje van een “bankmedewerker” die het verhaal afmaakt.
- Je hoeft het script niet eens te herkennen als je één vaste regel hanteert: bankzaken regel je alleen via de app of door zelf het adres in te typen, nooit via een link in een bericht.
- Twijfel je achteraf? Bel je bank via het nummer op je pas, niet via een nummer uit de mail.
Een valse mail van je bank is geen gemankeerde echte mail. Het is een toneelstuk in drie bedrijven, geschreven door iemand die precies weet hoe jij reageert als het over je geld gaat. Wie alleen op spelfouten en rare afzenders let, kijkt naar de coulissen terwijl het stuk gewoon doorgaat — de goede exemplaren zijn taalkundig namelijk dik in orde.
Ik wil het daarom niet hebben over hoe je zo’n mail herkent, maar over hoe hij wérkt. Als je het script eenmaal kent, zie je het overal terug: in de “verlopen betaalpas”, de “vreemde transactie” en de “nieuwe pinpas die onderweg is”. De verpakking wisselt, de dramaturgie niet.
Bedrijf één: de aanleiding die nét geloofwaardig genoeg is
Elk script begint met een aanleiding waar je iets bij kunt voorstellen. Je betaalpas verloopt. Er staat een transactie klaar naar een buitenlandse rekening. Je moet je gegevens “verifiëren vanwege nieuwe regelgeving”. De afzender hoeft niet te weten of het klopt — hij stuurt hetzelfde verhaal naar duizenden mensen en heeft genoeg aan de kleine groep bij wie het toevallig resoneert.
Dat toeval is de motor. Wie net een nieuwe pas heeft aangevraagd, leest de mail over een pas die onderweg is en denkt: dat klopt. Wie gisteren iets geks zag op zijn afschrift, leest “vreemde transactie gedetecteerd” en voelt zijn maag samentrekken. De mail lijkt persoonlijk, maar het is een visnet: het hoeft maar bij een enkeling te haken.
Een goede aanleiding hoeft niet waar te zijn. Hij hoeft alleen maar aan te sluiten bij iets wat jij toevallig al dacht of vreesde.
Waarom het script werkt
Bedrijf twee: de klok gaat tikken
Direct na de aanleiding komt de tijdsdruk. “Binnen 24 uur reageren, anders wordt uw rekening geblokkeerd.” “De transactie wordt vannacht uitgevoerd.” Die druk is geen detail, het is het hart van de aanval. Onder tijdsdruk schakelt je brein van nadenken naar handelen, en precies dat handelen wil de afzender sturen.
Let op het patroon: het dreigement is altijd erger dan de gevraagde handeling. Rekening geblokkeerd versus even inloggen — dan kies je toch voor even inloggen? Dat de “kleine handeling” in werkelijkheid de gevaarlijke is, zie je pas als de druk eraf is. Banken weten dit ook; daarom zie je bij vrijwel alle banken dezelfde boodschap terug: wij vragen je nooit via een link in een mail om in te loggen of gegevens te bevestigen.
Praktijktip: voel je bij een mail de aandrang om nu meteen iets te doen? Behandel dat gevoel als het signaal zelf. Echte bankzaken kunnen vrijwel altijd een uur wachten. Sta op, pak koffie, en kijk er daarna nog eens naar.
Bedrijf drie: de mail is vaak pas het voorprogramma
Hier wordt het interessant, want veel mensen denken dat de aanval klaar is als ze niet op de link klikken. Steeds vaker is de mail alleen de opwarmer. Een paar dagen later belt een vriendelijke “medewerker van de afdeling fraudepreventie”: of je die mail over de vreemde transactie hebt gezien. Ineens klopt het verhaal aan twee kanten — je hébt die mail immers echt ontvangen — en dat maakt het telefoontje geloofwaardig.
Dit is het terrein van vishing, oplichting via de telefoon, en het is de reden dat je een verdachte bankmail niet alleen moet negeren maar ook moet onthouden. De mail plant het zaadje; de beller oogst. Wie het script kent, hoort het telefoontje aankomen: “Heeft u onze waarschuwing ontvangen? Dan weet u hoe ernstig het is.”
De combinatie verklaart ook waarom juist oplettende mensen erin trappen. Zij hebben de mail aandachtig gelezen, het verhaal zit in hun hoofd, en de beller hoeft er alleen nog op voort te borduren.
De ene regel die het hele script breekt
Het mooie is: je hoeft geen expert te worden in nepmails. Eén werkafspraak met jezelf maakt het hele genre onschadelijk.
- Klik nooit op bankzaken vanuit een bericht. Geen mail, geen sms, geen appje. Ook niet als het er perfect uitziet — juist dan niet, want jouw oordeel over “echt of nep” is precies wat de afzender bespeelt.
- Open zelf je bankapp of typ zelf het adres in. Is er werkelijk iets met je rekening, dan zie je dat daar. Staat er niets, dan was de mail nep. Dit kost tien seconden en werkt in honderd procent van de gevallen, ongeacht hoe geraffineerd de mail was.
- Bel bij twijfel je bank via het nummer op je pas. Niet het nummer uit de mail of het nummer dat jou belt — het nummer dat fysiek op je betaalpas gedrukt staat.
- Onthoud verdachte mails. Krijg je daarna een telefoontje dat naar zo’n mail verwijst, dan weet je: dit is bedrijf drie van het script. Ophangen mag, sterker nog: moet.
Wat je morgen anders doet
Verplaats de vraag. Niet meer: “is deze mail echt?” — dat is een wedstrijd tegen een professional die je niet hoeft te spelen. Wel: “via welke route ga ik dit controleren?” En het antwoord is altijd hetzelfde: jouw eigen app, jouw eigen bladwijzer, het nummer op jouw pas. Wie die route tot gewoonte maakt, kan elke valse bankmail met een gerust hart verkeerd inschatten — het maakt namelijk niets meer uit.
Benieuwd hoe je op andere fronten reageert onder druk? Doe de human firewall test en kijk waar jouw reflexen je helpen of juist in de weg zitten.
Rik Hoogland
Rik begeleidde jarenlang phishing-simulaties en awareness-programma's bij Nederlandse organisaties. Op Humanfirewall.nl legt hij uit hoe oplichters mensen bespelen en hoe je daar als team tegen bestand raakt. Stel Rik je vraag.
Zelf een situatie die niet vertrouwd voelt?
Beschrijf wat er gebeurde of waar je over twijfelt, dan denkt Rik mee over de juiste reactie.