Op 24 juli 2026 hield de politie een man aan die in één maand tijd 740.000 valse sms-berichten verstuurde namens onder meer PostNL, de Belastingdienst en banken. Smishing werkt met nep-links die urgentie opwekken, en je herkent ze door de link te controleren zonder erop te klikken.
Een aanhouding na 740.000 valse sms'jes
Op 24 juli 2026 hield de politie een man aan die verantwoordelijk zou zijn voor een grootschalige smishing-operatie. Volgens Slachtoffers Eerst verstuurde hij in slechts één maand tijd 740.000 valse sms-berichten, met als doel geld en bankgegevens van ontvangers te stelen.
Smishing is phishing via sms. De afzendernaam lijkt op die van een vertrouwde organisatie, zoals PostNL, de Belastingdienst of een bank, terwijl het bericht in werkelijkheid van een oplichter komt. De inhoud vraagt bijna altijd om snel te klikken op een link, om een pakket te redden, een teruggave te innen of een geblokkeerd account te herstellen.
Dat zoveel berichten in zo korte tijd konden worden verstuurd, laat zien hoe geautomatiseerd deze vorm van fraude inmiddels is. Met de juiste software benadert één persoon duizenden nummers tegelijk, waarbij elk bericht net iets anders is geformuleerd om spamfilters te omzeilen. Dat maakt bewustwording minstens zo belangrijk als technische filters, want een spamfilter vangt niet elk bericht af voordat het je scherm bereikt. Wie meer wil weten over hoe zulke berichten zijn opgebouwd, leest dat terug in de gids over phishing herkennen, en vergelijkbare trucs op WhatsApp staan beschreven in het artikel over WhatsApp-fraude.
Waarom deze sms'jes zo overtuigend zijn
De afzendernaam in een sms kan worden vervalst, ook wel spoofing genoemd. Een oplichter laat zijn bericht verschijnen in dezelfde gespreksdraad als eerdere, echte berichten van PostNL of je bank. Dat maakt het bericht geloofwaardiger dan een bericht van een los, onbekend nummer ooit zou zijn.
Het tweede middel is tijdsdruk. Een bericht uit deze zaak zou er ongeveer zo hebben uitgezien: 'PostNL: Wegens onvolledige adresgegevens kan uw pakket niet worden bezorgd. Betaal de extra bezorgkosten via onderstaande link, anders wordt uw pakket geretourneerd.' Namens de Belastingdienst zag zo'n bericht er ongeveer zo uit: 'Belastingdienst: U heeft recht op een teruggave. Vraag deze aan via de link hieronder voordat uw recht vervalt.' Beide voorbeelden dwingen tot een snelle beslissing, zodat er geen tijd overblijft om na te denken.
Een bank vraagt nooit om je pincode, een verificatiecode of een wachtwoord via sms, telefoon of e-mail, zo blijkt uit de voorlichting op Veiligbankieren.nl. Kom je zo'n verzoek tegen, dan is het bericht vrijwel zeker vals.
Zo controleer je een link zonder erop te klikken
De veiligste manier om een sms te controleren, is hem niet te openen op de manier die de afzender bedoelt. Klik niet op de link, maar zoek de organisatie zelf op via de app of website die je al kent, en log daar in om te zien of er echt iets speelt. Neem de tijd om deze stap te zetten, ook als het bericht dringend overkomt, want een paar seconden extra controleren voorkomt vaak veel meer schade achteraf.
Twijfel je over het nummer waarvandaan het bericht kwam, dan kun je dat opzoeken op de controleerpagina voor telefoonnummers van FraudeVrij. Is het nummer al eerder gemeld voor smishing, dan zie je dat direct. Hetzelfde geldt voor de domeinnaam achter de link: die controleer je op de controleerpagina voor websites voordat je hem ook maar overweegt te openen.
Deze stappen kosten een halve minuut en voorkomen dat je op een nagemaakte inlogpagina terechtkomt. Oplichters bouwen zulke pagina's tegenwoordig zo goed na dat het verschil met de echte site met het blote oog nauwelijks te zien is.
- Klik niet op de link, ook niet om te kijken wat erachter zit.
- Open in plaats daarvan zelf de app of website van de organisatie, via een adres dat je zelf hebt ingetypt of al had opgeslagen.
- Vergelijk het nummer van de afzender met een nummer dat je al kende, want een oplichter kan elk nummer laten tonen.
- Let op spelfouten en rare tekens in de linktekst, ook als de rest van het bericht foutloos oogt.
- Bel bij twijfel de organisatie zelf via een nummer dat je zelf hebt opgezocht, niet via een nummer uit het bericht.
Wat te doen als je toch hebt geklikt of betaald
Heb je toch gegevens ingevuld of geld overgemaakt, bel dan direct je bank en laat je rekening of pas blokkeren. Hoe eerder je dat doet, hoe kleiner de kans dat een oplichter nog iets met je gegevens kan doen.
Doe daarna aangifte bij de politie. Dat kan telefonisch via 0900-8844 of online via de aangiftepagina van politie.nl. Bewaar het sms-bericht, een schermafbeelding van de link en eventuele betaalbevestigingen, want die heb je nodig bij de aangifte. Hoe vollediger je dossier is, hoe makkelijker de politie de zaak kan koppelen aan andere meldingen over dezelfde werkwijze.
Meld het nummer en de website ook bij FraudeVrij via het meldformulier, zodat anderen worden gewaarschuwd als ze hetzelfde nummer of dezelfde link tegenkomen. In het meldingenoverzicht zie je hoeveel mensen al eerder over hetzelfde nummer hebben gemeld.
Een aanhouding stopt één operatie, niet de methode zelf. Zolang een afzendernaam in een sms kan worden vervalst, blijft controleren voordat je klikt de beste bescherming die je zelf in de hand hebt. Blijf daarom kritisch op elk bericht dat haast eist, ook als de afzender vertrouwd lijkt.
