Bankpas via phishing-sms gekoppeld aan de telefoon van oplichter

Een man uit Raalte is 1200 euro kwijtgeraakt nadat hij zijn bankgegevens invulde op een nagemaakte website van een bezorgdienst. Criminelen koppelden zijn bankpas via Google Pay aan hun eigen telefoon en deden daarmee aankopen in winkels in Amsterdam. De politie waarschuwt voor phishingberichten die steeds professioneler ogen.

Het slachtoffer kreeg een sms met de melding dat er een pakket onderweg was, maar dat de postcode ontbrak. Via een link in het bericht kwam hij terecht op een website die sterk leek op die van een echte bezorgdienst. Hij vulde er zijn bankgegevens in en betaalde een euro voor de bezorging, zonder te merken dat zijn gegevens werden gebruikt om zijn bankpas aan een onbekende telefoon te koppelen.

Phishing steeds moeilijker te herkennen
Phishingberichten zijn de afgelopen jaren sterk verbeterd, zegt politiewoordvoerder Chantal Westerhoff. Vroeger stonden zulke berichten vaak vol spelfouten, waardoor ze makkelijk te herkennen waren. Dat is volgens haar niet langer het geval: zowel de berichten als de nagebouwde websites lijken tegenwoordig sterk op het origineel.

Voor de koppeling aan Google Pay is geen fysieke bankpas nodig. Zodra iemand zijn gegevens invult op een phishingpagina, inclusief eventuele wachtwoorden en codes, kunnen criminelen de bankpas op hun eigen telefoon zetten. Daarmee kunnen ze vervolgens overal contactloos betalen of geld opnemen, op kosten van het slachtoffer.

Bankpas gebruikt bij drogist en supermarkt
De telefoon met de bankpas van de man uit Raalte dook dezelfde dag op in Amsterdam. Bij een drogist werden scheersets en een groot aantal cadeaubonnen gekocht. Bij een supermarkt in de stad werd onder meer kattenvoer afgerekend en werden opnieuw meerdere cadeaukaarten opgewaardeerd.

De verdachte wisselde daarbij af en toe van zelfscankassa, maar gebruikte steeds dezelfde bankpas: die van het slachtoffer uit Raalte. Volgens de politie hebben de oplichters vermoedelijk meerdere slachtoffers gemaakt. Dezelfde telefoon bleek ook gekoppeld aan de bankpas van een inwoner van Apeldoorn. In totaal verdween er die dag 1200 euro van de rekening van de man uit Raalte.

Deze vorm van phishing komt de laatste jaren vaker voor, blijkt uit een vergelijkbare zaak die eerder dit jaar in Noord-Brabant speelde. Fraude-expert Pepijn Slappendel van DataExpert stelde daarover dat criminelen tegenwoordig geen fysieke pinpas meer hoeven te stelen, omdat ze een digitale betaalpas eenvoudig op hun eigen telefoon kunnen installeren zonder dat het slachtoffer dit direct merkt.

Zo herken je phishing
De politie adviseert om bij twijfel nooit op links in sms'jes of e-mails te klikken. Open in plaats daarvan zelf de officiële app of website van de bank, pakketdienst of organisatie om te controleren of er daadwerkelijk iets aan de hand is. Ook kan er gebeld worden via het telefoonnummer dat op de officiële website staat.

Op Fraudehelpdesk.nl staan voorbeelden van phishingberichten die de afgelopen maanden zijn verstuurd. Berichten die druk uitoefenen om snel te handelen, vormen volgens de politie een belangrijk waarschuwingssignaal.