Wat is spoofing, hoe werkt het en wat doe je ertegen?

Spoofing is een trucje waarbij een identiteit wordt misbruikt om je te misleiden. Tegenwoordig spreken we van spoofing als cybercriminelen een andere identiteit aannemen om je op te lichten. In de meeste gevallen doen de cybercriminelen zich voor als een betrouwbare organisatie zoals een bank, verzekeringsmaatschappij, bezorgingsdienst, overheidsinstantie of zelfs iemand die je kent. Het doel van de criminelen is het installeren van malware op je computer, diefstal van jouw persoons- en/of betaalgegevens of direct geld van je afhandig maken. Internetcriminelen gebruiken meerdere vormen van spoofing:

• E-mail spoofing
• Website spoofing
• Telefoonnummer spoofing

Een bekende vorm van spoofing waar je vast wel eens van gehoord hebt (of die je zelf hebt ervaren) is e-mail spoofing. Je ontvangt van – bijvoorbeeld – je verzekeringsmaatschappij een mail in je inbox. Het bericht is ‘bijna’ identiek aan een gewone mail, maar het is niet de vermelde afzender die jou benadert. Dat wordt ook wel phishing genoemd. Via deze e-mail vraagt de afzender jou om direct te handelen; vaak door op een link te klikken. Als je daarnaartoe navigeert, wordt een virus op je computer geïnstalleerd; ook als je ogenschijnlijk naar een bonafide website wordt gestuurd.

Ben je er niet zeker van of het bericht echt is? Neem dan altijd telefonisch contact op met de vermelde afzender. En heb je een mail gekregen van je eigen e-mailadres? Dan kan het zijn dat je een phishing mail hebt gekregen vanuit jouw e-mailadres. In dit geval moet je direct contact opnemen met je hostingdienst, waar ze jou kunnen helpen om jouw e-mail te beveiligen. Om te achterhalen hoe veilig jouw e-mailadres is, kun je het alvast – veilig – via internet.nl controleren. Wil je het nóg veiliger? Met protocollen als SPF, DKIM en DMARC kun je jouw maildomein tegen spoofing beveiligen.

Website spoofing en e-mail spoofing worden door cybercriminelen vaak gecombineerd. Je komt dan via een valse e-mail op een site terecht, die op het eerste gezicht gelijk is aan de oorspronkelijke site. Maar als je beter kijkt, zie je toch wat verschillen. Zo kunnen er letters in de URL zijn verwisseld of staan er vreemde tekens in. En door een ‘r’ en een ‘n’ aan elkaar te zetten lijkt het net of het een ‘m’ is. Als je dat niet ziet, denk je dat het een betrouwbare of bekende site is. Alleen kan een cybercrimineel via die nepsite malware op jouw computer installeren. Daardoor kunnen belangrijke bestanden worden vergrendeld en wordt er losgeld gevraagd om die weer beschikbaar te stellen. Ook kan de cybercrimineel uit zijn op jouw persoonsgegevens en je direct geld afhandig maken door je betaalgegevens te achterhalen.

Tip: Via checkjelinkje.nl kun je een URL veilig controleren.

Bij telefoon spoofing gebruiken cybercriminelen meerdere trucjes om jou te misleiden. Zo verschuilen ze zich steeds vaker achter daadwerkelijke telefoonnummers van instanties. Het meest bekende voorbeeld is het telefoontje dat je van de bank krijgt met de opmerking dat je pas verlopen is. Je moet je pas even opsturen en een briefje met je pincode erbij doen. Daar trap je natuurlijk niet meer in. Alleen is het jammer genoeg niet altijd zo duidelijk. Je kunt bijvoorbeeld ook gebeld worden door het nummer van de helpdesk van Microsoft. De beller wil dan dat je een bestand op jouw computer downloadt of dat je de betaling voor een verleende ‘service’ nog even afrekent. Op die manier proberen cybercriminelen toegang te krijgen tot je computer of willen ze direct jouw betaalgegevens in handen krijgen. Houd er dan rekening mee dat een helpdesk jou nooit spontaan belt. En dat Microsoft je niet uit zichzelf telefonisch benadert als jij computerproblemen hebt.

Wist je dat die zogenoemde helpdesk je ook kan misleiden door je aan te sporen om hen te bellen? Meestal gebeurt dat door een pop-up op je beeldscherm met de mededeling dat je software verouderd is en dat je contact moet opnemen met het getoonde nummer. Vaak krijg je dan iemand aan de lijn met een overdreven Engels accent. Vraagt diegene jou om iets te downloaden of informatie te geven? Hang direct op! En meldt dit op fraudehelpdesk.nl.

Een andere variant van telefoon spoofing waarbij op jouw emoties (in dit geval angst) wordt ingespeeld, is dat een bankmedewerker jou opbelt en zegt dat je geld niet meer veilig is. Je wordt dan gevraagd om het geld naar een rekening van ‘de bank’ over te maken om de veiligheid ervan te waarborgen. Maar let op: jouw bank belt je nooit om geld of een pincode te vragen!

Cybercriminelen gebruiken willekeurige telefoonnummers om personen op te lichten. Met een beetje pech kan jouw nummer hiervoor misbruikt worden. Wanneer je regelmatig wordt gebeld door mensen die niet in jouw contactenlijst staan of vaak wordt teruggebeld door mensen die aangeven dat jij hen gebeld hebt (terwijl dat niet zo is), is de kans groot dat jouw nummer voor spoofing wordt gebruikt. Je ziet het zelf niet in je oproepenlijst, maar de slachtoffers krijgen jou aan de lijn als ze terugbellen.

Het is erg vervelend, maar je kunt hier niets tegen doen. De enige oplossing is het aanvragen van een nieuw telefoonnummer bij je provider.

• Controleer het e-mailadres van de afzender. Wijkt het af van wat je kent? Ga maar uit van spoofing.

• Zijn de bedrijfslogo’s van slechte kwaliteit? Tijd voor de alarmbel.

• Is het onderwerp overdreven dringend? Grote kans op een adder onder het gras.

• Bekende relaties/organisaties kennen jouw naam en benaderen jou persoonlijk. Onpersoonlijke aanhef? Wees bedacht op spoofing.

• Is het taalgebruik correct? Of is de grammatica/spelling ondermaats? In het laatste geval: kijk uit!

• Betrouwbare organisaties hebben vrijwel altijd een eigen domein achter hun @. Een e-mail van bedrijfsnaam@gmail.com is op z’n minst reden voor argwaan. Check eventueel telefonisch of het klopt.

• Wat is het doel van het bericht? Banken/overheidsinstanties vragen jou nooit om geld, betaalgegevens of om iets te installeren. Niet doen, dus.

• Word je gebeld en hoor je een duidelijke computerstem of een overdreven Engels accent? Hang op!

• Belt een bankmedewerker jou? Doe niet wat er gevraagd wordt en probeer de identiteit van de beller te achterhalen. Hang dan op, navigeer naar de website van je bank, bel terug en vraag om die persoon te spreken. Je kunt natuurlijk ook meteen ophangen.

• Goed om te weten: PostNL stuurt geen sms via een 06-nummer.

• Controleer de URL van websites. Is het echt de juiste URL? Of lijkt die er alleen op…

• Download geen e-mail bijlagen als die er vreemd uitzien (zoals .exe. of .zip)

In eerste instantie kun je de schade als slachtoffer van spoofing niet verhalen. Wanneer je geld hebt overgemaakt, heb je dat vrijwillig gedaan. Omdat cybercriminelen vaak onvindbaar zijn, kun je in feite niets tegen hen beginnen. Intussen hebben de grote banken onder druk van het Ministerie van Financiën besloten om ‘coulance’ aan te bieden aan slachtoffers van spoofing via de betreffende bank. Dat is natuurlijk goed nieuws, maar om in aanmerking te komen voor de coulanceregeling moet je wel voldoen aan de voorwaarden en vervolgstappen ondernemen.  Ben je dus opgelicht door spoofing, onderneem de volgende stappen:

Stap 1

Bel direct naar jouw bank. Jouw bank kan je verder helpen.

Stap 2

Verzamel zo veel mogelijk bewijs. Screenshots en een toelichting op de gebeurtenissen kunnen jouw verhaal goed ondersteunen. Via internetsporen.nl vind je meer informatie over het verzamelen van bewijs.

Stap 3

Ga naar het politiebureau en doe aangifte.

Stap 4

Stuur een kopie van het proces-verbaal naar jouw bank.

Krijg je een bericht van DHL, een mailtje van jouw bank of een telefoontje van de Microsoft-helpdesk en vragen ze jou direct iets te downloaden, te betalen of vragen ze om jouw persoonsgegevens? Hang direct op, klik niet op linkjes en laat nooit gegevens achter op een nepsite! De kans is namelijk levensgroot dat er sprake is van spoofing en dat een cybercrimineel uit is op jouw gegevens of jouw geld. Trap er niet in! En die ene keer dat je iets te enthousiast bent in het verwijderen van verdachte mailtjes? Better safe than sorry.

We hebben trouwens enorm handige en praktische cybersecurity tips en tricks voor IT-gebruikers. Schrijf je in voor een gratis abonnement, dan houden wij je op de hoogte!