Criminelen in lockdown: explosieve groei identiteitsfraude via WhatsApp

Een tijdje geleden verbaasde ik mij over deze video. Hier zie je hoe een man inbreekt bij een oudere vrouw, terwijl ze gewoon thuis is. Want ja, wat moet je als inbreker tijdens de coronacrisis? Iedereen is immers thuis. Maar niet alle inbrekers wagen zich hieraan: voor hen is het ook crisis. Nog nooit werden in één maand zo weinig inbraken gepleegd als in maart 2020. Maar deze groep heeft ook het ‘thuiswerken’ ontdekt.

De ‘offline criminelen’ lijken massaal over te stappen naar online mogelijkheden. Het aantal online-fraudemeldingen is tijdens de lockdown flink toegenomen. Waar er van december tot en met februari 6.000 tot 6.500 meldingen per maand binnenkwamen, waren dit er in april alleen al 15.000. Fraudehelpdesk noemt dit ‘hulpvraagfraude’, omdat het vaak letterlijk gaat om een hulpvraag. Iemand ‘die je kent’ heeft snel veel geld nodig.

In heel 2019 waren er 2.663 meldingen over deze fraudevorm met een schade van ca. 1 miljoen. Alleen al in april en mei noteerden we zo’n 3.000 meldingen waarbij de schade meer dan 1 miljoen euro beloopt! – Fraudehelpdesk

Het grootste deel van deze toename is WhatsApp-fraude. Maar bijvoorbeeld ook het aantal spooknota’s namens de Belastingdienst neemt toe.

WhatsApp-fraude

Een WhatsApp-fraudemelding die vaak binnenkomt, is dat een een ouder een appje krijgt van een ‘zoon’ of ‘dochter’. In het gesprek wordt eerst gevraagd of ‘pap’ of ‘mam’ eerst het nieuwe nummer op wil slaan en het oude wil verwijderen, omdat zoon of dochter een nieuwe telefoon heeft gekocht.

Zodra het ‘nieuwe nummer’ is opgeslagen, denkt het slachtoffer contact te hebben met een bekende. Vanaf dat moment begint het spel rondom het overschrijven van geld. Het gaat altijd om een noodsituatie en bellen kan niet. Zoals je in het onderstaand voorbeeld kunt zien, gaan ze slinks te werk (al had deze wel iets beter deskresearch kunnen doen.)

Oplichters maken gebruik van wat jij deelt

Hoe meer we online delen, hoe meer fraudeurs over ons kunnen leren. Ook hierin worden deze oplichters steeds beter. Ze bekijken met wie je bevriend bent, waar je woont, hoe sterk de band is met je familie, hoe je communiceert en ga zo maar door.

Dus eigenlijk: hoe meer je van jezelf openbaar op internet deelt, hoe makkelijker jouw vrienden en familie te misleiden zijn. Heb je op Twitter gezet dat je autopech hebt? Dan kan in een appje naar je ouders gevraagd worden om een rekening van de garage voor te schieten. Ja, zo ver gaat het.

Gekaapt account

Maar tegenwoordig gaan fraudeurs nog een stapje verder. Het is namelijk al mogelijk om rechtstreeks vanaf iemands huidige nummer berichten te sturen. Hierbij kapen ze je hele WhatsApp-account en gaat het gesprek dus gewoon door in de bestaande chat.

Dit maakte onder andere dochter Barbera Planken mee. “Het leek net een echt bericht van mijn vader, het nummer klopte”, zegt ze. “Toen ik naar boven scrolde, zag ik alle voorgaande berichten die hij me had gestuurd.”

De Consumentenbond waarschuwt voor deze vorm van WhatsApp-fraude. Doordat het juiste telefoonnummer wordt gebruikt, is het erg lastig voor vrienden en familie om te herkennen dat het om fraude gaat.

Hoe werkt WhatsApp-kaping?

Als je WhatsApp op een andere telefoon installeert en inlogt met je nummer, heb je een verificatiecode nodig. Dat is het moment waarop de fraudeurs creatief worden. Je kunt de verificatie op twee verschillende manieren ontvangen: via sms of voicemail.

Via voicemail is voor de oplichters het makkelijkst, omdat voicemailboxen vaak niet beveiligd zijn. Deze kunnen ze dus gewoon afluisteren, de code invoeren en hoppa.

Als de code via een sms binnenkomt, proberen ze deze code via jou te ontfutselen. Bijvoorbeeld als ‘koper’ via Marktplaats. Je kunt sinds een tijdje betalen via een betaalverzoek met iDEAL via Marktplaats zelf. Maar om dit te kunnen gebruiken, moet je je eenmalig registreren. En, je voelt het misschien al aankomen, hiervoor moet je je eerst verifiëren met een persoonlijke code.

De oplichters doen vervolgens alsof deze code (per ongeluk) naar jou is verstuurd. Jij denkt dat het de code voor Marktplaats is, maar het is eigenlijk de verificatiecode van jouw WhatsApp-account.

Niet goed, geen geld terug

Barbera heeft de internetcriminelen uiteindelijk €1.500 rijker gemaakt. Dat is snel en makkelijk geld verdienen! En het vervelende is dat je dit geld niet terugkrijgt van de bank. Banken vergoeden namelijk alleen schade als je inloggegevens voor internetbankieren zijn gestolen en er via die weg geld van je rekening is gehaald. Niet als je het ‘gewoon’ zelf overmaakt.

Hoe kun je WhatsApp-fraude voorkomen?

• Het is handig om beveiligingsmeldingen aan te zetten. Alle WhatsApp-berichten zijn end-to-end versleuteld, waarbij gebruik wordt gemaakt van een ‘beveiligingssleutel’ bestaande uit een code. Als je WhatsApp opnieuw installeert of een nieuwe telefoon gebruikt, verandert deze sleutel. Door de beveiligingsmeldingen aan te zetten, krijg je een seintje als dit is gebeurt.
• Met tweestapsauthenticatie wordt er om een extra code gevraagd als je op WhatsApp wil inloggen op een ander apparaat. Een extra opmerking bij deze optie: WhatsApp heeft gemerkt dat er vaak valse mailtjes worden gestuurd om ‘tweestapsauthenticatie uit te schakelen’. Zodra je op deze link klikt, verifieert iemand anders jouw nummer in WhatsApp.
• Misschien voor de hand liggend, maar stuur nooit activatiecodes door.
• Beveilig je voicemail met een (moeilijke) code.
• Bel! Iemand die zich voordoet als jouw vriend of familielid kan de telefoon namelijk niet opnemen. Dan herken je simpelweg de stem. Bel dus altijd met degene voordat je geld overmaakt. Zegt diegene dat hij of zij de telefoon niet kan overnemen? Maak dan geen geld over!

Bewustwording

Je kent misschien wel de ‘maak het ze niet te makkelijk’-reclame van Rijksoverheid over inbrekers. ‘Raam dicht, lichtje aan, deur op slot’. Tijd voor een nieuwe reclame over WhatsApp-fraude: ‘Verificatiecodes dicht, beveiligingsmeldingen aan, en voicemail op slot’. Is bewustwording het enige wat we hiertegen kunnen doen? Of zou bijvoorbeeld WhatsApp of Marktplaats hier ook een steentje in kunnen bijdragen?

Een nepmail van de Belastingdienst zou ik nog wel herkennen (zeg ik nu). Maar wat nou als een familielid mij gewoon in een bestaand WhatsApp-gesprek benadert? Bij een Tikkie voor een kleine bijdrage aan een cadeau bel ik niet eerst met degene die mij een betaalverzoek heeft gestuurd. Jij wel?