Je wordt gebeld over verdachte transacties, je moet snel een app installeren en daarna je bankpas tegen je telefoon houden. Wie dat doet, ziet even later geld van zijn rekening verdwijnen terwijl de pas gewoon in zijn hand ligt. De politie waarschuwt sinds deze week voor deze nieuwe vorm van bankhelpdeskfraude, en dat is geen theoretisch risico. Volgens de politie Rotterdam maakte één netwerk er in drie weken zo’n 380.000 euro mee buit bij 170 slachtoffers.
Het verschil met eerdere trucs zit in dat ene gebaar. Wie weet waarom de pas tegen de telefoon moet, herkent het gesprek meteen als nep.
Hoe de truc verloopt
Omroep West zette de werkwijze op een rij zoals de politie die beschrijft. Het begint vaak met een ingesproken bericht. De daders maakten met kunstmatige intelligentie tientallen geluidsfragmenten, met verschillende stemmen en de namen van verschillende banken en bedrijven. Wie de transactie niet herkent, drukt op een toets en krijgt een zogenaamde bankmedewerker aan de lijn.
Die werkt een vast script af. Er moet haast worden gemaakt, want je pas moet geblokkeerd worden. Daarvoor installeer je een app, en daarna houd je je bankpas tegen de achterkant van je telefoon om hem te “scannen” of te “beveiligen”. Precies op dat moment gaat het mis.
Volgens NL Times waren de slachtoffers van alle leeftijden, met tientallen twintigers en dertigers. Het is dus niet alleen een truc die ouderen overkomt.
Waarom je pas niet tegen je telefoon mag
In je bankpas zit een NFC-chip, dezelfde chip waarmee je contactloos betaalt. Een telefoon met NFC kan die chip uitlezen als de pas er vlak tegenaan ligt. Normaal gebruik je dat andersom, de telefoon is dan zelf de betaalpas.
De app van de oplichters maakt misbruik van dat uitlezen. Hij stuurt de gegevens van de chip direct door naar een tweede telefoon. Daar staat een handlanger mee bij een geldautomaat of een betaalterminal, en die telefoon doet zich voor als jouw pas. Zolang jij je pas tegen je eigen toestel houdt, kan aan de andere kant geld worden opgenomen. Ook de pincode hebben de daders nodig, en die vraagt de nepmedewerker tijdens het gesprek, onder het mom van een controle.
Dat verklaart waarom slachtoffers het pas later doorhebben. De pas is nooit uit handen geweest, er is geen pakketje opgehaald en geen koerier aan de deur geweest. De politie zegt tegen NL Times deze technische methode niet eerder te hebben gezien. Elders in Europa waarschuwen beveiligers al langer voor apps die op deze manier pasgegevens doorsturen, maar in deze vorm, gekoppeld aan een telefoontje van de bank, is hij in Nederland nieuw.
Op deze site schreven we eerder over een sms over je Google Wallet waarbij oplichters jouw pas op hun eigen telefoon zetten. Het doel is hetzelfde, een kopie van je pas op een toestel van de dader. Alleen is de weg ernaartoe nu korter, want je doet het werk zelf.
Drie zinnen die een bank nooit zegt
Het gesprek klinkt overtuigend, zeker als de stem je naam en je bank noemt. Houd daarom deze drie dingen vast, want een echte bank vraagt ze nooit.
- Installeer even deze app, dan blokkeren we je pas.
- Houd je bankpas tegen je telefoon.
- Geef je pincode of een code uit je bankapp door.
Hoor je een van deze drie, hang dan op. De politie zegt het zelf zonder omwegen. “Je bank vraagt je nooit om je bankpas tegen je telefoon te houden.” Bel daarna zelf je bank via het nummer op de achterkant van je pas of op de officiële website, niet via een nummer dat de beller noemt of dat in een sms staat.
Al gebeld en je pas tegen de telefoon gehouden?
Dan telt elke minuut, want de handlanger staat vaak al bij een automaat. Doe het volgende in deze volgorde.
- Bel direct je bank via het officiële nummer en laat je pas blokkeren. De meeste banken hebben daarvoor een nummer dat dag en nacht bereikbaar is.
- Verwijder de app die je op verzoek hebt geïnstalleerd, maar maak eerst een schermafbeelding van de naam en van de gesprekken in je belgeschiedenis.
- Wijzig je pincode zodra je een nieuwe pas hebt, en controleer of er in je bankapp nieuwe apparaten zijn gekoppeld.
- Doe aangifte bij de politie. Twijfel je of iets oplichting was, dan kun je de politie bellen op 0900-8844.
Meld het daarnaast bij de Fraudehelpdesk. Daar worden meldingen gebundeld, zodat nieuwe trucs sneller herkend worden. Hoe dat werkt, lees je in ons stuk over de Fraudehelpdesk.
Twee verdachten vast
De politie Rotterdam hield twee mannen uit Gelderland aan, een 23-jarige uit Vaassen en een 25-jarige uit Ede. De jongste wordt verdacht van het bouwen van de techniek en het aansturen van anderen, de oudste van het coördineren van de groep. De rechtbank in Rotterdam besliste dinsdag dat beiden zeker negentig dagen langer vast blijven zitten. Het onderzoek begon nadat banken de werkwijze hadden gemeld bij de Electronic Crimes Task Force.
Dat er twee verdachten vastzitten, betekent niet dat de truc verdwenen is. De app en de ingesproken berichten zijn makkelijk na te maken, en dat is precies waarom de politie nu zo breed waarschuwt. Vertel het dus ook aan je ouders, je buren en je collega’s. Eén zin is genoeg om het te onthouden. Een pas hoort nooit tegen een telefoon op verzoek van een beller.
