Wie de komende weken een pakketje verwacht, krijgt er misschien een bericht bij dat niet van de bezorger komt. Oplichters sturen steeds vaker sms’jes uit naam van DHL, waarschuwde iPhoned op 6 oktober 2026. Het moment is niet toevallig gekozen. In het najaar bestellen mensen meer, en wie echt op een pakket wacht, klikt sneller. Zo werkt de truc, zo herken je hem, en dit doe je als je al geklikt hebt.
Hoe het nepbericht eruitziet
Het bericht dat iPhoned beschrijft volgt een vast patroon. Je krijgt te horen dat je pakket klaarligt in het sorteercentrum van DHL, maar dat er eerst invoerkosten betaald moeten worden voordat het verder kan. Dat betalen gaat volgens het bericht heel makkelijk via de link in de sms. Die link leidt naar een site die op die van DHL lijkt, maar het niet is. Wat je daar betaalt, gaat rechtstreeks naar de oplichters, en vaak vul je onderweg ook je naam, adres en bankgegevens in.
Wat dit bericht zo lastig maakt, is dat het niet uit de lucht komt vallen. Veel mensen wachten echt op een pakket, en invoerkosten bestaan ook echt. Sinds pakketjes van buiten de EU duurder zijn geworden, betalen veel kopers bij webwinkels als Temu inderdaad extra heffingen. Een bericht dat daarover gaat, klinkt dus geloofwaardig. Daar rekenen de afzenders op.
Het is ook niet alleen sms. DHL eCommerce schrijft op zijn eigen pagina over phishing dat de hoeveelheid valse berichten uit naam van DHL en andere vervoerders flink toeneemt, via e-mail, sms en WhatsApp. Daarnaast gaan er berichten rond waarin je wordt gevraagd een zogenaamde tracking-app te downloaden. Die app is spyware die wachtwoorden en bankgegevens steelt.
Zo herken je het verschil
Een echt bericht van DHL en een nepbericht kunnen op het eerste gezicht op elkaar lijken. Er zijn een paar dingen die je in een paar seconden kunt controleren.
- Het zendingsnummer. In een echt betaalverzoek van DHL staat volgens het bedrijf altijd het nummer van jouw pakket. Klopt dat nummer niet met de bevestiging die je van de webwinkel kreeg, of staat er helemaal geen nummer in, dan is het nep.
- Het afzenderadres. E-mails van DHL komen volgens DHL eCommerce altijd van een adres dat eindigt op dhl.com, dhl.nl, dhlparcel.nl of dhlecommerce.nl. Let wel op, want een afzendernaam is makkelijk na te maken. Kijk naar het echte adres, niet naar de naam die erboven staat.
- De link. Klik niet, maar kijk waar hij naartoe gaat. Een verkorte link of een adres met een vreemde extensie is een slecht teken.
- De haast. Moet je vandaag nog betalen, anders gaat het pakket terug? Die druk is het werkpaard van bijna elke oplichtingstruc.
- Een app buiten de winkel. De echte Mijn DHL-app download je alleen via de App Store of Google Play. Een link in een sms naar een app-bestand is altijd fout.
Zelf controleren waar je pakket is
De veiligste manier is ook de simpelste. Gebruik nooit de link uit een bericht, maar ga zelf naar de officiële site van DHL of open de Mijn DHL-app. Vul daar de track en trace-code in die je kreeg toen je je bestelling plaatste. Daar zie je waar je pakket is, en als er echt invoerkosten betaald moeten worden, zie je dat daar ook. Staat er niets, dan was het bericht nep.
DHL eCommerce raadt verder aan om geen bijlagen te openen en nooit inloggegevens in te vullen als je niet zeker weet dat je op de echte site zit. Twijfel je over een link, dan kun je die volgens het bedrijf laten controleren met de Scamcheck van Thuiswinkel Waarborg.
Eerlijk gezegd vind ik dit de belangrijkste gewoonte die je jezelf kunt aanleren, en niet alleen voor DHL. Elk bericht over een pakket, een boete of een rekening controleer je via de app of site die je zelf al kende. Dan maakt het niet meer uit hoe overtuigend een nepbericht eruitziet.
Al geklikt of betaald? Dit doe je
Heb je de link al geopend, dan is dat nog geen ramp, zolang je niets hebt ingevuld. Heb je wel gegevens achtergelaten, handel dan snel.
- Bankgegevens of creditcard ingevuld? Bel direct je bank of creditcardmaatschappij via het nummer op je pas of de officiële site. Zij kunnen je pas blokkeren en kijken of er nog iets terug te halen valt.
- Een wachtwoord ingevuld? Verander het meteen, ook op andere accounts waar je hetzelfde wachtwoord gebruikt, en zet tweestapsverificatie aan waar het kan.
- Een app geïnstalleerd? Verwijder die, en laat bij twijfel je telefoon nakijken. Spyware kan meekijken bij alles wat je daarna intypt.
- Meld het. Stuur het verdachte bericht als bijlage naar DHL via het adres op hun phishingpagina, niet als doorgestuurd bericht, want dan gaan de technische gegevens verloren. Meld het ook bij de Fraudehelpdesk. Heb je geld verloren, doe dan aangifte bij de politie.
Melden voelt soms zinloos als het geld al weg is, maar het is het niet. Met de originele berichten kan DHL de echte afzender achterhalen en blokkeren, en de Fraudehelpdesk ziet aan de meldingen welke truc op dat moment rondgaat. Hoe dat daar verder loopt, staat in ons stuk over wat er met een melding bij de Fraudehelpdesk gebeurt.
Waarom nu
De pakkettenmaanden komen eraan. Tussen nu en de feestdagen wachten heel veel mensen op bestellingen, en elk van die pakketjes is voor oplichters een kans dat hun sms precies op het juiste moment binnenkomt. De truc verandert niet, alleen de verpakking. Vandaag is het DHL met invoerkosten, volgende maand misschien een andere bezorger met een gemiste bezorging. Wie de vaste regel aanhoudt, zelf kijken en nooit via de link, heeft aan elke variant genoeg.
