Een bekende stuurt je via WhatsApp een vriendelijk verzoek. Of je even wilt stemmen op een meisje, de dochter van een vriendin, dat meedoet aan een danswedstrijd. Het voelt onschuldig, het komt van iemand die je kent, en het kost maar een paar seconden. Precies daarom werkt het. Achter die stemknop zit een truc waarmee oplichters je WhatsApp overnemen zonder dat je er iets van merkt. De Telegraaf waarschuwde er zaterdag 17 oktober voor, en ook het consumentenprogramma Kassa van BNNVARA sloeg alarm. Op maandag 19 oktober volgde een waarschuwing van Veilig Internetten, het voorlichtingsplatform van de overheid.
Hoe de stemtruc werkt
Volgens Kassa gaat het bericht rond met de vraag om op Eliška te stemmen. De link brengt je naar een nagemaakte stemsite, volgens nieuwssite TPO de site van een zogenaamde balletschool in Praag. Om te stemmen moet je je telefoonnummer invullen. Daarna vraagt de site om een verificatiecode, een QR-code te scannen of een koppelverzoek van WhatsApp te bevestigen.
Dat laatste is de kern. WhatsApp heeft een functie waarmee je je account op een tweede apparaat kunt gebruiken, bijvoorbeeld op je laptop. Zodra jij je nummer op de nepsite invult, starten de oplichters op hun eigen apparaat zo’n koppeling met jouw nummer. De code die jij daarna invult of bevestigt, is de sleutel die die koppeling afrondt. Vanaf dat moment hangt hun apparaat aan jouw account. Ze lezen je berichten mee en sturen hetzelfde stemverzoek naar al je contacten, uit jouw naam. Internationaal heet dit ghost pairing, een spookkoppeling.
De Duitse politie waarschuwde half september al voor dezelfde variant, meldt TPO, en de Fraudehelpdesk kreeg de afgelopen dagen tientallen meldingen.
Waarom je dit veel later merkt dan de oude truc
Hier zit volgens mij het venijn, en het verklaart waarom deze golf zo hard gaat. Bij de bekende overname, waarover we eerder schreven in ons stappenplan voor een overgenomen WhatsApp-account, registreert een oplichter jouw nummer op zijn eigen telefoon. Jij vliegt er dan uit, en dat merk je meteen.
Bij een spookkoppeling vlieg je er niet uit. Jouw WhatsApp werkt gewoon door. Je kunt chatten, bellen en foto’s sturen alsof er niets aan de hand is, terwijl er ergens een extra apparaat meeleest. Het eerste signaal is vaak dat vrienden je appen met de vraag waarom je ze om een stem vraagt. Dan heeft het bericht al een rondje langs je hele adresboek gemaakt, en is de kans groot dat een paar van je contacten er ook in zijn getrapt. Zo verspreidt de truc zich als een kettingbrief.
Dat betekent ook dat het niet genoeg is om af te wachten tot je iets vreemds ziet. De enige plek waar je de koppeling echt ziet, is de lijst met gekoppelde apparaten.
Deze instellingen zet je nu aan of controleer je
Kassa en Veilig Internetten noemen dezelfde twee stappen.
- Controleer je gekoppelde apparaten. Open WhatsApp, tik op de drie puntjes of op Instellingen en kies Gekoppelde apparaten. Zie je een apparaat dat je niet herkent, tik het aan en kies Uitloggen. Een laptop of tablet die je zelf gebruikt hoort er gewoon bij, alles daarbuiten niet.
- Zet verificatie in twee stappen aan. Ga naar Instellingen, dan Account en dan Verificatie in twee stappen. Je kiest een pincode van zes cijfers die WhatsApp af en toe vraagt. Volgens Kassa en Veilig Internetten maakt dat het overnemen van je account een stuk lastiger.
Hoe je die tweede stap ook op je mail en je bankapp regelt, lees je in ons overzicht over tweestapsverificatie. Mijn advies is om de lijst met gekoppelde apparaten de komende weken af en toe na te lopen, ook als je zeker weet dat je nergens op hebt geklikt. Het kost tien seconden.
De belangrijkste regel blijft simpel. Een code die je via WhatsApp of sms krijgt, vul je nooit in op een website en geef je nooit aan iemand anders. Ook niet als het verzoek van een vriend lijkt te komen. Twijfel je, bel die persoon dan even op een nummer dat je al had.
Wat je doet als het al gebeurd is
Heb je op de link geklikt en een code ingevuld, dan helpt het niet om alleen je wachtwoord of pincode te veranderen. Veilig Internetten schrijft letterlijk dat je wachtwoord wijzigen niet voldoende is. Wat wel werkt is je opnieuw aanmelden. Log uit via je profiel en Account, kies opnieuw aanmelden, vul je telefoonnummer in en voer de code van zes cijfers in die je per sms krijgt. Volgens Kassa logt WhatsApp daarmee automatisch alle andere apparaten uit, ook dat van de oplichters.
Laat daarna je contacten weten dat er berichten uit jouw naam zijn verstuurd, zodat zij niet ook op de link klikken. Kassa raadt bovendien aan om de persoon die jou het stemverzoek stuurde te waarschuwen, want diens account is vrijwel zeker ook gekaapt. Is er geld gevraagd of overgemaakt, meld het dan bij de politie en de Fraudehelpdesk. Wat er na zo’n melding gebeurt, lees je in ons stuk over meldingen bij de Fraudehelpdesk.
