Wat is phishing? Zo herken je het, en dit doe je als je al hebt geklikt

Phishing is "vissen" naar vertrouwelijke gegevens. De politie beschrijft het klassieke voorbeeld: je krijgt een e-mail die van je bank lijkt te komen, met een link naar een nagebouwde website waar je je inloggegevens moet invullen. Met die gegevens logt de crimineel op de echte website in en kan hij geld van je rekening afschrijven. Komt het bericht per sms, dan heet het smishing. Gebruiken criminelen een QR-code, dan spreekt de politie van quishing, bijvoorbeeld met een nep-QR-code in een parkeergarage.

Het gebeurt op grote schaal. Volgens de Veiligheidsmonitor 2025 van het CBS kreeg 74 procent van de Nederlanders van 15 jaar en ouder in twaalf maanden minstens één bericht of telefoontje dat waarschijnlijk van een oplichter kwam; 0,9 procent, ongeveer 133.000 mensen, verloor er geld mee. Bij de Fraudehelpdesk vervijfvoudigde het aantal meldingen van phishing in de eerste helft van 2026.

Via welke kanalen komt phishing binnen?

• E-mail: in de eerste helft van 2026 noemde 59 procent van de phishingmeldingen bij de Fraudehelpdesk e-mail als kanaal, tegen 30 procent een jaar eerder.
• Sms en WhatsApp: een link naar een nepsite, een vals betaalverzoek (bijvoorbeeld via Tikkie) of een 'bekende' die snel geld wil lenen.
• Telefoon: iemand belt namens je bank, soms zelfs met het echte nummer van de bank op je scherm (spoofing).
• Brieven met een QR-code: veiligbankieren.nl waarschuwt voor brieven die je via een QR-code naar een nepsite van je bank sturen, of je vragen je bankpas op te sturen.
• Boekingsplatforms: de Fraudehelpdesk kreeg in de eerste helft van 2026 1.072 meldingen van phishing rond boekingssites, voor ruim 90 procent over Booking.com en in 95 procent van de gevallen via WhatsApp, vaak met echte details van een bestaande reservering.

Zo herken je een phishingbericht

• Haast: er moet nu iets gebeuren, anders wordt je rekening geblokkeerd of loop je iets mis.
• Een vraag om inlogcodes, pincodes of wachtwoorden. Je bank, creditcardmaatschappij of internetprovider vraagt daar nooit om, zegt de politie.
• Het adres van de afzender: kijk vooral naar het deel achter het @-teken, waar criminelen soms één letter of cijfer veranderen. Let op: met spoofing kunnen ze zelfs het echte adres van een organisatie gebruiken.
• Een algemene aanhef, zoals 'Beste klant' of 'Geachte heer/mevrouw'.
• Een link die ergens anders heen gaat dan je verwacht: ga er met je muis overheen zonder te klikken. Vertrouw je een link niet, dan verwijst de politie naar de website Check je Linkje.
• Een zip- of rar-bestand als bijlage: facturen en aanmaningen worden nooit zo verstuurd, zegt Veiliginternetten.nl.

Reken niet op taalfouten. Volgens Veiliginternetten.nl bevatten valse e-mails veel minder fouten dan vroeger en zien logo's er steeds professioneler uit. En de Fraudehelpdesk ziet dat oplichters steeds vaker opvallend veel persoonlijke informatie hebben, vermoedelijk uit datalekken, waardoor hun berichten geloofwaardiger lijken.

Je hebt geklikt of gegevens ingevuld: wat nu?

1. Heb je de inloggegevens van je bank ingevuld, of iets betaald? Neem direct contact op met je bank, op een nummer dat je zelf opzoekt, en laat zo nodig je rekening blokkeren of transacties stoppen.
2. Word je daarna gebeld door 'je bank'? Hang op en bel zelf je bank om na te vragen of zij jou hebben gebeld, adviseert de Fraudehelpdesk.
3. Heb je een bijlage geopend of iets gedownload? Koppel je apparaat los van internet en laat het controleren op schadelijke software. Veiliginternetten.nl raadt aan de virusscan te doen terwijl de verbinding nog verbroken is. Wacht met internetbankieren tot je zeker weet dat het apparaat schoon is.
4. Verander het wachtwoord dat je op de nepsite hebt ingevuld, en ook overal waar je hetzelfde wachtwoord gebruikt.
5. Bewaar de e-mail of het bericht en doe aangifte.
6. Alleen op de link geklikt, zonder iets in te vullen? Dan is er volgens de politie in principe niets aan de hand. Blijf wel alert.

Waar meld je phishing?

• Valse e-mails met verdachte links of bijlagen stuur je, liefst als bijlage, door naar valse-email@fraudehelpdesk.nl. Sms'jes, WhatsApp-berichten en e-mails zonder link of bijlage meld je via het meldformulier van de Fraudehelpdesk.
• Lijkt het bericht van je bank te komen, stuur het dan ook door naar die bank. Veiligbankieren.nl houdt bij welk meldadres elke bank gebruikt.
• Apple ontvangt verdachte e-mails die van Apple lijken te komen op reportphishing@apple.com.
• Aangifte doen kan online voorlopig alleen bij betaalverzoek- of Tikkiefraude en bij phishing van je bankgegevens. Bij bankphishing waarbij geen geld van je rekening is afgeschreven, kan het online; is er wel geld afgeschreven, dan kun je ook aangifte doen op een politiebureau of de politie laten langskomen. Voor andere phishing, bijvoorbeeld van andere inloggegevens, maak je een afspraak via 0900-8844.

Beschermt een virusscanner tegen phishing?

Deels. Na een geopende bijlage helpt een scan om schadelijke software te vinden, maar de belangrijkste bescherming is een gewoonte. De Fraudehelpdesk vat die samen in drie stappen: vertraag, vraag en verifieer, via een bron die je vertrouwt. En onthoud wat De Nederlandsche Bank zegt: een bank vraagt nooit naar je privégegevens, je inlogcode of om geld over te maken.

Een onverwacht bericht met een link heb je nooit nodig. Ga zelf naar de app of website van de organisatie: als er echt iets is, zie je het daar.