Brief van je bank met een QR-code: echt of oplichting?

De nepbrief komt uit naam van een bank en vraagt je om een beveiligingsprocedure of je internetbankieren ‘bij te werken’. Een opvallende QR-code moet het snel laten gaan. Die leidt naar een nagemaakte website die om je inloggegevens, persoonsgegevens of een activeringscode vraagt. Daarmee kunnen criminelen je rekening overnemen of overboekingen doen.

Dezelfde truc komt ook voor met andere afzenders, in e-mails en met QR-stickers die over echte codes zijn geplakt, bijvoorbeeld op parkeerautomaten.

• Een algemene aanhef zoals ‘Geachte rekeninghouder’ in plaats van je naam.
• De brief noemt een rekening of procedure die je niet gebruikt.
• De QR-code moet je naar een inlogpagina brengen of om bankgegevens vragen.
• Tijdsdruk of dreigementen, zoals het blokkeren van je rekening.
• Onhandige, ongebruikelijke formuleringen, vooral aan het eind van de brief.

Een briefhoofd en logo bewijzen niets: die zijn allebei makkelijk te kopiëren.

1. Open je bankapp of typ zelf het webadres van je bank. Staat daar geen bericht dat je iets moet doen, dan spreekt dat duidelijk tegen de brief.
2. Bel je bank op een nummer dat je al kent: van je bankpas, je rekeningafschrift of de officiële website, niet uit de brief.
3. Wil je zien waar de code naartoe leidt, gebruik dan een scanner die het adres laat zien voordat hij het opent. Let op kleine verschillen: een nul in plaats van een ‘o’, een onbekende domeinextensie of extra tekens direct na de domeinnaam van de bank. Vul daar niets in.

QR-codes om te betalen op facturen zijn daarentegen gewoon. Ze vullen een overboeking in je bankapp in. Controleer de ontvanger en het rekeningnummer voordat je die bevestigt.

• Heb je gegevens ingevuld, neem dan meteen contact op met je bank via het officiële nummer en laat internetbankieren en je passen blokkeren.
• Controleer je transacties en wijzig je inloggegevens.
• Doe aangifte bij de politie.
• Bewaar de brief en de envelop als bewijs.

Heb je de code alleen gescand en niets ingevuld, sluit dan de pagina en meld de brief toch bij je bank.

Een scan met ExplainThisDoc legt de brief vast als document en opent de QR-code niet. Met Pro controleert de analyse de tekst van de brief op typische kenmerken van phishing: tijdsdruk, dreigementen om je rekening te blokkeren, verzoeken om inlog- of betaalgegevens in te vullen, ongebruikelijke links en webadressen die niet bij de afzender passen. Beoordeelt de analyse de brief als waarschijnlijke oplichting, dan verschijnt bovenaan een beveiligingsmelding. De app volgt de QR-code niet en controleert geen links. De gratis Light-analyse beoordeelt zulke kenmerken niet.

In je archief blijft de brief bij je notitie: wanneer je de bank hebt gebeld en wat ze zeiden. Dat helpt als er meer brieven komen of als je aangifte doet. Een waarschuwing is geen echtheidscontrole, en als er geen waarschuwing verschijnt, bewijst dat niet dat een brief echt is.