Phishing en internetfraude: wat u doet als slachtoffer en als bedrijf

Gepubliceerd op 29 september 2024 · Laatst bijgewerkt op 31 oktober 2026

Bent u slachtoffer van phishing, meld de fraude dan direct bij uw bank en doe aangifte bij de politie. Een betaling die u niet zelf hebt toegestaan, moet de bank in beginsel terugboeken (artikel 7:528 BW); dat verandert als u met opzet of grove nalatigheid hebt gehandeld (artikel 7:529 BW). Bent u ondernemer, dan moet u passende beveiligingsmaatregelen nemen en een datalek binnen 72 uur melden bij de Autoriteit Persoonsgegevens, tenzij het lek waarschijnlijk geen risico oplevert voor de betrokkenen (artikelen 32 en 33 AVG).

Wat is phishing en hoe verschilt het van andere internetfraude?

Phishing is een vorm van internetfraude waarbij criminelen zich voordoen als een betrouwbare partij, zoals een bank, een vervoerder of de overheid. Het doel is uw inloggegevens, pincode of andere gevoelige gegevens te krijgen. Dat gebeurt via e-mail, sms, WhatsApp of een nagemaakte website.

Internetfraude is de bredere term. Daaronder vallen ook nepwebshops, ransomware en het overnemen van een bankrekening. Strafrechtelijk gaat het meestal om oplichting (artikel 326 Wetboek van Strafrecht), computervredebreuk (artikel 138ab Wetboek van Strafrecht) en soms diefstal met een valse sleutel (artikel 311 Wetboek van Strafrecht).

Welke vormen komen veel voor?

• Betaalverzoekfraude: u krijgt via een verkoopplatform een link voor een “verificatiebetaling” van een paar cent. De link leidt naar een nagemaakte bankpagina.
• Bankhelpdeskfraude (spoofing): iemand belt namens “uw bank”, vaak vanaf een vervalst nummer, en laat u geld overmaken naar een “veilige rekening”.
• Spear-phishing: een gerichte aanval op één persoon of bedrijf, met persoonlijke details die het bericht geloofwaardig maken.
• Smishing: phishing via sms, met een link naar een frauduleuze website.

Hoe herkent u een phishingbericht?

• Spoed of dreiging: “uw rekening wordt binnen 24 uur geblokkeerd” of “uw pas verloopt vandaag”.
• Een link of bijlage die u niet verwachtte: de link leidt naar een site die lijkt op de echte, maar een ander webadres heeft.
• Een vraag die een bank nooit stelt: om uw pincode, om een code uit uw bankapp of om geld over te maken naar een andere rekening.
• Afwijkende afzender of taal: een vreemd e-mailadres, spelfouten of een onjuiste bedrijfsnaam.

Wat doet u in de eerste uren na phishing?

Snelheid bepaalt hoeveel schade u kunt beperken. Werk deze stappen in volgorde af.

1. Bel uw bank via het nummer op de achterkant van uw pas of op de website. Laat uw pas, bankapp en internetbankieren blokkeren. Vraag de bank om de betaling terug te halen.
2. Wijzig uw wachtwoorden, eerst van uw e-mail en daarna van andere accounts met hetzelfde wachtwoord. Zet tweestapsverificatie aan.
3. Bewaar alles: het bericht, het telefoonnummer, schermafbeeldingen van de nepsite en de afschriften van de betalingen.
4. Doe aangifte bij de politie. Uw bank vraagt vaak om een kopie van de aangifte, en de aangifte is nodig om later als benadeelde partij in de strafzaak schadevergoeding te vorderen (artikel 51f Wetboek van Strafvordering).
5. Zet uw vordering op schrift. Weigert de bank te vergoeden, vraag dan om een schriftelijke en gemotiveerde afwijzing. Die heeft u nodig voor een klacht of procedure.

Moet de bank uw schade na phishing vergoeden?

Dat hangt af van één vraag: hebt u de betaling zelf toegestaan of niet? Titel 7B van Boek 7 BW maakt dat onderscheid scherp.

Wat “grove nalatigheid” is, beoordeelt de rechter per geval. Het gaat om meer dan een gewone vergissing. De bank moet stellen en zo nodig bewijzen dat de klant grof nalatig was. Een geloofwaardige bankhelpdeskfraude met een vervalst nummer kan daarom anders uitvallen dan het doorgeven van een pincode aan een onbekende.

Hebt u de betaling zelf goedgekeurd, dan is de positie zwakker. Soms is dan wel de vraag of de bank haar zorgplicht heeft geschonden, bijvoorbeeld bij een ongebruikelijk patroon van betalingen. Dat is maatwerk en de uitkomst is onzeker.

Hoe pakt de strafrechter phishingbendes aan?

Daders van phishing worden vervolgd voor een combinatie van feiten. Een voorbeeld uit de rechtspraak laat zien hoe dat werkt. De Rechtbank Midden-Nederland veroordeelde op 23 augustus 2022 een verdachte voor medeplegen van oplichting, computervredebreuk en diefstal met een valse sleutel. Hij benaderde verkopers op Facebook Marketplace en stuurde hen een betaallink van € 0,01, die naar een phishingsite leidde.

Met de buitgemaakte inloggegevens koppelde een medeverdachte de bankapp van de slachtoffers aan zijn eigen telefoon. Daarna deed hij betalingen en nam hij geld op. Gezien de beperktere rol, de bekentenis en de persoonlijke omstandigheden legde de rechtbank in dit geval een taakstraf op in plaats van een gevangenisstraf.

Voor u als slachtoffer is vooral het voegen in de strafzaak van belang. Via artikel 51f Wetboek van Strafvordering vordert u uw schade bij de strafrechter. Wijst die de vordering toe, dan kan de rechter ook een schadevergoedingsmaatregel opleggen (artikel 36f Wetboek van Strafrecht). De Staat int het bedrag dan bij de dader.

Welke plichten heeft uw bedrijf onder de AVG?

Verwerkt uw bedrijf persoonsgegevens, dan geldt de Algemene Verordening Gegevensbescherming. Drie bepalingen zijn bij phishing direct van belang.

• Artikel 32 AVG: u neemt passende technische en organisatorische maatregelen. Denk aan tweestapsverificatie, actuele software en training van medewerkers.
• Artikel 33 AVG: een datalek meldt u binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens, tenzij het waarschijnlijk geen risico oplevert voor de betrokkenen.
• Artikel 34 AVG: bij een hoog risico informeert u ook de betrokkenen zelf, zodat zij bijvoorbeeld hun wachtwoord kunnen wijzigen.

Bij onvoldoende beveiliging kan de Autoriteit Persoonsgegevens een boete opleggen (artikel 83 AVG). Daarnaast kunnen klanten of zakenpartners uw bedrijf civielrechtelijk aansprakelijk stellen voor hun schade (artikel 82 AVG).

Wat regelt u vooraf als ondernemer?

1. Een datalekprotocol: wie beslist binnen de 72 uur of er gemeld wordt, en wie doet de melding?
2. Een register van datalekken. Ook een lek dat u niet meldt, legt u vast (artikel 33 lid 5 AVG).
3. Een vaste controle bij gewijzigde rekeningnummers van leveranciers: altijd terugbellen via een bekend nummer.
4. Tweestapsverificatie op e-mail, boekhouding en bankomgeving, en een uniek wachtwoord per account.
5. Training van medewerkers in het herkennen van phishing, bijvoorbeeld met een jaarlijkse oefenmail.

Waarom is internationale opsporing bij phishing lastig?

Phishing is vaak grensoverschrijdend. De server staat in het ene land, het slachtoffer woont in een ander land en het geld gaat via rekeningen in een derde land. Daardoor is niet meteen duidelijk welk land opspoort en vervolgt.

Europol en Interpol ondersteunen de coördinatie tussen landen. Het Verdrag van Boedapest inzake cybercriminaliteit regelt dat landen elkaar helpen bij het veiligstellen en uitwisselen van digitaal bewijs. Voor u als slachtoffer betekent dit vooral dat een strafzaak lang kan duren. Wacht daarom niet met uw vordering op de bank.

Hoe helpen wij bij phishing en internetfraude?

• Wij beoordelen of uw bank een niet-toegestane betaling moet vergoeden (artikelen 7:528 en 7:529 BW) en stellen de bank aansprakelijk.
• Wij helpen u met het voegen als benadeelde partij in de strafzaak tegen de dader (artikel 51f Wetboek van Strafvordering).
• Wij toetsen voor uw bedrijf of de beveiliging voldoet aan artikel 32 AVG en of een datalek gemeld moet worden.
• Wij voeren verweer als uw bedrijf na een aanval aansprakelijk wordt gesteld of een boete van de Autoriteit Persoonsgegevens krijgt.

Veelgestelde vragen

Kan ik ook iemand aanpakken die zijn rekening aan de oplichter heeft uitgeleend?

Ja, een zogenoemde geldezel kan strafrechtelijk worden vervolgd, bijvoorbeeld voor witwassen (artikelen 420bis-420quater Wetboek van Strafrecht). Of u uw schade ook bij hem kunt verhalen, hangt af van zijn rol en van de vraag of er bij hem iets te halen valt.

Is phishing ook strafbaar als er nog geen geld is weggehaald?

Ja. Het opzettelijk en wederrechtelijk binnendringen in een account is al computervredebreuk (artikel 138ab Wetboek van Strafrecht). Ook een poging tot oplichting is strafbaar (artikel 45 Wetboek van Strafrecht).

De wetteksten vindt u in het Wetboek van Strafrecht en het Wetboek van Strafvordering.

Meer over hoe Law & More u hierbij helpt, leest u op de pagina strafrecht advocaat.