Internetfraude en phishing: wat kunt u doen en wat moet u regelen?

Gepubliceerd op 29 september 2024 · Laatst bijgewerkt op 8 oktober 2026

Bent u slachtoffer van phishing, meld de fraude dan direct bij uw bank en de politie; de schade kunt u proberen te verhalen op de dader of op een organisatie die onvoldoende beveiliging had. Bent u ondernemer, dan moet u passende beveiligingsmaatregelen nemen en een datalek binnen 72 uur melden bij de Autoriteit Persoonsgegevens, tenzij het lek waarschijnlijk geen risico oplevert voor de betrokkenen (artikelen 32 en 33 AVG).

Wat is phishing?

Phishing is een vorm van internetfraude waarbij criminelen zich voordoen als een betrouwbare partij, zoals een bank of een bekend bedrijf, om persoonlijke of financiële gegevens te bemachtigen.

Dit gebeurt meestal via een e-mail, sms-bericht of nepwebsite. Het doel is vaak uw inloggegevens, creditcardnummer of andere gevoelige gegevens. Phishing kan leiden tot identiteitsfraude, financieel verlies en reputatieschade.

Wat is internetfraude?

Internetfraude is de bredere term voor elke vorm van oplichting via internet.

Denk aan de verkoop van nepproducten via een webshop, het binnendringen van een bankrekening of een ransomware-aanval. Voor particulieren en bedrijven kunnen de gevolgen ingrijpend zijn.

Hoe herkent u een phishingbericht?

Let op de volgende signalen.

• Spoed of dreiging: het bericht wekt de indruk dat u snel moet handelen, bijvoorbeeld omdat “uw account geblokkeerd is” of u “binnen 24 uur moet reageren”.
• Onverwachte bijlagen of links: het bericht bevat een bijlage met malware of een link naar een nagemaakte website.
• Onzorgvuldige taal: spelfouten of een onjuiste bedrijfsnaam kunnen wijzen op phishing.

Wat willen criminelen bereiken?

Phishing en internetfraude hebben meestal een van de volgende doelen.

• Identiteitsdiefstal: aanvallers proberen persoonlijke gegevens zoals uw burgerservicenummer, inloggegevens of creditcardnummer te bemachtigen.
• Financiële diefstal: phishing kan leiden tot financieel verlies wanneer aanvallers toegang krijgen tot een bankrekening.
• Toegang tot bedrijfsnetwerken: aanvallen kunnen gericht zijn op bedrijven, om gevoelige bedrijfsinformatie te bemachtigen of ransomware te installeren.

Welke regels gelden er?

Phishing raakt zowel het privacyrecht als het strafrecht.

Persoonsgegevens vallen onder de Algemene Verordening Gegevensbescherming (AVG). Bedrijven moeten passende beveiligingsmaatregelen nemen (artikel 32 AVG) en een datalek binnen 72 uur melden bij de Autoriteit Persoonsgegevens (artikel 33 AVG) en, bij een hoog risico, ook aan de betrokkenen (artikel 34 AVG). Bij onvoldoende beveiliging kan de Autoriteit Persoonsgegevens een boete opleggen (artikel 83 AVG). Daders van phishing kunnen daarnaast strafrechtelijk worden vervolgd, bijvoorbeeld voor oplichting (artikel 326 Wetboek van Strafrecht) of computervredebreuk (artikel 138ab Wetboek van Strafrecht).

Wat kunt u doen als u slachtoffer bent van phishing?

U kunt de schade proberen te verhalen op de dader, als deze kan worden geïdentificeerd, of op een organisatie die onvoldoende beveiligingsmaatregelen had.

Welke verantwoordelijkheid heeft uw bedrijf?

Bedrijven moeten adequate beveiligingsmaatregelen treffen om phishing en andere vormen van internetfraude te voorkomen.

Denk aan tweefactorauthenticatie en aan het trainen van medewerkers in het herkennen van phishing-aanvallen.

Hoe voorkomt u phishing en internetfraude?

Phishing en internetfraude zijn niet volledig te voorkomen, maar met de juiste maatregelen beperkt u het risico aanzienlijk.

Onderstaande stappen helpen u en uw organisatie op weg.

1. Gebruik sterke wachtwoorden. Kies voor elk account een uniek, lang wachtwoord en gebruik eventueel een wachtwoordmanager.
2. Activeer tweefactorauthenticatie (2FA). Dit maakt het voor criminelen moeilijker om toegang te krijgen, ook als zij uw wachtwoord kennen.
3. Wees alert bij e-mails en berichten. Open geen verdachte bijlagen of links. Een bericht dat zonder duidelijke reden urgentie suggereert, is vaak verdacht.
4. Controleer de URL van een website. Vul gegevens alleen in op een beveiligde verbinding, te herkennen aan “https”. Een phishingwebsite lijkt vaak sterk op de echte site.
5. Leer phishing herkennen. Zorg dat u en uw medewerkers regelmatig training krijgen in het herkennen van phishing-aanvallen.
6. Gebruik beveiligingssoftware. Installeer antivirus- en antimalwaresoftware en houd deze up-to-date.

Hoe werkt internationale samenwerking bij phishing?

Phishing-aanvallen zijn vaak grensoverschrijdend van aard, wat opsporing en vervolging bemoeilijkt.

Criminelen gebruiken bijvoorbeeld een server in het ene land, terwijl slachtoffers in een ander land zitten en de buitgemaakte gegevens weer ergens anders worden opgeslagen. Daardoor is het vaak niet meteen duidelijk welk land de opsporing of vervolging oppakt.

Interpol en Europol spelen een belangrijke rol bij de coördinatie van internationale onderzoeken naar phishing. Het Verdrag van Boedapest inzake cybercriminaliteit maakt het mogelijk om bewijsmateriaal op een rechtsgeldige manier tussen landen te delen.

Welke nieuwe vormen van phishing komen voor?

Phishing-methoden veranderen voortdurend.

Enkele trends die wij zien:

1. Spear-phishing: gerichte aanvallen op specifieke personen of bedrijven, vaak met gebruik van persoonlijke informatie om de aanval geloofwaardiger te maken.
2. Phishing via sociale media: aanvallers maken gebruik van platforms zoals Facebook en LinkedIn om gerichte aanvallen uit te voeren.
3. Smishing (sms-phishing): phishing-aanvallen via sms-berichten, waarbij slachtoffers naar een frauduleuze website worden gelokt.

Deze ontwikkelingen vragen om voortdurende aandacht voor cyberbeveiliging binnen uw organisatie.

Wat kunnen wij voor u doen bij phishing en internetfraude?

Wij staan zowel slachtoffers als bedrijven bij. Concreet doen wij het volgende:

• Wij helpen u als slachtoffer met de aangifte en met het voegen als benadeelde partij in de strafzaak tegen de dader (artikel 51f Wetboek van Strafvordering).
• Wij beoordelen of uw bank of een andere organisatie aansprakelijk is, bijvoorbeeld voor een niet-toegestane betaling (artikel 7:529 BW) of voor onvoldoende beveiliging.
• Wij stellen de aansprakelijkstelling op en voeren de onderhandelingen over vergoeding van uw schade.
• Wij beoordelen voor uw bedrijf of de beveiliging voldoet aan artikel 32 AVG en of een datalek binnen 72 uur moet worden gemeld (artikel 33 AVG).
• Wij stellen beleid en interne protocollen op ter bescherming tegen cybercriminaliteit.
• Wij voeren verweer als uw bedrijf na een aanval aansprakelijk wordt gesteld of een boete van de Autoriteit Persoonsgegevens krijgt.

Samengevat

Phishing en internetfraude blijven zich ontwikkelen en vormen een risico voor particulieren en bedrijven. De belangrijkste punten op een rij:

• Phishing is een vorm van internetfraude waarbij criminelen zich voordoen als een betrouwbare partij om gegevens te bemachtigen.
• Slachtoffers kunnen de schade proberen te verhalen op de dader of op een nalatige organisatie.
• Bedrijven zijn verplicht passende beveiligingsmaatregelen te nemen onder de AVG en een datalek binnen 72 uur te melden.
• Daders kunnen strafrechtelijk worden vervolgd, onder meer voor oplichting of computervredebreuk.
• Sterke wachtwoorden, tweefactorauthenticatie en training van medewerkers beperken het risico aanzienlijk.

Veelgestelde vragen

Wat moet ik doen als ik slachtoffer ben van phishing?

Verzamel bewijs, zoals het bericht en eventuele transacties, en meld het voorval bij uw bank en de politie. Laat u daarna adviseren over de mogelijkheden om de schade te verhalen.

Is mijn bedrijf aansprakelijk als klanten slachtoffer worden van phishing?

Dat hangt af van de beveiligingsmaatregelen die uw bedrijf heeft getroffen. Onvoldoende beveiliging kan leiden tot aansprakelijkheid en een boete van de Autoriteit Persoonsgegevens.

Meer over hoe Law & More u hierbij helpt, leest u op de pagina strafrecht advocaat.