Er zijn de afgelopen weken twee verschillende, maar even ingrijpende digitale oplichtingsmethoden aan het licht gekomen die veel mensen in Nederland hebben geraakt. De eerste methode betrof een geraffineerde vorm van bankhelpdeskfraude waarbij slachtoffers telefonisch werden benaderd en verleid om hun bankpas tegen de telefoon te houden. De tweede betreft een methode die op WhatsApp de controle over een account overneemt, bekend als GhostPairing. Beide praktijken gebruikten sociale manipulatie en technische middelen om zonder veel fysiek contact grote schade toe te brengen.
In totaal werden bij de bankzwendel ongeveer 170 slachtoffers gemaakt, met een geschatte schade van circa 380.000 euro. Tegelijkertijd veroorzaakten de WhatsApp-incidenten veel verstoring in persoonlijke netwerken doordat gecompromitteerde accounts berichten met schadelijke links doorgaven.
Arrestaties, onderzoek en concrete feiten rond de bankzwendel
De politie leidde een onderzoek naar de bankoplichting dat resulteerde in twee aanhoudingen op 6 oktober een 23-jarige man uit Vaassen en een 25-jarige man uit Ede. De rechtbank besliste op 20 oktober dat beide verdachten nog 90 dagen in voorlopige hechtenis blijven. Volgens het onderzoek had de 25-jarige een coördinerende rol binnen het samenwerkingsverband, terwijl de 23-jarige als technisch uitvoerder en aansturende kracht werd gezien.
De werkwijze van de verdachten was technisch en psychologisch uitgekiend. Slachtoffers kregen een telefoontje dat begon met een geautomatiseerd bericht, opgebouwd uit tientallen varianten van stemmen en teksten die met behulp van artificial intelligence waren gegenereerd. Wie op ‘1’ drukte, kreeg een zogenaamd bankmedewerker aan de lijn die druk uitoefende om direct te handelen.
De technische variant: app, NFC en pinners
Om de pas zogenaamd te blokkeren, werd het slachtoffer verleid een app te installeren en de bankpas tegen de telefoon te houden. Daardoor konden de criminelen via de app gegevens van de NFC-chip van de kaart uitlezen; dat is de chip die gebruikt wordt voor contactloos betalen. Terwijl dat gebeurde, stond er een handlanger klaar bij een geldautomaat — een zogeheten pinner — om contant geld op te nemen. De combinatie van afstandsbediening van kaartgegevens en fysieke opname leverde snelle, vaak onopgemerkte afboekingen op.
In het onderzoek zijn servers buiten gebruik gesteld en zijn telefoons en laptops in beslag genomen. De politie benadrukte dat het belangrijk was niet alleen degenen te pakken die geld opnamen, maar vooral de organisatoren die de fraude aanstuurden: die maken een crimineel netwerk echt effectief en moeilijk te ontmantelen.
GhostPairing: WhatsApp-kaping via verificatiecodes
Naast de bankfraude circuleert een andere oplichtingstechniek waarbij slachtoffers via een schijnbaar onschuldige link gevraagd worden te stemmen of iets te activeren. Na invoer van het telefoonnummer verschijnt een verificatiecode. De gebruikers denken die code in te voeren om te stemmen of een dienst te activeren, maar in werkelijkheid gebruiken criminelen die code om hun eigen apparaat aan het account te koppelen.
Deze methode wordt aangeduid als GhostPairing en misbruikt de mogelijkheid van WhatsApp om een account op meerdere apparaten te gebruiken, bijvoorbeeld een laptop. Zodra de code is gedeeld, kunnen criminelen berichten lezen en uit naam van het slachtoffer berichten sturen naar contacten. Slachtoffers meldden dat hun accounts vervolgens massaal berichten met schadelijke links verstuurden en later soms door WhatsApp zelf werden geblokkeerd.
Ervaringen en gevolgen voor gebruikers
Getroffenen vertellen dat het snel kan gebeuren: een vertrouwde afzender deelt een verzoek en voordat je het beseft heb je een code ingevuld. Het gevolg is niet alleen reputatieschade, maar ook dat vrienden en familie mogelijk zelf slachtoffer worden door doorklikken. Instanties die fraude monitoren meldden tientallen meldingen in korte tijd en wijzen op het risico dat databrekingen en verspreide telefoonnummers deze aanpak makkelijker maken voor oplichters.
Beide vormen van misleiding tonen aan hoe effectief combinaties van social engineering en relatief simpele technische hulpmiddelen kunnen zijn. De politie en fraude-instanties onderzoeken lopende zaken, analyseren inbeslaggenomen apparatuur en roepen op tot waakzaamheid: banken vragen nooit om een app te downloaden of een pas tegen een telefoon te houden, en deel geen verificatiecodes met anderen.
Voor slachtoffers geldt dat direct contact opnemen met de bank en aangifte doen de gebruikelijke stappen zijn. Het onderzoek naar beide strafbare feiten loopt door en de resultaten van het technisch onderzoek op de servergegevens kunnen aanvullende bewijzen opleveren voor vervolgstappen tegen de organisatoren van deze oplichtingspraktijken.
