Krijg je via WhatsApp het verzoek om te stemmen op een jong meisje dat een danswedstrijd kan winnen? Niet doen. Klik niet op de link, want achter dat lieve verzoek zit een slimme truc om je WhatsApp-account over te nemen.
Het bericht komt meestal van iemand die je kent: een collega, een buurvrouw, iemand uit de voetbalgroep. Het klinkt ongeveer zo: "Hoi, zou je op Eliška willen stemmen? Ze is de dochter van een vriendin van mij. De hoofdprijs is een gratis dansles en dat zou heel veel voor haar betekenen!" Daaronder een linkje. De naam van het meisje wisselt, het verhaal blijft hetzelfde. In Italië staat deze oplichting al langer bekend als de "truffa della ballerina", en nu gaat hij ook in Nederland flink rond.
Wat er echt gebeurt als je stemt
Deze aanval heet GhostPairing. Er wordt niks gehackt in de klassieke zin: criminelen misbruiken gewoon een functie van WhatsApp zelf, namelijk het koppelen van een extra apparaat (zoals je dat ook doet voor WhatsApp Web op je laptop).
- Je klikt op de link en komt op een nette stempagina.
- Om je stem te "bevestigen" vul je je telefoonnummer in.
- Op de achtergrond vragen de criminelen bij WhatsApp een koppelcode aan voor jouw nummer.
- Je krijgt een code te zien en een melding in WhatsApp om die in te voeren. Voelt als een normale verificatie.
- Vul je de code in, dan heb je zelf het apparaat van de oplichter aan je account gekoppeld.
Vanaf dat moment leest de crimineel al je berichten mee en kan hij namens jou appen. Het venijnige: WhatsApp blijft op je eigen telefoon gewoon werken. Je merkt dus vaak niks, tot vrienden vragen waarom je ze zo'n raar stemverzoek stuurt.
Waarom zoveel mensen erin trappen
Omdat het bericht van een bekende komt. Dat account is zelf al overgenomen, en de oplichters sturen het verzoek naar iedereen in de contactenlijst en de groepen. Zo verspreidt het zich als een ouderwetse kettingbrief.
Daarbij speelt de truc slim in op je goede hart. Een klein meisje, een droom, één klikje moeite: wie zegt daar nou nee tegen? En omdat je zelf de code invoert, ziet het voor WhatsApp eruit als een gewone, goedgekeurde koppeling. Geen wachtwoord gestolen, geen simkaart gekaapt, geen virus.
Zo herken je het
- Een bekende vraagt je ineens om ergens op te stemmen, een foto te bekijken of iets te "verifiëren".
- Er moet een link worden aangeklikt, liefst snel.
- De website vraagt om je telefoonnummer om te kunnen stemmen of iets te bekijken.
- Je krijgt een code te zien die je in WhatsApp moet invoeren.
- Het bericht voelt net iets anders dan hoe die persoon normaal appt.
Onthoud deze vuistregel: geen enkele stemwedstrijd, fotoalbum of website heeft toegang tot je WhatsApp nodig. Vraagt een site om een code in WhatsApp in te voeren? Dan ben je een apparaat aan het koppelen, niet aan het stemmen.
Zo bescherm je jezelf
- Check gekoppelde apparaten. Ga in WhatsApp naar Instellingen > Gekoppelde apparaten. Zie je een browser of computer die je niet herkent? Direct uitloggen. Maak er een gewoonte van om hier af en toe even te kijken, net als bij je bankafschrift.
- Zet tweestapsverificatie aan. Instellingen > Account > Verificatie in twee stappen > Inschakelen. Kies een pincode en vul een e-mailadres in voor herstel.
- Twijfel? Bel even. Krijg je een vreemd verzoek van een bekende, check het via een ander kanaal. Een kort belletje kost tien seconden.
- Deel nooit codes. Geen verificatiecode, geen koppelcode, met niemand. Ook niet met "de vriendin van je moeder".
- Praat erover. Waarschuw je familie, vooral ouders en grootouders. Juist zij krijgen dit soort berichten vaak door.
Eerlijk is eerlijk: tweestapsverificatie stopt niet elke vorm van GhostPairing, want je koppelt het apparaat in feite zelf. Je eigen alertheid blijft dus de belangrijkste beveiliging.
Toch geklikt of een code ingevoerd?
Geen paniek, maar wel snel handelen:
- Open WhatsApp > Instellingen > Gekoppelde apparaten en log alles uit wat je niet herkent.
- Zet meteen tweestapsverificatie aan, voordat de oplichter dat doet.
- Ben je helemaal uit je account gegooid? Log opnieuw in met je telefoonnummer en de sms-code. De ander wordt dan automatisch uitgelogd.
- Laat je contacten weten dat je account is misbruikt en dat ze nergens op moeten klikken of geld overmaken.
- Meld het bij de Fraudehelpdesk en doe aangifte bij de politie als er misbruik is gemaakt.
Ook een risico voor je bedrijf
Veel ondernemers en medewerkers gebruiken WhatsApp ook voor werk: afspraken met klanten, foto's van een klus, even snel een adres of wachtwoord doorsturen. Wordt zo'n account gekoppeld, dan leest de oplichter dat allemaal mee. En vanuit jouw naam kan hij ook je klanten benaderen. Dat is niet alleen vervelend, het kan ook een datalek opleveren.
Onze tip: neem dit verhaal mee in je volgende teamoverleg. Vijf minuten uitleg en samen even de gekoppelde apparaten checken doet meer dan je denkt.
Vragen over de beveiliging van je telefoons, of wil je je team bewuster maken van dit soort trucs? Neem gerust contact met ons op via 050 211 0800 of info@lexact.nl. We denken graag mee.
Lex Daamen, Lexact
