Phishing herkennen — de signalen die het verraden
Kort antwoord
Phishing valt bijna altijd te herkennen aan een combinatie van: haast ('reageer binnen 24 uur'), een link die net niet klopt, een vraag om een code, wachtwoord of betaling, een aanspreking die net iets te algemeen is, en een dreigend randje ('anders blokkeren we je account'). Zie je twee of meer van deze signalen, open de link dan niet en ga zelf naar de echte app of website.
Phishing is een bericht — mail, sms, WhatsApp, soms een telefoontje — dat zich voordoet als een organisatie die je vertrouwt, met als doel dat je iets doet waar je normaal niet zomaar toe zou overgaan: inloggen via een link, een code doorgeven, of een bedrag overmaken. De vorm verschilt per poging, maar het patroon erachter is opvallend constant.
Het eerste signaal is haast. Een echte organisatie geeft je bijna altijd de tijd om iets rustig te regelen; een phishingbericht zet een klok erbij ('binnen 24 uur', 'vandaag nog') omdat haast je ervan weerhoudt om goed te kijken. Het tweede is de link: hij lijkt op het echte domein, maar met een subtiele afwijking — een extra woord, een ander achtervoegsel, een cijfer in plaats van een letter. Het derde is de vraag zelf: een echte organisatie vraagt je nooit om een inlogcode, tweestapscode of volledige creditcardgegevens door te geven via een link in een bericht.
Het vierde signaal is een aanspreking die net niet klopt: 'Geachte klant' in plaats van je naam, of juist een naam die ergens anders vandaan is gehaald en niet aansluit bij de rest van het bericht. Het vijfde is dreiging — een geblokkeerd account, een boete, een gemiste bezorging die 'nu' actie vereist. Geen van deze signalen alleen bewijst iets, maar twee of meer samen zijn een duidelijk teken.
Twijfel je, doe dan nooit iets via de link of het telefoonnummer in het bericht zelf. Ga rechtstreeks naar de app of website die je al kende, of bel een nummer dat je al had (van een eerdere factuur, de achterkant van je bankkaart). Een link-check of een check op het e-mailadres kan daarbij helpen, maar vervangt dit gezonde wantrouwen niet. Heb je toch geklikt en gegevens ingevuld, kijk dan direct op /gehackt/ wat je nu doet, en meld het bericht via /oplichting/phishing-melden/.
Bronnen
Bijgewerkt 7 november 2026.
Veelgestelde vragen
Is elk dreigend bericht automatisch phishing?
Nee, maar dreiging gecombineerd met haast en een link is een sterk signaal. Twijfel je, ga dan los van het bericht naar de officiële app of site.
Kan ik phishing herkennen aan slecht Nederlands?
Dat hielp vroeger vaker, maar phishingteksten zijn de laatste jaren veel beter geschreven. Let daarom vooral op de link, de vraag en de haast, niet alleen op taalfouten.
Mijn bericht komt van een afzender die ik al in mijn contacten of mailverkeer had staan — kan het dan nog phishing zijn?
Ja. Een afzendernaam of -nummer zegt weinig; zie /oplichting/spoofing/ voor hoe dat technisch werkt.
Ik twijfel over één specifiek bericht, hoe check ik het?
Gebruik de link-check of de mailcheck, en vergelijk het afzenderadres met een domeincheck. Blijf je twijfelen, benader de organisatie dan los van het bericht.