"Nep-pakket sms'jes (PostNL- en DHL-stijl): zo herken je de smishing-val"

Je telefoon piept: "Je pakket kan niet worden bezorgd. Klik hier om de bezorging in te plannen." Voor veel Nederlanders een bericht dat direct een belletje raakt — wie wacht er niet weleens op iets van PostNL of DHL? Dat is precies de kracht van deze smishing-campagne. Ze leunt op een situatie die herkenbaar en tegelijk onzeker is, en zet je met een klein handje tekst aan tot klikken. Hieronder lees je hoe de nep-pakketberichten zijn opgebouwd, welke rode vlaggen ze verraden, en hoe je er veilig mee omgaat zonder je gegevens prijs te geven.

Waarom het pakketthema zo goed werkt

Criminelen kiezen geen willekeurige verhaaltjes; ze kiezen situaties waar bijna iedereen zich in herkent. Een pakket onderweg is precies dat. Je bestelt regelmatig online, je verwacht dus regelmatig iets, en je weet niet altijd uit het hoofd van welke zender het komt. De sms slaat in bij een brede groep, inclusief mensen die zich anders goed wapenen tegen oplichting.

Bovendien is de drempel om te klikken laag. Een sms voelt informeler dan een e-mail, en de tekst is kort — er is weinig ruimte voor twijfel of context. In plaats van een uitgebreid verhaal staat er één dringende zin en een link. Dat gebrek aan nuance is geen slordigheid, het is de techniek.

De opbouw van een typische nep-pakket-sms

Hoewel de formuleringen variëren, kom je steeds dezelfde bouwstenen tegen:

• Een vage afzender. "PostNL" of "DHL" tussen haakjes, maar het bericht komt van een willekeurig telefoonnummer in plaats van de officiële berichtendienst van die vervoerder.
• Urgentie of dreiging. Woorden als "niet bezorgd", "vertraagd", "douane", "binnen 24 uur" of "je zending wordt geretourneerd".
• Een betaalverzoek of persoonsgegevens. Soms gaat het om een klein bedrag "voor douanekosten" of "port费用", vaak met iDEAL als betaalmethode. Soms wordt gevraagd om naam, adres, geboortedatum of bankgegevens om de "bezorging te bevestigen".
• Een verkorte of vreemde link. Kort, zonder duidelijke domeinnaam, of met een domein dat niet het officiële domein is maar erop lijkt.
• Beperkte tijd. "Vandaag nog" of "binnen enkele uren" zodat je niet de tijd neemt om het te controleren.

Let vooral op die combinatie: een klein bedrag plus een link plus haast. Kleine bedragen zijn opzettelijk laagdrempelig; de oplichter wil niet dat je twijfelt over vijf euro, hij wil je kaartgegevens of inloggegevens waarmee je later veel meer kwijtraakt.

De rode vlaggen die het bericht verraden

Hoe strak het bericht er ook uitziet, er zijn bijna altijd sporen die het verraadt:

1. De link. Beweeg je vinger of muis over de link zonder te klikken (op een computer) of druk lang om een voorbeeld te zien. Klopt het domein niet exact met de officiële site, dan is het nep. Betreed het nooit.
2. De vraag om betaling of persoonsgegevens. PostNL en DHL vragen bij een verplichte betaling (bijvoorbeeld douanekosten) normaal gesproken via hun eigen kanaal of app, niet via een losse sms met een link.
3. Slecht Nederlands of vreemde formuleringen. Vertaalde tekst, rare woordvolgorde of een te formele toon zijn klassieke sporen van buitenlandse scamfabrieken.
4. Vreemde hoofdletters, speling of rare tekens. Leestekens op de verkeerde plek, merken die verkeerd gespeld zijn, rare spaties: het zijn geen toevalligheden.
5. Geen relatie met jouw bestelling. Heb je niets besteld en verwacht je geen pakket? Dan is dat al op zichzelf een sterk signaal dat het bericht nep is.

Wat je veilig doet met zo'n bericht

De veilige route kost je een paar minuten en bespaart je veel ellende:

• Klik niet. Ook niet "uit nieuwsgierigheid" om te zien wat het is. Sommige links installeren malware of leiden direct naar een phishingpagina die er goed uitziet.
• Check je bestelling in je eigen app of op de officiële site. Typ zelf het adres van PostNL of DHL in je browser, of open de officiële app, en zoek daar je zending op met je eigen trackingnummer. Zo weet je zeker dat je met de echte vervoerder praat.
• Verwijder het bericht nadat je het hebt gecontroleerd, zodat je er niet per ongeluk later op terugvalt.
• Meld het bericht bij het Meldpunt Misdaad Bestrijding, en stuur het eventueel door naar je provider; die gebruikt meldingen om dergelijke nummers te blokkeren.

Als je al hebt geklikt of betaald

Ben je op de link gegaan en heb je gegevens ingevuld? Dan helpt snel handelen:

1. Bel je bank via het officiële nummer en laat je kaart blokkeren als je betaalgegevens hebt ingevuld.
2. Verander je wachtwoorden voor de dienst waar je de gegevens hebt ingevuld, en voor je e-mailadres als je daar hetzelfde wachtwoord gebruikt.
3. Controleer je bankafschriften de komende weken op onbekende afschrijvingen.
4. Doe aangifte bij de politie als er schade is, en meld het bij het Meldpunt Misdaad Bestrijding.

Hoe sneller je reageert, hoe groter de kans dat een betaling kan worden gestopt of teruggedraaid.

Wat je structureel kunt doen

Wie veel online bestelt, heeft meer kans om ooit zo'n bericht te ontvangen. Gelukkig kun je een paar gewoontes opbouwen die het risico flink verlagen: check elke zending in de officiële app in plaats van via links in berichten, en accepteer dat een echte vervoerder je nooit via een willekeurig nummer om betaling of inloggegevens vraagt. Extra laagjes helpen ook: filterapps zoals NoCall markeren gerapporteerde smishing-nummers al vóór het bericht binnenkomt, waardoor de val zijn kracht verliest. Met die combinatie — gezond wantrouwen, officiële apps en een netwerk van meldingen — blijft het nep-pakket ongeopend in de prullenbak waar het thuishoort.