Zo verifieer je een melding van de Belastingdienst of sociale zekerheid

"Agencia Tributaria: u heeft een openstaande terugbetaling van € 342,18. Bevestig hier uw bankgegevens." Of omgekeerd: "U heeft een schuld bij de sociale zekerheid. Voorkom beslag door hem hier te regelen." Overheidsinstanties zijn een uitstekende vermomming voor fraude: iedereen kent ze, niemand wil problemen met hen, en hun echte procedures zijn cryptisch genoeg om een vals bericht plausibel te laten lijken.

Deze campagnes werken in golven en herhalen hetzelfde stramien als de valse DGT-boete-sms en de valse pakket-sms: bekende instantie + openstaand geld (voor of tegen je) + urgentie + link. Als je leert er één te verifiëren, verifieer je ze allemaal.

De sleutelregel: instanties regelen niets via links in sms

Onthoud twee dingen:

1. Belastingdienst en sociale zekerheid vragen geen bankgegevens, wachtwoorden of betalingen via een link in een onverwachte sms of e-mail. Hun elektronische procedures lopen via hun officiële digitale loketten, waar JIJ binnengaat met je identificatiemiddelen (Cl@ve, digitaal certificaat, DNIe).
2. Een echte terugbetaling hoeft niet dat je "je gegevens bevestigt" via een link. Als de fiscus je geld teruggeeft, stort hij het op de rekening die al in je aangifte staat. Hij vraagt geen nieuwe pas per sms.

Elk bericht dat je ertoe drijft op een link te klikken om iets bij een instantie te innen, te betalen of te "regelen" is standaard verdacht. Niet omdat instanties nooit berichten sturen, maar omdat de link als afhandelweg niet hun manier van werken is.

Hoe het valse bericht eruitziet

• De terugbetaling. Het effectiefste lokaas in het aangifteseizoen (april-juni): "u heeft een openstaande terugbetaling", met een concreet en geloofwaardig bedrag. Hij brengt je naar een valse website die het digitale loket nabootst, waar je je persoons- en bankgegevens invult.
• De schuld of het beslag. "Laatste waarschuwing vóór beslag", "openstaande schuld bij de sociale zekerheid". Speelt met angst in plaats van met hoop, maar de bestemming is dezelfde: je gegevens en je pas.
• De afspraak of de procedure. Varianten die vragen om "je afspraak te bevestigen" of "je gegevens bij te werken" met een link. Ogenschijnlijk minder urgent, even vals.
• Lijkende domeinen. Links met "aeat", "agenciatributaria", "seg-social" of "sede" plus streepjes en extra woorden, op domeinen die niet de officiële zijn. De echte loketten eindigen op .gob.es.
• Afzender die niets bewijst. Net als bij alle sms'jes: de afzender is te vervalsen en bewijst noch weerlegt iets.

Hoe je controleert of er iets echts is

De methode is de gebruikelijke: bericht sluiten en zelf naar het officiële kanaal gaan. Bij overheidsinstanties is het nog duidelijker omdat de officiële kanalen uniek en bekend zijn:

1. Klik niet op de link. Sluit hem.
2. Ga zelf naar het officiële loket. Typ het adres in de browser (sede.agenciatributaria.gob.es, sede.seg-social.gob.es) of gebruik hun officiële apps. Kom er niet via de link uit het bericht, noch via een haastige zoekopdracht.
3. Identificeer je met Cl@ve of certificaat en raadpleeg. Als er een terugbetaling, een schuld, een dossier of een melding is, verschijnt hij daar. Als er niets staat, was het bericht vals.
4. Als je niet met het digitale loket overweg kunt, bel dan de officiële informatienummers (door jou gezocht op de officiële website, niet in het bericht) of maak een fysieke afspraak.

Als er iets echts bestaat, regel je het binnen het officiële loket. Nooit via de link uit een bericht. Het is precies dezelfde gewoonte die we aanraden om een oproep of sms van je bank te verifiëren.

Wat te doen als je al hebt geklikt of gegevens hebt gegeven

• Alleen geklikt en gesloten: vrijwel zeker is er niets gebeurd. Blokkeer, wis en ga verder.
• Pasgegevens ingevuld: bel direct je bank, blokkeer de pas en vraag een nieuwe. Houd de afschrijvingen van de komende weken in de gaten.
• Cl@ve, gebruikersnaam of loketwachtwoord ingevuld: wijzig het wachtwoord zo snel mogelijk via het officiële loket en bekijk of er procedures of incasso's zijn die je niet herkent. Als je de pincode van de permanente Cl@ve hebt gegeven, vernieuw hem.
• Doe aangifte met schermafbeeldingen van het bericht en de link. Het nummer 017 van INCIBE adviseert gratis.
• Meld het afzendernummer in de spamnummergids.

Korte vragen

Waarschuwt de fiscus ooit echt per sms? De fiscus kan informatieve waarschuwingen sturen (bijvoorbeeld dat er een melding voor je klaarstaat in het loket), maar de echte waarschuwing verwijst je ernaar dat JIJ naar het digitale loket gaat — hij stopt er geen afhandellink in en vraagt geen gegevens in het bericht zelf. Bij twijfel behandel je hem als ongeverifieerd en controleer je in het loket.

En de sociale zekerheid? Hetzelfde: informatieve berichten wel, afhandeling via een link in een onverwacht bericht niet. Het elektronische meldingensysteem (DEHú) werkt door dat jij het portaal binnengaat, niet door op links te klikken die je bereiken.

Zijn ze in het aangifteseizoen gevaarlijker? Ja, omdat de context de oplichter helpt: iedereen zit op zijn aangifte te wachten en een "openstaande terugbetaling" past. Wees in april, mei en juni dubbel wantrouwig tegen elk fiscaal bericht met een link.

Is de e-mail met het officiële logo betrouwbaarder dan de sms? Nee. Het logo is in een minuut gekopieerd en de afzender van de e-mail is ook te vervalsen. Pas dezelfde regel toe: geen binnenkomende links, ga zelf naar het loket.

Als je zo'n bericht hebt ontvangen, meld het dan in de nummergids van NoCall: deze campagnes wisselen per seizoen van vermomming, en jouw melding helpt ervoor te zorgen dat de volgende persoon het patroon op tijd herkent.