"Pakket vastgehouden": de valse Correos-sms en andere pakketfraude

"Correos: uw pakket kon niet worden bezorgd vanwege ontbrekende frankering. Voldoe de betaling (€ 1,68) hier." Met een link erbij. Deze sms, per golf verstuurd uit naam van Correos, DHL, UPS, FedEx of Seur, is een van de hardnekkigste smishingcampagnes in Spanje. Hij werkt omdat bijna iedereen online koopt en bijna iedereen wel eens een pakket onderweg heeft: het bericht valt in vruchtbare grond.

Het bedrag is opzettelijk belachelijk laag. Om die twee euro is het nooit gegaan: het doel is dat je de volledige gegevens van je bankpas invult op een valse website die het pakketbedrijf nabootst, en soms ook de bevestigingscode die je daarna ontvangt, zodat er grotere bedragen kunnen worden afgeschreven.

Waarom het werkt, ook als je geen pakket verwacht

De oplichters weten niet of je een bestelling verwacht. Dat hoeven ze ook niet te weten:

• Volume. Ze sturen dezelfde sms naar duizenden nummers. Met de huidige onlinehandel heeft een groot deel van de ontvangers daadwerkelijk iets onderweg of had dat recent, en dan past het bericht.
• Onschuldig bedrag. Eén of twee euro zet geen alarmbellen aan. Niemand "controleert" een betaling van € 1,68 zoals een betaling van € 300.
• Haast en nul drempels. "Betaal nu en je hebt het morgen" duwt je om het meteen vanaf je mobiel te regelen, zonder naar de afzender of het domein te kijken.
• Roulerende vermomming. Als een merk is opgebrand (mensen waarschuwen al dat "die Correos-sms vals is"), schakelt de campagne over op een andere vervoerder. Het stramien is altijd hetzelfde als bij de valse DGT-boete-sms: bekende instantie + openstaande zaak + urgentie + betaallink.

Zo herken je de valse sms

Geen van deze signalen is op zichzelf doorslaggevend, maar samen vormen ze een behoorlijk betrouwbare diagnose:

• Hij vraagt om betaling van kosten via een link. Pakketbedrijven regelen douane- of frankeerkosten niet via een link in een onverwachte sms. Echte douanekosten worden gecommuniceerd via traceerbare kanalen en met verzenddocumentatie.
• De link is niet het officiële domein. Domeinen met extra streepjes ("correos-envios", "dhl-paquete", "seur-seguimiento") of vreemde extensies. Op het mobiele scherm, in de haast, glippen ze erdoor; rustig bekeken vallen ze meteen op.
• Hij noemt geen echt trackingnummer. De valse sms heeft het vaag over "uw pakket" omdat hij niet weet welke het is. Een legitieme melding bevat de tracker, en die komt overeen met degene die de winkel je gaf.
• Wisselende afzender. Soms een willekeurige mobiel, soms een naam die het bedrijf imiteert. De afzender van een sms is te vervalsen: hij bewijst niets.
• Stijlfouten. Kromme vertalingen, vreemde hoofdletters, overdreven urgentie ("laatste waarschuwing vóór retour van het pakket"). Echte bedrijven schrijven beter dan dit.

Zo controleer je een echte zending

De methode is altijd dezelfde en geldt voor elk bedrijf:

1. Klik niet op de link in de sms. Sluit hem.
2. Open zelf het officiële kanaal: de app van de winkel waar je kocht, de orderbevestiging per e-mail, of de officiële website van de vervoerder waarvan je zelf het adres intypt.
3. Voer daar je trackingnummer in. Als er een echt probleem is (douane, onvolledig adres, bezorgpoging), verschijnt het in de officiële tracking. Als er niets staat, was de sms vals.

Deze volgorde (bericht sluiten, zelf naar het officiële kanaal gaan) is dezelfde die we aanraden om een oproep of sms van je bank te verifiëren en om een melding van de Belastingdienst of sociale zekerheid te verifiëren. Het is de gewoonte die de meeste fraude in de kiem smoort.

Wat te doen als je je pas al hebt ingevuld

• Bel direct je bank, vertel wat er is gebeurd en vraag om de pas te blokkeren en een nieuwe uit te geven. Dat is de maatregel die het probleem in één keer stopt.
• Als je daarnaast een bevestigingscode hebt ingevuld die je per sms ontving, meld dat ook aan de bank: er kan al een geautoriseerde transactie lopen.
• Houd de afschrijvingen van de komende weken in de gaten en zet transactiemeldingen aan in de bank-app. Frauduleuze afschrijvingen komen niet altijd meteen.
• Doe aangifte met schermafbeeldingen van de sms en de link. Het nummer 017 van INCIBE is gratis als je advies nodig hebt.
• Meld het afzendernummer in de spamnummergids.

Korte vragen

Wat als ik wél een pakket verwacht en de sms ermee overeenkomt? De overeenkomst bewijst niets: met zoveel bestellingen in omloop is toevallig raak schieten makkelijk. Controleer het altijd via het officiële kanaal met je tracker. Het kost een minuut en neemt alle twijfel weg.

Sturen pakketbedrijven echt sms'jes? Ja, sommige sturen bezorg- of bezorgpoging-meldingen. Het verschil is dat de echte melding niet om betaling via een link vraagt: hij verwijst naar hun app of officiële website, noemt je tracker en zet je niet onder druk met dreigende onmiddellijke retour.

Speelt hetzelfde via WhatsApp of e-mail? Ja, hetzelfde lokaas circuleert via WhatsApp, e-mail en zelfs via QR-codes op valse stickers. Het kanaal verandert; de verdediging niet: betaal nooit via de link die je ontvangt, maar controleer het zelf via het officiële kanaal.

Als je zo'n bericht hebt ontvangen, meld het dan in de nummergids van NoCall: deze campagnes hergebruiken dagenlang dezelfde nummers, en jouw melding is de waarschuwing die de volgende persoon ziet voordat hij zijn pasgegevens invult.