Ricardo-datalek: Nu gebruiken oplichters WhatsApp – zo bescherm je jezelf
Een WhatsApp-bericht van Ricardo met jouw naam en adres? Precies daarmee proberen criminelen na een datalek bij Ricardo vertrouwen te winnen. Maar dat is slechts een van de vele geraffineerde trucs. Zo herken je ze.
Je naam klopt. Je adres ook. Zelfs het telefoonnummer waarvan je een WhatsApp-bericht ontvangt, ziet er Zwitsers uit. Naar verluidt heeft Ricardo verdachte activiteit op je account vastgesteld. Je hoeft alleen maar op een link te klikken en je gegevens te bevestigen. Klinkt geloofwaardig? Dat is precies waar de oplichters op rekenen.
Zoals de «Bote der Urschweiz» meldt, zijn er al meerdere van dergelijke WhatsApp-berichten opgedoken. De afzenders doen zich onder andere voor als «Ricardo Help Center» en gebruiken correcte persoonlijke gegevens van hun slachtoffers. De link leidt echter niet naar Ricardo, maar naar een externe website die de uitstraling van het Zwitserse veilingplatform nabootst.
De pogingen tot oplichting vallen samen met een massaal datalek bij de Zwitserse online marktplaats. Op 7 oktober ontdekte Ricardo een beveiligingslek waardoor onbevoegden toegang konden krijgen tot namen, postadressen en telefoonnummers van ongeveer 890.000 gebruikersaccounts. Het lek is inmiddels gedicht. De getroffenen zijn per e-mail geïnformeerd. Of de WhatsApp-berichten daadwerkelijk gegevens uit dit incident bevatten, is tot nu toe niet bewezen.
Waarom deze oplichtingsmethode zo gevaarlijk is
Het verraderlijke is: de criminelen hoeven je wachtwoord in eerste instantie niet te kennen om je account te hacken. Alleen al je naam, adres en telefoonnummer zijn voldoende om een bericht echt te laten lijken. Wie persoonlijke gegevens correct kan weergeven, wekt snel de indruk daadwerkelijk van Ricardo te zijn. Wie dat niet doorheeft en op de valse website zijn gegevens invoert, geeft onbewust alle overige inloggegevens prijs.
Dit heet «phishing»: criminelen proberen je met valse, maar geloofwaardig klinkende berichten naar nagemaakte websites te lokken. Daar word je verleid om je wachtwoorden, creditcardgegevens of andere gevoelige informatie in te voeren. Met de buitgemaakte gegevens kunnen de aanvallers vervolgens je inloggegevens overnemen of zelfs geld afschrijven.
Ricardo waarschuwt op zijn officiële helppagina ook voor andere methoden met zogenaamd geblokkeerde betalingen, valse bezorgdiensten of verzoeken om een betaling via QR-code te bevestigen.
Niet alleen Ricardo: deze oplichtingsmethoden moet je kennen
Dat dergelijke pogingen tot oplichting geen Ricardo-specifiek probleem zijn, blijkt uit een blik op Booking.com. Zoals het Federaal Bureau voor Cyberbeveiliging (BACS) meldt, krijgen criminelen regelmatig toegang tot de accounts van echte hotels en benaderen ze hun gasten direct via het officiële berichtensysteem van het boekingsplatform. Naar verluidt moet de creditcard opnieuw worden bevestigd, anders wordt de reservering geannuleerd. Bijzonder sluw: omdat de berichten daadwerkelijk via Booking.com komen en zelfs de boekingsdetails kloppen, lijken ze uiterst geloofwaardig.
Een andere methode zijn valse pakketmeldingen. Naar verluidt kon de post of een andere bezorgdienst een pakket niet bezorgen omdat een adres onvolledig was of er nog een kleine vergoeding openstond. Wie op de meegestuurde link klikt, belandt op een valse website die bedoeld is om betalingsgegevens te stelen. Soms gaan criminelen zelfs nog een stap verder: het BACS documenteerde al gevallen waarin valse ophaaluitnodigingen met gemanipuleerde QR-codes direct in de brievenbus belandden.
Bron: Bundesamt für Cybersicherheit (BACS)
Ook banken worden regelmatig als dekmantel misbruikt. Hierbij nemen vermeende bankmedewerkers telefonisch contact op en beweren ze een verdachte betaling te hebben ontdekt. Om het geld te beschermen, moeten de gebelde personen beveiligingscodes doorgeven, een betaling bevestigen of software voor beheer op afstand installeren. Soms verschijnt op het display zelfs het echte telefoonnummer van de bank – hoewel het gesprek van criminelen afkomstig is.
De naam van Digitec Galaxus wordt eveneens misbruikt voor oplichtingspogingen. Zoals mijn collega Manuel Wenk meldde, verstuurden criminelen valse e-mails uit naam van Galaxus. Daarin beloofden ze een gratis parfum voor deelname aan een klanttevredenheidsonderzoek. Wie meedeed, belandde op een bedrieglijk echt nagemaakte Galaxus-website en moest daar zijn creditcardgegevens invoeren om een kleine verzendvergoeding te betalen. Het vermeende cadeau was echter slechts lokaas om aan gevoelige betalingsinformatie te komen.
Er zijn talloze varianten van deze oplichtingsmethoden, maar het principe blijft hetzelfde: met geloofwaardige verhalen en kunstmatig gecreëerde tijdsdruk worden mensen ertoe aangezet gevoelige gegevens prijs te geven. De tijden dat phishing vooral gepaard ging met slecht vertaalde e-mails van een vermeende Nigeriaanse prins die je miljoenen wilde overmaken, zijn in ieder geval allang voorbij. Tegenwoordig gaan criminelen veel geraffineerder te werk – en zijn ze dienovereenkomstig moeilijker te doorzien.
Zo bescherm je jezelf tegen de oplichters
De belangrijkste regel: vertrouw een bericht niet alleen omdat de afzender je naam of adres kent. Ricardo beveelt in het huidige geval bijvoorbeeld de volgende voorzorgsmaatregelen aan. De meeste daarvan gelden echter net zo goed voor andere platforms of onlinediensten en kunnen je ook tegen heel andere oplichtingsmethoden beschermen:
- Open geen links of QR-codes uit WhatsApp-berichten: Zeker niet als je daarmee je identiteit moet bevestigen of betalingsgegevens moet invoeren. Open Ricardo in plaats daarvan zelf in de browser of via de app.
- Wantrouw WhatsApp- en sms-berichten: Ricardo handelt aankopen en verkopen niet via deze kanalen af. Ook een vermeende klantenservice die daar contact met je opneemt, is daarom verdacht.
- Controleer het internetadres: Echte Ricardo-pagina's vind je op «www.ricardo.ch», «login.ricardo.ch» of «help.ricardo.ch». Een adres dat ergens de naam «Ricardo» bevat, is nog lang niet echt.
- Geef nooit betalingsgegevens op voor een uitbetaling: Om geld uit een verkoop te ontvangen, hoef je geen creditcardgegevens, Twint- of e-banking-toegang prijs te geven. Ook sms-bevestigingscodes horen niet in andermans handen thuis.
- Meld verdachte berichten: Gebruik hiervoor het officiële fraudemeldingsformulier van Ricardo.
En als je al op de link hebt geklikt?
Heb je alleen een verdachte website geopend, sluit deze dan en voer geen informatie in. Mocht je daar al je Ricardo-wachtwoord hebben ingevoerd, wijzig dit dan onmiddellijk via de officiële website. Gebruik je hetzelfde wachtwoord elders, dan moet je het ook daar vervangen – en wel door een ander wachtwoord dan bij Ricardo. In de wetenschap dat veel mensen uit gemakzucht hetzelfde wachtwoord voor meerdere accounts gebruiken, proberen criminelen gestolen wachtwoorden namelijk vaak ook bij andere diensten uit.
Bij ingevoerde creditcard-, Twint- of e-banking-gegevens telt daarentegen elke minuut: neem direct contact op met je bank of je betalingsprovider en laat de betreffende toegangen of kaarten indien nodig blokkeren. Heb je persoonlijke documenten geüpload of ben je al slachtoffer geworden van oplichting, dan adviseert Ricardo bovendien om aangifte te doen bij de politie.
Er is tenminste één goed bericht: volgens Ricardo zijn bij het datalek noch wachtwoorden, noch e-mailadressen openbaar gemaakt. Alleen vanwege dit incident hoef je je wachtwoord daarom niet te wijzigen. Waakzaam blijven moet je echter wel. Want het grootste gevaar ligt nu niet per se in de gestolen gegevens zelf. Veel gevaarlijker is wat oplichters je daarmee kunnen laten geloven.
Ik schrijf over technologie alsof het cinema is – en over films alsof ze echt zijn. Tussen bits en blockbusters zoek ik naar de verhalen die gevoelens oproepen, niet alleen klikken. En ja – soms luister ik naar filmmuziek harder dan goed voor me is.
Interessante feiten uit de wereld van producten, een kijkje achter de schermen van fabrikanten en portretten van interessante mensen.
Alles tonen
