Een appje van een huisgenoot of iemand uit je studievereniging, met de vraag of je even wilt stemmen op de dochter van een vriendin die een gratis dansles kan winnen. Het kost tien seconden en je wilt niet moeilijk doen. Juist daarom werkt het. Volgens de NOS gebruiken criminelen dit bericht om WhatsApp-accounts over te nemen, en de Fraudehelpdesk kreeg er de afgelopen dagen tientallen meldingen over.
Hoe de truc werkt
Na een klik op de link kom je op een site waar je je stem kunt uitbrengen. Om die te bevestigen vul je je telefoonnummer in, waarna je een code te zien krijgt die je moet invoeren. Je denkt dat je stemt, maar met die code koppel je het apparaat van de oplichter aan jouw WhatsApp. De methode heet GhostPairing, of spookkoppeling. Ze misbruikt de functie waarmee je WhatsApp ook op je laptop kunt gebruiken.
Daarna kan de oplichter je berichten lezen en namens jou appen. Het stembericht gaat dan meteen naar al je contacten, ook naar je huisgenotengroep, je jaarclub en je projectgroep. Een slachtoffer vertelde de NOS dat ze ongeveer honderd reacties kreeg en anderhalf uur bezig was om iedereen te waarschuwen. Daarna blokkeerde WhatsApp haar account, waarschijnlijk uit voorzorg.
Waarom dit studenten extra hard raakt
Als student zit je vaak in tientallen groepen tegelijk. Daarin wordt de hele dag gedeeld, van tikkies voor de boodschappen tot een poll over de schoonmaakroutine. Een stemverzoek valt daar niet op. En omdat het bericht van iemand komt die je kent, gaat je wantrouwen uit.
Het gevaar zit ook in wat erna komt. Wie je account heeft, kan je huisgenoten om geld vragen, iets wat op een kamer met gedeelde rekeningen niet raar klinkt. Of berichten sturen aan je verhuurder. Hoe oplichters dat soort vertrouwen misbruiken, beschreven we eerder bij oplichting bij het huren van een kamer.
Zo voorkom je dat het jou overkomt
De belangrijkste regel is simpel. Een code die WhatsApp je stuurt of die op een site verschijnt, voer je nooit in op een andere site en geef je aan niemand door. WhatsApp vraagt zo’n code alleen in de app zelf, als je zelf een nieuw toestel koppelt.
Kijk daarnaast nu meteen bij gekoppelde apparaten in de instellingen van WhatsApp. Daar zie je welke laptops en browsers toegang hebben. Herken je er een niet, log hem dan direct uit. Zet ook verificatie in twee stappen aan, dan heb je een eigen pincode nodig als iemand je nummer op een nieuwe telefoon wil registreren.
Krijg je een stemverzoek of een andere vreemde vraag van iemand die je kent, bel of spreek die persoon dan even aan in de keuken. Dat lijkt overdreven, maar het is precies de pas op de plaats waar de Fraudehelpdesk om vraagt. De overheid begon op 19 oktober ook een campagne met het motto ‘Laat je niet interneppen’. Het advies is om drie tellen te nemen voordat je klikt, reageert of betaalt.
Als het al gebeurd is
Ontdek je dat je account is gekaapt, log dan via gekoppelde apparaten alle onbekende apparaten uit en waarschuw je contacten via een ander kanaal, bijvoorbeeld een mail of een bericht op Instagram. Zeg erbij dat ze niet op de link moeten klikken en geen geld moeten overmaken. Meld het daarna bij de Fraudehelpdesk, en bij de politie als er geld is gevraagd of betaald.
Heeft iemand uit je groep al geld overgemaakt, neem dan meteen contact op met de bank. Wanneer een bank moet terugbetalen, lees je in ons stuk over geld terugkrijgen na oplichting via je bank. Schuldgevoel is begrijpelijk, maar volgens de Fraudehelpdesk misplaatst. De oplichter is degene die het doet, niet de student die op een stemknop drukte.
