Pakketje gekregen dat je nooit bestelde: wat is brushing en mag je het houden?

Er ligt een pakketje op de mat met jouw naam erop, maar je hebt niets besteld. Geen bon, geen afzender, en binnenin een goedkoop gadget of een setje oordopjes. Grote kans dat je te maken hebt met brushing. Radar besteedde er op 5 oktober aandacht aan in een uitleg over onverwachte pakketjes. Het voelt als een cadeautje, en in zekere zin is het dat ook. Maar het is vooral een teken dat je naam en adres ergens rondzwerven. Zeker als je net op jezelf woont en voor het eerst overal je gegevens invult, is dat goed om te weten.

Wat brushing is

Bij brushing plaatst een malafide verkoper een bestelling op jouw naam en adres, meestal op een grote verkoopsite waar veel verkopers actief zijn. Het product wordt echt bij jou bezorgd, dus de site ziet het als een echte aankoop. Daarna schrijft de verkoper zelf een lovende review, ook weer op jouw naam. Volgens Radar is het doel niet om jou op te lichten, maar om het eigen product hoger in de zoekresultaten te krijgen en betrouwbaarder te laten lijken. Jij krijgt het product, maar geen rekening.

Brushing is iets anders dan de truc waarbij iemand op jouw naam iets bestelt met achteraf betalen en jij later de rekening krijgt. Daar ben jij wel het slachtoffer, en daar moet je snel bij zijn. Bij brushing komt er geen rekening. Krijg je die wel, dan heb je met een ander soort fraude te maken.

Mag je het pakketje houden?

Ja, meestal wel. Radar schrijft dat je een pakket dat op jouw naam en adres staat en echt bij jou bezorgd is, meestal niet hoeft terug te sturen en ook niet hoeft te betalen. Dat sluit aan bij wat de wet zegt over ongevraagde toezendingen. Volgens ConsuWijzer van de ACM mag je producten die je niet hebt besteld houden, en hoef je er niet voor te betalen. Wordt er later toch om geld gevraagd, betaal dan niet. Als je betaalt, ga je juist een overeenkomst aan.

Let wel op één ding. Een pakket dat duidelijk voor iemand anders is bedoeld, bijvoorbeeld voor de vorige bewoner of voor de buren, is niet van jou. Dat is geen brushing maar een verkeerde bezorging, en dat geef je gewoon terug aan de bezorger of de afzender. Dat gebeurt vooral in je eerste maanden in een nieuw huis, omdat oude adressen nog lang in bestanden blijven staan.

Waarom het een waarschuwing is

Hier zit wat mij betreft de echte les. De verkoper heeft jouw naam en adres ergens vandaan, en Radar noemt datalekken en gestolen klantenbestanden als bekende bronnen. Soms gebruiken fraudeurs alleen het adres, zonder dat er een specifiek persoon achter zit. Toch is het een signaal dat je gegevens in omloop zijn. Wie je adres heeft, probeert het daarna misschien ook met phishing of een nepbericht van een bezorgdienst.

Bij brushing komt er soms een QR-code in het pakket mee. Radar raadt duidelijk af om die te scannen. Zo’n code kan naar een nepsite leiden die nog meer gegevens van je probeert te krijgen.

Wat je doet, stap voor stap

1. Check of het echt niet van jou is. Kijk in je bestelgeschiedenis en vraag huisgenoten, familie of vrienden of ze iets hebben gestuurd. Een verjaardagscadeau zonder kaartje is ook een onverwacht pakket.
2. Scan geen QR-code en vul nergens gegevens in die bij het pakket worden gevraagd.
3. Meld het bij de webwinkel waar het pakket vandaan lijkt te komen. Zeg dat je niets hebt besteld en vraag of ze kunnen uitzoeken of een verkoper je gegevens heeft misbruikt.
4. Controleer je eigen account bij die winkel. Staan er bestellingen in die je niet herkent, verander dan je wachtwoord. Gebruik je dat wachtwoord ook ergens anders, verander het daar ook.
5. Zoek de review op. Zoek het product op de site op en kijk of er een review op jouw naam staat. Je kunt ook je eigen naam googlen. Vind je er een, meld hem dan als nepreview.
6. Blijf alert. Kijk de komende weken extra goed naar mailtjes, sms’jes en berichten van zogenaamde bezorgdiensten of banken. Hoe je verborgen trucs in mailtjes herkent, lees je in ons stuk over phishingmail.

Je gegevens beter afschermen

Helemaal voorkomen kun je brushing niet, want je adres staat nu eenmaal bij elke winkel waar je ooit iets bestelde. Maar je kunt het de volgende fraudeur wel moeilijker maken. Gebruik voor elke webwinkel een ander wachtwoord, het liefst via een wachtwoordmanager, en zet tweestapsverificatie aan waar het kan. Vul je adres niet in bij winacties en gratis proefpakketjes waarvan je niet weet wie erachter zit. Dat is volgens ConsuWijzer precies de manier waarop mensen vaak bij ongevraagde zendingen terechtkomen.

Heb je het idee dat je gegevens bij een groot lek zijn buitgemaakt, dan helpt het om te checken waar je account precies in voorkomt. Hoe dat werkt, beschreven we bij het datalek bij Revolut, en veel van die stappen helpen ook bij andere lekken. Houd het gratis gadget gerust, maar neem het signaal serieus.