Phishing na de hack bij Albert Heijn: zo herken je een nepmail of nep-sms

Bij Albert Heijn loopt het al dagen niet goed. Na een cyberincident kunnen online bestelde boodschappen niet worden bezorgd, is de klantenservice onbereikbaar en werken persoonlijke kortingen en spaaracties niet. In een aantal winkels zijn de schappen leeg. Op 13 oktober waarschuwde de supermarkt zelf voor iets anders, meldde NU.nl. Oplichters proberen misbruik te maken van de situatie, bijvoorbeeld door zich voor te doen als medewerkers. Wat er precies is gebeurd en of het om een hack gaat, is nog niet bekend.

Heb je de AH-app op je telefoon, dan ben je voor oplichters een interessant doelwit. Ze weten dat je je zorgen maakt en dat je nu geen klantenservice kunt bellen om iets na te vragen. Dat maakt een nepbericht geloofwaardiger dan normaal.

Wat Albert Heijn zelf zegt, en waarom dat helpt

De beste bescherming is weten wat de echte boodschap is. Dan valt alles wat daarvan afwijkt meteen op.

• Moederbedrijf Ahold Delhaize zegt dat er geen aanwijzingen zijn dat gegevens van klanten zijn gestolen.
• Het opgebouwde koopzegeltegoed blijft behouden. Je hoeft daar dus niets voor te doen.
• De bonusprijzen zie je nog niet op de schapkaartjes, maar de korting wordt bij de kassa verrekend.
• Albert Heijn informeert klanten via de eigen website, in de winkels en via de eigen sociale media.

Uit dit lijstje kun je afleiden welke berichten nep zijn. Een mail of sms die zegt dat je je koopzegels moet veiligstellen, is nep, want het tegoed blijft gewoon staan. Een bericht dat je compensatie belooft als je even inlogt of je rekeningnummer bevestigt, is nep, want van compensatie is niets bekendgemaakt. En wie je belt namens de klantenservice van Albert Heijn, terwijl die klantenservice op dit moment niet eens bereikbaar is, belt je met een smoes. Dat laatste vind ik het sterkste signaal van allemaal.

Zo herken je een nepbericht

De onderwerpen wisselen, maar de trucs zijn steeds dezelfde. Let op deze kenmerken.

• Haast. Je moet vandaag nog iets doen, anders vervalt je tegoed of wordt je account geblokkeerd. Een echte organisatie geeft je in een crisis juist meer tijd.
• Een link of QR-code om in te loggen. Ga nooit via een link in een mail of sms naar een inlogpagina. Open zelf de app of typ het adres van de website in.
• Het afzenderadres en de link. Kijk naar het echte adres achter de naam van de afzender, en houd je vinger op een link om te zien waar hij heen gaat. Een domein dat lijkt op dat van de supermarkt, met een extra woord of een rare extensie, is een teken.
• Een kleine betaling. Een paar euro voor verzendkosten of een verificatie is een klassieker. Het gaat niet om dat bedrag, het gaat om je bankgegevens.
• Een telefoontje met een tweede stap. Iemand belt namens de supermarkt en zegt dat een collega van je bank zo contact opneemt. Dat is een bekende vorm van bankhelpdeskfraude.

Oplichters worden ook slimmer in de opmaak. Sommige nepmails bevatten zelfs onzichtbare tekens om filters te omzeilen, daarover schreef ik eerder in het stuk over onzichtbare tekens in phishingmail. Ga er dus niet van uit dat een mail echt is omdat hij er verzorgd uitziet.

Al geklikt of iets ingevuld?

Dat overkomt meer mensen dan je denkt, en snel handelen maakt het verschil. Wat je doet hangt af van wat je hebt prijsgegeven.

1. Bankgegevens ingevuld of een betaling gedaan? Bel meteen je bank via het nummer op je bankpas of in de app, niet via een nummer uit het bericht. Laat je pas of rekening zo nodig blokkeren.
2. Een wachtwoord ingevuld? Verander dat wachtwoord direct, en ook overal waar je hetzelfde wachtwoord gebruikt. Zet tweestapsverificatie aan waar dat kan.
3. Alleen op een link geklikt? Sluit de pagina en vul niets in. Wees de komende tijd extra alert op berichten en telefoontjes die op het eerste bericht voortbouwen.
4. Melden. Meld het bij de Fraudehelpdesk. Ben je geld kwijt, doe dan ook aangifte bij de politie. Stuur een nepmail daarnaast door naar het meldadres van de organisatie zelf, zodra die weer bereikbaar is.

Schaam je er niet voor. Oplichters kiezen juist momenten als deze omdat iedereen dan net iets minder scherp is. Vertel het ook je huisgenoten of je ouders, zodat zij niet in hetzelfde bericht trappen.

Zolang het onderzoek bij Albert Heijn loopt, is mijn advies kort. Doe alles via de app of de website die je zelf opent, en negeer elk bericht dat je naar een link of een telefoontje stuurt. Wil je weten hoe je je eerste bankrekening verder goed beveiligt, dan staat dat bij het openen van je eerste eigen betaalrekening.