Hoe is een echt bericht van een kansspelaanbieder te onderscheiden van een nepbericht dat gegevens probeert te ontfutselen? Dit stuk legt de begrippen phishing en betaalfraude uit, beschrijft hoe een echte betaalstroom eruitziet en noemt waarschuwingssignalen en meldroutes.
Phishing en betaalfraude: begrippen uitgelegd
Phishing is het versturen van berichten die zo zijn opgesteld dat ze lijken te komen van een bekende organisatie, met als doel dat de ontvanger gegevens prijsgeeft of op een link klikt. Betaalfraude is het bredere begrip voor elke poging om via misleiding een betaling of betaalgegevens te bemachtigen. Bij kansspelen duikt het vaak op als een bericht over een zogenaamd probleem met een account of een uitbetaling. Daarnaast bestaan valse websites die het uiterlijk van een bestaande aanbieder nabootsen en gegevens opvangen tijdens het inloggen. Steeds doet de afzender zich voor als iemand die hij niet is.
Veelvoorkomende vormen zijn:
- berichten per e-mail of sms die een dringend probleem melden;
- valse websites met een bijna identiek uiterlijk;
- verzoeken om inloggegevens of bevestigingscodes door te geven;
- pogingen om betalingen naar een onbekende rekening te laten lopen.
Waaraan een echte betaalstroom te herkennen is
In Nederland verlopen alle transacties bij een vergunninghouder via de speelrekening. Stortingen komen van de eigen betaalrekening van de speler en zijn daardoor traceerbaar, en uitbetalingen gaan terug naar die eigen rekening. Anonieme betaalmiddelen zijn niet toegestaan, en een negatief saldo kan niet ontstaan. Wie dit patroon kent, beschikt over een stevige toetssteen: een betaalverzoek dat afwijkt van deze route klopt vrijwel zeker niet. De site van Jacktop laat zien hoe een aanbieder zijn informatie ordent. Dat helpt om de eigen omgeving van een aanbieder te leren kennen, zodat een afwijkend bericht eerder opvalt.
Gegevens die niemand per bericht vraagt
Er bestaan gegevens die een betrouwbare organisatie nooit via een bericht opvraagt. Denk aan wachtwoorden, bevestigingscodes voor een betaling en de volledige pincode van een bankpas. Banken en vergunde aanbieders benadrukken al jaren dat zulke gegevens alleen worden ingevoerd in de eigen, beveiligde omgeving en nooit worden doorgegeven aan iemand die erom vraagt. Een bericht dat daar toch om vraagt, is daarmee op zichzelf al een signaal, ook als de afzender overtuigend overkomt en de toon vriendelijk is.
Illegaal aanbod en fraude melden bij de KSA
De Kansspelautoriteit (KSA) ontvangt meldingen over illegaal aanbod en over fraude, en die kunnen ook anoniem worden gedaan. Het gaat dan bijvoorbeeld om een website die kansspelen aanbiedt zonder KOA-vergunning, of om een bericht dat zich uitgeeft als een vergunde partij. Een melding helpt de toezichthouder om een beeld te krijgen van wat er in de markt gebeurt. Het is geen vervanging voor het informeren van de bank wanneer er al gegevens zijn gedeeld of betalingen zijn gedaan. Beide routes naast elkaar vormen een zinvolle aanpak: de bank voor het betaalverkeer, de toezichthouder voor het aanbod. Zo wordt duidelijk bij wie iets thuishoort.
Verzoeken om anoniem te betalen zijn een signaal
Anonieme betaalmiddelen zijn in de Nederlandse regelgeving niet toegestaan. Een aanbieder die vraagt om via een anoniem middel of een onbekende rekening te betalen, wijkt daarmee af van wat is toegestaan. Dat verzoek is daarom op zichzelf al een reden tot argwaan.
Reclame en bonussen hebben vaste regels
Voor bonussen en reclame gelden in Nederland duidelijke regels. Een bonus telt als reclame en moet volledig en duidelijk worden beschreven: het bedrag, de voorwaarden voor toekenning en uitbetaling, de omzetvoorwaarde en de geldigheidsduur. Kunstmatige urgentie is niet toegestaan, en cashback op verlies evenmin. Een aanbod dat een bonus belooft zonder voorwaarden, of dat onder tijdsdruk wordt gepresenteerd, past dus niet bij deze regels. Vals aanbod valt buiten dit kader, omdat het niet door een vergunninghouder wordt gedaan. Wie berichten ontvangt die deze kenmerken tonen, kan ze met de regels vergelijken en zo beoordelen of er iets niet klopt.
Controle van de vergunning als eerste filter
De eerste controle is of de aanbieder een KOA-vergunning heeft. Alleen vergunninghouders mogen online kansspelen aanbieden aan Nederlandse spelers, en zij zijn gevestigd in de Europese Unie of de Europese Economische Ruimte. Op de website van de toezichthouder staat de Kansspelwijzer, het overzicht waarmee de verleende vergunningen zijn na te gaan. Dit is de enige juiste bron voor die controle; een logo op een website bewijst niets. Wie de naam van een aanbieder in de Kansspelwijzer terugvindt, weet in elk geval dat de partij onder toezicht valt. Een bericht dat verwijst naar een partij die daar niet staat, is een reden om niet verder te gaan.
Als je gegevens al hebt gedeeld
Is er toch iets gedeeld, dan telt snelheid. De bank kan een rekening of kaart blokkeren en kan beoordelen of een betaling is terug te draaien. Ook de aanbieder moet op de hoogte worden gebracht, zodat het account kan worden beveiligd. Contactgegevens staan op de officiele website van de bank en van de aanbieder zelf, niet in het verdachte bericht. Een telefoontje of bericht naar een nummer uit zo’n bericht is geen goede route.
Waarschuwingssignalen in berichten
Berichten die op phishing wijzen, hebben vaak dezelfde kenmerken. Er wordt urgentie gecreeerd, de afzender is onbekend of wijkt subtiel af van de bestaande naam, en er wordt gevraagd om gegevens of om op een link te klikken. De toon kan dreigend zijn of juist te mooi om waar te zijn, en taalfouten of vreemde opmaak komen regelmatig voor. Zelfs een enkel signaal is voldoende reden om het bericht niet te openen of te beantwoorden, ook als de rest van de tekst er verzorgd uitziet. De tabel zet een echt bericht naast een nepbericht, zodat de verschillen kwalitatief zichtbaar worden en per onderdeel kunnen worden gecontroleerd.
Verschillen tussen een echt en een nep bericht:
| Afzender | Bekend adres van de aanbieder | Afwijkende of onbekende afzender |
| Link | Leidt naar de officiele omgeving | Leidt naar een nagemaakte site |
| Toon | Zakelijk en informatief | Dringend of dreigend |
| Verzoek | Geen gevoelige gegevens per bericht | Vraagt om codes of wachtwoorden |
Veilig inloggen en gegevens beschermen
Veilig inloggen begint bij een sterk, uniek wachtwoord voor elke dienst. Een wachtwoordbeheerder kan helpen om die bij te houden, zodat een gelekt wachtwoord bij een dienst geen andere diensten raakt. Daarnaast vraagt de Europese betaalrichtlijn PSD2 om sterke klantauthenticatie, een tweede bevestigingsstap bij betalingen, en kaartbetalingen kennen vaak 3D Secure als extra controle via de bank. Een beveiligde verbinding is te herkennen aan het slotje in de browser, dat staat voor versleuteling met TLS. Dat slotje zegt echter niets over de betrouwbaarheid van de eigenaar van de site; het bevestigt alleen dat de verbinding versleuteld is. Het adres in de adresbalk blijft dus altijd het eerste controlepunt.
Handige gewoonten bij inloggen zijn:
- het adres van de aanbieder zelf intypen of een eigen bladwijzer gebruiken;
- de tweede bevestigingsstap nooit doorgeven aan een ander;
- niet inloggen via links uit berichten;
- software en browser up-to-date houden.
Hoe fraude zich met techniek ontwikkelt
Fraudeurs passen hun methoden aan op de beschikbare techniek. Berichten zijn beter opgesteld dan vroeger, nagemaakte websites zien er professioneler uit en misleiding verloopt via meer kanalen. Daartegenover staan betere beveiliging, meldroutes en bewustwording bij gebruikers, zodat de strijd een doorlopend proces blijft.
Stappen na een verdacht bericht:
- Het bericht niet openen en geen links of bijlagen gebruiken.
- Het adres van de afzender vergelijken met het adres op de officiele site.
- De vergunning van de genoemde partij controleren in de Kansspelwijzer.
- Het bericht melden bij de bank of bij de Kansspelautoriteit.
Samengevat draait herkenning van phishing en betaalfraude om een klein aantal vaste punten. Een echte betaalstroom verloopt via de speelrekening en de eigen betaalrekening, anonieme betaalmiddelen komen niet voor en gevoelige gegevens worden nooit per bericht opgevraagd. De vergunning is te controleren in de Kansspelwijzer, en meldingen over illegaal aanbod of fraude kunnen bij de Kansspelautoriteit worden gedaan, ook anoniem. Wie deze punten kent, kan berichten rustig beoordelen en afwijkingen sneller signaleren. Zo blijft de eigen omgeving van een speler overzichtelijk en voorspelbaar.