Vishing

Wat is vishing?

Vishing is de telefoonvariant van phishing. Het gaat om hetzelfde doel: geld, gegevens of toegang buitmaken door je voor te doen als een betrouwbare partij. Waar phishing meestal via e-mail loopt en smishing via sms, gebruikt de oplichter bij vishing een telefoongesprek. Het NCSC spreekt van neptelefoontjes of telefoonfraude en waarschuwt dat er zoveel varianten zijn dat de vormen steeds lastiger te onderscheiden zijn.

Een telefoongesprek werkt goed voor oplichters. Een stem voelt persoonlijker en betrouwbaarder dan een e-mail, en in een gesprek kan de oplichter direct reageren op twijfel. Bovendien heb je aan de telefoon minder tijd om na te denken. Vaak laat de oplichter een vertrouwd nummer op je scherm zien via spoofing, of stuurt hij eerst een sms of e-mail om het gesprek geloofwaardig te maken.

Variant	Hoe het gaat
Bankhelpdeskfraude	Nepmedewerker van de bank meldt verdachte transacties en laat je geld overmaken naar een “veilige” rekening
Helpdeskfraude niet bancair	Nepmedewerker van een softwarebedrijf of provider laat je software voor bediening op afstand installeren
Oplichting rond energie	Beller over zonnepanelen, thuisbatterijen of energiebesparing vraagt gegevens of een betaling
Zakelijke vishing	Beller doet zich voor als collega of leverancier en vraagt bijvoorbeeld de servicedesk om een wachtwoord te resetten

Vishing is een vorm van social engineering. Richt de beller zich op een bestuurder of doet hij zich voor als bestuurder, dan lijkt het op whaling.

Hoe werkt vishing?

Een vishinggesprek volgt meestal een vast patroon:

1. Bel met een nummer dat vertrouwd lijkt, of kondig het gesprek aan met een sms of e-mail.
2. Stel je voor als medewerker van een organisatie die het slachtoffer kent, zoals de bank, de politie of de IT-helpdesk.
3. Schrik het slachtoffer op met een probleem, zoals fraude op de rekening of een besmette computer.
4. Bied direct de oplossing aan: geld overmaken, een code geven, het scherm delen of een app installeren.
5. Gebruik de verkregen toegang om geld weg te halen of accounts over te nemen.

Het kanaal telefoon blijft belangrijk. Volgens de Fraudehelpdesk had bijna 95 procent van de melders van oplichting rond energie en verduurzaming in de eerste helft van 2026 telefonisch contact met de oplichter (bron: Fraudehelpdesk, 2026). Oplichters gebruiken daarbij steeds vaker persoonsgegevens, vermoedelijk uit datalekken, waardoor een telefoontje overtuigender klinkt.

Hoe herken je vishing?

Vishing herken je aan de combinatie van onverwacht contact, haast en een verzoek dat een echte organisatie niet doet. Let op deze signalen:

• De beller vraagt je geld over te maken naar een andere rekening, ook als die “veilig” wordt genoemd.
• De beller vraagt om inlogcodes, pincodes of codes uit een sms.
• De beller vraagt je een app te installeren of je scherm te delen.
• De beller legt druk op en wil niet dat je ophangt of iemand anders raadpleegt.

Een bekend nummer op je scherm is geen bewijs, want nummers kunnen worden vervalst. Hang bij twijfel op en bel zelf het nummer dat je op de website of je bankpas vindt.

Voorbeeld uit de praktijk

In juli 2025 werd een inwoner van Raamsdonksveer gebeld door iemand die zich voordeed als bankmedewerker. De beller vertelde dat er een groot bedrag van de rekening van het slachtoffer naar het buitenland was overgemaakt. Het slachtoffer werd overgehaald het scherm te delen en de bankapp te openen, waarna enkele duizenden euro’s van de rekening verdwenen. Hetzelfde telefoonnummer kwam in meerdere aangiftes terug. Op 23 maart 2026 hield de politie een man van 25 uit Den Haag en een man van 33 uit Gouda aan. In meerdere zaken ging het samen om honderden duizenden euro’s (bron: Politie, 2026).

De Fraudehelpdesk kreeg in de eerste helft van 2026 2.944 meldingen van bancaire helpdeskfraude. Het aantal financieel gedupeerden steeg van 92 naar 230 en de gemelde schade van ruim 1,5 miljoen euro naar ruim 3,1 miljoen euro (bron: Fraudehelpdesk, 2026). Over heel 2025 telden de Nederlandse banken bijna 5.900 slachtoffers van bankhelpdeskfraude en 26 miljoen euro schade (bron: NOS, 2026).

Vishing in de praktijk van een security-professional

Voor organisaties is vishing vooral een risico bij de servicedesk en de financiële afdeling. Een aanvaller die belt als collega, kan een wachtwoordreset of een nieuw MFA-apparaat aanvragen en zo een account overnemen. Een security officer legt daarom vast hoe de servicedesk de identiteit van een beller controleert, bijvoorbeeld door terug te bellen via een bekend nummer.

Een SOC-analist ziet de gevolgen: een inlog vanaf een onbekend apparaat kort na een reset of een nieuw geregistreerd MFA-apparaat. Omdat vishing om mensen draait, hoort het in elke security awareness-training, met oefeningen voor medewerkers die telefoons aannemen.

Veelgestelde vragen

Wat is het verschil tussen phishing en vishing?

Phishing is de verzamelnaam voor oplichting waarbij criminelen zich voordoen als een betrouwbare organisatie om gegevens of geld te stelen. Vishing is phishing via de telefoon. De aanpak is gelijk, alleen het kanaal verschilt: bij phishing gaat het vaak om e-mail, bij vishing om een telefoongesprek.

Kan je telefoon gehackt worden als je gebeld wordt?

Alleen een gesprek aannemen geeft een oplichter normaal gesproken geen toegang tot je telefoon. Het gevaar zit in wat je tijdens of na het gesprek doet: een app installeren, je scherm delen, codes doorgeven of geld overmaken. Hang op zodra iemand daarom vraagt en bel zelf de organisatie via een bekend nummer.

Wat moet je doen als je een verdacht telefoontje krijgt?

Hang op en geef geen gegevens, codes of toegang tot je apparaat. Bel de organisatie zelf via het nummer op de website of je bankpas. Heb je al iets gedaan, bel dan direct je bank en laat je rekening blokkeren. Meld het telefoontje bij de Fraudehelpdesk en doe aangifte bij de politie als er schade is.