Een nepboete van het CJIB in je mail: hoe phishing in 2026 werkt

Bij het CJIB in Leeuwarden kwamen dit voorjaar duizenden meldingen binnen over valse boetes die via mail, sms en app rondgingen. Wie zo’n bericht krijgt, heeft maar een paar seconden nodig om op de betaallink te klikken. Op die paar seconden rekent de oplichter.

Waarom oplichters zich voordoen als het CJIB

Een boete roept meteen iets op: schrik, een beetje schaamte en de neiging om het snel af te handelen. Daar spelen criminelen op in. Het bericht noemt een kenteken of een bedrag, dreigt met een verhoging en geeft er een betaallink bij. Wie snel betaalt, denkt het probleem van tafel te hebben. In werkelijkheid is het geld weg en hebben de oplichters vaak ook je bankgegevens.

Het CJIB is er duidelijk over: het verstuurt nooit boetes of aanmaningen via mail, sms of app. Omroep Leeuwarden schreef eerder over de duizenden meldingen van nep-boetes die in korte tijd binnenkwamen. Alleen al in één week belden 5200 mensen om te vragen of hun boete echt was. Twijfel je, kijk dan zelf op cjib.nl, zonder op een link in het bericht te klikken.

Wat is phishing precies?

Phishing is oplichting waarbij iemand zich voordoet als een partij die je vertrouwt: je bank, de Belastingdienst, PostNL of een bekende uit je contactenlijst. Het doel is altijd je inloggegevens, je betaalgegevens of rechtstreeks je geld. De naam komt van het Engelse fishing. De oplichter gooit een aas uit en wacht tot iemand toehapt.

Vroeger verraadden taalfouten zo’n bericht. Dat houvast is grotendeels weg, want oplichters laten hun teksten nu door AI schrijven, in foutloos Nederlands. Wie wil weten hoe je phishing herkent aan meer dan spelling, vindt op oplichting.com een overzicht van de vormen die nu het vaakst voorkomen, met voorbeelden en een checklist.

Phishing mail: de bank en de Belastingdienst als afzender

De klassieke phishing mail ziet er verzorgd uit. Het logo klopt, de opmaak lijkt op wat je gewend bent en de toon is zakelijk. Meestal gaat het om een bankpas die verloopt, een beveiligingsupdate of een teruggave van de Belastingdienst die nog klaarstaat. De link leidt naar een pagina die eruitziet als de inlogomgeving van je bank of van MijnOverheid.

Kijk naar de afzender, maar vertrouw er niet blind op, want een e-mailadres is makkelijk na te maken. De Belastingdienst stuurt geen sms of mail over openstaande belastingschulden en vraagt je nooit via zo’n bericht om te betalen. Je bank vraagt nooit om je pincode of beveiligingscodes, ook niet aan de telefoon. Krijg je zo’n verzoek, dan weet je genoeg.

Sms-phishing en het pakket dat nooit komt

Bij sms-phishing, ook wel smishing genoemd, krijg je een kort bericht op je telefoon. Een pakket kan niet worden bezorgd, er staan nog verzendkosten open of je moet je adres bevestigen. Het bedrag is klein, vaak een paar euro, en juist dat maakt het verleidelijk om even te betalen. Maar de betaalpagina is nep, en wie daar zijn gegevens invult, geeft oplichters toegang tot zijn rekening.

Via WhatsApp werkt hetzelfde trucje. Iemand doet zich voor als je zoon of dochter met een nieuw nummer en vraagt of je snel een rekening wilt betalen, omdat de bankapp het niet doet. Bel dan eerst het oude, bekende nummer voordat je iets overmaakt. Een echt familielid neemt gewoon op.

QR-codes op straat en op papier

Een nieuwere variant is QR-phishing, ook wel quishing. Oplichters plakken een eigen QR-code over die van een parkeerautomaat of laadpaal, of zetten er een in een brief of mail. Je telefoon opent de link meteen, en op dat kleine scherm zie je het webadres nauwelijks. Zo beland je op een nagemaakte betaalpagina zonder dat je het doorhebt.

Kijk bij een automaat of de sticker los of scheef zit. Betaal liever via de officiële parkeerapp of tik het webadres zelf in. Krijg je per post een brief van je bank met een QR-code die je moet scannen? Bel de bank dan eerst via het nummer op je bankpas.

Waaraan herken je phishing voordat je klikt?

Een paar vragen helpen, ook als het bericht er perfect uitziet:

• Verwacht je dit bericht? Een boete, pakket of teruggave waar je niets van weet, is verdacht.
• Wordt er haast gemaakt? Een termijn van een paar uur of een dreigement met de deurwaarder is een vast patroon.
• Waar leidt de link naartoe? Houd je vinger op de link of je muis erboven en lees het echte webadres.
• Wordt er om codes of een betaling gevraagd? Een bank of overheidsinstantie doet dat niet via een link in een bericht.
• Staat je naam erin? Dat bewijst niets. Oplichters gebruiken gegevens uit eerdere datalekken.

Twijfel je nog, open dan zelf de app of website van de afzender. Staat daar geen boete, pakket of melding, dan was het bericht vals.

Toch geklikt? Dit doe je meteen

Heb je gegevens ingevuld of betaald, bel dan direct je bank via het nummer op je pas of op de officiële website. De bank kan je rekening blokkeren en soms een betaling nog tegenhouden. Verander daarna het wachtwoord van het account dat je hebt ingevuld, en van alle andere accounts waar je datzelfde wachtwoord gebruikt.

Doe vervolgens aangifte bij de politie en meld het bij de Fraudehelpdesk, die ook advies geeft over de volgende stappen. Een verdachte sms kun je kosteloos doorsturen naar 7726, het meldnummer voor spam-sms. Melden helpt: hoe sneller een nepbericht bekend is, hoe minder mensen erin trappen.