Terugbelprocedure (tegenbel): de regel die vishing blokkeert

De terugbelprocedure, of tegenbel, bestaat uit ophangen en de gesprekspartner terugbellen op een nummer dat u zelf hebt opgezocht. Nooit op het nummer dat hij opgeeft of dat op het scherm staat. Het is de regel die de meeste vishingpogingen breekt, omdat de aanvaller het kanaal niet meer in handen heeft. Om te werken moet ze een reflex worden, geformuleerd zonder te kwetsen.

Hier volgen de methode stap voor stap, de zinnen die je zegt, de fouten die je vermijdt en hoe je ze automatisch maakt. Het artikel hoort bij ons dossier over security awareness training en vishing.

Waarom de tegenbel de doeltreffendste regel is

Een aanvaller die belt, beheerst het gesprek: het tempo, het script, het getoonde nummer. Hij rekent erop dat u binnen zijn kader blijft. De tegenbel verplaatst het gesprek naar een kanaal dat hij niet in handen heeft.

De technische reden is eenvoudig. Het getoonde nummer kan worden vervalst. Volgens het activiteitenverslag 2025 van Cybermalveillance.gouv.fr is het vervalsen van telefoonnummers met 517 % toegenomen, ondanks de bestaande regelgevende en technische maatregelen. Het getoonde nummer is dus geen bewijs.

De psychologische reden telt even zwaar. Ophangen onderbreekt de druk. De urgentie verliest haar kracht, de rust keert terug en de beslissing wordt in betere omstandigheden genomen. Het is een tegengif tegen de hefbomen uit ons artikel over social engineering.

De methode in vijf stappen

1. Niets beloven tijdens het gesprek. Niet bevestigen, geen code geven, geen transactie goedkeuren.
2. Het terugbellen aankondigen. “Ik bel u binnen enkele minuten terug.”
3. Ophangen. Zonder te wachten tot de beller zijn verhaal heeft afgemaakt.
4. Het nummer zelf terugvinden. Intern telefoonboek, officiële website die u zelf intypt, bankkaart, brief of officiële app.
5. Terugbellen en verslag uitbrengen. Aan de persoon of dienst vragen of het telefoontje van hem komt, en daarna melden.

De details van stap 5 staan in ons rooster om een beveiligingsincident te melden.

Welk nummer gebruik je om terug te bellen?

Hier gebeurt het: de regel geldt alleen als het terugbelnummer onafhankelijk is van het telefoontje.

• Goede keuze: het nummer uit het interne telefoonboek, uit het contract, van de bankkaart, het laatste afschrift of de officiële app.
• Goede keuze: een interne berichtendienst of een bericht aan de persoon via een kanaal dat al wordt gebruikt.
• Slechte keuze: het nummer dat de beller geeft “om hem rechtstreeks te bereiken”.
• Slechte keuze: de toets “terugbellen” van de telefoon, die mogelijk naar een vervalst nummer doorverwijst.
• Slechte keuze: een nummer uit een e-mail of sms die u tijdens het gesprek ontving.

Cybermalveillance.gouv.fr raadt bovendien af om een duur nummer of een buitenlands nummer terug te bellen dat zonder bericht als gemiste oproep is achtergelaten. De tegenbel geldt voor nummers die u hebt gecontroleerd, niet voor om het even welk nummer.

Hoe zeg je het zonder te kwetsen?

De moeilijkheid is niet technisch maar sociaal: je wilt een klant, een leidinggevende of een collega niet voor het hoofd stoten. De oplossing is een formule die het terugbellen als algemene regel presenteert.

“Ik bel vóór elke transactie systematisch terug via het officiële nummer, dat is onze regel voor iedereen.”

“Als u het bent, spreken we elkaar over twee minuten weer.”

“Ik vraag u niets te bewijzen, ik volg gewoon de procedure.”

Bij een beller die aandringt, herhaal je dezelfde zin zonder hem langer te maken. Ons artikel over nee zeggen aan de telefoon onder druk gaat hier dieper op in.

Een eerlijke gesprekspartner begrijpt het en aanvaardt het terugbellen. Een fraudeur reageert anders. Hij raakt geïrriteerd, dreigt, wekt schuldgevoel op of beweert dat terugbellen onmogelijk is. Die reactie is nuttige informatie.

Twee typische scenario’s

Stel je een telefoontje naar de boekhouding voor. Een gesprekspartner stelt zich voor als de directeur en eist een dringende overschrijving naar een nieuwe leverancier. De boekhouder antwoordt: “Ik bel u over vijf minuten terug op uw interne lijn.” Hij belt de echte directeur, die van het verzoek niets afweet.

Stel je een ander telefoontje voor, bij een particuliere klant. Een valse bankmedewerker meldt een verdachte transactie en vraagt om goedkeuring in de app. De klant hangt op, opent de officiële app of kiest het nummer op zijn kaart, en controleert. Ons artikel over de werkwijze van de valse bankmedewerker beschrijft dit mechanisme.

Veelgemaakte fouten

• Terugbellen op het getoonde nummer. Het kan vervalst zijn.
• Aan de lijn blijven “om samen te controleren”. Dat is het kader van de aanvaller.
• Het terugbellen aankondigen maar eerder zwichten. “Nog even een code, en ik bel u terug” ruïneert de regel.
• Geen uitzondering voorzien voor directeuren. De regel geldt ook voor hen.
• Niet melden na een geslaagde tegenbel. Het frauduleuze telefoontje was misschien ook voor andere collega’s bedoeld.

Gevallen waarin de tegenbel wat aanpassing vraagt

De regel botst soms op concrete situaties. Ze vooraf voorzien voorkomt dat medewerkers de regel omzeilen.

• Een onbereikbare gesprekspartner. Voorzie een tweede contact: een adjunct, een telefooncentrale, een interne berichtendienst. Zolang niemand heeft bevestigd, blijft het verzoek opgeschort.
• Een telefoontje buiten kantooruren. Een dringend verzoek 's nachts bevestig je 's ochtends, of via een reeds aangewezen permanentiekanaal. Een echt dossier verdraagt enkele uren uitstel.
• Een klant die te goeder trouw belt. De tegenbel wordt gepresenteerd als een garantie voor hem. “Ik bel u terug op het nummer in uw dossier, voor uw veiligheid.”
• Een gesprek via videoconferentie. Het principe is hetzelfde: je verlaat de vergadering en contacteert de persoon via een ander kanaal, zoals een interne berichtendienst.

In al die gevallen is het belangrijk dat de regel vooraf bekend is, zodat ze niet tijdens het gesprek opnieuw hoeft te worden uitgevonden.

De tegenbel automatisch maken

Een gekende regel is geen toegepaste regel. Drie organisatorische hefbomen helpen om er een reflex van te maken.

• Een vertrouwd nummer binnen handbereik. Een up-to-date telefoonboek, nummers van gevoelige circuits zichtbaar, een gevalideerde lijst van bankcontacten.
• De steun van de directie. De directeur kondigt zelf aan dat zijn verzoeken worden teruggebeld, wat elke gêne wegneemt.
• Kant-en-klare zinnen. Een kaartje met drie formuleringen voorkomt improviseren onder druk.

Deze maatregelen zetten het kader neer. Blijft de laatste trede: de zin hardop zeggen, op de dag zelf.

Nagaan of de regel echt wordt toegepast

Een terugbelprocedure beoordeel je niet op het aantal mensen dat haar heeft gelezen. Je beoordeelt haar op wat er gebeurt wanneer een ongewoon telefoontje binnenkomt. Enkele ijkpunten tonen dat.

• Het aantal meldingen. Een medewerker die heeft opgehangen en gewaarschuwd, past de regel toe, ook als het telefoontje legitiem was.
• De kwaliteit van de melding. Zijn de opgegeven naam, het tijdstip, het verzoek en de gebruikte hefboom genoteerd?
• De terugbeltermijn. Die blijft kort, wat toont dat de regel het werk niet afremt.
• De feedback van de teams. Waar hindert de regel? Welke zin ontbreekt hen?

Deze vaststellingen voeden de regelmatige herziening van de procedure. Ze laten ook toe om bij een controle aan te tonen dat de praktijk wordt gevolgd en niet alleen verklaard. Terugbellen oefen je zoals elke professionele handeling: in korte cycli, met feedback na elke poging.

Oefenen zodat het gebaar vanzelf komt

Een regel lezen volstaat niet om hem vol te houden tegenover iemand die zijn stem verheft. Het gebaar bouw je op door herhaling, in omstandigheden die dicht bij de realiteit liggen.

Met Face Up schrijft de trainer een scenario op basis van situaties uit zijn eigen organisatie. Een persona die door een AI wordt gespeeld, neemt de rol van de aandringende beller op zich, en de deelnemer moet hardop weigeren en het terugbellen aankondigen. De debriefing citeert wat hij heeft gezegd, geeft aan of hij vóór het ophangen een gegeven heeft prijsgegeven en stelt een actieplan voor. De deelnemer kan daarna opnieuw spelen.

Veelgestelde vragen

Is de tegenbel nuttig als de beller echt is wie hij beweert?

Ja, het kost maar enkele minuten. Een legitieme gesprekspartner begrijpt de regel. Ze beschermt ook de teruggebelde persoon, wiens identiteit mogelijk is vervalst.

Moet ik onmiddellijk terugbellen?

Niet noodzakelijk, maar snel genoeg om het verzoek af te handelen als het echt is. Enkele minuten laten toe het juiste nummer terug te vinden en een collega te raadplegen.

Wat als de echte dienst niet antwoordt?

Zwicht niet voor het verzoek bij gebrek aan antwoord. Probeer een andere weg, zoals de interne berichtendienst of een leidinggevende, en geef niets zolang de controle niet is geslaagd. De nuttige vragen tijdens het gesprek staan in ons artikel over de identiteit van een beller controleren.

Wilt u uw teams trainen om het terugbellen zonder aarzelen aan te kondigen? Ontdek de rollenspellen van Face Up of boek een demo.