Nep-bankmedewerker aan de lijn: de werkwijze stap voor stap

Bankhelpdeskfraude is een telefoontje waarin een oplichter zich voordoet als je bank en je ertoe brengt zelf handelingen goed te keuren. Die handelingen legen je rekening. De werkwijze kent vier stappen: contact, alarm, het onttrekken van een code of goedkeuring, en dan de fraude. Eén regel schakelt haar uit: ophangen en de bank terugbellen via een gebruikelijk kanaal.

Dit artikel beschrijft elke stap, eerst voor particulieren en dan voor bedrijven, met de zinnen die je kunt zeggen en de fouten die je moet vermijden.

Hoe verloopt de oplichting met de nep-bankmedewerker?

De Franse overheidsdienst Cybermalveillance.gouv.fr beschrijft in zijn praktijkfiche over dit onderwerp een verloop in vier stappen. Het loont om die uit het hoofd te kennen, want elke stap biedt een kans om te stoppen.

1. Het contact. De oplichter belt en stelt zich voor als adviseur of als afdeling fraudebestrijding. Hij kent vaak de identiteit, het adres of de kaartgegevens van het slachtoffer. Hij kan ook het nummer van de bank vervalsen, zodat het scherm legitiem lijkt.
2. Het alarm. Hij meldt verdachte transacties die nu lopen en vraagt die dringend te bevestigen of te ‘blokkeren’.
3. Het onttrekken. Hij vraagt om codes die per sms binnenkomen, een goedkeuring in de bankapp of de pincode van de kaart. Soms stuurt hij een koerier, echt of nep, om de kaart op te halen.
4. De fraude. Met de codes of goedkeuringen voegt hij een begunstigde toe, doet hij een overboeking of betaalt hij met de kaart.

De valkuil is dat het slachtoffer denkt zichzelf te beschermen. Hij meent een fraude te annuleren, terwijl hij er een toestaat.

Waarom deze oplichting zo goed werkt

In zijn jaarverslag 2025, gepubliceerd op 26 maart 2026, meldt Cybermalveillance.gouv.fr dat de fraude met nep-bankmedewerkers met 159 % is gestegen. Het noemt dat dit gebeurt ondanks de communicatie-inspanningen van de sector. Het persbericht noemt ook nieuwe varianten: phishing met een nepnummer om een kaart te blokkeren en het gebruik van WhatsApp.

Hetzelfde document vermeldt dat in sommige gevallen ‘veldteams’ van onderaannemers worden ingezet. Nepkoeriers halen dan betaalkaarten thuis op. De oplichting blijft dus niet beperkt tot het telefoontje.

Verschillende psychologische hefbomen werken samen.

• Autoriteit: de bank is een instelling waaraan je gehoorzaamt.
• Urgentie: het geld verdwijnt ‘op dit moment’.
• Goede trouw: de beller biedt hulp aan, wat het wantrouwen ontwapent.
• Personalisering: de gegevens die de beller al kent, gelden als identiteitsbewijs.

Dat laatste punt is cruciaal. Persoonsgegevens uit datalekken geven de oplichter meteen geloofwaardigheid. Je naam of adres kennen bewijst niets. Ons artikel over de identiteit van een beller controleren legt uit waarom sommige vragen nutteloos zijn.

De nep-bankmedewerker bij bedrijven

Ook bedrijven worden niet gespaard. Stel je een financieel manager voor die gebeld wordt door een zogenaamde bankadviseur: ‘Wij zien afwijkende overboekingen op uw rekening. Ik stuur u een sms-code om ze op te schorten.’ De ontvangen code keurt in werkelijkheid een overboeking of de toevoeging van een nieuwe begunstigde goed.

Het risico is groter wanneer één persoon belangrijke transacties alleen kan goedkeuren. Het typische scenario richt zich dus op wie bevoegd is voor de bankomgeving: treasurer, boekhouder, financiële directie.

De fiche van Cybermalveillance.gouv.fr over valse betaalopdrachten adviseert een interne hiërarchische goedkeuring zonder uitzonderingen voor onverwachte overboekingsverzoeken. Ze raadt ook aan duidelijke procedures te verspreiden over het authentiseren van afzenders. De logica is dezelfde: nooit goedkeuren op grond van alleen een telefoontje.

Een variant combineert een nep-bankmedewerker met een vals verzoek van een bestuurder. Die staat beschreven in ons artikel over CEO-fraude en valse leveranciers.

Wat een echte bankmedewerker nooit vraagt

Volgens Cybermalveillance.gouv.fr vraagt een medewerker van je bank je nooit om:

• je wachtwoord;
• bevestigingscodes, of om in je app transacties goed te keuren of te annuleren wegens fraude;
• de pincode van je kaart;
• je kaart aan een koerier of iemand anders mee te geven.

Deze lijst past op een kaartje naast de telefoon. Een verzoek dat erin staat, is genoeg om het gesprek te beëindigen, ongeacht de toon van de gesprekspartner.

Wat zeg en doe je tijdens het gesprek?

De juiste reflex is zonder discussie afkappen. Hier zijn exacte zinnen.

‘Ik hang liever op en bel mijn bank terug op het gebruikelijke nummer.’

‘Een bank vraagt me niet om een transactie goed te keuren om hem te annuleren, dat doe ik niet.’

‘Als het echt dringend is, begrijpt u dat ik eerst controleer.’

Bel de bank daarna terug via je klantomgeving, je kantoor of het nummer op je kaart, niet via het nummer dat de beller opgaf. De volledige procedure staat in ons artikel over terugbellen.

Als je al een code hebt gegeven of een transactie hebt goedgekeurd, adviseert Cybermalveillance.gouv.fr meerdere stappen. Blokkeer de kaart onmiddellijk en wijzig je toegang tot het bankieren. Waarschuw de bank om het geld terug te vragen, bewaar het bewijs en doe aangifte.

Checklist om bij de telefoon te bewaren

Dit overzicht kun je ongewijzigd hergebruiken in een intern kaartje of een opleidingsmateriaal.

1. Vraagt de beller om een code, een goedkeuring of een kaart? Zo ja, dan hang ik op.
2. Zet hij me onder tijdsdruk? Zo ja, dan vertraag ik bewust.
3. Wil hij dat ik aan de lijn blijf terwijl ik handel? Zo ja, dan verbreek ik de verbinding.
4. Heb ik de bank teruggebeld via een kanaal dat ik ken, en niet via het zijne?
5. Heb ik het tijdstip, het getoonde nummer, de opgegeven naam en wat er van me werd gevraagd genoteerd?
6. Heb ik de bank en mijn securitycontactpersoon gewaarschuwd, ook als ik niets heb prijsgegeven?

Het laatste punt telt. Een mislukte poging blijft waardevolle informatie: ze maakt het mogelijk collega's te waarschuwen voordat een ander erin trapt.

De rol van adviseurs en teams die met klanten werken

Klanten worden steeds vaker met deze telefoontjes geconfronteerd. Adviseurs krijgen dus gesprekken van ongeruste klanten, soms midden in een fraudepoging. Ze moeten weten hoe ze geruststellen, de klant laten ophangen en snel transacties blokkeren.

Zij zijn zelf ook doelwit: een oplichter kan het kantoor bellen en zich als de klant voordoen, met diens persoonsgegevens bij de hand. De vraag wie er aan de lijn is, geldt in beide richtingen.

Een goed opgeleide adviseur kan tegen een klant zeggen: ‘Ik zal u nooit telefonisch om een code vragen.’ Hij weet ook wat hij zelf niet mag doen: gevoelige informatie bevestigen aan een niet-geverifieerde beller. Voor financiële instellingen gaat ons artikel over vishingtraining in de banksector hier dieper op in.

Veelgemaakte fouten

• Het nummer terugbellen dat op het scherm staat of dat de beller dicteert.
• Jezelf lang verantwoorden, waardoor de oplichter tijd krijgt om tegenargumenten te geven.
• ‘Alleen om te annuleren’ een onbekende transactie goedkeuren.
• Uit schaamte niets melden. Ons artikel over het melden van een incident helpt dat zonder schaamte te doen.
• Denken dat alleen particulieren worden getroffen.

Oefenen om onder druk te weigeren

De regel kennen volstaat niet, want de beller is getraind om hem te omzeilen. Trainers kunnen het gesprek laten oefenen. Een persona, gespeeld door een AI, neemt de rol van de nep-adviseur op zich, dringt aan en wordt ongeduldig. De deelnemer moet controleren en hardop weigeren. De debriefing laat daarna zien wat er is gezegd en wat ontbrak.

Dit werk past in de aanpak uit onze gids over security awareness.

Veelgestelde vragen

Hoe herken je een nep-bankmedewerker?

Je herkent hem aan wat hij vraagt, niet aan wat hij weet. Elk verzoek om een code, een goedkeuring of het afgeven van een kaart is een alarmsignaal. Urgentie en aandringen zijn andere signalen.

Kun je na deze oplichting je geld terugkrijgen?

Terugbetaling is niet automatisch, want de bank onderzoekt de omstandigheden van de goedkeuring. Vraag er direct om, bewaar al het bewijs en doe aangifte, zoals Cybermalveillance.gouv.fr aanraadt.

Kan het getoonde nummer vals zijn?

Ja. Het vervalsen van nummers nam in 2025 met 517 % toe, volgens Cybermalveillance.gouv.fr. Een scherm met de naam van de bank bewijst dus niet wie er belt.

Wat als de nep-bankmedewerker mijn kaart of codes al heeft?

Blokkeer de kaart onmiddellijk, via het nummer op de website van je bank of op de geldautomaten. Neem daarna contact op met de bank om de transacties op te schorten, wijzig je toegang tot de klantomgeving en doe aangifte met al het bewijs. Gaat het om een bedrijfsrekening, waarschuw dan ook je financiële directie.

Wil je je teams in een veilige omgeving laten oefenen met weigeren? Vraag een demo van Face Up aan.