Identiteit van een beller controleren: de vragen die tellen

Om de identiteit van een beller te controleren, bewijst geen enkele vraag tijdens het gesprek op zichzelf wie hij is. De enige solide verificatie is het gesprek verlaten en de persoon bereiken via een kanaal dat u zelf beheert. Vragen dienen om tijd te winnen, elementen te noteren en een script te herkennen, niet om een identiteit te valideren.

Hier staan de vragen die het waard zijn om te stellen, de vragen die niets bewijzen, en de exacte zinnen om ze te formuleren. Dit artikel hoort bij ons dossier over security awareness training en vishing.

Waarom één beveiligingsvraag niet volstaat

De klassieke procedures vragen een geboortedatum, een adres of een klantnummer. Soms de laatste beweging op een rekening. Die gegevens hebben een gebrek: ze zijn niet geheim. Ze circuleren in datalekken, op sociale media, in professionele telefoonboeken of in al ontvreemde documenten.

Een fraudeur die belt, weet vaak meer dan u denkt. Hij heeft zijn gesprek voorbereid. Volgens het activiteitenverslag 2025 van het Franse Cybermalveillance.gouv.fr is de fraude met de nepbankadviseur met 159 % toegenomen. Dat laat zien dat deze gesprekken talrijk en ingesleten zijn.

Er is een tweede moeilijkheid, van psychologische aard. Als de beller drie vragen juist beantwoordt, groeit het vertrouwen. Dat gebeurt ook als hij aarzelt en zich dan beleefd verontschuldigt. Daarna controleert u minder wat hij verder vraagt.

De vragen die niets bewijzen

Deze vragen mogen in een procedure blijven, maar u moet weten dat ze niets garanderen.

• Geboortedatum, adres, werkgever. Openbare of uitgelekte informatie.
• Naam van de adviseur, de manager of het kantoor. Zichtbaar op een website, een professioneel profiel of een e-mailhandtekening.
• Laatste transactie, laatste aankoop. Beschikbaar na een diefstal van gegevens of een eerste contactname.
• Het nummer op het scherm. Het kan worden vervalst. Hetzelfde verslag 2025 van Cybermalveillance.gouv.fr meldt een stijging van 517 % bij het vervalsen van telefoonnummers (spoofing).
• Een code uit een sms die u wordt gevraagd voor te lezen. Dat is het omgekeerde van een verificatie: u geeft de beller het middel om een betaling goed te keuren.

Een goed antwoord van de beller op deze vragen is gewoon het teken dat hij documentatie heeft. Concludeer dus niet ‘het is in orde’ na een reeks juiste antwoorden.

De vragen die wel dienen

Drie soorten vragen zijn nuttig, ook al valideren ze op zichzelf niets. Ze halen de beller uit zijn script en laten een spoor na.

De afbakenende vragen

Ze dienen om te noteren en te vertragen.

‘Kunt u mij uw naam, uw afdeling en een terugbelnummer nog eens geven? Ik schrijf ze op.’

‘Wat is precies de reden van uw telefoontje?’

De vragen die het script doorbreken

Een aanvaller bereidt een pad voor. Een eenvoudige vraag buiten dat pad brengt hem in moeilijkheden.

‘Waarom belt u in plaats van via de gebruikelijke mail te schrijven?’

‘Met wie in het bedrijf hebt u al over dit dossier gesproken?’

Een echte gesprekspartner antwoordt zonder moeite en begrijpt dat u controleert. Een valse gesprekspartner ontwijkt, raakt geïrriteerd of herhaalt zijn verzoek, vaak met dezelfde woorden.

De vragen over de procedure

‘Wat is de officiële procedure voor dit verzoek?’

‘Kunt u mij het verzoek via de interne berichtendienst sturen, zodat ik het met mijn leidinggevende kan valideren?’

Weigert de beller de schriftelijke of officiële weg, dan is dat een signaal. Een legitieme dienst accepteert dat er een spoor wordt nagelaten.

De verificatie die bewijst: het gesprek verlaten

De enige betrouwbare manier om een identiteit te bevestigen, is niet langer van de beller afhangen. U hangt op en bereikt de persoon of de dienst via een nummer, een mailbox of een app die u al hebt.

‘Ik kan dit verzoek niet telefonisch afhandelen. Ik bel u terug op het officiële nummer.’

Dit gebaar wordt uitgewerkt in ons artikel over de terugbelprocedure via een onafhankelijk kanaal. Het is ook het antwoord op stemklonen, behandeld in het artikel over AI-stemklonen.

Voor trajecten met veel op het spel bestaat een tweede middel: het afgesproken codewoord. Dat wordt vooraf tussen twee personen bepaald, is geheim en wordt vernieuwd. Het wordt nooit gevraagd als antwoord aan de beller zonder dat het eerder is vastgelegd.

Hoe stelt u deze vragen zonder te kwetsen

De vrees om wantrouwig over te komen, houdt veel medewerkers tegen om te controleren. De remedie is een formulering die de verificatie voorstelt als algemene regel, niet als verdenking.

• ‘Dat is de procedure voor iedereen, ook voor de directie.’
• ‘Dank voor uw begrip, wij hebben een regel om altijd terug te bellen.’
• ‘Als u het echt bent, kost het slechts twee minuten.’

Die laatste zin is bijzonder doeltreffend. Ze trekt de persoon niet in twijfel, ze stelt vast dat de verificatie weinig kost voor een eerlijke gesprekspartner.

De verificatie aanpassen aan de aangekondigde beller

De aanpak verschilt een beetje naargelang de rol die de beller aanneemt. Het principe blijft gelijk: vertrouw niet op wat hij zegt.

Een nepadviseur of een nepbeveiligingsdienst van de bank

Geen enkele bank heeft nodig dat u een transactie goedkeurt terwijl zij met u praat. Dat verzoek moet op zich al een einde maken aan het gesprek. U contacteert uw bank via het nummer op uw kaart of via uw app.

Een neptoeleverancier of een valse bestuurder

Een wijziging van bankgegevens of een dringende overschrijving bevestigt u bij een bekende contactpersoon, op een al geregistreerd nummer. Ons artikel over CEO-fraude beschrijft de dubbele validatie die deze verificatie aanvult.

Een valse IT-support

Een gesprek dat om een wachtwoord, een authenticatiecode of de installatie van software vraagt, handelt u niet telefonisch af. De echte support vraagt die gegevens nooit hardop. Hij werkt via een ticket of een intern hulpmiddel.

Een valse collega

Een echte collega accepteert dat u hem terugbelt op zijn lijn of dat u hem schrijft via de interne berichtendienst. Een weigering van zijn kant is ongebruikelijk en verdient een melding.

Een herbruikbaar verificatieschema

Hier is een eenvoudig schema om bij de hand te houden, af te drukken of in de interne procedure op te nemen.

1. Ik noteer: naam, afdeling, opgegeven nummer, tijdstip, doel van het gesprek.
2. Ik herken: urgentie, gezag, geheimhouding, vraag om een code, weigering om terug te bellen.
3. Ik geef niets: geen code, geen wachtwoord, geen goedkeuring van een transactie.
4. Ik verlaat het gesprek: ik hang op en bel terug via een bekend kanaal.
5. Ik meld: aan de beveiligingsdienst, ook zonder schade.

De hefbomen die u bij stap 2 moet herkennen, staan in ons artikel over de hefbomen van social engineering. Voor stap 5 geeft het overzicht in ons artikel over het melden van een beveiligingsincident aan wat u moet onthouden.

De veelgemaakte fouten

• Vragen stellen die de beller heeft voorbereid. Een vraag over openbare gegevens levert niets op.
• Een terugbelnummer aanvaarden dat de beller opgeeft. Het leidt naar hem, niet naar de aangekondigde dienst.
• Controleren en dan toegeven. Ook na een gedeeltelijke verificatie blijft een verzoek om een code of een overschrijving te weigeren.
• Zich verontschuldigen voor het controleren. Een verontschuldigende toon nodigt uit tot onderhandelen.
• Improviseren. Zonder kant-en-klare zin geeft u toe aan beleefdheid.

Waarom mondelinge oefening het resultaat verandert

Deze vragen kennen is makkelijk. Ze met kalme stem stellen aan een gesprekspartner die aandringt, is veel minder makkelijk. Zenuwen, de wens om aardig te zijn en de angst om zich te vergissen nemen de plaats in van het redeneren.

Een rollenspel plaatst de lerende terug in die situatie. Met Face Up maakt de trainer een scenario. Een persona die door een AI wordt gespeeld, stelt zich voor als leverancier of adviseur en reageert op de vragen van de lerende. Na afloop van de sessie laat de debriefing zien of de verificaties zijn gesteld, of er een code is gegeven, en citeert ze de uitgesproken zinnen. De lerende kan opnieuw spelen tot de juiste formule automatisch wordt.

Veelgestelde vragen

Wat is de beste vraag om een beller te controleren?

Er is niet één. De nuttigste is die welke de uitweg opent: ‘Ik bel u terug op het officiële nummer.’ Ze hangt niet af van informatie die de fraudeur zou kunnen kennen.

Kunt u op het getoonde nummer vertrouwen?

Nee. Met nummervervalsing kan het nummer van een echte bank of een echte dienst worden getoond. Het verslag 2025 van Cybermalveillance.gouv.fr meldt een sterke stijging van deze techniek.

Wat als de beller mijn persoonlijke gegevens kent?

Dat bewijst zijn identiteit niet. Persoonsgegevens circuleren na datalekken of online zoekacties. Pas dezelfde procedure toe: ophangen, terugbellen, melden.

Om uw teams te trainen om deze vragen hardop te stellen, ontdek de rollenspellen van Face Up of reserveer een demo.