Sinds augustus 2026 waarschuwt de politie in Duitsland en Zwitserland voor een WhatsApp-oplichting die niet van vreemden komt. Ze komt van mensen die je kent, geschreven vanaf hun echte accounts. Alleen al de politie in Zwickau telde tussen half augustus en eind september twaalf gevallen.
De oplichting richt zich op particulieren. Het patroon erachter is echter hetzelfde dat een grote Europese bank dit jaar tientallen miljoenen euro's kostte. Beide gevallen laten hetzelfde zien: een bekende naam op het scherm bewijst niets.
Zo werkt de oplichting
- Er komt een bericht binnen van een echt contact: of je wilt stemmen op Klara, de dochter van een vriend, in een foto- of danswedstrijd. Andere varianten noemen een sportpeiling of een jong talent.
- De link opent een overtuigende stempagina. Om te stemmen voer je je telefoonnummer in en bevestig je een WhatsApp-login, met een code of door een QR-code te scannen.
- Wat je in werkelijkheid hebt bevestigd, is de koppeling tussen het toestel van de aanvaller en jouw WhatsApp-account. Beveiligingsonderzoekers noemen dit ‘ghost pairing’.
- Je merkt niets. Je WhatsApp werkt zoals altijd. De aanvaller leest je chats mee en schrijft in jouw naam.
- Jouw account stuurt het Klara-bericht nu naar je contacten. Een deel van hen krijgt daarnaast een nep-noodgeval met een verzoek om geld.
Elk slachtoffer wordt de vertrouwde afzender voor de volgende ronde. Daarom verspreidt de oplichting zich zo snel.
Waarom het gebruikelijke advies faalt
Jarenlang luidde het standaardadvies: controleer de afzender. Onbekend nummer, vreemde profielfoto, rare spelling: wees voorzichtig.
Hier doorstaat de afzender elke controle. Het account is echt, net als de profielfoto en de chatgeschiedenis die jaren teruggaat. Alleen de persoon die typt, is het niet. Geen enkele controle die naar het account zelf kijkt, kan deze aanval tegenhouden.
Zo bescherm je jezelf
- Voer nooit een WhatsApp-code in en scan nooit een QR-code omdat een website daarom vraagt. Koppelcodes zijn alleen bedoeld om je eigen apparaten te verbinden, zoals je laptop.
- Controleer vandaag nog je gekoppelde apparaten. Open in WhatsApp Instellingen → Gekoppelde apparaten en log uit op elk apparaat dat je niet herkent.
- Controleer ongewone verzoeken via een tweede kanaal. Vraagt een contact om geld, je stem of een code, bel dan het nummer dat je al van die persoon hebt.
- Spreek met je familie een codewoord af. Stemmen zijn tegenwoordig met AI te klonen, dus een telefoontje alleen is geen bewijs meer.
Hetzelfde patroon bij een bank: Fideuram
Dit is niet alleen een probleem van consumenten. Op 23 februari 2026 kreeg de voorzitter van Fideuram, de private-bankingtak van Intesa Sanpaolo, een WhatsApp-bericht dat afkomstig leek van groepstopman Carlo Messina. Daarin werd gevraagd om dringende, vertrouwelijke overboekingen voor een buitenlandse overname.
Daarna volgde een telefoontje van een advocaat die de voorzitter persoonlijk kende. De stem klonk echt, maar was met AI gekloond, en de echte advocaat had er niets mee te maken. Er kwamen vervalste documenten binnen, waaronder een volmacht met wat de handtekening van Messina leek. Ongeveer € 95 miljoen verliet de bank. Rond de € 53 miljoen is teruggehaald, en volgens Reuters ontbreekt nog zo'n € 36 miljoen.
Eén detail verschilt van de Klara-oplichting. De nep-Messina schreef vanaf een onbekend nummer en verklaarde dat met de vertrouwelijkheid van de deal. De Klara-aanvallers hebben zelfs dat excuus niet nodig, want zij schrijven vanaf het echte account.
In beide gevallen leken de naam, de stem en de documenten te kloppen, en geen ervan bewees wie er werkelijk aan de andere kant zat.
Waar Trusted Codes in beeld komt
Trusted Codes houdt geen accountovername en geen gekloonde stem tegen. Het maakt beide nutteloos voor de fraude die daarop volgt.
Collega's en zakenpartners die in Trusted Codes met elkaar verbonden zijn, zien in de app een gedeeld codewoord van drie woorden. Dat wisselt op een vast interval; met een Business-abonnement kies je dat interval zelf, van zes uur tot 30 dagen. Het geheim erachter staat in de beveiligde opslag van het toestel: de Keychain op iOS en de Keystore op Android.
Komt er een ongewoon verzoek binnen, via WhatsApp, telefoon of e-mail, dan vraag je naar het actuele codewoord. De aanvaller heeft misschien een nieuw nummer, een gekloonde stem of zelfs het echte WhatsApp-account van je collega. Wat de aanvaller niet heeft, zijn de toestellen van je collega, en zonder die toestellen is er geen codewoord.
Het is het familiecodewoord, geschikt gemaakt voor zakelijk gebruik:
- Het wisselt, dus een woord dat gisteren is afgeluisterd of via phishing is buitgemaakt, is vandaag waardeloos.
- Het werkt op elk kanaal, ook per e-mail. Met een Business-abonnement kun je ook een bericht verzegelen, en de ontvanger kan het vergelijken met het ondertekende origineel.
- Het laat een spoor na. Met een Business-abonnement zien beheerders in het verificatielogboek wie wie heeft geverifieerd, en wanneer. De woorden zelf worden nooit opgeslagen.
In de zaak-Fideuram was één vraag genoeg geweest: ‘Wat is ons codewoord?’ Noch de nep-topman, noch de gekloonde advocaat had dat kunnen beantwoorden.
Wat je nu kunt doen
Controleer vandaag je gekoppelde apparaten in WhatsApp. En leg vast hoe je het volgende ‘dringende’ verzoek controleert voordat het je financiële afdeling bereikt, want als het geld eenmaal weg is, is het te laat om daarover na te denken.
Bronnen
- Polizeidirektion Zwickau, waarschuwing van 24 september 2026 (via verbraucherschutzforum.berlin)
- Kantonspolizei Zürich, cybercrimepolice.ch (via Beobachter)
- Reuters, 25 september 2026: AI messaging scam costs Italy's top bank Intesa millions (via Cybernews)
- Sky TG24, 25 september 2026: Truffa a Fideuram