Nepwebsites herkennen: let op het webadres

U krijgt een bericht van uw bank. Er is iets mis met uw rekening, en u moet even inloggen om het te controleren. U klikt op de link. De pagina die opent heeft het logo van uw bank, dezelfde kleuren, dezelfde knoppen. Alles klopt. Behalve het webadres bovenin uw scherm.

Dat webadres is bijna altijd de enige plek waar u het verschil kunt zien. Op deze pagina leggen we rustig uit waar u dan precies naar kijkt.

Waarom ziet een nepwebsite er zo echt uit?

Omdat namaken tegenwoordig weinig moeite kost. Een oplichter kan de complete opmaak van een echte website in een paar minuten kopiëren: het logo, de lettertypes, de foto's, zelfs de kleine lettertjes onderaan. Wat hij niet kan kopiëren, is het webadres zelf. Dat adres is namelijk maar één keer vergeven, aan één eigenaar.

Dus de vraag is nooit "ziet deze pagina er betrouwbaar uit". Die vraag levert altijd het verkeerde antwoord op. De vraag is: van wie is dit adres?

Waar staat het webadres precies?

Bovenin uw scherm, in de balk waar u normaal ook zoekopdrachten intypt. Op een telefoon staat die balk soms onderin, en soms verdwijnt hij als u naar beneden scrolt. Tikt u dan één keer bovenaan de pagina, dan komt hij terug.

Op een telefoon wordt het adres vaak ingekort, zodat u alleen het begin ziet. Tik erop en het volledige adres wordt zichtbaar. Dat is de moeite waard, want juist in het stuk dat wordt weggelaten zit soms het probleem.

Hoe leest u een webadres?

Dit is het enige stukje techniek op deze pagina, en het is de moeite waard om even door te lezen.

Neem een adres als www.rabobank.nl/particulieren/inloggen. Zoek de eerste schuine streep. Wat daar direct vóór staat, is de echte eigenaar van de website. In dit geval rabobank.nl. Alles wat daarna komt is een map op die site en zegt niets over wie hem beheert.

Nu een vervalsing: www.rabobank.nl.inloggen-veilig.com/klant. Uw oog leest "rabobank.nl" en is gerustgesteld. Maar zoek weer de eerste schuine streep, en kijk wat daar vlak voor staat: inloggen-veilig.com. Dat is de eigenaar. De naam van de bank staat er alleen maar bij om u op het verkeerde been te zetten.

De vuistregel: lees een webadres van rechts naar links, tot aan de eerste schuine streep. Daar staat met wie u werkelijk te maken heeft.

Waarop moet u letten?

Vijf dingen die telkens terugkomen bij nepsites:

1. Een streepje of een woord erbij. rabobank-veilig.nl, mijn-ing-inloggen.com, digid-controle.nl. De echte namen zijn kort: rabobank.nl, ing.nl, digid.nl.
2. Een letter die net anders is. Een kleine L die op een hoofdletter i lijkt, een nul in plaats van een o, of rnijnoverheid in plaats van mijnoverheid. Bij vluchtig kijken vallen die niet op.
3. Een andere extensie. Nederlandse banken en overheidsdiensten eindigen vrijwel altijd op .nl. Ziet u .com, .net, .info of iets exotisch, wees dan extra alert.
4. Een heel lang adres. Hoe langer het adres, hoe meer ruimte om de echte eigenaar achterin te verstoppen.
5. Een adres dat u niet kunt zien. Sommige nepmails tonen alleen een knop. Bent u op een computer, houd de muis dan boven de knop zonder te klikken. Linksonder verschijnt dan het echte adres.

Betekent het slotje dat een site veilig is?

Nee. Dit is misschien wel het hardnekkigste misverstand op dit onderwerp.

Het slotje in de adresbalk betekent alleen dat het verkeer tussen uw apparaat en die website versleuteld is. Niemand kan onderweg meelezen. Dat is prettig, maar het zegt helemaal niets over wie er aan de andere kant zit. Een oplichter kan dat slotje binnen een paar minuten gratis regelen, en dat doet vrijwel iedere oplichter dan ook.

Vertaald naar het dagelijks leven: het slotje betekent dat niemand uw brief onderweg openmaakt. Het zegt niets over of de ontvanger te vertrouwen is.

Waarom dit vooral misgaat bij een nepmail

De meeste mensen komen niet op een nepwebsite terecht door te zoeken. Ze komen er via een link in een nepmail of een valse mail. En dat verandert alles.

In zo'n bericht staat namelijk altijd haast. Uw pakket wordt teruggestuurd, uw rekening wordt geblokkeerd, u moet vandaag nog betalen. Die haast is geen toeval, die is er expres. Iemand die zich opgejaagd voelt, kijkt niet meer naar de adresbalk.

Daarom is de belangrijkste gewoonte niet "beter kijken", maar: klik niet op links in onverwachte berichten. Wilt u iets controleren bij uw bank, DigiD of een webwinkel, ga er dan zelf heen. Typ het adres dat u kent, of gebruik een bladwijzer die u eerder zelf heeft aangemaakt. Dan komt u gegarandeerd op de echte site.

Meer over hoe u zo'n bericht herkent leest u bij phishing en nep-e-mails herkennen.

Wat doet u als u twijfelt?

Sluit de pagina. Dat is het. U hoeft niets weg te klikken, niets te bevestigen en zeker niets in te vullen.

Bel daarna het nummer dat u zelf al kent: op de achterkant van uw bankpas, in uw eigen telefoonboekje, of op een oude brief. Niet het nummer uit het bericht, want dat is bij oplichting vrijwel altijd het nummer van de oplichter zelf.

En als u al iets heeft ingevuld: bel dan meteen uw bank en blokkeer uw pas. Schaamte is nergens voor nodig. Dit overkomt verstandige, oplettende mensen, elke dag opnieuw.

En als u het niet elke keer wilt hoeven controleren?

Eerlijk is eerlijk: goed opletten werkt, maar het is vermoeiend. Zeker wanneer u op een klein telefoonscherm kijkt, of wanneer u even niet bij de zaak bent omdat u haast heeft.

Daarom bestaat InternetWacht. Wij houden bij welke websites voor oplichting worden gebruikt, ook nepversies van banken, DigiD en de Belastingdienst. Die websites openen bij u thuis simpelweg niet meer, op alle apparaten in huis. Klikt u toch een keer verkeerd, dan krijgt u binnen enkele seconden een berichtje in gewone taal, met ons telefoonnummer erbij.

U hoeft dan niet meer bij elk webadres na te denken. En kunt u er toch niet uit, dan belt u ons gewoon.

Wilt u eerst breder lezen wat u thuis zelf kunt doen? Kijk dan bij veiliger internetten thuis.