Een melding over een onbekend toestel
Krijg je een pushbericht of mail dat je pas is toegevoegd aan een nieuw apparaat dat niet van jou is? Dan is dat vrijwel zeker een teken dat je kaartgegevens al zijn gestolen.
In het nieuws
FRAUDE MET
APPLE PAY EN GOOGLE PAY
De Fraudehelpdesk ziet sinds februari een groeiend aantal meldingen van criminelen die gestolen creditcardgegevens op hun eigen telefoon zetten, en daarmee gewoon gaan afrekenen.
Wat is er aan de hand
Jouw bankpas, op de telefoon van een ander.
De Fraudehelpdesk waarschuwt voor een fraudevorm die sinds februari steeds vaker wordt gemeld: criminelen voegen gestolen creditcardgegevens toe aan hun eigen Apple Pay of Google Pay en rekenen daarmee grote bedragen af. Het gemiddelde schadebedrag ligt boven de 1.000 euro; bij één melder liep het op tot 2.100 euro. De organisatie verwacht dat deze methode vaker voor gaat komen, omdat criminelen nieuwe technieken doorgaans eerst op kleine schaal uitproberen voordat ze die breder inzetten.
De aanpak begint niet bij Apple Pay of Google Pay zelf, maar bij de creditcardgegevens. Die worden op de gebruikelijke manieren buitgemaakt: phishingmails, nepwebshops, malware, datalekken, of doordat iemand zijn kaartgegevens invult op een onveilige site. Dit zijn geen nieuwe trucs, het zijn dezelfde methoden die al jarenlang worden gebruikt om bankgegevens te stelen. Nieuw is vooral wat criminelen ermee doen zodra ze een kaartnummer, vervaldatum en beveiligingscode in handen hebben: in plaats van losse online aankopen te doen die snel opvallen, proberen ze de pas toe te voegen aan een digitale portemonnee op hun eigen telefoon, zodat ze ermee kunnen pinnen alsof het hun eigen kaart is.
Daar zit normaal gesproken een drempel: banken en creditcardmaatschappijen vragen om een bevestiging voordat een pas op een nieuw toestel actief wordt, meestal in de vorm van een sms-code of een melding in de bank-app. Lukt het criminelen om die bevestigingsstap te omzeilen, bijvoorbeeld met aanvullende gestolen gegevens, of door iemand te overtuigen een code door te geven, dan beschikken ze over een volledig werkende digitale betaalkaart. Daarmee rekenen ze vervolgens contactloos af in fysieke winkels, alsof het hun eigen pas is.
Belangrijk om te weten: Apple Pay en Google Pay zijn hierbij niet gehackt. De beveiliging van beide diensten is nog altijd sterk. Het probleem zit in de stap ervoor, gestolen gegevens en een omzeilde verificatie, niet in een lek in de techniek van de betaaldienst zelf. Dat maakt deze fraude ook zo lastig te herkennen: er verschijnt niets vreemds op jóuw telefoon, want de criminelen betalen vanaf hun eigen toestel. Slachtoffers ontdekken het meestal pas wanneer ze hun bank- of creditcardoverzicht controleren en een afschrijving zien die ze niet herkennen.
Hoe die verificatiestap in de praktijk wordt omzeild, verschilt per geval. Beveiligingsonderzoekers documenteerden begin dit jaar internationaal al een aanpak waarbij criminelen zich telefonisch voordoen als medewerker van een betaaldienst, vertellen dat er ‘een verdachte transactie is tegengehouden’ en vervolgens vragen om de bevestigingscode die het slachtoffer net per sms ontving hardop voor te lezen, precies de code die nodig is om een pas op een nieuw toestel te activeren. Of de Nederlandse meldingen op dezelfde manier zijn ontstaan, meldt de Fraudehelpdesk niet expliciet, maar het patroon laat wel zien waarom een simpele sms-code niet altijd genoeg bescherming biedt: die code is alleen veilig zolang jij hem voor jezelf houdt.
Zes signalen
Zo herken je deze fraude.
Een verzoek om een verificatiecode
Niemand van je bank, Apple of Google heeft ooit een reden om je te bellen of te appen en te vragen de code die je zojuist per sms ontving hardop voor te lezen.
Afschrijvingen die je niet herkent
Omdat criminelen vanaf hun eigen telefoon betalen, merk je zelf niets, tot het bedrag op je rekening- of creditcardoverzicht verschijnt. Controleer die overzichten daarom geregeld.
Haast bij een ‘beveiligingsmelding’
Een telefoontje dat opeens dringend is en je onder druk zet om snel iets te bevestigen, is een klassiek signaal, ook als het gesprek heel professioneel klinkt.
Een link in een onverwacht bericht
Een sms of mail met een link naar een inlogscherm waar je je kaartgegevens moet invullen, is de meest voorkomende manier waarop deze fraude begint.
Kaartgegevens invullen op een onbekende site
Een nepwebshop of een besmette site kan genoeg zijn om je gegevens te bemachtigen, zonder dat je zelf iets vreemds opmerkt.
Dezelfde regel als bij een verdacht telefoontje
Eerst checken. Dan handelen.
Wat deze fraude vooral laat zien: een verificatiecode is er niet voor niets. Geen bank, geen Apple, geen Google belt of appt je ooit om een code die je net per sms kreeg hardop voor te lezen, ook niet als het gesprek heel geloofwaardig klinkt en de ‘medewerker’ al veel van je lijkt te weten, zoals je naam of de laatste cijfers van je pasnummer. Die kennis komt vaak uit een eerder datalek en bewijst niets over wie er nu echt aan de lijn is. Leg op, en bel zelf terug via een nummer dat je al kende, van je bankpas, de officiële app, of de achterkant van je creditcard, niet via het nummer dat belde of dat in een sms werd meegestuurd.
Stappenplan
Zo bescherm je jezelf.
- 1
Controleer je afschriften regelmatig
Loop bank- en creditcardoverzichten met enige regelmaat na. Omdat deze fraude stil verloopt, is dat vaak de enige manier om het op tijd te ontdekken.
- 2
Deel nooit een kaartnummer, cvc-code of verificatiecode
Niet via de telefoon, niet via sms, niet via een link in een mail. Een echte bank of betaaldienst vraagt dit nooit op deze manier.
- 3
Reageer niet op onverwachte berichten over je pas
Klik niet op links in sms’jes of mails die zich voordoen als bank, Apple of Google. Ga bij twijfel zelf naar de officiële app of website.
- 4
Blokkeer direct bij een melding over een onbekend toestel
Krijg je een bericht dat je pas is toegevoegd aan een apparaat dat niet van jou is? Bel dan meteen je bank of creditcardmaatschappij om de pas te blokkeren.
- 5
Meld verdachte transacties meteen
Herken je een afschrijving niet? Neem direct contact op met je bank of creditcardmaatschappij en doe aangifte bij de politie.
Al schade geleden?
Dit kun je nog doen.
Zie je een afschrijving die je niet herkent? Bel dan direct je bank of creditcardmaatschappij en laat de pas blokkeren, hoe eerder je dit meldt, hoe kleiner de kans op verdere schade. Vraag ook meteen na of er een nieuwe pas op een onbekend toestel is toegevoegd, zodat die apart kan worden ingetrokken. Doe daarna aangifte bij de politie via politie.nl en meld het voorval bij de Fraudehelpdesk. Zo help je niet alleen jezelf, maar ook anderen: hoe meer meldingen er binnenkomen, hoe sneller banken en betaaldiensten vergelijkbare fraude kunnen opsporen en nieuwe gevallen kunnen herkennen.
Veelgestelde vragen
Zijn Apple Pay en Google Pay zelf onveilig?+
Nee. Beide diensten zijn goed beveiligd; er is geen sprake van een hack of lek in de techniek. Het probleem ontstaat doordat criminelen elders gestolen kaartgegevens gebruiken om een pas op hún toestel te activeren.
Merk ik zelf iets als mijn kaartgegevens zo worden misbruikt?+
Meestal niet meteen. Omdat criminelen vanaf hun eigen telefoon betalen, verandert er niets aan jouw toestel of Wallet-app. Je ziet het pas terug op je bank- of creditcardoverzicht.
Moet ik ooit een verificatiecode aan iemand doorgeven die belt?+
Nee, nooit. Een verificatiecode is bedoeld om te bevestigen dat jij het bent, niet om aan een beller te geven, wie die ook beweert te zijn. Leg op en bel zelf terug via een bekend nummer.
Bron
Dit artikel is gebaseerd op de waarschuwing van de Fraudehelpdesk over fraude via Apple Pay en Google Pay, zoals gemeld door Hart van Nederland en HCC!digitaalveilig (juli 2026).
Gepubliceerd: 28 juli 2026