UW PAS HOORT
IN UW PORTEMONNEE.

Wie gebeld wordt door iemand die zegt van de bank te zijn, weet inmiddels vaak dat hij geen pincode of inlogcode moet geven. Oplichters weten dat ook. Daarom vragen ze tegenwoordig iets wat veel onschuldiger klinkt: of u uw betaalpas even tegen de achterkant van uw telefoon wilt houden. Op 21 september 2026 waarschuwde Safeonweb, het Belgische overheidsplatform voor online veiligheid, voor precies deze truc. Security.NL nam de waarschuwing over voor Nederlandse lezers.

Het verloop is steeds ongeveer hetzelfde. U wordt gebeld door iemand die zich voordoet als medewerker van uw bank, uw telefoonaanbieder of een ander bedrijf. Er zou iets aan de hand zijn: een verdachte betaling die geblokkeerd moet worden, of een simkaart die om veiligheidsredenen vernieuwd moet worden. Om dat op te lossen stuurt de beller u via WhatsApp een link of een bestand, met het verzoek een app te installeren. Die app ziet er officieel uit, maar is in werkelijkheid schadelijke software.

Dan komt het verzoek waar het allemaal om draait. De app, of de beller, vraagt u uw betaalpas tegen uw smartphone te houden, en vaak ook om uw pincode in te tikken. Moderne telefoons hebben een chip voor contactloos betalen, die ook de chip van een betaalpas kan uitlezen. De nep-app gebruikt die functie om de gegevens van uw pas op te vangen en ze direct door te sturen naar de oplichters. Volgens Safeonweb kunnen zij daarmee op afstand betalingen doen, zonder dat ze uw pas ooit in handen hebben gehad.

Helemaal nieuw is de techniek niet. Beveiligingsbedrijf ESET beschreef in 2024 de schadelijke software NGate, waarmee criminelen in Tsjechië de gegevens van betaalpassen via de telefoon van het slachtoffer doorstuurden en vervolgens met hun eigen telefoon geld opnamen bij een geldautomaat. Wat er sindsdien veranderd is, is de schaal en de aanpak. Beveiligingsbedrijf Kaspersky zag het aantal van deze aanvallen op Android-telefoons in de eerste vier maanden van 2026 met 188 procent stijgen ten opzichte van een jaar eerder, meldde Android Planet in juni. En waar het eerst begon met een sms’je, begint het nu steeds vaker met een overtuigend telefoongesprek.

De aanvallen die tot nu toe zijn beschreven, richten zich vooral op Android-telefoons. Daarop kunt u makkelijker een app installeren die niet uit de officiële winkel komt, en dat is precies wat de oplichter van u vraagt. Heeft u een iPhone, dan bent u daarmee nog niet buiten schot: het telefoongesprek zelf, met het verzonnen probleem en de druk om snel te handelen, kan net zo goed bij u binnenkomen, alleen met een ander verzoek aan het eind. De les is dus niet ‘welke telefoon heeft u’, maar ‘wat vraagt de beller van u’.

Waarom werkt het? Omdat het verzoek niet aanvoelt als iets gevaarlijks. Een pincode noemen voelt verkeerd, dat heeft iedereen wel eens gehoord. Maar een pasje tegen een telefoon houden? Dat lijkt op wat u bij de kassa ook doet. Bovendien heeft de beller u eerst laten schrikken met een probleem, en voelt het alsof u samen met de bank iets aan het oplossen bent. Dat gevoel van samenwerking is precies wat oplichters willen. U bent niet aan het twijfelen, u bent aan het helpen.

Daar komt bij dat het nummer op uw scherm u op het verkeerde been kan zetten. Oplichters kunnen het nummer van uw bank laten verschijnen terwijl ze zelf ergens anders zitten. Waarom dat zo makkelijk gaat, leest u in ons artikel over spoofing. En ook de haast hoort bij het draaiboek: de beller wil dat u alles doet terwijl hij aan de lijn blijft, zodat u geen moment krijgt om na te denken. Daarover schreven we in waarom haast altijd een waarschuwingssignaal is.

De truc lijkt op een andere vorm van fraude die we eerder beschreven: oplichters die u laten helpen om uw pas toe te voegen aan Apple Pay of Google Pay op hún telefoon. Meer daarover leest u in dit artikel. In beide gevallen geldt dezelfde eenvoudige regel. Uw bank vraagt u nooit aan de telefoon om een app te installeren via een link, nooit om uw pas tegen uw telefoon te houden en nooit om uw pincode. Vraagt iemand dat toch, dan weet u genoeg: ophangen.

Twijfelt u of het echt uw bank was? Hang op en bel uw bank zelf terug, via het nummer op de achterkant van uw betaalpas of op de officiële website. Doe dat bij voorkeur met een andere telefoon, of wacht een paar minuten, zodat u zeker weet dat de oplichter de lijn niet openhoudt. Een echte bankmedewerker vindt het nooit vervelend als u eerst controleert.