Ergens in een bankapp staat nog een periodieke overboeking die u vier jaar geleden hebt ingesteld en sindsdien niet meer hebt aangeraakt. Elke maand vertrekt daar een bedrag naar de Belastingdienst, naar een rekeningnummer dat u ooit uit een blauwe envelop hebt overgetikt. Dat nummer is sinds 1 mei niet meer het nummer.
De Belastingdienst maakte woensdag de tussenstand bekend. Bijna vier maanden na de overstap naar de Rabobank komt 90 procent van de betalingen binnen op de nieuwe rekeningnummers. De rest gaat nog naar het oude nummer. In datzelfde persbericht waarschuwt de dienst zelf voor het bijeffect: bij wijzigingen in betaalgegevens is er kans op phishing, omdat criminelen valse berichten over zo’n nieuw nummer kunnen versturen.
Wie iets moet aanpassen, en wie niets hoeft te doen
Het onderscheid is scherper dan het klinkt en het scheelt veel onnodige onrust. Betaalt u via iDEAL of Wero binnen een portaal van de Belastingdienst, of loopt het via automatische incasso, dan worden de gegevens automatisch ingevuld en hoeft u niets te veranderen. Het gaat mis bij de betaling die u zelf hebt ingericht: een periodieke overboeking, bijvoorbeeld voor de termijnen van een betalingsregeling, met een rekeningnummer dat u er handmatig in hebt gezet. Die staat nog waar u hem liet staan. Het overzicht van alle actuele rekeningnummers staat op belastingdienst.nl/bank.
De campagne vanaf 7 september maakt het aas beter
Hier zit onze mening, en het gaat niet over de overstap zelf maar over de timing. Vanaf 7 september zet de Belastingdienst radio- en online-advertenties in om mensen nogmaals op het nieuwe rekeningnummer te wijzen, en de boodschap staat tot eind dit jaar op de blauwe envelop. Dat is begrijpelijk beleid en het zal die laatste tien procent zeker helpen. Het heeft alleen een keerzijde die te weinig wordt benoemd: vanaf dat moment is een advertentie over een gewijzigd rekeningnummer van de Belastingdienst iets volstrekt normaals.
Dat is precies het decor waarin een phishingbericht onzichtbaar wordt. Een nepmail hoeft dan geen dringend verhaal meer te verzinnen, want het echte verhaal ligt al op straat en klinkt uit de radio. Wij zagen dat patroon eerder bij nepberichten over de aanslag van GBLT: hoe bekender de aanleiding, hoe minder een bericht hoeft te overtuigen. De Belastingdienst noemt dit zelf een herhaling: mensen worden “nogmaals” geattendeerd. Maar een herhaalslag die vier maanden na de wijziging op radio en online losgaat, verbreedt vooral het publiek dat dit onderwerp normaal vindt.
Wie hier een schandaal van maakt, overdrijft
En dan het ongemakkelijke deel voor onze eigen kant, want de securityhoek maakt hier makkelijk te veel van. Er zijn op dit moment geen aanwijzingen dat betalingen op het oude nummer misgaan: de Belastingdienst vraagt om de gegevens aan te passen, niet om een verloren betaling terug te halen. Wat de dienst er niet bij zegt, is tot wanneer dat oude nummer bereikbaar blijft. Bij een bankovergang is zo’n overgangsperiode meestal eindig, en juist dat is reden om het gewoon nu aan te passen in plaats van te wachten tot iemand een datum noemt. De echte kwetsbaarheid is smaller: het gaat om mensen die door een bericht over dit onderwerp worden overgehaald om zelf iets aan te passen. Dat is een reëel risico, maar het is niet hetzelfde als een probleem met de overstap.
Open vanavond het overzicht van uw periodieke overboekingen
Eén ding, en dat kan vanavond in twee minuten. Open uw bankapp, ga naar het overzicht van periodieke overboekingen en kijk of er een betaling aan de Belastingdienst tussen staat. Staat die er, vergelijk het nummer dan met de lijst op belastingdienst.nl/bank. U doet dat in uw eigen app, dus u klikt op geen enkele link uit een bericht. Dat is meteen de kern: de Belastingdienst vraagt nooit via e-mail, sms, berichtenapps of telefoon om betaalgegevens of om direct geld over te maken. Krijgt u zo’n bericht toch, gebruik dan dezelfde methode als bij een verdacht betaalverzoek: controleren buiten het bericht om.
Na 7 september wordt de eerste golf zichtbaar
Het moment om op te letten is de week na de campagnestart. In de dossiers die wij bijhouden komen berichten die op een lopende campagne meeliften doorgaans pas ná de start van die campagne binnen, niet ervoor. Wie in die week een mail of sms krijgt over een gewijzigd rekeningnummer, kijkt dus naar precies het scenario waar de Belastingdienst zelf voor waarschuwde. Hoe zo’n bericht er in de praktijk uitziet, staat in onze eerdere analyse van nepmails namens de Belastingdienst en het CJIB.