--- title: "Nep-DPD-sms zet je pas in Google Pay" date: 2026-09-12 author: "Redactie Phishingchecker" featured_image: "https://phishingchecker.nl/wp-content/uploads/2026/09/google-pay-phishing-bankpas-pakket-sms.jpg" categories: - name: "Uncategorized" url: "/category/uncategorized.md" --- # Nep-DPD-sms zet je pas in Google Pay Je verwacht een pakket. Er komt een sms binnen: de postcode klopt niet, of je die even wilt aanpassen. Dat kost een euro. Je vult je gegevens in, betaalt en legt je telefoon weg. Een paar uur later staat iemand in Amsterdam bij een zelfscankassa cadeaukaarten af te rekenen, met jouw bankpas op zijn telefoon. Dat is geen verzonnen voorbeeld. De politie zoekt de verdachte in een zaak rond een inwoner van Raalte en een inwoner van Apeldoorn. Beiden kregen een bericht dat van pakketbezorger DPD leek te komen, klikten op de link en deelden hun bankgegevens. In winkels in onder meer Amsterdam kochten de oplichters daarna voor ruim 2.100 euro aan spullen, [schrijft de politie in het opsporingsbericht](https://www.politie.nl/gezocht/opsporingsbericht/2026/september/02-phishing-in-oost-nederland-leidt-naar-amsterdam). Dat bericht draagt de datum 5 april en is op 10 september bijgewerkt. [FOK! beschreef de zaak vandaag](https://frontpage.fok.nl/nieuws/893983/1/1/50/bankpas-via-phishing-sms-gekoppeld-aan-de-telefoon-van-oplichter.html) uitgebreider, met een politiewoordvoerder erbij: de man uit Raalte raakte 1.200 euro kwijt, zijn pas werd via Google Pay aan een onbekende telefoon gekoppeld die dezelfde dag in Amsterdam opdook, en daarmee werden bij een drogist en een supermarkt onder meer scheersets, kattenvoer en een stapel cadeaubonnen betaald. Op diezelfde telefoon stond ook de pas van de inwoner van Apeldoorn. ## Waarom hoeft een oplichter je pas niet meer te stelen? Betaal je met Google Pay of Apple Pay, dan gebruikt je telefoon een digitale versie van je pas. Die digitale pas kan ook op een ander toestel belanden. FOK! schrijft dat daar geen fysieke pas voor nodig is: wie zijn gegevens invult op een phishingpagina, inclusief eventuele wachtwoorden en codes, geeft criminelen genoeg om de pas op hun eigen telefoon te zetten. Vanaf dat moment betaalt die telefoon contactloos alsof jij het bent. De politie beschreef in [een ander opsporingsbericht](https://www.politie.nl/gezocht/opsporingsbericht/2026/september/05-google-pay-account-misbruikt-middels-creditcardgegevens) zo’n geval uit april, en daar zie je de truc stap voor stap. Een man verwachtte echt een pakket, kreeg een sms over een onjuiste postcode en moest 1 euro betalen om die aan te passen. Hij vulde zijn creditcardgegevens in. Op 21 april zag zijn bank verdachte afschrijvingen: iemand had met die gegevens een Google Pay-account aangemaakt en kocht in twee supermarkten binnen korte tijd een stapel cadeaukaarten, met een tas en toiletpapier erbij. Zijn eigen pas zat al die tijd gewoon in zijn portemonnee. Nieuw is de methode niet meer. De Fraudehelpdesk krijgt sinds februari meldingen van deze vorm van fraude, [meldde Hart van Nederland in juli](https://www.hartvannederland.nl/advies-en-tips/waarschuwen/artikelen/fraude-apple-pay-google-pay-waarschuwing). De gemiddelde schade is ruim 1.000 euro, één slachtoffer verloor 2.100 euro. Let wel: dat zijn meldingen. Wie niets meldt, telt niet mee, dus hoe vaak het echt gebeurt, weet niemand. In juni vertelde een vrouw uit Udenhout [bij Omroep Brabant](https://www.omroepbrabant.nl/nieuws/6012776/let-op-nieuwe-phishingtruc-geeft-oplichters-toegang-tot-je-digitale-pinpas) dat ze dacht een rekening van haar creditcardmaatschappij te betalen. Daarna kreeg ze een melding dat haar wallet was geactiveerd. Ze vertrouwde het niet en belde meteen haar bank, maar met de andere telefoon werd al geld opgenomen bij een geldautomaat in Amsterdam. ## Een melding achteraf is te laat, de bank moet het vooraf vragen Wij vinden dat banken en creditcardmaatschappijen de drempel bij deze ene stap omhoog moeten brengen. Je pas op een nieuwe telefoon zetten is een grote stap: dat toestel kan daarna overal betalen. In het geval uit Udenhout kwam het bericht over de geactiveerde wallet pas toen het al gebeurd was. Dat is een mededeling, geen vraag. Stel dat je bank bij elke koppeling aan een onbekend toestel in zijn eigen app los vraagt: zet je deze pas nu op een nieuwe telefoon? Dan zie je zwart op wit wat er gebeurt, in plaats van dat het wegvalt achter een betaling van een euro voor een postcode. Hoe elke bank dit nu precies regelt, verschilt en is voor een klant lastig na te gaan. Juist daarom zou het één duidelijke, aparte stap moeten zijn. ## “Klik nooit op een link” helpt de man met het echte pakket niet Het standaardadvies, ook van ons, is: klik niet op links in sms’jes en open zelf de app van de bezorger. Dat klopt nog steeds. Maar het is ook een beetje te makkelijk. De man uit het aprilbericht verwachtte echt een pakket. Wie een bericht krijgt dat precies past bij wat hij op dat moment verwacht, denkt niet aan phishing. Een advies dat alleen werkt als je nooit een fout maakt, beschermt vooral de mensen die toch al opletten. Daarom leggen we de lat liever óók bij de stap die de oplichter nodig heeft, het koppelen van je pas, en niet alleen bij jouw klikgedrag. Wat wel altijd opgaat: moet je een euro betalen om een postcode te wijzigen, dan is dat het moment om te stoppen. Meer herkenningspunten staan in ons stuk over [nepbezorging per sms](https://phishingchecker.nl/smishing-pakketdienst-nepbezorging-herkennen/). En na het CEVA-datalek schreven we al dat [berichten over je pakket soms verrassend goed kloppen](https://phishingchecker.nl/ceva-datalek-phishing-golf/). ## Zet het blokkeernummer van je pas nu in je telefoon In de zaak uit Raalte werd het geld dezelfde dag uitgegeven. Tijd is dus alles. Zoek vandaag in de app of op de site van je bank het nummer om je betaalpas te blokkeren, en doe hetzelfde voor je creditcard. Sla ze op in je contacten onder een naam die je in paniek meteen terugvindt, bijvoorbeeld “Pas blokkeren”. De Fraudehelpdesk raadt daarnaast aan om je afschrijvingen regelmatig na te lopen en bij een verdachte betaling direct de kaart te laten blokkeren. Heb je al gegevens ingevuld op zo’n pagina? Lees dan [wat je doet als je op een phishinglink hebt geklikt](https://phishingchecker.nl/op-phishinglink-geklikt-wat-nu/), bel je bank en doe aangifte. ## Herkent iemand de man op de camerabeelden? De politie vraagt in beide zaken om tips over de man op de beelden, via 0800-6070 of anoniem via Meld Misdaad Anoniem op 0800-7000. Levert dat een aanhouding op, dan wordt zichtbaar waar zo’n gekoppelde pas daarna blijft, en hoeveel slachtoffers er achter één telefoon schuilgaan.