Stel, je telefoon trilt en er staat een sms op je scherm: je hebt 18.400 punten en ze verlopen vandaag. Dat exacte saldo komt uit een echt voorbeeldbericht dat onderzoekers verzamelden. Even blijft je duim boven het scherm hangen, want 18.400 klinkt als iets wat je niet zomaar weggooit. En dan pas komt de vraag die alles oplost: punten waarvan eigenlijk?
Malwarebytes volgt sinds begin mei een grote sms-campagne die precies zo werkt, en zette de cijfers deze week op een rij in een analyse van de T-Mobile-puntencampagne. De onderzoekers vonden meer dan duizend nauw verwante sjablonen; de 199 meest gelijkende kwamen op een onderlinge gelijkenisscore van minstens 0,95. In vier maanden gebruikten de criminelen minstens 81 domeinen, steeds van het type t-mobile.willekeurigewoordreeks[.]top, die telkens kort in de lucht hingen.
Alleen het saldo en de datum wisselen
Wat er per bericht verandert, is opvallend weinig: de aanhef, de kop, het puntensaldo, de vervaldatum en of het bericht zichzelf een herinnering, een waarschuwing of een belangrijke update noemt. De kern blijft identiek. De aanhef is bovendien altijd algemeen, van het soort “Geachte T-Mobile-klant”, nooit je eigen naam en nooit een gegeven dat je kunt nakijken. Dat is geen slordigheid van de maker. Eén sjabloon met duizend kleine variaties glipt beter langs filters dan duizend keer hetzelfde bericht, en een vervaldatum van vandaag of morgen haalt de tijd weg om na te denken.
In Nederland heet die provider al drie jaar anders
Hier zit het snelste antwoord voor de Nederlandse ontvanger, en het heeft niets met techniek te maken. T-Mobile Nederland is in 2023 opgegaan in Odido. Krijg je hier een sms van T-Mobile over je klantenpunten, dan gaat het over een merk dat in dit land geen klanten meer heeft. Sterker nog, ook in de Verenigde Staten klopt het verhaal niet: techjournalist Marsha Collier wees er in juni al op dat T-Mobile helemaal geen puntenprogramma met vervaldatums heeft en geen groeps-sms’jes stuurt. Het spaarprogramma waar het bericht je aan herinnert, bestaat dus niet. Dat is een hardere controle dan welke link- of afzendercheck ook.
Het merk staat vooraan in de link, de echte domeinnaam niet
Wij schrijven al jaren: kijk naar het domein. Bij deze campagne is dat precies het advies dat mensen de fout in helpt. Op een telefoonscherm leest t-mobile.qfrhkt[.]top van links naar rechts als “t-mobile puntje iets”, en daar staat het merk vooraan, netjes gespeld. Wie geleerd heeft om de merknaam in de link te zoeken, vindt hem. Het deel dat telt, de echte domeinnaam vlak voor de landcode, staat verderop en valt buiten beeld. We houden het advies overeind voor de mail, maar op een klein scherm is de vraag “bestaat dit programma überhaupt” nuttiger dan de vraag “klopt deze link”.
Eén kanttekening bij de cijfers zelf, want ze zijn niet neutraal. De tellingen komen uit de sms-bescherming van Malwarebytes’ eigen mobiele beveiligingsapp. Ze zeggen dus iets over wat de gebruikers van dat product ontvingen, niet over hoeveel Nederlanders zo’n bericht kregen. Het patroon is bruikbaar, het volume niet.
Open de app van je eigen provider, niet de link
Doe dit vanavond, ook als je zo’n sms niet hebt gehad: open de app van je eigen provider en kijk of daar überhaupt een spaar- of puntenprogramma in staat. Weet je dat, dan kost het je bij het volgende bericht geen twee seconden twijfel meer. Kreeg je hem wel, verwijder hem en klik niets aan. Hoe je een link veilig nakijkt, staat in een verdachte link controleren zonder te klikken, wat je doet als het toch misging in op een phishinglink geklikt: wat nu, en het Nederlandse zusje van deze truc beschreven we bij de Odido-sms met een nepdomein.
De campagne piekte twee keer en is daarna afgezwakt, maar de sjablonenfabriek erachter staat er nog. Let dus op het moment dat ditzelfde bericht terugkomt met een merk dat hier wél bestaat, met een spaarprogramma dat wél bestaat. Dan valt de makkelijkste controle weg en blijft alleen de saaie over: zelf de app openen.