Wie de laatste tijd een oproep heeft gekregen om de dochter van een kennis naar een gratis dansles te stemmen, moet oppassen. Achter het ogenschijnlijk barmhartige initiatief schuilen hackers die je whatsappaccount kunnen overnemen.
‘Hallo, zou je op Eliska willen stemmen? Ze is de dochter van een vriendin van mij. De eerste prijs is een gratis dansles, en dat zou heel veel voor haar betekenen!’
Dat berichtje is het begin van een vernuftige nieuwe scam waarmee hackers toegang kunnen krijgen tot whatsappaccounts. Daardoor kunnen ze alle contacten berichtjes sturen.
De hackers gaan op slinkse wijze te werk. Wie op de link uit het bericht klikt, komt op de website van een nepballetschool uit Praag. Daarop staan foto’s van twee jonge ballerina’s die meedoen aan een wedstrijd. Eliska staat op plek twee: met vijf extra stemmen neemt ze de eerste plek over. Om die stem te verifiëren, hoeft het slachtoffer van de scam alleen nog zijn telefoonnummer te geven en een ontvangen code in te voeren.
Ghost pairing
De hackers gebruiken de koppelfunctie waarmee mensen WhatsApp op meerdere apparaten kunnen gebruiken. Met het telefoonnummer en de verificatiecode kunnen ze hun apparaat aan accounts toevoegen – ghost pairing heet die techniek. Zo kunnen ze contacten op dezelfde manier vragen om op Eliska te stemmen, waardoor er een sneeuwbaleffect ontstaat.
Die contacten kunnen ze ook om geld vragen. ‘Dat zijn de klassieke scams: ‘Pap, ik heb een nieuw nummer, kun je even wat overmaken?’, vertelt Michel van Eeten, hoogleraar cybersecurity aan de TU Delft. ‘Maar die appjes komen meestal van onbekende nummers. Omdat de hackers dit kunnen vragen in bestaande gesprekken met mensen die je al kent, is deze tactiek waarschijnlijk effectiever.’
Ook het ‘ontzettend onschuldige’ verzoek dat de hack in gang zet, is onderdeel van het succes, denkt Van Eeten. ‘Twee keer klikken, en iemand is geholpen. Er wordt niet om geld gevraagd. Het is een manier om je even goed te voelen.’ Volgens hem roept de verificatie bij de meeste mensen geen argwaan op. ‘Dit moet je aan de lopende band doen bij competities, om te voorkomen dat mensen honderd keer op zichzelf gaan stemmen.’
Explosieve toename
Het aantal phishingpraktijken neemt explosief toe. De Fraudehelpdesk kreeg in de eerste helft van 2026 ruim vijftienduizend phishingmeldingen, meer dan vijf keer zoveel als in de eerste helft van 2025. Ook ziet de desk dat criminelen steeds vaker over opvallend veel persoonlijke informatie beschikken, waardoor hun berichten overtuigender worden. Die trend ‘kan niet los gezien worden van de vele datalekken in het afgelopen halfjaar’, aldus de Fraudehelpdesk.
Hoeveel mensen door de Eliska-scam zijn getroffen, is lastig te zeggen. ‘Wij houden geen aantallen per soort scam bij’, vertelt een woordvoerder van de politie. De Fraudehelpdesk heeft de afgelopen week wel tientallen meldingen over de Eliska-scam ontvangen. Eerder dit jaar kregen ze ook meldingen over een soortgelijke truc die rondging op Instagram, vertelt hun woordvoerder.
Om de infiltratie stop te zetten, kan een getroffene via WhatsApp het apparaat van de hackers ontkoppelen. Lastiger is het om je contacten te waarschuwen: accounts die veel berichten sturen, worden soms 24 uur door WhatsApp aan banden gelegd. Toch ligt de schuld voor het incident niet bij die app, zegt cybersecurityprofessor van Eeten. ‘WhatsApp doet precies waarvoor het is ontworpen. De gebruiker wordt misleid.’
Geselecteerd door de redactie
Source: Volkskrant