Fraudehelpdesk

Uw datalek is hun grondstof: hoe gelekte gegevens oplichters geloofwaardiger maken

Het aantal phishingmeldingen bij de Fraudehelpdesk is in de eerste helft van 2026 vervijfvoudigd ten opzichte van vorig jaar. De verklaring is niet alleen meer criminaliteit — het is betere criminaliteit, gevoed door de vele datalekken van het afgelopen half jaar.

Door Sander 8 september 2026 3 min leestijd

Dit sluit aan op onze eerdere posts over datalekken bij Avans Hogeschool en de ISD Brabantse Wal.

De cijfers

De Fraudehelpdesk ontving in de eerste helft van 2026 ruim 15.000 phishingmeldingen. Dat is vijf keer zoveel als een jaar eerder. Het aantal phishingmeldingen bij de Fraudehelpdesk steeg van 2.776 in de eerste zes maanden van 2025 naar 15.106 in dezelfde periode dit jaar.

Het aantal mensen dat daadwerkelijk geld kwijtraakte liep op van 124 naar 443. De gemelde schade door phishing groeide in het eerste half jaar van 113.574 naar 491.793 euro.

De kern: datalekken maken oplichters geloofwaardiger

Met de gegevens die door datalekken op straat komen te liggen weten oplichters hun geloofwaardigheid te vergroten, zo stelt de Fraudehelpdesk.

De Fraudehelpdesk signaleert dat melders vaker aangeven dat criminelen beschikken over opvallend veel persoonlijke informatie. Daardoor lijken berichten, e-mails en telefoontjes overtuigender en wordt het voor consumenten en bedrijven moeilijker om echt van nep te onderscheiden.

Zo werden bij Odido de persoonlijke gegevens van ruim zes miljoen mensen buitgemaakt en op internet gepubliceerd nadat de telecomprovider weigerde losgeld te betalen. Mensen die phishing bij de Fraudehelpdesk melden zeggen dat de oplichters over opvallend veel persoonlijke informatie beschikken.

Dit is de reden waarom een datalek nooit een geïsoleerd incident is. De gegevens die vandaag lekken, worden morgen, volgende maand of over een jaar ingezet in een aanval op een heel andere plek — bij een bank, een webshop, of via een nep-sms van de belastingdienst.

Booking.com: het patroon in de praktijk

Veel van de phishingmeldingen hadden betrekking op boekingsites en dan vooral Booking.com. Criminelen weten de accounts van hotels en andere accommodaties te hacken die op Booking.com actief zijn. Vanuit deze gehackte accounts worden berichten naar gasten gestuurd, bijvoorbeeld over een verificatie of het doen van een betaling.

Ruim negentig procent van de meldingen over phishing via boekingssites heeft betrekking op Booking.com. Daarnaast valt vooral het gebruikte kanaal op. In 95 procent van deze meldingen werden mensen benaderd via WhatsApp.

In veel gevallen bevatte het bericht gedetailleerde informatie over een bestaande reservering. Slachtoffers konden boekingsgegevens inzien en kregen vervolgens het verzoek hun reservering te bevestigen of een aanvullende betaling te doen via een meegestuurde link.

Dit voorbeeld illustreert het probleem exact: de oplichter hoeft geen overtuigend verhaal te verzinnen. Hij heeft de echte boekingsgegevens al — naam, verblijfsdatum, hotelnaam, bedrag. Dat maakt het bericht onmiddellijk geloofwaardig, omdat het klopt.

Oplichters wisselen constant van kanaal

"De cijfers laten zien dat oplichters voortdurend van kanaal wisselen wanneer dat in hun voordeel werkt", aldus de Fraudehelpdesk.

E-mail werd bij 59% van de phishingmeldingen genoemd, tegenover 30% een jaar eerder. Sms en telefonische phishing namen af. WhatsApp nam licht toe.

Deze verschuiving is relevant voor hoe organisaties hun eigen medewerkers en klanten trainen. Bewustwordingstrainingen die zich richten op "let op verdachte e-mails" alleen, missen het bredere patroon: fraudeurs volgen simpelweg waar mensen reageren, en dat kanaal verschuift voortdurend.

Ook AI speelt een rol

Deze trend staat niet op zichzelf. In gerelateerde berichtgeving over bankhelpdeskfraude wordt een vergelijkbaar patroon beschreven: waar een helpdeskfraudeur in 2019 nog maar één tool gebruikte, zijn dat er anno 2026 wel zes. Daarmee kunnen de fraudeurs zich realistischer dan ooit voordoen als echte bankmedewerker. De combinatie van gelekte persoonsgegevens met AI-tools voor spoofing en stemnabootsing maakt fraude aantoonbaar overtuigender dan enkele jaren geleden.

Dit sluit direct aan bij wat we eerder beschreven in onze post over AI als aanvalswapen: de technologie zelf verandert niet fundamenteel wat aanvallers doen, maar maakt bestaande aanvalsmethoden schaalbaarder en overtuigender.

Wat dit betekent voor uw organisatie

Dit verhaal heeft twee kanten voor bedrijven.

Als potentieel slachtoffer van een datalek:
Elke organisatie die klantgegevens verwerkt, draagt een verantwoordelijkheid die verder reikt dan het eigen incident. Gelekte gegevens van uw klanten worden mogelijk maanden of jaren later ingezet tegen diezelfde klanten, bij compleet andere partijen. Dit onderstreept waarom preventie — zoals we beschreven in onze posts over supply chain-beveiliging en IoT-beveiliging — zo zwaar weegt: de schade van een lek eindigt niet bij de eerste melding.

Als potentieel doelwit van fraude via uw eigen kanalen:
Als uw organisatie klantcommunicatie voert via e-mail, sms of WhatsApp, is uw merk een potentieel voertuig voor phishing — zoals bij Booking.com. Dit vraagt om actieve monitoring van misbruik van uw merknaam en heldere, consistente communicatie naar klanten over hoe u wél en nooit contact opneemt.

Praktische maatregelen

Voor organisaties die klantdata verwerken

Beperk wat u opslaat — dataminimalisatie verkleint de impact van een toekomstig lek
Communiceer een vast patroon naar klanten — laat weten dat u nooit via WhatsApp om betalingen vraagt, bijvoorbeeld
Monitor misbruik van uw merknaam — zoekopdrachten en meldingen kunnen vroege signalen van een phishingcampagne zijn
Waarschuw klanten proactief bij een eigen datalek — hoe eerder mensen weten dat hun gegevens zijn gelekt, hoe alerter ze zijn op vervolgmisbruik

Voor bewustwordingstrainingen

Train op kanaalwisseling, niet alleen op e-mail — WhatsApp- en sms-phishing groeien, terwijl trainingen vaak nog primarily op e-mail focussen
Leer mensen wantrouwig te zijn ondanks correcte details — de aanwezigheid van kloppende persoonlijke informatie is geen bewijs van legitimiteit meer
Wijs op de combinatie met AI — stemnabootsing en realistische spoofing maken "ik herkende de stem" geen betrouwbare verificatie meer