Je verwacht bij een bericht over je account een gewone melding, eventueel met een korte vraag om opnieuw in te loggen. Wat er vaak binnenkomt, is een mail of sms die bijna niet van het echte bericht te onderscheiden is en die je naar een nepsite stuurt om je inloggegevens en bankgegevens te stelen. Je herkent zo’n poging aan de afzender, de toon en vooral het webadres waar de knop naartoe leidt. Dat adres controleer je nog voordat je klikt, en het adres van de echte site van het casino vind je via casoola-ned.nl.
Een speler ontvangt een nepbericht van Casoola
Waarom lijkt de eerste mail zo overtuigend?
Op een dinsdagavond landt er een mail in de inbox van de speler, met als afzendernaam Casoola. De onderwerpregel meldt dat het account tijdelijk is vergrendeld door een afwijkende inlogpoging, en de tekst vraagt om binnen korte tijd te bevestigen dat de gebruiker de eigenaar van het account is. Het logo staat op de juiste plek, de opmaak lijkt op eerdere mails van het casino en er zitten geen taalfouten in. Alleen de tijdsdruk valt op. De speler leest de mail twee keer, ziet de knop ‘account ontgrendelen’ en denkt dat zo’n melding wel echt moet zijn.
Wat gebeurt er nadat de speler op de knop klikt?
De knop leidt naar een pagina die het inlogscherm van Casoola nabootst. De opmaak is vrijwel gelijk, alleen het webadres bevat een extra woord en eindigt op een domein dat de speler niet kent. De speler vult het e-mailadres en wachtwoord in en krijgt daarna een verificatiestap te zien. Die vraagt om een bevestigingscode en om gegevens van de betaalkaart, zogenaamd om het account te ontgrendelen. Op dat moment heeft de speler zijn inloggegevens al afgestaan en staat hij op het punt om kaartgegevens in te vullen, terwijl niets op de pagina bewijst dat het om een officieel onderdeel van het casino gaat.
Waarom volgt er daarna nog een sms?
Een paar minuten later verschijnt er een sms op de telefoon van de speler. De tekst stelt zich voor als het beveiligingsteam van Casoola en vraagt om een kleine bijdrage te bevestigen via een link, anders wordt het account definitief geblokkeerd. Het afzendernummer lijkt op een echt nummer. De speler denkt dat het bericht bij de eerdere mail hoort en klikt opnieuw. Pas als de bankapp een melding toont van een onbekende poging, wordt duidelijk dat de bevestiging nooit om het casino ging, maar om de betaalkaart.
De speler deed één ding goed en meerdere dingen fout
Goed was dat de speler de kaartgegevens niet invulde op de nepbetaalpagina, en dat de bankapp de afwijking zichtbaar maakte. Fout was vrijwel alles daarvoor. De speler keek naar de afzendernaam en de opmaak, niet naar het webadres. Hij gaf inloggegevens af op een pagina die niet van het casino was en reageerde op een tweede bericht zonder het eerste na te lopen. Die fouten ontstonden door de tijdsdruk die de tekst bewust oproept, en die druk werkt op bijna iedereen die er niet op let.
- Een afzendernaam zegt niets, want die is eenvoudig na te maken.
- Het webadres van de knop is leidend, ook als de pagina er precies uitziet als het origineel.
- Een verificatie die om kaartgegevens vraagt, hoort niet via een mail of sms te lopen.
- Tijdsdruk in een bericht is een reden om te stoppen, niet om sneller te klikken.
Zo reageer je de volgende keer op een verdacht bericht
Begin met het webadres. Ga bij twijfel niet via de link in het bericht, maar typ het adres van het casino zelf in of gebruik een bladwijzer die je eerder hebt opgeslagen. Controleer daar je account en kijk in het berichtencentrum of er een echte melding staat. Wat je wilt weten over uitbetalingen, inzetvereisten of betaalmethoden, vind je in de voorwaarden en in de kassa van je account, en niet in een bericht dat je onverwacht bereikt. Een vraag kun je ook via het helpcentrum stellen, maar gebruik daarvoor geen link uit het bericht zelf.
Heb je al iets ingevuld, dan geldt een andere volgorde. Wijzig het wachtwoord van je account meteen via de instellingen, en gebruik een wachtwoord dat je nergens anders gebruikt. Laat je bank de kaart blokkeren als er gegevens zijn ingevoerd en meld de nepmail of sms bij je provider. Let de komende dagen ook op de afschriften en de meldingen van je account, want oplichters doen vaak een tweede poging. Geef een bevestigingscode nooit door aan iemand die contact met je opneemt, ook niet als die zich voordoet als medewerker van het casino.
Wat deze phishingpoging laat zien
De kern van dit geval is dat het bericht vertrouwen wil wekken voordat je nadenkt. Wie het webadres, de tijdsdruk en de vraag om kaartgegevens naast elkaar legt, ziet de oplichting zonder hulp van buitenaf.
Kan een nep-sms van een bekend nummer komen?
Ja, afzendernummers zijn te vervalsen. Een bekend nummer bewijst dus niets, en het webadres in de sms blijft de maatstaf.
Wat moet je doen als je de link al hebt geopend?
Vul niets meer in, wijzig direct je wachtwoord en laat je bank de kaart controleren. Meld de poging daarna bij je provider.
Hoe controleer je of een melding van het casino echt is?
Ga zelf naar de site via je bladwijzer of een adres dat je eerder hebt opgeslagen en controleer je account. Een echte melding staat daar ook.
