In de afgelopen weken ontvangen steeds meer inwoners van Leiden verdachte berichten via WhatsApp. Op het eerste gezicht lijkt het een onschuldig verzoek van een bekende om te stemmen op een danswedstrijd of een andere wedstrijd. De tekst bevat een vriendelijke aanspreking, een link en soms een belofte van een kleine prijs, waardoor de ontvanger geneigd is op de URL te klikken. In werkelijkheid is de link een nepwebsite die door criminelen wordt beheerd; zodra de gebruiker een telefoonnummer invoert of een verificatiecode doorgeeft, ontstaat er een stilzwijgende koppeling tussen het slachtoffer-account en een apparaat dat de oplichters beheersen.
De techniek achter de “ghost pairing”-aanval
De methode wordt door beveiligingsexperts aangeduid als ghost pairing. In plaats van malware te installeren, lokt de oplichter het slachtoffer eerst een kleine actie, bijvoorbeeld het invoeren van een zes-cijferige code of het scannen van een QR-code. Deze stap geeft de crimineel toestemming om het WhatsApp-account te koppelen aan een externe computer of tablet. Doordat WhatsApp standaard de mogelijkheid biedt om gesprekken op meerdere apparaten te synchroniseren, blijft de telefoon van het slachtoffer normaal functioneren terwijl de aanvaller alle inkomende en uitgaande berichten kan lezen en zelf berichten kan verzenden naar de volledige contactlijst.
Controleren of er onbekende apparaten gekoppeld zijn
Gelukkig biedt de app zelf een eenvoudige manier om eventuele ongewenste koppelingen te detecteren. Open WhatsApp, tik rechtsboven op de drie puntjes (Android) of onderaan op “Instellingen” (iPhone) en kies vervolgens “Gekoppelde apparaten”. Hier wordt een lijst weergegeven van alle computers en telefoons die momenteel toegang hebben tot jouw account. Een onbekend apparaat kun je direct selecteren en op “Uitloggen” klikken; de verbinding wordt dan verbroken en de kwaadwillende verliest zijn toegang. Deze controle kost slechts een paar seconden, maar kan een potentiële datalek volledig voorkomen.
Preventieve maatregelen en herstelprocedures
Naast het periodiek controleren van gekoppelde apparaten raadt de politie en consumentenplatform Kassa aan om tweestapsverificatie in te schakelen. Met deze extra beveiligingslaag moet elke nieuwe aanmelding niet alleen de zes-cijferige SMS-code ontvangen, maar ook een secundaire bevestiging via de app zelf. Mocht je toch de toegang tot je account verliezen, dan kun je het nummer opnieuw registreren. WhatsApp stuurt dan opnieuw een verificatiecode, waarna alle eerdere sessies – inclusief die van de oplichters – automatisch worden beëindigd. Het is tevens verstandig om contact op te nemen met de persoon die het verdachte bericht heeft doorgestuurd, om te verifiëren dat hij of zij geen ongeautoriseerde activiteit onderneemt.
De afgelopen maanden hebben zowel Nederlandse als internationale politie-eenheden meerdere gevallen van deze oplichterij gemeld. In Duitsland wordt al wekenlang gewaarschuwd tegen dezelfde tactiek, en in Nederland heeft de AIVD melding gemaakt van gerichte cybercampagnes tegen overheidsmedewerkers, hoewel die niet direct gerelateerd zijn aan de WhatsApp-stemfraude. Het gezamenlijke signaal is helder: blijf kritisch op onverwachte verzoeken, controleer je gekoppelde apparaten en gebruik twee-factor-authenticatie om je digitale communicatie veilig te houden.
