Spoofing veroorzaakte in 2021 voor 261 miljoen euro aan schade in het betalingsverkeer. Bijna honderdduizend Nederlanders waren slachtoffer van deze vorm van online fraude. Driekwart van de gedupeerden maakte zelf het geld over naar de oplichter.
Dat meldt het Centraal Bureau voor de Statistiek (CBS) in het rapport 'Veiligheidsmonitor 2021'. Het onderzoek brengt het slachtofferschap in kaart en hoe Nederlanders over veiligheid denken. Het CBS voert het onderzoek iedere twee jaar uit in opdracht van het ministerie van Justitie en Veiligheid. Bij de laatste editie namen ruim 173.000 Nederlanders van 15 jaar en ouder mee.
Vorig jaar werden er in totaal 4,2 miljoen delicten gemeld waar slachtoffers directe financiële schade aan overhielden. Dat is een optelsom van traditionele vormen van criminaliteit, zoals diefstal en vernieling, en cybercrime. De totale schade voor beide vormen kwam in 2021 uit op 2,5 miljard euro.
Digitale criminaliteit
Fraude met online aankopen -zowel aankoop- als verkoopfraude- kwam het vaakst voor. Daarvan werden 1,3 miljoen meldingen gedaan. Tegelijkertijd is het een vorm van fraude waarbij de schade het laagst lag. Bij de helft van de meldingen lag het schadebedrag onder de 50 euro.
Naar schatting maakten cybercriminelen het afgelopen jaar zich 157.000 keer schuldig aan fraude in het betalingsverkeer. In 82.000 gevallen ging het om bancaire fraude. Daarbij probeert een oplichter op criminele wijze, veelal via phishing, toegang te krijgen tot de bankrekening van zijn slachtoffer. Hij maakt dan geld over van de bankrekening van zijn slachtoffer naar zijn eigen rekening.
Spoofing populair bij internetcriminelen
Een andere vorm van online oplichting die voor veel slachtoffers en financiële schade zorgt, is spoofing. Internetcriminelen bellen dan naar mensen waarvan ze de nodige persoonsgegevens in bezit hebben. Deze informatie kopen ze veelal via het darkweb, of via criminele kennissen in hun omgeving.
Door speciale software verschijnt niet hun privénummer in beeld, maar het telefoonnummer van een vertrouwde instantie, zoals een bank. Degene die gebeld wordt denkt dan dat hij met een bankmedewerker te maken heeft. Als de zogenaamde werknemer vervolgens vertelt dat er zich ‘verdachte activiteiten’ hebben voorgedaan op zijn rekening en dat hij direct in actie moet komen, leidt dat vaak tot financiële schade voor het slachtoffer.
In 2021 zorgde spoofing voor 97.000 slachtoffers. Het schadebedrag wordt geschat op 261 miljoen euro. Dat is goed voor 11 procent van de totale schade door online criminaliteit. In driekwart van de gevallen maakte het slachtoffer zelf geld over naar de fraudeurs. Dat zorgde voor een schadepost van 187 miljoen euro.
Bankspoofing, waarbij een oplichter zich voordoet als een bankmedewerker, eiste 18.000 slachtoffers. De helft van de gedupeerden had een financiële schade van minimaal 4.000 euro. De totale schade door bankspoofing kwam vorig jaar uit op 94 miljoen euro. Banken vergoedden driekwart van de schade, wat neerkomt op 70 miljoen euro.
Andere populaire vormen
WhatsApp-fraude en andere vormen van vriend-in-noodfraude veroorzaakte voor 73 miljoen euro aan schade. Zo’n 26.000 Nederlanders werden de dupe van deze vorm van fraude. De helft van hen betaalde ten minste 2.000 euro lichter aan oplichters die zich voordeden als vrienden, familieleden, collega’s of kennissen. 25 miljoen euro werd vergoed door banken, creditcardmaatschappijen en online betaaldiensten, of terugbetaald door verdachten.
Helpdeskfraude zorgde in 2021 voor 14 miljoen euro aan financiële schade. Een bedrag van 4 miljoen euro werd vergoed of terugbetaald. Het versturen van nepboetes en valse facturen -ook wel Business Email Compromise genoemd- was goed voor een schadepost van 3 miljoen euro. Twee derde daarvan werd vergoed door financiële instellingen. De resterende schade van 77 miljoen euro werd veroorzaakt door andere vormen van spoofing. Ongeveer een derde (21 miljoen euro) is gecompenseerd, 56 miljoen euro kwam voor rekening van de slachtoffers.
Slachtoffers van cybercriminelen fors toegenomen
In de Cybersecuritymonitor 2021 die in juli verscheen, concludeerde het CBS al dat het aantal slachtoffers van cybercriminelen in de afgelopen tien jaar fors was toegenomen. Uit het onderzoek bleek dat jongeren tot 25 jaar doorgaans vaker het slachtoffer waren. In 2021 was gemiddeld één op de vijf jongeren van 15- tot 25-jarigen het slachtoffer van internetcriminelen. Onder 65-plussers was dit ongeveer één op de acht (12 procent). Ongeveer een vijfde van alle slachtoffers (19 procent) deed aangifte bij de politie.
Op basis van eigen cijfers berekende de Fraudehelpdesk dat er in de eerste helft van dit jaar al voor meer dan 21 miljoen euro aan schade was gemeld door online fraude. Dat is ruim 2,5 miljoen euro meer in vergelijking met dezelfde periode een jaar eerder. 18.738 slachtoffers meldden zich in de eerste zes maanden van dit jaar bij de Fraudehelpdesk.
Bron: cbs.nl, vpngids.nl
Bekijk alle vormen en begrippen
Blijf op de hoogte en schrijf je in voor de wekelijkse nieuwsbrief op zondag om 19:00
Meer actueel nieuws
Kifid kantelt aansprakelijkheid bij bankhelpdeskfraude, Kanters Lieshout gehackt en AI coderingstools blijven dominant risico
De woensdag en donderdag van 29 en 30 april 2026 leverden drie ontwikkelingen op die de afgelopen weken in een ander licht stellen. Het Kifid heeft de drempel voor "grof nalatig" bij bankhelpdeskfraude fors hoger gelegd, banken zijn voortaan vaker zelf aansprakelijk en moeten in beginsel het volledige niet toegestane bedrag terugbetalen, terwijl Belgische politiezones Minos, Rupel en Hekla infoavonden organiseren tegen een aanhoudende stijging van meldingen. Cybercrimeinfo verifieerde een tip over de overgenomen website van waterspecialist Kanters Lieshout, waar een opportunistische actor 0,1 bitcoin afpersing eist via Twitter contact, een ander profiel dan de gevestigde ransomwaregroepen die NL en BE de afgelopen weken raakten. En na de eerdere PocketOS-database-vernietiging in S02E51 zijn er nu vier nieuwe AI tool incidenten op een week tijd, Cursor met een onopgeloste extensiekwetsbaarheid (CursorJacking, CVSS 8.2), Jerry's Store dat zelf 345.000 creditcards openbaarde via een AI vibecoding fout, een gepatchte Gemini CLI met CVSS 10.0 score, en staatssecretaris Aerdts (Digitale Economie) die formeel waarschuwt tegen autonome AI assistenten zoals OpenClaw op systemen met persoonsgegevens. Daarnaast breidde de Mini Shai-Hulud campagne van TeamPCP uit van vier SAP CAP npm pakketten naar PyTorch Lightning op PyPI plus intercom-client en intercom-php op Packagist, vier ecosystemen tegelijk binnen 36 uur.
Gezocht: koerier na bankhelpdeskfraude in Veenendaal en Almere
Een vrouw uit Veenendaal werd op 27 februari 2026 slachtoffer van bankhelpdeskfraude. Een nepbankmedewerker belde haar op, waarna een koerier aan de deur kwam en haar gouden ringen, gouden kettingen, contant geld en bankpas meenam. Met de buitgemaakte pinpas werd vervolgens gepind in winkels en bij geldmaten in Veenendaal en Almere. In totaal werd ruim 5.500 euro afhandig gemaakt. De politie zoekt de verdachte koerier.
Apt73 raakt twee Belgische organisaties, ChipSoft claimt data vernietigd en LiteLLM actief misbruikt
De maandag en dinsdag van 27 en 28 april 2026 leverden drie ontwikkelingen op die de discussie van de afgelopen weken doortrekken. De ransomwaregroep Apt73 plaatste op een dag twee Belgische organisaties op het lekplatform, een Oost-Vlaams staalbedrijf en een Waalse zorggroep met meerdere ziekenhuizen. ChipSoft meldde dat de eerder deze maand gestolen patiëntengegevens niet zijn gepubliceerd en volgens eigen onderzoek zijn vernietigd, een claim die volledig leunt op de mededeling van de aanvaller. En de open source LLM proxy LiteLLM wordt sinds ongeveer 36 uur na publieke disclosure actief misbruikt om API sleutels van OpenAI, Anthropic en Bedrock te stelen. Daarnaast bevestigde Vimeo een datalek via het analyseplatform Anodot, lekte LAPSUS$ 96 GB Checkmarx data ook via clearnet portals en werden tientallen Visual Studio Code extensies op Open VSX besmet met de GlassWorm credential stealer. Drie supply chain aanvallen op een week tijd, plus een data lek bij AI trainingsbedrijf Mercor van 4 TB stemopnamen gekoppeld aan paspoorten van 40.000 contractors.
ShinyHunters bij ADT en Udemy, DigiD blijft bij Solvinity en Palantir bij de Marechaussee
Het weekend van 24 tot en met 26 april 2026 leverde drie ontwikkelingen op die de discussie van eerdere weken doortrekken. ShinyHunters publiceerde binnen 24 uur twee grote slachtoffers, ADT en Udemy, beide via vishing tegen een SSO-account. Het kabinet besloot daarnaast om DigiD bij Solvinity te houden, ondanks Kamerverzet en een aangekondigde Amerikaanse overname. En WOO stukken openbaarden dat de Koninklijke Marechaussee jarenlang gebruik maakte van Palantir, terwijl de minister dat in een Kamerantwoord ontkende. Daarnaast staan in Nederland en België 3.793 Zimbra servers ongepatcht, voegde CISA vier actief misbruikte CVE's toe aan de Known Exploited Vulnerabilities catalogus en publiceerde Silverfort een privilege escalation in Microsoft Entra Agent ID die inmiddels is gepatcht.
ChipSoft ransomware, Rituals 41 miljoen en FIRESTARTER
Woensdag en donderdag brachten drie onwelkome waarheden voor Nederlandse en Belgische organisaties. Een Nederlandse zorgsoftware-leverancier onderhandelt met een ransomwaregroep over 100 GB aan patiëntdata, een bekend Nederlands cosmeticamerk verliest persoonsgegevens van 41 miljoen leden wereldwijd, en CISA onthult dat aanvallers via nieuwe FIRESTARTER-malware persistente toegang behouden tot Cisco-firewalls, ook nadat organisaties keurig patchen. Daarnaast waarschuwden de MIVD en NCSC-UK voor Chinese cyberoperaties, nadert de CISA KEV-deadline van 28 april voor SharePoint, Defender en beide Cisco ASA-CVE's, en openbaarde Socket een supply chain-aanval op de Checkmarx KICS Docker-images die CI/CD-pijplijnen wereldwijd raakt.
Odido massaclaim, Vercel via AI tool en Kentico direct actief misbruikt
Maandag en dinsdag brachten twee tempoverhogingen in het Nederlandse en Belgische dreigingsbeeld. Consumers United in Court startte maandag een collectieve rechtszaak tegen Odido waarin de meldplicht en de bewaartermijn van miljoenen gegevens centraal staan, diezelfde dag dook een dataset met 400.000 Bol.com klantrecords op hackfora op. Dinsdag maakte Vercel openbaar dat een AI-presentatietool op één medewerkersapparaat het startpunt was van een complete Google Workspace overname, losgeldeis twee miljoen dollar via de ShinyHunters-persona. CCB Belgium en CISA KEV zetten tegelijkertijd drie CVE's in het rood waarvan JetBrains TeamCity een EPSS van 92 procent scoort, Kentico Xperience een CVSS van 9.8 kent en PaperCut NG/MF als ransomwarevector bekend staat. Kaspersky analyseerde de voorheen ongedocumenteerde Lotus wiper die medio december 2025 Venezolaanse energie- en nutsbedrijven trof, en de Franse identiteitsdocumenten-instantie ANTS bevestigde een datalek waarbij een dreigingsactor op hackfora claimt tot negentien miljoen records te bezitten. BeyondTrust publiceerde het dertiende Microsoft Vulnerabilities Report waarin de kritieke kwetsbaarheden in 2025 verdubbelden ondanks een daling in totaal aantal. De Noord-Koreaanse actor UNC1069 en Kaspersky's analyse van FakeWallet in de Chinese Apple App Store onderstrepen dat cryptocurrency en Web3 professionals een hoofddoel blijven.