Kennisbank · 20 augustus 2026

ING Scanner-phishing: zo oefen je het

Door Sander Vermeer

Er gaan phishingmails rond met als onderwerp “De scanner stopt ermee – dit is wat u moet doen”. De boodschap: vanaf 19 augustus kun je niet meer betalen met de ING Scanner, dus voer even een eenmalige verificatie uit. Doe je dat niet, dan wordt je rekening tijdelijk geblokkeerd. De link gaat naar een phishingsite, meldt Security.NL op basis van een mail die de Fraudehelpdesk publiceerde.

Dit is een scenario dat je deze week zo in je training kunt hangen, want het is een van de lastigste soorten: de aanleiding klopt gewoon.

Waarom deze mail zo goed werkt

De ING Scanner verdwijnt echt uit het betaalverkeer. iDEAL gaat over in Wero, en de scanner is technisch niet geschikt voor Wero-betalingen. Klanten moeten straks de app gebruiken. Dat is geen verzinsel van een oplichter, dat is het nieuws van de afgelopen weken, inclusief boze klanten en 50Plus, dat de minister van Financiën erbij wil halen.

De oplichter hoeft dus niets te verzinnen. Hij hoeft alleen de datum naar voren te halen. In de echte overgang is het najaar het moment; in de mail is het 19 augustus, en daarmee is het ineens vandaag. Dat is de hele truc: een echte verandering plus een verzonnen deadline.

En let op wie deze mail raakt. De mensen die nog met de scanner betalen zijn precies de mensen die de app níét gebruiken. Vaak ouder, vaak minder zeker over online bankieren, en nu al onrustig omdat hun vertrouwde apparaat verdwijnt. Een mail die zegt “u moet iets doen, anders zit u zonder rekening” landt daar veel harder dan bij een collega die al drie jaar met de app pint.

De vier signalen in deze mail

Signaal	Wat je ziet
Verzonnen deadline	“vanaf 19 augustus niet meer mogelijk”, terwijl de echte overgang later dit jaar is
Dreiging met blokkade	“wij blokkeren uw account tijdelijk” als je niet op tijd bent
Handeling die niet bestaat	“eenmalige verificatie” is geen bankproces, maar klinkt als iets uit een bankmail
Meegeleverde uitleg	een vriendelijke alinea over waarom de app fijner is, om de mail echt te laten lijken

Die laatste is de interessantste voor je training. Klassieke phishing valt op door haast en dreiging. Deze mail doet ook aan uitleg, in de toon van een klantcommunicatie. Wie zijn medewerkers alleen op boze taal en spelfouten leert letten, laat deze glippen.

Zo zet je hem in als oefening

Houd het klein, drie stappen in een half uur:

1. Laat de mail zien zonder context en vraag: welke datum staat hier, en waar zou je die controleren? Het antwoord is niet “in de mail”, maar in de app of op de site die je zelf intikt.
2. Vraag daarna: stel dat de deadline wél klopte, wat zou je bank dan van je vragen? Nooit een verificatie via een link. Dat verschil is de les.
3. Laat iedereen de mail melden zoals het bij jullie hoort, en meet hoeveel meldingen er binnenkomen. Hoe je dat netjes bijhoudt, staat in ons stuk over meldratio meten na een phishingtraining.

Doe er meteen de telefoonvariant bij. Een campagne die per mail werkt, komt vaak binnen een week ook als telefoontje langs: “u heeft onze mail over de scanner gezien, ik help u even door de verificatie heen.” Dat oefen je apart, want aan de telefoon werkt herkennen anders dan op een scherm. Wij zetten dat uiteen bij vishing oefenen.

Het patroon dat je hierna weer ziet

Elke aangekondigde verandering in het betaalverkeer is voer voor phishing. De scanner die verdwijnt, een lek bij een leverancier, een nieuw pasje: het zijn allemaal momenten waarop klanten toch al een mail verwachten. Bij het CEVA-lek gebeurde precies hetzelfde, alleen wisten de phishers daar het ordernummer erbij te zetten.

De gouden regel die je erin wilt slijpen: een echte deadline kun je altijd ergens anders terugvinden dan in de mail die hem noemt. Kun je dat niet, dan is de mail zelf het probleem.