Kennisbank · 14 september 2026

ING-nepmail: 14.652 euro als lokaas

Door Sander Vermeer

Het is kwart over negen, de vaatwasser loopt en je checkt nog even je mail. Bovenaan staat een bericht in ING-oranje: je hebt 14.652 euro ontvangen van ene J. de Vries. Je nieuwe saldo is 24.652 euro. Er zit een grote oranje knop onder. Je weet niet wie J. de Vries is, en precies daarom wil je klikken.

Die mail is nep. Opgelicht?! waarschuwde er maandag 14 september 2026 voor. De storting komt zogenaamd van rekeningnummer NL82 INGB 0123 45, met als omschrijving “Betaling factuur #2026-09” en een transactiekenmerk van willekeurige letters en cijfers. Je wordt aangesproken met het eerste deel van je mailadres. Dat voelt persoonlijk, maar de oplichters hoeven daarvoor alleen je adres te lezen. Libelle pikte de waarschuwing dezelfde avond op.

Waarom klik je sneller op geld dat je krijgt?

De meeste phishing werkt met angst: je rekening is geblokkeerd, er staat een boete open, je pas verloopt. Deze mail draait dat om. Er gaat niets mis, er komt iets bij. Dat maakt hem gevaarlijker dan hij lijkt. Wie bang is, zoekt naar een reden om te twijfelen. Wie denkt dat er geld binnenkomt, zoekt naar een reden om te kijken. Het bedrag is bovendien specifiek gekozen. 14.652 euro klinkt als een echte factuur, niet als een rond lokbedrag van tienduizend.

Een tweede truc zit in het rekeningnummer. Dat is afgekapt na “0123 45”, zoals je bank dat ook weleens doet om een nummer af te schermen. Het ziet er daardoor zorgvuldig uit. Maar een afgeschermd nummer kun je niet controleren, en dat is voor de afzender precies de bedoeling.

Drie adressen, geen van drieën van ING

Volgens Libelle begint het afzenderadres met “ing-info”, maar na het apenstaartje staat stsoins-recrutement.com. Dat domein heeft niets met de bank te maken. Wij zochten het op in het openbare domeinregister: het bestaat al sinds 25 november 2015. Een oud domein dus, geen haastig geregistreerde nepsite. Wie leert dat nieuwe domeinen verdacht zijn, trapt hier alsnog in.

Onder in de mail staan contactgegevens: een mailadres op het domein ing-ok-de.nl en het telefoonnummer 020 123 4327. Dat domein is volgens de registratiedienst van SIDN, die de .nl-domeinen beheert, niet eens geregistreerd. Een mail naar dat adres komt nergens aan. De knop leidt naar een adres dat eindigt op systeme.io, een platform waarop je zelf webpagina’s en formulieren in elkaar zet. Voor de naam van het platform staat een lange reeks letters en cijfers. Opgelicht?! somt op welke afzenders ING wel gebruikt: adressen die na het apenstaartje eindigen op ing.nl, ing.com, mail.ing.nl, emailing.ing.nl, verzekeren.ing.nl, businessboost.nl, emailing.businessboost.nl of ingprivatebanking.nl. En ING stuurt nooit een link om direct in te loggen in Mijn ING of de ING App.

Train op het einde van het adres, niet op een scheef logo

Wij vinden dat deze mail laat zien waar veel training de mist in gaat. Het logo klopte hier niet helemaal, en dat noemt Opgelicht?! ook terecht. Libelle schreef juist dat de opmaak professioneel is. Beide kan waar zijn. Op een telefoonscherm van 6 inch zie je een logo dat een paar pixels verschuift niet. Wie oefent met “let op spelfouten en een lelijk logo”, oefent op de oplichter van vijf jaar geleden. De vraag die bij deze mail altijd werkt, is één vraag: waar eindigt het adres? Niet waar het begint, want daar zet de oplichter “ing” neer. Bij een mailadres is dat het stuk na het apenstaartje. Bij een link is het het stuk vlak voor de eerste enkele schuine streep na https://. Staat daar geen ing.nl of een van de adressen hierboven, dan ben je klaar met lezen.

“Schaam je niet” is waar, maar niet genoeg

Opgelicht?! en Libelle sluiten allebei af met de boodschap dat je je niet hoeft te schamen als je erin trapt. Dat klopt, en wij schrijven het zelf ook vaak. Het heeft alleen een zwakke kant. Schaamte weghalen helpt pas als er daarna ook iets gebeurt: snel melden, snel de bank bellen. Een team dat “het kan iedereen overkomen” zegt maar niet meet hoe snel mensen een klik melden, weet niet of de boodschap aankomt. Hoe je dat meet, lees je in ons stuk over de meldratio na een phishingsimulatie. Waarom schaamte het melden juist blokkeert, staat in phishingtraining zonder schaamte.

Staat die 14.652 euro in je eigen app?

Krijg je deze mail, open dan niet de mail maar je bank-app, die je zelf opstart. Staat de storting er niet, dan weet je genoeg. Dat werkt bij elke mail over geld die binnen zou komen, van elke bank. Heb je al geklikt en iets ingevuld? Bel dan de klantenservice van ING via het nummer in de app of op de officiële website, verander de wachtwoorden die je gebruikte en zet tweestapsverificatie aan. Werk je met een team? Stuur deze mail dan als oefening door: laat collega’s in tien seconden aanwijzen waar het adres eindigt. Eerder zagen we ING ook al misbruikt worden in een nepmail over de ING-scanner en Wero.

De volgende mail heeft een ander bedrag

Dit soort golven komt terug met een nieuw bedrag, een nieuwe naam en een ander platform achter de knop. Blijft de truc hetzelfde, geld dat je zogenaamd krijgt, dan helpt dezelfde ene vraag. Het adres verandert, de plek waar je kijkt niet.