Steeds meer Nederlanders krijgen te maken met een nieuwe vorm van online oplichting die niet via e-mail of sms binnenkomt, maar rechtstreeks in hun digitale agenda verschijnt. Cybersecurity-experts waarschuwen voor zogenoemde kalenderphishing, waarbij oplichters misbruik maken van agenda-uitnodigingen om slachtoffers naar nepwebsites te lokken of persoonlijke gegevens buit te maken.

Omdat veel mensen hun agenda als een betrouwbare omgeving beschouwen, kan deze methode extra misleidend zijn.

Verdachte afspraak tussen je echte afspraken

Het begint vaak onschuldig. Je opent je agenda om een afspraak te controleren en ziet plotseling een gebeurtenis die je niet zelf hebt ingepland.

De titel kan bijvoorbeeld verwijzen naar een openstaande betaling, een verlopen abonnement of een beveiligingsmelding. In de afspraak staat vaak een link of een telefoonnummer met de oproep om direct actie te ondernemen.

Juist omdat de melding in de eigen agenda verschijnt, zijn sommige mensen eerder geneigd erop te vertrouwen dan op een verdachte e-mail.

Wat is kalenderphishing?

Kalenderphishing is een vorm van phishing waarbij criminelen gebruikmaken van digitale agenda-uitnodigingen.

Vaak worden deze uitnodigingen verzonden als een standaard kalenderbestand (.ics), dat door agenda-apps zoals Google Calendar, Outlook en Apple Agenda automatisch kan worden verwerkt.

Afhankelijk van de instellingen van de gebruiker kan zo’n uitnodiging direct in de agenda verschijnen, ook wanneer deze afkomstig is van een onbekende afzender.

Hoe komen oplichters aan je e-mailadres?

Voor deze vorm van oplichting hoeven criminelen geen toegang te hebben tot je agenda.

Vaak beschikken zij alleen over een e-mailadres. Dat kan afkomstig zijn uit eerdere datalekken, openbare websites, sociale media of adressenbestanden die online circuleren.

Met geautomatiseerde systemen versturen ze vervolgens duizenden agenda-uitnodigingen tegelijk in de hoop dat een deel van de ontvangers op de link klikt.

Zo proberen criminelen slachtoffers te misleiden

De nepafspraken bevatten meestal een korte, urgente boodschap.

Zo kan er worden beweerd dat een betaling is mislukt, een account wordt geblokkeerd of een abonnement binnenkort afloopt. Vervolgens wordt de ontvanger gevraagd op een link te klikken of contact op te nemen met een telefoonnummer.

Wie daarop ingaat, kan terechtkomen op een vervalste website waar persoonlijke gegevens, inloggegevens of betaalinformatie worden gevraagd.

In sommige gevallen proberen oplichters slachtoffers telefonisch over te halen om geld over te maken of software te installeren.

Waarom Google Calendar vaak wordt genoemd

Volgens cybersecurityspecialisten komt kalenderphishing relatief vaak voor bij gebruikers van Google Calendar.

Bij sommige accounts worden agenda-uitnodigingen automatisch toegevoegd, afhankelijk van de gekozen instellingen. Daardoor kunnen onbekende uitnodigingen ongemerkt tussen gewone afspraken verschijnen.

Ook gebruikers van Outlook en Apple Agenda kunnen echter met vergelijkbare phishingpogingen te maken krijgen.

Zo verklein je de kans op kalenderphishing

Experts adviseren gebruikers om de instellingen van hun agenda te controleren.

Bij Google Calendar kun je instellen dat uitnodigingen pas worden toegevoegd nadat je ze zelf hebt geaccepteerd. Daarmee voorkom je dat onbekende afspraken automatisch in je agenda verschijnen.

Ook bij Outlook en Apple Agenda is het verstandig om de instellingen voor agenda-uitnodigingen en spamfilters na te lopen.

Klik niet zomaar op links

Zie je een afspraak die je niet herkent? Dan is het verstandig om niet direct op links of telefoonnummers te klikken.

Controleer eerst of de uitnodiging afkomstig is van een bekende afzender. Twijfel je? Verwijder de afspraak en markeer deze indien mogelijk als spam.

Cybersecurity-experts benadrukken dat betrouwbare organisaties doorgaans geen dringende betaalverzoeken of beveiligingsmeldingen via een agenda-uitnodiging versturen.

Extra beveiliging helpt

Ook tweestapsverificatie (2FA) kan de gevolgen van phishing beperken.

Wanneer iemand onverhoopt toch zijn inloggegevens invoert op een valse website, biedt een extra verificatiestap vaak nog een extra beveiligingslaag tegen misbruik.

Daarom adviseren deskundigen om tweefactorauthenticatie in te schakelen voor belangrijke accounts, zoals e-mail, bankieren en sociale media.

Verdachte berichten melden

Wie een verdachte agenda-uitnodiging ontvangt, kan daarvan melding maken bij de Fraudehelpdesk. Wanneer er daadwerkelijk sprake is van financiële schade of identiteitsfraude, is het daarnaast verstandig om aangifte te doen bij de politie.

Door meldingen te verzamelen krijgen instanties beter inzicht in nieuwe vormen van online oplichting en kunnen anderen sneller worden gewaarschuwd.

Blijf alert

Kalenderphishing laat zien dat cybercriminelen voortdurend nieuwe manieren zoeken om mensen te misleiden.

Hoewel de methode relatief eenvoudig is, kan zij effectief zijn doordat veel gebruikers hun digitale agenda als een veilige omgeving beschouwen.

Daarom blijft de belangrijkste regel onveranderd: ontvang je een onverwachte melding waarin wordt aangedrongen op een snelle betaling, het invoeren van gegevens of het bellen van een onbekend nummer, controleer dan altijd eerst of het bericht afkomstig is van een betrouwbare bron. Een paar minuten extra controleren kan veel problemen voorkomen.