Voorbeelden van vishing en smishing: 12 telefoontjes en sms'jes die medewerkers echt krijgen

In het kort: Vishing is phishing via een telefoontje of spraakbericht. Smishing is phishing via sms of een chatapp. Beide werken omdat een telefoon persoonlijk voelt: geen link om met je muis boven te hangen, geen spamfilter, weinig tijd om na te denken. Hieronder staan zes telefoontjes en zes berichten, elk met een voorbeeldtekst, de werkwijze en de signalen. Het patroon verandert nooit: iemand met wie jij geen contact zocht wil een code, een login of een betaling, en wel nu.

Zijn de termen nieuw voor je? Begin dan bij wat is vishing en wat is smishing. Elk script hieronder is een voorbeeld dat we zelf schreven, met verzonnen namen en plekhouders als [je bank].

Waarom phishing via de telefoon blijft groeien

De APWG zag vishing in het tweede kwartaal van 2026 met 20% stijgen en smishing met 40%. CrowdStrike mat een stijging van 442% in vishing tussen de eerste en de tweede helft van 2024. In het Data Breach Investigations Report 2026 van Verizon was de mediane klikratio 2% bij simulaties via de telefoon, tegen 1,4% bij e-mail.

De 12 voorbeelden in één oogopslag

6 voorbeelden van vishing

1. De IT helpdesk die je MFA code nodig heeft

Wat je hoort: "Met Daniel van de IT servicedesk. We zien mislukte inlogpogingen op je account. Ik stuur je nu een code. Kun je die even voorlezen?"

Hoe het werkt: de beller heeft je wachtwoord al en mist alleen de tweede factor. Retool werd zo op 27 augustus 2023 gehackt: één code, voorgelezen aan een deepfake stem van "IT", gaf toegang tot 27 klantaccounts. In 2025 beschreef Google een groep die medewerkers belt als IT support om bij Salesforce data te komen, en het bedrijf werd zelf ook geraakt.

Herkennen en stoppen: een code waar je niet om vroeg. Hang op en bel de helpdesk op het interne nummer.

2. De fraudeafdeling van de bank

Wat je hoort: "U spreekt met de fraudeafdeling van [je bank]. We hebben een betaling van € 1.950 tegengehouden. Ik help u het saldo over te zetten naar een veilige rekening."

Hoe het werkt: het nummer op je scherm is vervalst. Nephelpdesks waren in 2025 de fraudevorm die particulieren het vaakst meldden bij de Fraudehelpdesk: 17.264 meldingen, tegen 9.492 in 2024.

Herkennen en stoppen: een "veilige rekening" of software voor hulp op afstand. Hang op en bel het nummer op je pas.

3. Het spraakbericht van de "CEO"

Wat je hoort: "Met Mark. Ik stap zo in het vliegtuig. We ronden vandaag een overname af en ik wil dat jij een vertrouwelijke betaling regelt. Dit blijft even tussen ons."

Hoe het werkt: AI kloont een stem uit een webinar of podcast. In juli 2024 kreeg een directielid van Ferrari een telefoontje met de stem van CEO Benedetto Vigna over een geheime deal, meldde Bloomberg. Hij vroeg welk boek Vigna hem net had aangeraden. De beller hing op. Zie ook onze voorbeelden van CEO fraude en de deepfake awareness training.

Herkennen en stoppen: een onbekend nummer en geheimhouding. Stel een vraag die alleen de echte persoon kan beantwoorden.

4. De leverancier met een nieuw rekeningnummer

Wat je hoort: "Met Sophie van [leverancier]. We zijn overgestapt naar een andere bank. Ik mail je het nieuwe rekeningnummer. Wil je het aanpassen vóór de betaalrun van deze maand?"

Hoe het werkt: door het telefoontje lijkt de mail die volgt verwacht. Je volgende factuur wordt aan de aanvaller betaald, en niemand merkt het tot de herinnering van de leverancier binnenkomt.

Herkennen en stoppen: een rekeningnummer dat per telefoon wijzigt. Bel het contact uit je eigen administratie en laat een tweede persoon akkoord geven.

5. Het telefoontje van de technische support

Wat je hoort: "Ik bel namens het beveiligingsteam van [softwareleverancier]. Uw computer is besmet. Gaat u even achter uw toetsenbord zitten."

Hoe het werkt: je opent als "bewijs" een onschuldig systeemlogboek en installeert daarna software voor hulp op afstand. Vanaf dat moment ziet de beller je wachtwoorden en het bedrijfsnetwerk.

Herkennen en stoppen: leveranciers bellen gebruikers niet over besmettingen. Hang op en meld het bij IT.

6. Het terugbelnummer in een factuurmail

Wat je leest en hoort: "Je abonnement is verlengd voor € 389,99. Was jij dit niet? Bel [nummer]." Aan de telefoon: "Ik hoef alleen even mee te kijken op uw scherm voor de terugbetaling."

Hoe het werkt: geen link, geen bijlage, dus filters laten de mail door. Je belt zelf, en daardoor ben je minder op je hoede. De mailkant staat in ons overzicht van soorten phishing aanvallen.

Herkennen en stoppen: een telefoonnummer als enige optie. Niet bellen. Controleer het account op de site van de leverancier zelf.

6 voorbeelden van smishing

7. Het pakket dat niet bezorgd kon worden

Wat je leest: "[Bezorger]: je pakket kon niet worden bezorgd omdat er € 1,45 verzendkosten openstaat. Betaal binnen 24 uur: [link]"

Hoe het werkt: iedereen verwacht wel een pakket. Het kleine bedrag is het lokaas; de pagina wil je kaartgegevens.

Herkennen en stoppen: kosten na verzending, een link buiten het domein van de bezorger. Volg het pakket in de app van de bezorger.

8. De bank of betaalapp

Wat je leest: "[Je bank]: de registratie van je bankapp verloopt vandaag. Verleng nu: [link]"

Hoe het werkt: de link opent een kopie van de inlogpagina. Met je inloggegevens en één code registreert de aanvaller zijn eigen telefoon als jouw bankapp. Vaak volgt daarna voorbeeld 2.

Herkennen en stoppen: een link in een sms van een bank. Open zelf de app.

9. De Belastingdienst of DigiD

Wat je leest: "[Belastingdienst]: je schuld van € 1.277 is nog niet voldaan. Betaal vandaag via [link] om beslaglegging te voorkomen"

Hoe het werkt: de angst voor een boete doet het werk. Varianten bootsen de inlogpagina van de overheid na of beloven een teruggave.

Herkennen en stoppen: een dreigement en een betaallink in één sms. Log zelf in op het officiële portaal.

10. “Hoi mam, hoi pap”

Wat je leest: “Hoi mam, mijn telefoon is kapot, dit is mijn nieuwe nummer. Ik moet vandaag een rekening betalen en mijn bankapp werkt nog niet.”

Hoe het werkt: dit bericht richt zich op medewerkers als ouder, meestal in een chatapp. Het is dezelfde truc als voorbeeld 12: wie hem van thuis kent, herkent hem op het werk.

Herkennen en stoppen: een nieuw nummer en een reden waarom bellen niet kan. Bel het oude nummer.

11. De MFA of accountmelding

Wat je leest: “[Bedrijf] IT: je wachtwoord verloopt vandaag. Log in om je toegang te behouden: [bedrijf]-sso.example”

Hoe het werkt: in 2022 kregen medewerkers van Twilio zulke sms'jes. Sommigen logden in, waarna gegevens van 209 klanten werden ingezien. Bij Cloudflare kregen 76 medewerkers de sms en vulden er drie hun wachtwoord in. De aanval mislukte omdat Cloudflare met fysieke beveiligingssleutels werkt.

Herkennen en stoppen: een domein met de bedrijfsnaam plus "sso" of "login". Gebruik je bladwijzer en meld de sms.

12. De baas die cadeaukaarten nodig heeft

Wat je leest: "Met Laura, nieuw nummer. Ik zit in een overleg. Kun je vijf cadeaukaarten van € 100 kopen voor een klant en mij de codes sturen?"

Hoe het werkt: codes van cadeaukaarten zijn zo goed als contant geld en niet terug te draaien.

Herkennen en stoppen: een nieuw nummer, geheimhouding, cadeaukaarten. Bel je leidinggevende of loop even langs.

Smishing, vishing en phishing: het verschil

De variant met een QR code heet quishing.

Zo verifieer je een beller

1. Haal de druk eraf. Zeg dat je terugbelt.
2. Bel terug op een nummer dat je al hebt. Nummerweergave bewijst niets: nummers zijn te vervalsen.
3. Geef nooit een code, wachtwoord of toegang op afstand aan iemand die jou heeft benaderd.
4. Zet een tweede persoon op geld. Elk gewijzigd rekeningnummer vraagt om akkoord van een collega.

Je eigen servicedesk heeft dezelfde regels nodig, want aanvallers bellen ook naar binnen. De aanvallers van MGM Resorts beweerden in 2023 dat ze de helpdesk belden als een medewerker die ze op LinkedIn hadden gevonden; MGM schatte de schade op ongeveer $ 100 miljoen. Bij Marks & Spencer kwamen aanvallers in april 2025 binnen via een "geraffineerde imitatie" van een externe gebruiker, vertelde voorzitter Archie Norman aan het Britse parlement, met een geschatte schade van ongeveer £ 300 miljoen. In februari 2026 waarschuwde de financiële toezichthouder van New York voor bellers die zich voordoen als IT helpdesk, en in april 2026 bevestigde ADT een datalek dat volgens de aanvallers met een vishing telefoontje begon. Een regel die niemand heeft geoefend, houdt geen stand tegen een beller die overtuigend klinkt. Daar is training voor.

Hoe bedrijven vishing en smishing simuleren

De meeste organisaties testen alleen e-mail. Wie verder gaat, stuurt testberichten naar zakelijke telefoons en laat volgens een script bellen naar de servicedesk, finance en HR. Drie regels houden het eerlijk: kondig het programma aan, straf nooit iemand en tel de meldingen net zo goed als de missers. Bij Guardey zijn phishing simulaties inbegrepen, naast een wekelijkse challenge met teamcompetitie, zodat medewerkers tussen de tests door blijven oefenen.

Veelgestelde vragen

Wat is het verschil tussen smishing en vishing?

Het kanaal. Smishing is een sms of chatbericht. Vishing is een telefoontje of spraakbericht. Het doel is hetzelfde: je code, je login of je geld.

Wat is een voorbeeld van vishing?

Een beller van "IT" die je vraagt de code voor te lezen die net op je telefoon binnenkwam. Voorbeeld 1 tot en met 6 zijn vishing, 7 tot en met 12 smishing.

Kan ik nummerweergave of de afzendernaam van een sms vertrouwen?

Nee. Beide zijn te vervalsen. Controleer via een kanaal dat je zelf kiest.

Wat moet ik doen als ik een code heb gegeven of heb betaald?

Meld het direct bij IT en wijzig je wachtwoord. Heb je betaald, bel dan je bank op het officiële nummer. Meld ook berichten die je alleen hebt ontvangen.