Je ontvangt een e-mail over een openstaande zorgrekening van €153,14. De naam Infomedics komt je bekend voor, want misschien ben je onlangs bij de tandarts, fysiotherapeut, apotheek of een andere zorgverlener geweest. In de mail staat dat je snel moet betalen om extra kosten te voorkomen. Het bedrag is niet extreem hoog. De afzender lijkt betrouwbaar. En misschien verwacht je inderdaad nog een rekening. Precies daarom is deze vorm van phishing zo gevaarlijk.
Infomedics waarschuwt voor een sterke toename van nepmails over zogenaamd openstaande zorgfacturen. Het bedrijf ontving in 2026 al meer dan twintigduizend meldingen, tegenover enkele tientallen in het voorgaande jaar. Dat zijn meldingen van verdachte berichten en dus niet automatisch twintigduizend slachtoffers, maar de enorme stijging laat wel zien hoe grootschalig deze campagne is.
Waarom deze phishing zo geloofwaardig is
Infomedics verzorgt namens veel Nederlandse zorgaanbieders de facturatie. Daardoor is de kans groot dat iemand de naam kent of eerder een echte rekening van Infomedics heeft ontvangen. Criminelen hoeven niet eens te weten of je werkelijk patiënt bent geweest. Ze sturen grote aantallen berichten naar e-mailadressen die bijvoorbeeld afkomstig zijn uit eerdere datalekken. Wanneer voldoende mensen worden benaderd, zit daar vanzelf een groep tussen die recent zorg heeft ontvangen en een rekening verwacht.
Infomedics benadrukt dat bij deze campagne geen sprake is van een inbraak in de eigen systemen. Volgens het bedrijf worden gegevens gebruikt die bij andere organisaties zijn buitgemaakt. Ook de bedragen maken de berichten geloofwaardig. Bij de Fraudehelpdesk en in andere waarschuwingen zijn voorbeelden gemeld van ongeveer €115 tot €175. Dat is hoog genoeg om serieus te nemen, maar laag genoeg om misschien snel te betalen zonder eerst te bellen. De nepmails dreigen bovendien met incassomaatregelen of aanvullende kosten wanneer niet op tijd wordt betaald.
“Phishing wordt vooral gevaarlijk wanneer een bericht niet vreemd voelt, maar juist logisch. Een bekende naam, een geloofwaardig bedrag en een beetje tijdsdruk zijn soms al genoeg om iemand te laten betalen.”
Phishing valt vooral de mens aan
Bij phishing doet een crimineel zich voor als een betrouwbare organisatie. Via een e-mail, sms, WhatsAppbericht, telefoontje, QR-code of nagemaakte website probeert de aanvaller geld, wachtwoorden of andere persoonlijke gegevens te bemachtigen. Daarbij wordt gebruikgemaakt van social engineering. Niet de computer, maar de mens wordt gemanipuleerd. Angst, herkenning, vertrouwen en tijdsdruk moeten ervoor zorgen dat je handelt voordat je rustig nadenkt.
Een bericht over een onbekende buitenlandse loterij valt waarschijnlijk snel op. Een herinnering van een organisatie waarvan je mogelijk echt een rekening verwacht, is veel lastiger te beoordelen. We schreven eerder al uitgebreider over phishing en social engineering bij berichten over hosting en domeinnamen en over hoe criminelen gebruikmaken van kwetsbare momenten.
De Infomedics Phishingchecker: is dit iets nieuws?
Infomedics heeft op de eigen website een Phishingchecker en een rekeningchecker geplaatst. Met het betalingskenmerk kan worden gecontroleerd of een rekening bij Infomedics bekend is. Een echt betalingskenmerk bestaat uit veertien cijfers en eindigt op 071. Via de officiële website kan ook een verdacht bericht worden gemeld of meegestuurd. Het idee achter zo’n checker is niet helemaal nieuw. Er bestaan al langer hulpmiddelen waarmee mensen een link, website of bericht kunnen controleren. ScamCheck van Veiliginternetten.nl controleert links en websites aan de hand van verschillende Nederlandse en internationale informatiebronnen en technische kenmerken. PostNL gebruikt een andere aanpak: klanten kunnen een persoonlijke anti-phishingcode instellen die vervolgens in echte e-mails van PostNL wordt weergegeven.
De aanpak van Infomedics is wel interessant omdat deze heel specifiek is. De checker probeert niet alleen algemeen te beoordelen of een e-mail verdacht lijkt, maar controleert kenmerken die alleen bij echte Infomedics-rekeningen horen.
Daarmee verschuift de aanpak van:
“Probeer zelf te herkennen of een bericht nep is.”
naar:
“Controleer het bericht via een apart, officieel kanaal.”
Dat is een goede ontwikkeling. Een checker is alleen geen garantie. Nieuwe nepmails en websites kunnen nog onbekend zijn en ook een betrouwbare afzendernaam kan worden nagemaakt. Ga daarom altijd zelf naar de officiële website en gebruik nooit de link uit het verdachte bericht om bij de checker te komen.
Zo herken je een echte rekening van Infomedics
Een echte e-mail wordt verzonden vanaf rekening@infomedics.nl en vermeldt duidelijk de zorgaanbieder waar je bent geweest. Je wordt persoonlijk aangesproken en de rekening bevat een betalingskenmerk van veertien cijfers dat eindigt op 071. Infomedics stuurt geen directe iDEAL- of Wero-betaallink per e-mail. De betaalomgeving hoort onder rekening.infomedics.nl te staan. Ook belt Infomedics niet over een openstaande rekening en wordt nooit per sms gevraagd om een betaling te doen. Een afzenderadres alleen is overigens geen volledig bewijs. Afzendernamen kunnen worden vervalst en criminelen gebruiken domeinnamen die maar één letter verschillen. Controleer een rekening daarom bij twijfel via de officiële website.
De veiligste werkwijze is eenvoudig:
- Klik niet op de link in de e-mail.
- Open zelf de officiële website van Infomedics.
- Controleer daar het betalingskenmerk.
- Neem bij twijfel rechtstreeks contact op met Infomedics of je zorgverlener.
- Heb je al betaald, neem dan direct contact op met je bank.
Verdachte berichten kunnen ook worden doorgestuurd naar de Fraudehelpdesk.
Ook bedrijven en verenigingen kunnen worden misbruikt
Deze aanval richt zich vooral op burgers en zorgconsumenten, maar de les is minstens zo belangrijk voor kleine bedrijven, verenigingen en stichtingen. Ook de naam van een kapper, restaurant, aannemer, sportvereniging of stichting kan worden misbruikt voor valse facturen en betaalverzoeken. Daarvoor hoeft de organisatie niet zelf gehackt te zijn. Een crimineel kan het logo van de website kopiëren, een vergelijkbare domeinnaam registreren en berichten versturen die afkomstig lijken van de organisatie.
Wordt wel een echte mailbox overgenomen, dan wordt het risico nog groter. De aanvaller kan eerdere gesprekken lezen en vervolgens vanuit het bestaande account een gewijzigde factuur of betaalinstructie sturen. Eén gestolen e-mailaccount kan daardoor genoeg zijn om klanten, leveranciers, leden of vrijwilligers te misleiden. Het NCSC waarschuwt dat phishing vaak de eerste stap is naar verdere toegang tot accounts, bestanden en andere systemen. Zoals we eerder beschreven in Jouw organisatie hoeft niet zelf gehackt te worden om klantgegevens te verliezen, stopt digitale veiligheid niet bij je eigen website. Ook e-mailproviders, boekhoudpakketten, reserveringssystemen en andere leveranciers maken deel uit van jouw digitale omgeving.
Wat doet BeenThere DoneThat?
BeenThere DoneThat helpt kleine bedrijven, starters, verenigingen en stichtingen om de kans op misbruik te verkleinen. Volledige veiligheid bestaat niet, maar een combinatie van techniek, monitoring en duidelijke afspraken maakt een organisatie veel minder kwetsbaar. Bij websites controleren we onder andere de beschikbaarheid, beveiligingsupdates, bekende kwetsbaarheden, SSL-certificaten, back-ups en verdachte of onverwachte wijzigingen. Meer hierover staat op onze pagina over technisch beheer.
Bij domeinen en e-mail kijken we naar beveiligingsmaatregelen zoals SPF, DKIM en DMARC. Deze standaarden helpen voorkomen dat criminelen zomaar e-mail kunnen versturen alsof die van jouw domeinnaam afkomstig is. Het NCSC adviseert organisaties deze maatregelen gezamenlijk toe te passen en de werking ervan te blijven controleren. Monitoring van e-mail betekent overigens niet dat BeenThere DoneThat berichten van klanten meeleest. Het gaat om de technische omgeving: de werking van domeinen, beveiligingsinstellingen, afwijkende meldingen, beschikbaarheid en – waar de leverancier dit ondersteunt – signalen van mogelijk misbruik.
Daarnaast gebruiken we voor communicatie over werkzaamheden en aanvragen zoveel mogelijk het beveiligde klantportaal Mijn BTDT. Klanten kunnen daar aanvragen indienen, berichten terugvinden en de status volgen. BeenThere DoneThat vraagt nooit per e-mail of WhatsApp om wachtwoorden, tweestapsverificatiecodes of back-upcodes. Ook adviseren we het gebruik van multifactorauthenticatie. Wanneer een wachtwoord door phishing wordt gestolen, vormt MFA een belangrijke extra beveiligingslaag.
Niet dom, maar op het verkeerde moment geraakt
Phishing werkt niet alleen bij mensen die weinig verstand hebben van computers. Iedereen kan een bericht ontvangen dat precies aansluit bij iets wat op dat moment speelt. Je bent bij de tandarts geweest. Je verwacht een rekening. Het bedrag klinkt logisch. Je leest de e-mail tussen twee afspraken door en wilt het snel afhandelen. Dat ene moment van herkenning en haast is waar criminelen op wachten. Stop daarom bij onverwachte betaalverzoeken altijd even. Klik niet direct, gebruik een officieel kanaal en vraag iemand om mee te kijken wanneer je twijfelt.
Een betaling is in enkele seconden gedaan. Het terughalen van geld en vertrouwen kan veel langer duren.
