Versleuteling beschermt het berichttraject; de betrouwbaarheid van een verzoek om geld moet je onafhankelijk controleren.
End-to-endversleuteling kan de inhoud van berichten beschermen tegen tussenpersonen, maar garandeert niet dat de afzender eerlijk is. Ook een oplichter kan vanuit een eigen account versleutelde berichten sturen. Om een nepbeheerder, valse prijs of cryptoaanbod te beoordelen, moet je de identiteit van het account en het verzoek los van de beveiliging van het berichttraject onderzoeken.
Drie veelvoorkomende patronen en een passende reactie
| Ontvangen bericht | Wat je moet onderzoeken | Veiligere aanpak |
|---|---|---|
| ‘Ik ben de groepsbeheerder; maak dit bedrag nu over’ | De naam en foto van een beheerder kunnen zijn gekopieerd | Controleer de beheerderslijst en vraag bevestiging via een contactmogelijkheid die je al kent |
| ‘Je hebt gewonnen; betaal om je prijs te ontvangen’ | Betalen om een prijs vrij te geven is een waarschuwingssignaal voor oplichting | Betaal niet; zoek de organisator onafhankelijk op |
| ‘Gegarandeerde winst; je hebt nog maar een paar minuten’ | Tijdsdruk en beloften van een zeker rendement belemmeren een zorgvuldige controle | Stuur geen geld of walletgegevens en onderzoek de bewering onafhankelijk |
Deze signalen zijn aanleiding om te stoppen en te controleren. Een officieel uiterlijk, het aantal leden of de instemming van enkele andere accounts bewijst op zichzelf geen betrouwbaarheid.
Hoe controleer je een nepbeheerder?
Een weergavenaam en accountfoto zijn na te maken. Bekijk de gebruikersnaam en het account-ID nauwkeurig, maar bedenk dat zelfs een echt account kan zijn overgenomen. Is een verzoek ongebruikelijk, neem dan contact op via een andere weg die je al kent, in plaats van in hetzelfde gesprek te antwoorden.
Vraagt de beheerder van een werkgroep bijvoorbeeld in een privébericht om geld over te maken, bevestig het verzoek dan via een geregistreerd telefoonnummer of een officieel communicatiekanaal van de organisatie, niet via een nieuw nummer dat hetzelfde account opgeeft. Deel geen gevoelige informatie om ‘je lidmaatschap te bewijzen’.
Een veiligheidsnummer of sleutelvingerafdruk kan helpen om de cryptografische verbinding met je contactpersoon te verifiëren. Maar overeenkomende sleutels bewijzen niet dat diens financiële aanbod betrouwbaar is of dat diens apparaat vrij is van malware.
Waarom moet je geen geld of inlogcode sturen om een prijs te ontvangen?
De voorlichting van de Amerikaanse Federal Trade Commission over valse prijzen noemt verzoeken om te betalen voor een prijs en om financiële gegevens als belangrijke waarschuwingssignalen. Het bericht kan eruitzien als een wedstrijd, loterij, cadeau of ondersteuning voor je account.
Stuur geen inlogcodes, wachtwoorden of herstelzinnen in een chat. Vraagt iemand je om op een website in te loggen om ‘de prijs te activeren’, open dan zelf het officiële adres van de organisator via een bekende route. Een HTTPS-slotje of het woord ‘versleuteld’ op een pagina bewijst niet dat de organisator echt is.
Hoe verschillen pump-and-dump en cryptoaanbiedingen van een valse prijs?
Bij pump-and-dump kan gecoördineerde promotie de vraag naar en de prijs van een activum opdrijven, zodat de organisatoren hun eigen bezit kunnen verkopen. Bij een nepbelegging vindt mogelijk helemaal geen echte handel plaats en toont een dashboard verzonnen winsten. Dit zijn verschillende verschijnselen, maar beide kunnen inspelen op groepsenthousiasme en tijdsdruk.
De officiële FTC-voorlichting over crypto-oplichting waarschuwt voor beloften van gegarandeerde winst, identiteitsfraude en verzoeken om cryptovaluta over te maken. Dit artikel is geen advies om activa te kopen of te verkopen; het doel is om een verdacht verzoek te beoordelen.
Koppel geen wallet en onderteken geen transactie waarvan je de betekenis niet begrijpt. Voer je herstelzin nooit in voor een beheerder, een helpdesk of het ontvangen van een airdrop. Extra betalingen om ‘winst vrij te geven’ of ‘verloren geld terug te halen’ kunnen een voortzetting van dezelfde oplichting zijn.
Waar helpt end-to-endversleuteling bij en wat lost ze niet op?
Correcte versleuteling, samen met authenticatie van de sleutels, is ontworpen om de vertrouwelijkheid en integriteit van berichten te beschermen tegen mensen buiten het gesprek. Maar een bevoegd groepslid leest de tekst en kan liegen, schadelijke links sturen of berichten kopiëren. Beveiliging na compromittering is ook geen systeem om oplichting te herkennen of de toegang van een aanvaller automatisch in te trekken.
Ook een protocol zoals SRP, dat het wachtwoord tijdens het inloggen niet rechtstreeks verstuurt, voorkomt niet dat je datzelfde wachtwoord op een neppagina invoert. Inlogbeveiliging en het herkennen van misleiding zijn twee afzonderlijke vraagstukken.
Volgens de gepubliceerde beveiligingsgrenzen van Livara zijn openbare kanalen niet hetzelfde als privéchats. Inhoud kunnen melden is nuttig, maar een openbaar karakter of de aanwezigheid van meldfuncties maakt oplichting niet onmogelijk.
Wat moet ik doen als ik informatie of geld heb gestuurd?
- Stop het contact en verdere betalingen; betaal geen nieuwe kosten om ‘het probleem op te lossen’.
- Bewaar berichten, het account-ID, het websiteadres en het transactiebewijs voor een melding; maak ze niet openbaar.
- Heb je inloggegevens gedeeld, ga dan vanaf een vertrouwd apparaat naar de officiële website, wijzig je wachtwoord en controleer je sessies en herstelmethoden.
- Heb je betaald, neem dan snel contact op met de betrokken bank of betaaldienst. Terugbetaling is niet gegarandeerd, zeker niet bij cryptovaluta.
- Meld en blokkeer het account en het bericht via de officiële functies van de berichtendienst. Vraag voor een formele aangifte hulp bij de bevoegde officiële instantie in je woonplaats of land.
Korte vragen
Is een verificatievinkje of een groot aantal leden genoeg?
Nee. Controleer het concrete verzoek, de identiteit van de persoon en de bestemming van de betaling onafhankelijk; geen enkel uiterlijk kenmerk kan die controle vervangen.
Is een verzoek om geld betrouwbaar als het veiligheidsnummer klopt?
Nee. Sleutelverificatie gaat over de andere partij in de cryptografische verbinding, niet over de juistheid van een financiële bewering of de veiligheid van diens apparaat.
Moet ik op de link klikken om te weten of die nep is?
Nee. Ga om een verdacht verzoek te controleren eerst via een bekende, officiële route naar de dienst. Een mooi linkvoorbeeld of een domeinnaam die op de echte lijkt, bewijst geen betrouwbaarheid.
