Een WhatsAppje van het hotel waar je over drie weken slaapt. De juiste boekingsdatum, de juiste stad, je achternaam correct gespeld. Alleen de betaallink klopt niet. Op dat moment is de vraag niet meer of je oplettend genoeg bent, maar hoeveel de afzender al over je wist voordat hij begon.
De Fraudehelpdesk kreeg in de eerste helft van dit jaar ruim 15.000 meldingen van phishing, tegen bijna 2.800 in dezelfde periode vorig jaar. Het aantal mensen dat er financieel de dupe van werd ging van 124 naar 443, en het gemelde schadebedrag van 113.574 naar 491.793 euro. Dat meldt de Volkskrant op basis van cijfers van de Fraudehelpdesk. Meldingen zijn geen aangiftes en zeker geen incidentcijfer, dus de absolute aantallen zeggen minder dan ze lijken. De verhoudingen erbinnen zeggen wél iets.
Reken het om per slachtoffer, dan verandert het verhaal
Deel het schadebedrag door het aantal financieel gedupeerden en je krijgt de bedragen waar het in de praktijk om gaat. Vorig jaar: 113.574 gedeeld door 124 is afgerond 916 euro per gedupeerde. Dit jaar: 491.793 gedeeld door 443 is afgerond 1.110 euro. Dat is een stijging van ongeveer 21 procent per geval, bovenop een verdrievoudiging van het aantal getroffenen.
Nog een verhouding, en die wijst de andere kant op. Van de bijna 2.800 meldingen vorig jaar leidde ruwweg 4,4 procent tot financiële schade; van de ruim 15.000 dit jaar ongeveer 3,0 procent. Er wordt dus relatief vaker gemeld zónder dat er geld weg is. Dat past bij mensen die een verdacht bericht doorgeven in plaats van erop te klikken, en dat is precies het gedrag dat je wil zien. Het betekent alleen niet dat het minder erg wordt: wie er wél intrapt, raakt gemiddeld meer kwijt.
“Positief signaal” is een antwoord dat het bedrijf zelf beter kan invullen
Booking.com stelde tegenover consumentenprogramma Kassa dat de toename in meldingen ook als positief signaal gezien kan worden, “omdat consumenten steeds vaker aan de bel durven te trekken wanneer er iets misgaat”. Het bedrijf belooft klanten hun geld terug als dat niet via de bank lukt. Dat laatste is netjes en het eerste is te makkelijk.
De aanleiding is namelijk niet dat consumenten mondiger zijn geworden. Bij Booking.com kregen ‘onbevoegde derden’, in de woorden van het bedrijf zelf, toegang tot boekingsinformatie, e-mailadressen en telefoonnummers. Precies die combinatie maakt een bericht overtuigend: iemand die weet wélk hotel je hebt geboekt, hoeft niet meer te gokken. Als een lek de kwaliteit van de aanvallen verhoogt, is een stijging in meldingen geen bewijs van mondigheid maar van bruikbaarheid van de gestolen data. Wie het meldgedrag als verklaring aanbiedt, verplaatst de verantwoordelijkheid van de eigen database naar de gebruiker.
De sector, en dus ook wij, meten het verkeerde ding
Eerlijk is eerlijk: het vakgebied waar deze site toe behoort maakt dezelfde fout, alleen andersom. Awareness-programma’s rapporteren graag klikpercentages en meldpercentages, omdat die makkelijk te meten zijn. Wat er zelden bij staat, is hoeveel van de gemelde berichten daadwerkelijk tot ingrijpen leidden. We schreven eerder over wat meldgedrag wél en niet meet, en die kritiek geldt hier onverkort. Een dalend schadepercentage bij een stijgend meldingsaantal ziet er goed uit in een grafiek en zegt niets over de mensen die de 1.110 euro kwijt zijn.
Zet vanavond één ding vast in je hoofd: geen enkele betaling gaat via een link uit een bericht
Niet “controleer de afzender”, niet “let op taalfouten” — dat werkt niet meer bij aanvallers die je boekingsnummer kennen. De regel die in elk scenario standhoudt: een betaling of gegevenswijziging start je zelf, in de app of op de site die je zelf intypt, nooit via een link die naar je toe kwam. Klopt het verzoek echt, dan vind je het daar ook. Hetzelfde principe hielden we aan bij de golf rond Wero en iDEAL en bij factuurfraude bij zzp’ers.
Het cijfer dat over een half jaar de discussie beslecht
Bij de halfjaarcijfers over de tweede helft van 2026 staat er één getal dat er echt toe doet: de gemiddelde schade per gedupeerde. Blijft die rond de 1.100 euro hangen terwijl het aantal meldingen verder oploopt, dan is de mondigheidsverklaring houdbaar. Loopt dat bedrag door, dan is de conclusie dat gelekte klantdata de aanvallen structureel effectiever heeft gemaakt, en verschuift de rekening naar de partijen die die data lieten weglopen.