Een geldig HTTPS-certificaat, een verzorgd logo, afbeeldingen in hoge resolutie: ze wekken vertrouwen, maar kosten bijna niets om te maken. Waarschuwingssignalen van een verdachte website herkennen, vraagt om verschillende technische en juridische aanwijzingen met elkaar te vergelijken, niet om af te gaan op een visuele indruk. In dit artikel bespreken we meetbare criteria die een betrouwbare website onderscheiden van een frauduleuze façade.
Betrouwbaarheid van een website: overzicht van technische signalen om te vergelijken
Geen enkel afzonderlijk signaal volstaat om een website als frauduleus te bestempelen. Het is de combinatie van verschillende indicatoren die de doorslag geeft. In de onderstaande tabel staan de meest onderscheidende controles, gerangschikt naar betrouwbaarheid.
| Gecontroleerd signaal | Betrouwbare website | Verdachte website |
|---|---|---|
| Leeftijd van het domein (WHOIS) | Meerdere jaren oud, eigenaar is te identificeren | Domein enkele weken of maanden geleden geregistreerd, gegevens afgeschermd |
| Wettelijke vermeldingen / algemene voorwaarden | Bedrijfsnaam, SIRET-nummer, fysiek adres, contactgegevens | Ontbreken, zijn onvolledig of gekopieerd van een andere website |
| Identiteit van de verkoper (marktplaats) | Naam, land en professionele status worden vóór de aankoop vermeld | Geen informatie over de externe verkoper |
| URL en domeinnaam | Past bij het merk, zonder verdachte tekens | Spelfouten, meerdere koppeltekens, ongebruikelijke extensie (.xyz, .top) |
| Browserwaarschuwing | Geen beveiligingsmelding | Waarschuwing ‘misleidende website’ of verlopen certificaat |
| Betaalbeleid | Traceerbare betaalmethoden (kaart, PayPal) | Alleen bankoverschrijving, betaling in cryptovaluta verplicht |
Een domein dat minder dan drie maanden geleden is aangemaakt, in combinatie met ontbrekende wettelijke vermeldingen, vormt voldoende aanleiding om van elke aankoop af te zien. Hieronder bespreken we de meest veelzeggende afwijkingen in detail.
URL en domeinnaam: eerste aanwijzingen voor online oplichting
Het webadres is het snelste aanknopingspunt om te controleren. Bij zogenaamde homografische aanvallen wordt een letter vervangen door een teken dat er visueel sterk op lijkt (een ‘q’ in plaats van een ‘g’, of ‘rn’ dat op een ‘m’ lijkt). Deze vorm van manipulatie richt zich op bekende merken om bezoekers te lokken die vertrouwen op de merknaam.
Een artikel over hoe je een verdachte website zoals Aplouf.com herkent laat goed zien hoe dat werkt: controleer of de domeinnaam, de opgegeven activiteit en de vermelde wettelijke gegevens met elkaar overeenkomen.
Let ook op de domeinextensie, niet alleen op de spelling. Goedkope generieke extensies (.top, .xyz, .click) komen onevenredig vaak voor bij phishingcampagnes, omdat ze minder dan één euro per jaar kosten. Een legitieme Franse commerciële website gebruikt meestal een .fr- of .com-domein.
Recente wettelijke verplichtingen: wat een website in Frankrijk en de EU moet vermelden
De regelgeving biedt objectieve criteria om een website te beoordelen, mits je weet waar je op moet letten.
- De SREN-wet van 21 mei 2024 verplicht marktplaatsen duidelijk te vermelden of de verkoper een professional of particulier is. Ontbreekt deze vermelding op een marktplaats, dan is dat een wettelijke overtreding en een concreet waarschuwingssignaal.
- De DSA (Digital Services Act) verplicht platforms om bepaalde identificatiegegevens van professionele verkopers te verzamelen en vóór elke transactie beschikbaar te stellen.
- Sinds 13 december 2024 vereist de Europese verordening inzake algemene productveiligheid dat productpagina’s de gegevens vermelden van een verantwoordelijke die in de EU is gevestigd. Een product dat online wordt verkocht zonder deze informatie, is in strijd met de regelgeving.
Deze verplichtingen vormen stuk voor stuk controlepunten. Een website die ze niet naleeft, is niet per se frauduleus, maar opereert buiten het toepasselijke wettelijke kader. Daardoor zijn de mogelijkheden om verhaal te halen bij een geschil beperkt.
Ontbrekende of algemene wettelijke vermeldingen
De DGCCRF raadt aan te controleren of de bedrijfsnaam, het fysieke adres en een registratienummer worden vermeld. Op een Franse website is het ontbreken van een SIRET-nummer een sterk waarschuwingssignaal. Door het postadres in een zoekmachine te plakken, kun je soms zien dat het overeenkomt met een braakliggend terrein of een ander bedrijf dat er niets mee te maken heeft.
Recente manipulatietechnieken: ClickFix en valse CAPTCHA’s
Misleidingstechnieken gaan verder dan de klassieke phishing via e-mail. Bij het ClickFix-scenario doet een pagina zich voor als een technische foutmelding of CAPTCHA en vraagt de gebruiker vervolgens een opdracht te kopiëren en op de eigen computer uit te voeren. Het slachtoffer denkt een technisch probleem op te lossen, maar installeert in werkelijkheid zelf schadelijke software.
Google heeft hierop gereageerd door een specifieke beveiliging in Chrome in te bouwen: de browser kan de gebruiker nu waarschuwen voordat die een opdracht plakt die als gevaarlijk wordt beschouwd. Dit soort browserwaarschuwingen mag je nooit negeren.
Ongebruikelijke toestemmingsverzoeken op de pagina
Een legitieme website vraagt niet meteen op de startpagina om toegang tot meldingen of toestemming om het klembord te lezen. Zulke voortijdige verzoeken wijzen op agressieve gegevensverzameling. Vraagt een pagina je om meldingen toe te staan voordat je de inhoud hebt bekeken, sluit dan het tabblad.
De reputatie van een website snel controleren: een methode in drie stappen
De DGCCRF stelt een eenvoudige aanpak voor: typ de naam van de website met het woord ‘oplichting’ in een zoekmachine. In combinatie met twee andere controles volstaat deze methode voor de meeste gevallen.
- Zoek op de naam van de website of het product in combinatie met ‘oplichting’ of ‘reviews’ om eventuele negatieve ervaringen van andere consumenten te vinden.
- Raadpleeg een WHOIS-tool om de registratiedatum van het domein en de identiteit van de houder te controleren. Een domein van enkele weken oud in combinatie met een webshop met zeer lage prijzen is een betrouwbaar waarschuwingssignaal.
- Controleer of de website actief is op sociale media: regelmatige activiteit met authentieke reacties is een positief teken, al biedt dit geen absolute garantie.
Deze drie controles kosten minder dan een minuut en filteren het overgrote deel van de frauduleuze websites eruit voordat je de betaalpagina bezoekt.
Het HTTPS-hangslot, dat vaak als een teken van veiligheid wordt gezien, geeft alleen aan dat de verbinding versleuteld is. Een phishingwebsite kan een geldig SSL-certificaat hebben dat gratis is verkregen. Op zichzelf zegt dit niets over de betrouwbaarheid en je moet het altijd vergelijken met de hierboven genoemde signalen.
