"Uw pakket kon niet worden bezorgd": zo herken je bezorgfraude op kantoor

"Uw pakket kon niet worden bezorgd" — een van de meest succesvolle phishing-trucs van dit moment. Waarom bezorgfraude zo goed werkt en hoe je hem in een paar seconden herkent.

Je krijgt een mail: "Uw pakket kon niet worden bezorgd, klik hier om een nieuwe bezorgdatum te plannen." Of via WhatsApp: "Hoi, we hebben uw bestelling geprobeerd te leveren maar niemand thuis." Herkenbaar? In de zomermaanden bestellen we meer online (cadeautjes, vakantie-inkopen, spullen die op kantoor gebruikt worden) en dat weten oplichters ook. Bezorgfraude is een van de snelst groeiende vormen van phishing in Nederland. Hoog tijd voor een korte, praktische uitleg — juist voor kantoormanagers die geregeld pakketten voor de zaak ontvangen.

Waarom bezorgfraude zo goed werkt

Bij een gewone phishing-mail moet iemand toevallig een account hebben bij de bank of dienst waar de mail over gaat. Maar bijna iedereen verwacht wel eens een pakket. Zeker op kantoor komen er wekelijks bestellingen binnen: kantoorartikelen, printercartridges, een nieuw toetsenbord, een taart voor een verjaardag. Als er dan een mail binnenkomt van "PostNL", "DHL" of "DPD" met een kleine tegenvaller — te weinig porto, verkeerde postcode, tweede bezorgpoging — is de drempel om te klikken laag.

De truc: je hoeft geen groot bedrag over te maken. Vaak vraagt de nep-pagina om 1 of 2 euro "toeslag". Dat voelt onschuldig. Maar wat je in werkelijkheid afgeeft zijn je creditcardgegevens of een machtiging voor doorlopende incasso.

Vijf signalen dat een bezorgbericht niet klopt

1. Er wordt om geld gevraagd. Een bezorger die geld wil zien voor porto, invoerrechten of een "herbezorging" via een linkje: bijna altijd nep. Echte invoerrechten regel je vooraf via de webshop of aan de deur bij de bezorger.
2. De afzender klopt niet. Kijk niet naar de naam, maar naar het e-mailadres achter de naam. "PostNL <info@postnl-track-nl.com>" is geen PostNL. Echte adressen eindigen op het officiële domein (postnl.nl, dhl.com, dpd.nl).
3. De link gaat naar een vreemd domein. Hover met je muis over de knop (op je telefoon: hou je vinger er even op) en lees waar de link écht heen gaat. Zit daar iets tussen als ".ru", ".top", of een reeks willekeurige letters, wegwezen.
4. Je verwacht helemaal geen pakket. Klinkt logisch, maar in de haast klikken mensen alsnog. Vraag jezelf altijd even af: heb ik hier iets besteld?
5. Er staat druk op. "Binnen 24 uur reageren anders gaat uw pakket retour." Echte bezorgers geven je gewoon een week of langer, of leveren het pakket bij een afhaalpunt.

Wat je op kantoor concreet kunt afspreken

Als er meerdere mensen post en pakketten aannemen, is het handig om een paar simpele afspraken te maken. Anders klikt uiteindelijk iemand toch een keer.

• Bestellingen worden bijgehouden op één plek. Een gedeeld overzicht (Excel, Teams-lijst, wat dan ook) waarin staat wie wat besteld heeft en wanneer het binnen zou moeten komen. Krijgt iemand een bezorgmail voor een order die niet in de lijst staat? Dan is er wat aan de hand.
• Nooit via een e-maillink bijbetalen. Wél iets openstaan bij de douane of bezorger? Ga rechtstreeks naar de site (postnl.nl, dhl.com) en log daar in met de trackingcode. Geen omweg via de mail.
• Twijfel je? Vraag het. Eén minuut checken bij een collega kost minder dan een dag rompslomp met de bank om een betaling terug te draaien.

Wat je doet als er tóch geklikt is

Fouten gebeuren. Belangrijker is snel handelen:

1. Alleen op de link geklikt, verder niks ingevuld? Kans op schade is klein. Sluit het tabblad en meld het intern zodat een collega niet dezelfde fout maakt.
2. Gegevens ingevuld (adres, telefoon)? Wees de komende weken alerter op verdachte belletjes of berichten. Oplichters bellen vaak na met een vervolgtruc ("hallo, met de fraudeafdeling van uw bank...").
3. Bankgegevens of creditcard ingevuld? Bel meteen de bank of creditcardmaatschappij. Blokkeer de kaart. De meeste banken hebben een 24/7-nummer voor fraudemeldingen op de achterkant van je pas.
4. Op een zakelijk apparaat gebeurd? Meld het bij wie normaal de IT-zaken regelt. Wachtwoorden wijzigen is meestal verstandig, zeker als je op de nep-pagina een wachtwoord hebt ingevoerd.

Even snel een verdachte link checken

Als er twijfel is over een link uit een bezorgbericht: kopieer het domein (het deel tussen https:// en de eerste /) en zoek even op wie erachter zit. Een echt bezorgdomein is jaren oud en staat op naam van het bedrijf. Een net geregistreerd domein op naam van een particulier in het buitenland is een duidelijk teken.

We hebben eerder al geschreven over hoe je een verdachte link in een mail checkt in één minuut — die aanpak werkt precies hetzelfde bij bezorgberichten.

Kortom

Bezorgfraude leeft van haast en herkenbaarheid. Neem de tijd om even te kijken naar afzender, link en of je überhaupt een pakket verwacht. Maak op kantoor een simpel overzicht van wat er besteld is. En klik nooit op "bijbetalen" via een mail, hoe klein het bedrag ook lijkt.

Wil je op kantoor iets steviger aanpakken wie er wanneer mag inloggen op de mailomgeving, zodat een misklik minder impact heeft? Kijk dan eens naar onze hulp bij 2FA-implementatie of doe een toegang-check. Twee kleine stappen die veel zomerellende voorkomen.