Spoofing van telefoonnummers: waarom blokkeren niet werkt en wat je bedrijf wel kan doen

Oplichters kunnen zomaar jouw telefoonnummer tonen op het scherm van een klant. Terugbellen en blokkeren helpen dan niet. Wat spoofing precies is, wat de toezichthouder kan doen en hoe je het vertrouwen in je telefonische klantcontact overeind houdt.

Een klant belt je terug naar aanleiding van een gemist telefoontje, maar niemand bij jou heeft gebeld. Of andersom: een klant krijgt een telefoontje dat zogenaamd van jouw bedrijf komt, met jouw nummer in beeld, terwijl jij van niets weet. Beide situaties hebben dezelfde oorzaak: nummerspoofing. Met gewone belsoftware kan een beller zelf intypen welk nummer op het scherm van de ontvanger verschijnt, en vrijwel elk nummer is te misbruiken, ook het jouwe.

Voor organisaties die telefonisch met klanten praten is dit niet alleen een probleem van de persoon wiens nummer wordt misbruikt. Het raakt het vertrouwen in telefonisch klantcontact in het algemeen, en daarmee ook in de telefoontjes die wel echt van jou komen.

Hoe spoofing precies werkt

Het signaleringsprotocol waarmee telefoonnetwerken afzendnummers doorgeven is tientallen jaren oud en is nooit ontworpen met verificatie in gedachten. Belsoftware, vaak gekoppeld aan internettelefonie, laat de beller het weergegeven nummer vrij instellen. Een deel van het misbruik loopt via kleine buitenlandse VoIP-aanbieders waar een account wordt aangemaakt zonder dat daarbij een echt nummer, een identiteitsbewijs of een abonnement nodig is. Daar zit het structurele lek. Zolang zulke aanbieders geen controle uitvoeren op wie er belt en met welk nummer, blijft spoofing mogelijk, ongeacht wat Nederlandse providers aan hun kant doen.

Dat is ook de reden dat spoofing al jaren voorkomt zonder dat het volledig is opgelost. Het probleem zit niet bij één provider die je kunt aanspreken, maar in de structuur van het internationale belverkeer zelf. Cyberspecialisten wijzen erop dat een sluitende technische oplossing voorlopig niet in zicht is, en dat gedragsverandering bij bellers en ontvangers minstens zo belangrijk is als techniek.

Waarom blokkeren niets oplost

Een voor de hand liggende reactie is het nummer blokkeren dat gebeld heeft. Dat werkt hier niet, want het getoonde nummer is niet het nummer waarmee daadwerkelijk is gebeld. Een gespoofd nummer kan bovendien zelf geen gesprekken ontvangen, en dat is meteen een bruikbare test. Lijkt een telefoontje verdacht, hang dan op en bel zelf terug naar het nummer dat je kent, bijvoorbeeld van je bank of leverancier, in plaats van op de knop terugbellen te drukken.

Grote Nederlandse providers houden zwarte lijsten bij, vooral met veelgebruikte banknummers. Die lijsten zijn volgens cyberspecialisten vaak onvolledig. Ze worden niet altijd snel bijgewerkt, en bij sommige aanbieders is zo'n lijst eenvoudig te omzeilen.

Wat de toezichthouder wel en niet kan

Spoofing is in Nederland verboden onder de Telecommunicatiewet. De Autoriteit Consument & Markt kan optreden tegen partijen die Nederlandse of Europese nummers misbruiken, bijvoorbeeld door een misbruikt nummer te laten intrekken zodra misbruik is vastgesteld. Bij partijen buiten de Europese Unie houdt die bevoegdheid op, en een flink deel van het misbruik begint juist daar. Er ligt al langere tijd een wetsvoorstel dat het nummerbeleid moet aanscherpen: het moet duidelijker regelen wie welk nummer in de belketen mag gebruiken, en het moet het gebruik van Nederlandse nummers vanuit het buitenland aan banden leggen. Zolang dat wetsvoorstel niet is ingevoerd, blijft de praktijk op dit punt kwetsbaar.

Voor organisaties betekent dit dat je niet kunt wachten tot wetgeving of toezicht het probleem oplost. De verantwoordelijkheid om klanten te beschermen tegen verwarring over wie er daadwerkelijk belt, ligt voor een belangrijk deel bij de organisatie zelf.

Wat het betekent voor jouw klantcontact

Stel dat oplichters jouw bedrijfsnaam of nummer gebruiken om klanten te bellen over een openstaande factuur of een verlopen abonnement. De schade raakt dan niet alleen het directe slachtoffer. Klanten die zoiets meemaken, of erover horen via collega's of nieuws, worden achterdochtig bij ieder telefoontje dat beweert van jou te komen, ook de legitieme oproepen van je eigen klantenservice of sales. Dat kost reactiesnelheid op echte gesprekken, en in het ergste geval kost het reputatie bij klanten die niet meer durven opnemen.

Hetzelfde geldt omgekeerd. Belt je klantenservice zelf nog via losse consumentenapps of wisselende nummers, dan is dat voor een klant niet te onderscheiden van een spoofing-poging. Een herkenbaar en consistent nummer, met een voorspelbare manier van bellen, is daarom geen marketingdetail maar een instrument om vertrouwen vast te houden.

Wat je nu kunt doen

Een paar maatregelen liggen binnen handbereik. Richt uitgaand bellen in via een professionele telefonie-omgeving met één vast, geregistreerd nummer per team of afdeling, in plaats van losse apps of privételefoons met wisselende weergave. Kondig telefonisch contact waar mogelijk vooraf aan via e-mail of sms, zodat een klant een inkomend gesprek kan verifiëren voordat hij opneemt. Spreek binnen het team een vaste regel af: nooit via de telefoon vragen om een wachtwoord, een betaling of het installeren van software, en vertel klanten dat ook expliciet, bijvoorbeeld op de website en in de bevestigingsmail na een bestelling. Leg bij twijfel uit dat iemand altijd zelf mag terugbellen op een bekend nummer, in plaats van te vertrouwen op een binnenkomende oproep.

Wie de telefonie van de organisatie professioneel laat inrichten, met een duidelijke nummerstructuur, een vaste partner voor beheer en een helder protocol voor het team, maakt het voor klanten eenvoudiger om een echt gesprek van een vervalst gesprek te onderscheiden. Zarioh denkt graag mee over een telefonie-opzet die naast gebruiksgemak ook bijdraagt aan dat vertrouwen.