'Stem op mijn dochter': zo kapen oplichters je WhatsApp via een koppelcode

Misschien kreeg je het de afgelopen dagen ook: een WhatsApp-bericht van een bekende met de vraag of je even wilt stemmen op de dochter van een vriendin, die kans maakt op gratis danslessen. Het ziet er onschuldig uit, en het komt van iemand die je kent. Wie doorklikt en de stappen volgt, raakt alleen wel de controle over zijn WhatsApp kwijt.

Tegelijk start de overheid vandaag de campagne 'Laat je niet interneppen'. Het onderzoek erachter laat zien dat dit soort berichten precies werkt zoals criminelen hopen.

Hoe de stemtruc werkt

Na een klik op de link kom je op een website waar je je stem kunt uitbrengen. Om die te bevestigen vul je je telefoonnummer in. Daarna krijg je een code te zien die je in WhatsApp moet invoeren. Je denkt dat je je stem bevestigt. In werkelijkheid koppel je het apparaat van de oplichter aan jouw account.

De methode heet GhostPairing (spookkoppeling). Beveiligingsbedrijf Gen Digital beschreef de techniek eind 2025 voor het eerst. Gehackt in de klassieke zin wordt er niets. Er wordt geen wachtwoord gekraakt en er zit geen lek in de app. Criminelen misbruiken een gewone functie van WhatsApp, namelijk het koppelen van extra apparaten zoals een laptop via WhatsApp Web. In plaats van een QR-code te scannen kun je zo'n koppeling ook bevestigen met een code. Die code vraagt de oplichter aan met jouw telefoonnummer, en de nepsite laat hem jou invoeren.

Daarna kan de oplichter je berichten meelezen en namens jou berichten sturen. Dat gebeurt dan ook meteen: hetzelfde stemverzoek gaat naar al je contacten. Die vertrouwen jou, dus klikken ze. Zo verspreidt de truc zich als een kettingbrief.

De NOS sprak met Sophie ter Schure, die erin trapte. "Op de site stond dat er nog maar vijf stemmen nodig waren, dus het was zo gedaan." Binnen korte tijd kreeg ze zo'n honderd berichten van mensen die meldden dat ze gehackt was. Ze was anderhalf uur bezig om iedereen te waarschuwen. Daarna blokkeerde WhatsApp haar account, waarschijnlijk uit voorzorg. De Fraudehelpdesk kreeg de afgelopen dagen tientallen meldingen.

Vier op de tien hebben klikspijt

Het onderzoek achter de overheidscampagne, uitgevoerd door PanelWizard Direct in opdracht van het ministerie van Justitie en Veiligheid onder bijna 1.600 volwassenen, geeft cijfers bij dit gevoel:

• 94 procent twijfelt weleens of een link, bericht of advertentie te vertrouwen is
• ruim vier op de tien hebben weleens spijt gehad van een klik
• bij ruim 5 procent werd geld gestolen, 8 procent liep op een andere manier financiële schade op

De twijfel is er dus wel, maar mensen klikken toch. Volgens de onderzoekers vooral als ze gehaast of afgeleid zijn, als het bericht van een schijnbaar bekende komt, of als het past bij wat ze verwachten, zoals een sms over een pakket dat je net besteld hebt. De stemtruc speelt op twee van die drie in: het komt van een bekende, en het is een klein, sympathiek verzoek dat je even tussendoor doet.

Check nu even je gekoppelde apparaten

Dit kost je dertig seconden:

1. Open WhatsApp en tik op Jij (iPhone, rechtsonder) of op de drie puntjes (Android, rechtsboven)
2. Kies Gekoppelde apparaten
3. Herken je een apparaat niet? Tik erop en kies onderaan Meld af

Staat er een browser of laptop die niet van jou is, dan las iemand mee. Log hem uit en waarschuw je contacten via een ander kanaal dan WhatsApp.

Hoe je het voorkomt

De belangrijkste regel is eenvoudig: voer nooit een code in WhatsApp in die je van een website krijgt. Een koppelcode hoort bij een koppeling die je zelf start, op je eigen laptop. Nooit bij een stemming, een prijsvraag of een 'verificatie'.

Een stemformulier heeft je telefoonnummer ook niet nodig. Vraagt een site erom nadat je via een link binnenkwam, dan is dat al reden genoeg om weg te klikken.

Twijfel je over een bericht van een bekende, bel dan even of vraag het via een ander kanaal. Een gekaapt account ziet er precies zo uit als dat van je kennis: dezelfde naam, dezelfde foto, dezelfde chatgeschiedenis.

Zet verder tweestapsverificatie aan (Instellingen → Account). Eerlijk is eerlijk: tegen deze specifieke truc helpt dat niet. Wel tegen de oudere variant, waarbij oplichters je hele account overnemen met een sms-code.

Tot slot

Wat mij opvalt aan GhostPairing is dat er geen enkele technische fout voor nodig is. De koppelfunctie doet precies wat hij moet doen. Het enige dat misbruikt wordt is vertrouwen: dat van jou in een bekende, en dat van je contacten in jou. Het advies van de campagne is daarom ook zo simpel: neem drie tellen voordat je klikt, en klik weg bij twijfel. Heb je het bericht al doorgestuurd gekregen? Dan weet je nu wat het is.