Je iPhone kan nu herkennen wanneer je mogelijk wordt opgelicht

Je wordt gebeld door iemand die zegt van je bank te zijn. Er zou iets mis zijn met je rekening en je moet onmiddellijk geld overmaken naar een 'veilige rekening'. Je logt zelf in, bevestigt zelf de betaling en gebruikt zelfs Face ID. Voor een bank lijkt er daardoor op het eerste gezicht weinig verdachts te gebeuren. Precies dat soort oplichting probeert Apple met een nieuwe beveiligingsfunctie op de iPhone te herkennen.

De functie heet Impersonation Risk Detection en is onderdeel van iOS 27 en iPadOS 27. Het bijzondere is dat Apple niet alleen kijkt of jij daadwerkelijk degene bent die een handeling uitvoert, maar ook probeert te bepalen of er signalen zijn dat je ondertussen door iemand wordt gemanipuleerd.

Als Face ID niet genoeg is

Banken, betaaldiensten en andere apps beschikken al over allerlei beveiligingslagen. Je moet inloggen, een betaling bevestigen en soms nogmaals je identiteit controleren. Het probleem bij social engineering is dat de gebruiker al die stappen vrijwillig doorloopt. Een oplichter hoeft je wachtwoord dan helemaal niet te stelen. Hij hoeft je alleen maar te overtuigen dat je zelf iets moet doen.

Apple noemt als voorbeelden iemand die zich voordoet als een bank, overheidsinstantie of een andere vertrouwde partij en je vervolgens onder druk zet om geld over te maken of belangrijke accountgegevens te wijzigen. Tweefactorauthenticatie biedt daar niet altijd bescherming tegen, omdat jij zelf degene bent die de actie bevestigt.

Je iPhone kijkt naar wat er rondom die actie gebeurt

Daar komt Impersonation Risk Detection om de hoek kijken. Een app die de technologie ondersteunt, kan op een gevoelig moment aan je iPhone vragen om een risico-inschatting te maken. Bijvoorbeeld wanneer je een betaling uitvoert, inlogt of belangrijke beveiligingsinstellingen van een account verandert.

Je iPhone analyseert vervolgens verschillende signalen. Apple kijkt onder andere naar interactiepatronen, timing, context en bepaalde sensorgegevens. Ook kan worden meegenomen of je op dat moment je scherm deelt en ongeveer hoeveel telefoongesprekken of e-mails je recent hebt ontvangen.

Dat kan bijvoorbeeld relevant zijn wanneer je midden in een lang telefoongesprek plotseling een grote betaling probeert uit te voeren.

De inhoud van je foto's, berichten en e-mails wordt volgens Apple niet door het systeem geanalyseerd. Een belangrijk deel van de analyse vindt bovendien rechtstreeks op het apparaat plaats.

De app krijgt alleen een risicoscore

De app die om de controle vraagt, krijgt niet alle achterliggende gegevens te zien. In plaats daarvan ontvangt hij een van drie risiconiveaus:

Unknown: er zijn geen aanwijzingen voor verdachte activiteit gevonden. Dat betekent nadrukkelijk niet dat de handeling gegarandeerd veilig is.
Medium: er zijn enkele verdachte signalen.
High: er zijn duidelijke signalen die op een verhoogd risico wijzen.

Vervolgens bepaalt de ontwikkelaar van de app zelf wat daarmee gebeurt. Een bank zou bijvoorbeeld een extra identiteitscontrole kunnen uitvoeren, een waarschuwing kunnen tonen of een vertraging kunnen inbouwen voordat een betaling doorgaat. Apple blokkeert een transactie dus niet zelfstandig.

Je moet de functie wel zelf aanzetten

Opvallend is dat de nieuwe beveiligingslaag niet automatisch is ingeschakeld. Heb je iOS 27 of iPadOS 27 geïnstalleerd, dan vind je de instelling via:

Instellingen → Privacy en beveiliging → Impersonation Risk Detection

ios-27-iphone-17-pro-settings-privacy-and-security-impersonation-risk-detection

Daar moet Share with App Developers worden ingeschakeld. Mogelijk moet je daarvoor ook met je Apple Account zijn ingelogd bij de App Store. Apple heeft bovendien een interessante beveiliging ingebouwd voor het uitschakelen van de functie. Wanneer je Impersonation Risk Detection uitzet, kan het tot 24 uur duren voordat die wijziging daadwerkelijk actief wordt.

Dat is bewust gedaan. Een oplichter die je telefonisch door alle stappen loodst, kan je daardoor niet even snel instrueren om eerst deze beveiliging uit te zetten en vervolgens verder te gaan met de betaling. Apple waarschuwt zelfs dat wanneer iemand je vraagt Impersonation Risk Detection uit te schakelen, dit op zichzelf al een aanwijzing kan zijn dat je met een scam te maken hebt.

Werkt dit ook in Nederland?

De functie maakt onderdeel uit van iOS 27 en iPadOS 27 en is ook op Europese apparaten beschikbaar. Er zit alleen een belangrijke beperking aan. Apps moeten Impersonation Risk Detection zelf ondersteunen.

Apple heeft op dit moment geen openbare lijst gepubliceerd met banken, betaaldiensten en andere apps die de technologie al hebben geïntegreerd. Alleen wanneer een app ondersteuning heeft ingebouwd, kan deze tijdens bijvoorbeeld een betaling om zo'n risico-inschatting vragen.

In de instellingen kun je uiteindelijk ook zien welke apps daadwerkelijk gebruik hebben gemaakt van Impersonation Risk Detection en waarom ze een controle hebben aangevraagd.

Daarmee is de technologie dus beschikbaar op Nederlandse iPhones, maar zal de praktische bescherming vooral afhangen van hoe snel banken en andere appontwikkelaars ermee aan de slag gaan.

Interessante nieuwe strijd tegen online oplichting

Juist dat maakt Impersonation Risk Detection interessant. Veel beveiligingstechnieken zijn erop gericht te controleren of jij werkelijk jij bent. Face ID, wachtwoorden en tweefactorauthenticatie doen precies dat.

Maar bij steeds geraffineerdere vormen van online fraude is het slachtoffer daadwerkelijk degene die inlogt en de betaling uitvoert.

Apple probeert daarom een andere vraag te beantwoorden: gedraagt deze gebruiker zich op dit moment alsof hij zelfstandig een normale handeling uitvoert, of zijn er signalen dat iemand anders hem daarbij onder druk zet?

Het is zeker geen garantie dat scams voortaan worden tegengehouden. Maar als Nederlandse banken de techniek gaan ondersteunen, krijgt de iPhone er wel een opvallende extra verdedigingslinie tegen social engineering bij.