Deze online fraude ziet er zó echt uit dat bijna de helft erin trapt

Een mail vol spelfouten, een vreemd webadres en de mededeling dat je binnen tien minuten moet betalen. Online fraude herkennen lijkt soms eenvoudig. Maar wat gebeurt er wanneer een nepwebsite er vrijwel net zo professioneel uitziet als de echte? Dan blijkt ons vermogen om fraude te herkennen behoorlijk tegen te vallen.

Uit nieuw onderzoek van Booking.com onder 1.137 Nederlandse reizigers blijkt dat 48 procent een frauduleuze hotelpagina voor echt aanziet. Vooral de professionele uitstraling blijkt een effectief wapen. Van de deelnemers die de neppagina niet herkenden, zegt 65 procent dat juist de vormgeving hen overtuigde.

Dat is extra relevant nu generatieve AI het voor cybercriminelen steeds eenvoudiger maakt om geloofwaardige teksten, afbeeldingen en complete websites te produceren.

Voor het onderzoek kregen deelnemers verschillende echte en frauduleuze berichten en webpagina's te zien. Ze moesten vervolgens aangeven of ze dachten dat het voorbeeld legitiem, verdacht of frauduleus was.

Bij een frauduleus WhatsApp-bericht ging dat behoorlijk goed. Slechts 15 procent dacht dat het bericht echt was. Bekende alarmsignalen deden daar hun werk. Denk aan tijdsdruk, een verzoek om te betalen en een verdachte URL.

Zodra de fraude professioneler werd verpakt, veranderde het beeld snel. Een nagemaakte boekingspagina werd door 43 procent voor echt aangezien. Bij een frauduleuze hotelpagina liep dat percentage zelfs op tot 48 procent.

Daarmee raakt het onderzoek precies een probleem dat door de opkomst van AI steeds relevanter wordt. We hebben jarenlang geleerd om phishing te herkennen aan slecht taalgebruik, vreemde vormgeving en knullige communicatie. Juist die kenmerken kunnen steeds gemakkelijker verdwijnen.

Bij de frauduleuze hotelpagina werden veel traditionele waarschuwingssignalen niet opgemerkt. Van de mensen die de pagina ten onrechte als legitiem beoordeelden, geeft 65 procent aan dat de professionele vormgeving hun oordeel sterk beïnvloedde.

Een verzorgde website blijkt dus al snel een gevoel van betrouwbaarheid te creëren. Dat is problematisch, want professioneel ogende websites zijn dankzij moderne webtools en generatieve AI veel eenvoudiger te maken dan enkele jaren geleden.

AI kan bovendien worden ingezet om teksten zonder opvallende taal- of spelfouten te schrijven, bestaande communicatie na te bootsen en overtuigende afbeeldingen te produceren. Daardoor wordt alleen afgaan op hoe professioneel iets eruitziet steeds riskanter.

Opvallend genoeg hebben Nederlandse reizigers behoorlijk veel vertrouwen in hun eigen digitale voelsprieten. Maar liefst 79 procent zegt doorgaans goed te zijn in het herkennen van verdachte berichten.

De praktijktest laat een ander beeld zien. Van de reizigers die veel vertrouwen hebben in hun eigen vermogen om fraude te herkennen, beoordeelde 39 procent minimaal één van de getoonde fraudepogingen toch als legitiem.

Zelfvertrouwen blijkt dus bepaald geen garantie.

Ook het idee dat jongere, digitaal vaardige gebruikers automatisch beter zijn in het herkennen van online fraude wordt door het onderzoek genuanceerd. Van de Nederlandse deelnemers onder de 30 jaar zag 38 procent een frauduleus voorbeeld voor echt aan. Onder 60-plussers was dat 26 procent.

Dat betekent overigens niet dat oudere gebruikers simpelweg beter zijn in het herkennen van fraude. Bij hen doet zich juist het tegenovergestelde probleem voor. Van de 60-plussers beoordeelde 45 procent een écht bericht ten onrechte als verdacht of frauduleus. Onder Nederlanders jonger dan 30 jaar was dat 21 procent.

Jongere gebruikers lijken daarmee eerder geneigd iets te vertrouwen, terwijl oudere gebruikers juist vaker een legitiem bericht wantrouwen.

Volgens Booking.com wordt dat onderscheid steeds belangrijker nu cybercriminelen AI kunnen gebruiken om geloofwaardigere fraude te produceren.

"Scams slagen niet omdat reizigers onvoorzichtig zijn, maar omdat cybercriminelen met AI technologie de schijn van betrouwbaarheid kunnen perfectioneren. Traditionele waarschuwingssignalen verdwijnen", zegt Pascal Mafait, Senior Director Fraud, Trust & Safety bij Booking.com.

Daarmee verschuift ook de manier waarop we naar phishing en andere vormen van online fraude moeten kijken. Een tekst zonder spelfouten zegt weinig meer. Een strak ontworpen website evenmin. Zelfs een bericht dat qua schrijfstijl perfect lijkt aan te sluiten bij een bekende organisatie hoeft niet daadwerkelijk van die organisatie afkomstig te zijn.

Nederlanders leggen die verantwoordelijkheid niet volledig bij zichzelf neer. Uit het onderzoek blijkt dat 49 procent een belangrijke rol ziet voor reisplatforms. Vrijwel evenveel mensen, 48 procent, vinden dat consumenten zelf een belangrijke verantwoordelijkheid hebben.

Van reisplatforms wordt vooral verwacht dat ze verdachte accounts blokkeren. Dat noemt 53 procent van de deelnemers. Daarnaast wil 45 procent dat verdachte activiteiten sneller worden gedetecteerd en verwacht 38 procent dat klanten proactief worden gewaarschuwd wanneer er mogelijk iets niet klopt.

Booking.com zegt zelf onder meer eenmalige toegangscodes voor klanten en tweefactorauthenticatie voor accommodatiepartners te gebruiken.

Het onderzoek laat vooral zien hoe snel onze oude vuistregels voor online fraude verouderen. Natuurlijk blijven een vreemde URL, onverwacht betalingsverzoek en extreme tijdsdruk redenen om extra goed op te letten. Maar het ontbreken daarvan betekent niet automatisch dat een website of bericht betrouwbaar is.

Juist nu AI overtuigende teksten en professioneel ogende content toegankelijker maakt, wordt het belangrijker om te controleren waar een bericht daadwerkelijk vandaan komt. Klik bij twijfel bijvoorbeeld niet rechtstreeks op een toegestuurde link, maar open zelf de officiële app of website van de betreffende dienst.

Want als bijna de helft van de deelnemers een nagebouwde hotelpagina voor echt aanziet, is één ding duidelijk: online fraude hoeft er allang niet meer uit te zien als fraude.