Op 22 september 2026 waarschuwde de Guardia Civil in Spanje voor een gemelde WhatsApp-accountovername op bepaalde oudere iPhones. De aanval zou zonder link, QR-code of vooraf gedeelde verificatiecode kunnen beginnen. Daarna zouden aanvallers echte gesprekken en het vertrouwde telefoonnummer gebruiken om contacten om geld te vragen.
De waarschuwing over WhatsApp-fraude zonder klik
‘Zero-click’ betekent in dit geval dat het slachtoffer volgens de melding niet eerst op een link hoeft te klikken, een QR-code hoeft te scannen of een code hoeft door te geven voordat de account wordt overgenomen. Dat maakt de fraude verraderlijk: er is geen klassieke loklink nodig die meteen argwaan wekt.
De meldingen spreken over ongeveer 50 klachten in Huelva, die zich vanaf eind augustus 2026 zouden hebben opgestapeld. In La Rioja werd afzonderlijk melding gemaakt van vier gevallen in Calahorra, Haro en Logroño. In één van die zaken zou een slachtoffer €2.000 zijn kwijtgeraakt.
Hoe een echte WhatsApp-account een valstrik wordt
Na de gemelde overname zouden de aanvallers berichten kunnen sturen vanuit de account van het slachtoffer. Voor familieleden en vrienden lijkt het gesprek afkomstig van het bekende telefoonnummer, met de vertrouwde chatgeschiedenis erbij. Vervolgens vragen ze bijvoorbeeld om een dringende overschrijving of om een herstelcode.
Volgens de meldingen konden verzonden berichten vanaf een gekoppeld apparaat worden verwijderd met de WhatsApp-functie ‘Verwijderen voor mij’. Daardoor zou de eigenaar van de account de frauduleuze berichten minder snel opmerken, terwijl contacten ze wel kunnen hebben ontvangen.
De technische aanval en de latere geldvraag zijn twee verschillende stappen. De accountovername geeft de aanvaller toegang tot een geloofwaardige identiteit; de geldvraag maakt daar vervolgens misbruik van via sociale manipulatie.
Welke iPhones bij de meldingen worden genoemd
De waarschuwing koppelt de gevallen aan bepaalde iPhone-modellen met oudere iOS-versies rond iOS 16.7.12. De beschikbare formuleringen leggen de grens niet overal op dezelfde manier, dus het is verstandiger om de melding niet te vertalen naar een algemene waarschuwing voor iedere iPhone met die versie.
Voor gebruikers is de praktische stap wel duidelijk: installeer de nieuwste beschikbare update voor iOS en WhatsApp. Controleer daarna in WhatsApp welke apparaten aan de account zijn gekoppeld en beëindig sessies die je niet herkent. Schakel ook de tweestapsverificatie van WhatsApp in.
Wat je vandaag kunt controleren
- Werk iOS en WhatsApp bij.
- Open in WhatsApp het overzicht met Gekoppelde apparaten.
- Meld onbekende of verdachte sessies af.
- Schakel tweestapsverificatie in.
- Deel nooit een sms-code, verificatiecode of herstelcode met iemand anders.
Een update is geen reden om een onverwacht verzoek automatisch te vertrouwen. Het blijft verstandig om een dringend geldverzoek buiten WhatsApp om te controleren.
Wat te doen bij een onverwacht geldverzoek
Bel de afzender rechtstreeks via een telefoonnummer dat je al kende, of gebruik een ander onafhankelijk kanaal. Reageer niet uitsluitend op de WhatsApp-chat en maak geen geld over voordat de identiteit is gecontroleerd.
Denk je dat een account is overgenomen, waarschuw dan direct de contacten die mogelijk een bericht van de aanvaller hebben gekregen. Beëindig onbekende gekoppelde sessies, installeer WhatsApp opnieuw, activeer tweestapsverificatie en bewaar screenshots, chatberichten en betaalgegevens.
Is er al geld overgemaakt, neem dan onmiddellijk contact op met de bank en doe aangifte bij de politie.
