Kan iemand mijn bankrekening leeghalen met alleen mijn IBAN?

Wanneer je hoort dat je IBAN of rekeningnummer is uitgelekt, klinkt dat al snel ernstiger dan het meestal is. Een bankrekeningnummer voelt als gevoelige financiële informatie, maar het is belangrijk om onderscheid te maken tussen informatie die bedoeld is om te delen en gegevens die daadwerkelijk toegang geven tot je rekening.

Met alleen je IBAN kan iemand niet zomaar inloggen op je internetbankieren of je rekening leeghalen. Een rekeningnummer is geen wachtwoord, pincode of beveiligingscode. Het is juist bedoeld om betalingen mogelijk te maken en wordt daarom regelmatig gedeeld op facturen, betaalverzoeken en zakelijke websites.

Dat betekent niet dat een gelekt IBAN helemaal geen risico oplevert. Het gevaar zit vooral in wat iemand ermee kan doen in combinatie met andere persoonsgegevens.

Je IBAN is geen toegangscode

Een IBAN geeft op zichzelf geen toegang tot je bankrekening. Iemand die alleen je naam en rekeningnummer kent, kan daarmee normaal gesproken niet zelfstandig geld van je rekening overboeken.

Dat is een belangrijk verschil met gegevens zoals je pincode, inloggegevens, bevestigingscodes of toegang tot je bankapp. Zulke gegevens kunnen wel direct gevolgen hebben voor de beveiliging van je rekening.

Daarom is een gelekt rekeningnummer op zichzelf meestal geen reden om direct een nieuwe bankrekening te openen.

Het risico wordt groter wanneer je IBAN samen met andere informatie is buitgemaakt. Denk bijvoorbeeld aan je volledige naam, adres, telefoonnummer of e-mailadres.

Met zo’n combinatie kan iemand een veel geloofwaardiger verhaal opbouwen.

Een beller die je naam kent en vervolgens ook de laatste cijfers van je rekeningnummer noemt, kan bijvoorbeeld overtuigend overkomen als bankmedewerker. Dat betekent alleen nog niet dat die persoon daadwerkelijk toegang heeft tot systemen van je bank.

De informatie kan net zo goed afkomstig zijn uit een gestolen klantenbestand, een oud datalek of een eerdere phishingpoging.

Het grootste risico is vaak misleiding

Een gelekt IBAN wordt vooral gevaarlijk wanneer criminelen het gebruiken om vertrouwen te winnen.

Stel dat je wordt gebeld door iemand die zegt van je bank te zijn. De persoon noemt je naam en weet ook welk rekeningnummer je gebruikt. Vervolgens wordt verteld dat er verdachte betalingen zijn gevonden en dat er snel moet worden gehandeld.

Omdat de eerste gegevens kloppen, voelt de rest van het gesprek automatisch geloofwaardiger.

Daarna kan het verzoek komen om een beveiligingscode door te geven, een betaling te bevestigen of geld naar een zogenaamde veilige rekening over te maken.

Op dat moment ontstaat het echte gevaar.

Niet omdat iemand je IBAN kent, maar omdat het rekeningnummer wordt gebruikt als onderdeel van een overtuigend verhaal.

Persoonlijke gegevens zijn daarom nooit op zichzelf bewijs dat iemand daadwerkelijk namens je bank belt.

Kan iemand een automatische incasso doen met mijn IBAN?

Dit is een veelgestelde zorg wanneer een rekeningnummer is uitgelekt.

Automatische incasso werkt anders dan een normale overschrijving. Binnen het Europese incassosysteem gelden machtigingen en regels voor partijen die bedragen van een rekening willen incasseren.

Dat betekent niet dat je vreemde afschrijvingen moet negeren. Juist omdat automatische incasso’s soms tussen normale abonnementen verdwijnen, is het verstandig om je rekening regelmatig te controleren.

Zie je een afschrijving van een organisatie die je niet kent of waarvoor je nooit toestemming hebt gegeven, neem dan contact op met je bank en onderzoek waar de incasso vandaan komt.

Bij standaard Europese incasso’s bestaan bovendien mogelijkheden om bedragen terug te boeken. Ook voor incasso’s waarvoor helemaal geen geldige machtiging is afgegeven bestaan procedures via de bank.

Dat is iets anders dan iemand die met alleen je IBAN rechtstreeks toegang krijgt tot je rekening. Het kennen van je rekeningnummer geeft die toegang niet.

Kleine onbekende afschrijvingen verdienen ook aandacht

Fraude hoeft niet altijd te beginnen met duizenden euro’s.

Een onbekende afschrijving van een klein bedrag valt soms minder snel op, zeker wanneer er veel abonnementen en automatische betalingen vanaf dezelfde rekening lopen.

Daarom is het verstandig om af en toe bewust door je transacties te lopen. Je hoeft je rekening niet voortdurend te controleren, maar vreemde afschrijvingen zouden niet maandenlang onopgemerkt moeten blijven.

Herken je een bedrijf niet, kijk dan waar de betaling vandaan komt voordat je ervan uitgaat dat het wel zal kloppen.

Wat moet je doen als je IBAN is gelekt?

Wanneer alleen je naam en IBAN zijn buitgemaakt, hoef je meestal niet direct drastische maatregelen te nemen.

Je bankrekening zelf moet natuurlijk goed beveiligd blijven. Geef nooit je pincode, inloggegevens of beveiligingscodes aan iemand anders en keur geen betalingen goed die je zelf niet hebt gestart.

Wees daarnaast wat kritischer op onverwachte telefoontjes, e-mails en sms-berichten waarin informatie over je rekening wordt gebruikt.

Juist na een bekend datalek kunnen criminelen de buitgemaakte informatie gebruiken voor vervolgfraude. Een bericht waarin je echte naam, leverancier of rekeningnummer staat, kan daardoor veel overtuigender zijn dan een algemene phishingmail.

Dat de informatie klopt, betekent nog steeds niet dat de afzender betrouwbaar is.

Moet je een nieuw rekeningnummer aanvragen?

In de meeste situaties is dat niet nodig wanneer alleen je IBAN bekend is geworden.

Een rekeningnummer is geen geheime sleutel tot je bankrekening. Het belangrijkste is dat de gegevens die daadwerkelijk toegang geven tot je rekening veilig blijven en dat je alert bent op misbruik van de informatie die is gelekt.

Is er behalve je IBAN ook sprake van gestolen inloggegevens, verdachte transacties of toegang tot je bankapp, dan verandert de situatie natuurlijk wel. Neem in dat geval rechtstreeks contact op met je bank.

Maar wanneer alleen je rekeningnummer ergens is uitgelekt, is paniek meestal niet nodig.

Blijf vooral alert op de combinatie van gegevens. Een crimineel die je naam, telefoonnummer en IBAN kent, heeft daarmee nog geen toegang tot je geld. Hij heeft wel genoeg informatie om overtuigender te proberen je vertrouwen te winnen.

En juist daar zit bij een gelekt IBAN meestal het grootste risico.