Toch trappen mensen erin, zei cybercrime-officier van justitie Jacqueline Bonnes woensdag. Zoals een 36-jarige vrouw uit Rotterdam. Ze klikte op een link in een mail die van de ING-bank afkomstig leek. Op de site waar ze naartoe werd geleid, vulde ze gegevens in. Een tweede mail volgde én een telefoontje van de „bank” die haar dringend verzocht om meer informatie. Gevolg: haar rekening werd leeggehaald.

Politie en Openbaar Ministerie (OM) in Rotterdam hebben de zaak van deze vrouw en zes andere slachtoffers in onderzoek en spoorden tot nu toe 46 geldezels op - mensen die hun bankpas en -rekening beschikbaar stellen aan criminelen. Die sluisden met de door phishing verkregen informatie geld van de slachtoffers naar de rekeningen van de geldezels om het vervolgens in porties van 1000 of 2000 euro op te nemen.

De schade van phishing proberen de banken te verhalen op de geldezels, maar die zijn behalve dader ook slachtoffer, schetst Gijs Boudewijn van de Nederlandse Vereniging van Banken. Vaak gaat het, net als in de Rotterdamse zaak, om laagopgeleide jongeren. De pakkans is voor hen 100 procent, want een bank kan precies zien op welke rekening de verdachte transacties terechtkomen. Word je gepakt, dan sta je 8 jaar lang te boek als fraudeur, waardoor het vrijwel onmogelijk is een nieuwe bankrekening te openen.

Vorig jaar hebben banken 9,8 miljoen euro terugbetaald aan slachtoffers. Hoeveel op de geldezels is verhaald, is niet bekend. Criminelen hoger in de organisaties zijn nog niet gepakt; bij hen is dus nog niets teruggehaald. De NVB verwacht dat de schade dit jaar nog hoger uitvalt.