De Rotterdamse politie hield twee verdachten aan voor bankhelpdeskfraude waarbij AI-gegenereerde stemmen slachtoffers onder druk zetten een app te installeren en hun bankpas via NFC te laten scannen, met circa 170 slachtoffers en ongeveer €380.000 schade. Bescherming vraagt beheersing van de hele keten: identiteitsclaim, tijdsdruk, app-installatie, NFC-handeling en snelle opname, niet alleen stemherkenning.
De Eenheid Rotterdam van de politie maakte op 21 oktober 2026 bekend dat twee verdachten waren aangehouden. Onze analyse van de politiegegevens is dat AI in deze zaak de overtuigings- en manipulatiefase ondersteunde, terwijl de daaropvolgende geldopnames gebruikmaakten van doorgestuurde NFC-gegevens van bankpassen.
Wat heeft de Rotterdamse politie precies vastgesteld over deze fraudevorm?
Volgens de publicatie van de politie Eenheid Rotterdam gebruikten de criminelen tientallen AI-gegenereerde geluidsfragmenten met verschillende stemmen, banken en scenario's om slachtoffers telefonisch te bewerken. Slachtoffers moesten een app installeren en hun bankpas tegen hun telefoon houden, waarna de NFC-gegevens — de contactloze gegevens van de pas — werden doorgestuurd naar een app die een zogenoemde pinner bij een geldautomaat gebruikte.
De politie rapporteert in de onderzoeksperiode ongeveer 170 slachtoffers en circa €380.000 schade. De zaak kwam tot stand door samenwerking tussen politie, banken en het Openbaar Ministerie. De werkwijze combineert dus telefonische manipulatie, een technische app en gelijktijdige geldopnames.
Waarom maken AI-stemmen bankhelpdeskfraude gevaarlijker dan voorheen?
AI verlaagt de drempel om vertrouwen te wekken. Het Ministerie van Justitie en Veiligheid legt in de uitleg hoe online criminelen slachtoffers oplichten uit dat criminelen met AI overtuigender nepberichten, deepfakes en gekloonde stemmen kunnen maken, en dat zij druk, urgentie en gelekte persoonsgegevens inzetten om vertrouwen te winnen. Een synthetische stem die rustig en professioneel klinkt, doorbreekt de eerste intuïtie dat een gesprek niet klopt.
Naar onze inschatting is het bredere gevolg dat herkenbaarheid als verdedigingslijn verzwakt. Waar slachtoffers vroeger konden afgaan op een onhandige stem, haperend Nederlands of een verdacht accent, kan AI deze signalen wegpoetsen. De Fraudehelpdesk waarschuwt dat valse bellers zich als betrouwbare organisaties voordoen, doorverbinden naar een nep-supervisor en vragen om software te installeren waarmee aanvallers op afstand meekijken. Dat escalatiepatroon wordt met gekloonde stemmen alleen maar geloofwaardiger.
De tweede verschuiving is schaal. De politie beschrijft tientallen voorgeproduceerde geluidsfragmenten met verschillende stemmen, banken en scenario’s. Dat laat zien hoe AI de voorbereiding en variatie van telefonische fraude kan ondersteunen; de bron stelt echter niet vast dat dit op zichzelf verklaart hoe de groep circa 170 slachtoffers bereikte.
Wat betekent dit voor besluitvormers, banken en fraudebestrijding?
Onze analyse: omdat AI de stem niet langer als betrouwbaar herkenningspunt laat functioneren, verliezen klanten en medewerkers hun belangrijkste intuïtieve afweer; daarom moeten banken en organisaties hun voorlichting en interne training nu bouwen op gedragsregels die niet afhangen van stemherkenning. Omdat de beschreven geldopnames mogelijk werden nadat slachtoffers een app installeerden en hun bankpas via NFC lieten scannen, zijn die handelingen volgens onze analyse belangrijke punten waar de keten kan worden onderbroken; daarom horen onverwachte, telefonisch gevraagde app-installaties en NFC-acties technisch geblokkeerd of per direct als fraudesignaal gemarkeerd te worden. Omdat de aanval meerdere losse stappen koppelt — telefonisch contact, nieuwe app-registratie, NFC-gebruik en contante opname — zal detectie op één signaal falen; daarom moeten fraudeafdelingen juist op de afwijkende combinatie van die gebeurtenissen monitoren, zoals een nieuwe app-registratie kort gevolgd door NFC-verkeer en een opname op afstand. Omdat de Rotterdamse zaak alleen rondkwam door samenwerking tussen politie, banken en OM, is snelheid van signaaldeling bepalend voor de omvang van de schade; daarom moeten bestuurders nu vastleggen welke functionaris welk signaal binnen welk tijdsbestek deelt met politie en sector, in plaats van dat per incident te improviseren. Deze keten vertoont dezelfde kwetsbaarheid als hoe fouten zich door een gekoppelde keten verspreiden: zwakke overdrachten tussen stappen vergroten de schade.
Voor wie voice-AI in de eigen klantprocessen overweegt, raakt deze zaak ook aan governance rond herkomst van stemdata en voice-AI. En omdat dit geen klassiek cyberincident is maar een mens-gerichte aanval met AI-component, past het in een apart responsplaybook voor AI-incidenten naast het bestaande cyber-draaiboek. Meer achtergrond staat in onze themahub over AI-security en dreigingsbeheersing.
Welke concrete gedragsregels beschermen klanten en medewerkers nu?
De kern is eenvoudig en controleerbaar: een bank vraagt nooit telefonisch om een app of software te installeren of om de bankpas tegen een telefoon te houden. Elke klant en medewerker kan daaraan toetsen, ongeacht hoe overtuigend de stem klinkt. De Fraudehelpdesk adviseert het gesprek te verbreken, geen programma's te downloaden en de bank zelf te bellen via een betrouwbaar, zelf opgezocht nummer.
- Verbreek bij twijfel het gesprek en bel zelf terug via een nummer van de bankpas of de officiële site, niet via een nummer dat de beller noemt.
- Installeer nooit een app of hulpprogramma op verzoek van een onverwachte beller, ook niet van een zogenaamde supervisor.
- Houd uw bankpas nooit tegen een telefoon op telefonisch verzoek; dat maakt contactloze passcans mogelijk.
- Behandel tijdsdruk en urgentie zelf als waarschuwingssignaal in plaats van als reden om te handelen.
- Meld een vermoeden direct bij de bank en de Fraudehelpdesk, zodat signalen snel in de keten terechtkomen.
Het verschil tussen een gekoppelde en een alleenstaande fraudegroep zit niet in de slimste deepfake, maar in hoe snel de hele keten van vertrouwen tot geldopname wordt onderbroken. Daar ligt de verantwoordelijkheid van bestuurders en fraudeafdelingen: niet de AI-output bestrijden, maar de stappen die erop volgen onmogelijk maken.
Bronnen en referenties
Bronnen: Het artikel steunt op de publicatie van de politie Eenheid Rotterdam, een uitleg van het Ministerie van Justitie en Veiligheid en een waarschuwing van de Fraudehelpdesk.