Vertrouwen is het zwakste slot

Nicole Wong-Swie-San

27 okt 2026

Crypto

Onderwijs

Illustratie:

Jop van Vlaanderen

Drie fraudes met verschillende aanvalspunten. De oplichter wint op het moment dat iemand vertrouwt zonder te verifiëren.

🕗 8 minuten

In oktober 2026 verschenen drie berichten die los van elkaar lijken te staan. Een onderzoeksplatform publiceerde een reconstructie van hoe meer dan 1.200 Nederlanders samen 20 miljoen euro verloren aan een beleggingsplatform van een finfluencer. Een docentenhandleiding over geldezels beschreef hoe jongeren via kleine gunsten worden ingezet als doorgeefluik voor witwassen. En vier grote Nederlandse webwinkels haalden Ledger-cryptowallets tijdelijk uit de verkoop nadat bleek dat criminelen apparaten hadden opengemaakt en voorzien van verborgen chips.

Het zijn drie verschillende fraudes bij drie verschillende doelgroepen, maar de onderliggende architectuur is dezelfde. De aanvaller zoekt niet het zwakste technische systeem. De aanvaller zoekt het moment waarop een persoon een ander persoon, een situatie of een product vertrouwt zonder te verifiëren. Dat moment is niet vaker bij jongeren dan bij volwassenen en ook niet vaker bij technische leken dan bij ervaren beleggers. Het is een menselijk patroon en het werkt op elk niveau.

Lees ook: Geldezel worden zonder het te weten — de psychologie achter de crypto-scam

Vertrouwen in een persoon: hoe Ufunded werkte

In 2019 richtte Kevin Timmer Trade Academy op, een platform voor betaalde tradingcursussen. In 2023 voegde hij daar Ufunded aan toe. Een beleggingsplatform waarbij klanten een account konden kopen van 1.400 tot ruim 32.000 euro, in ruil voor toegang tot een handelskapitaal van 45.000 tot meer dan een miljoen dollar.

De manier waarop Ufunded mensen over de drempel haalde, is een leerboekvoorbeeld van wat gedragspsycholoog Robert Cialdini autoriteit en sociale bewijskracht noemt. Timmer bouwde zijn publieke persona op rond zichtbaar succes. Hij showde een Patek Philippe-horloge van bijna 4 ton, video's vanuit Dubai en Thailand en uitnodigingen om zijn trades te kopiëren. De boodschap was consistent dat het werkt en hij is het bewijs.

Dat autoriteitsframe drukte op de cursisten in zijn Discord-community, waar winst-screenshots actief werden uitgevraagd en gedeeld. ‘Als zij dat kunnen, moet het mij toch ook lukken?’ citeerde Pointer een van de slachtoffers. Je zou dat gevoel kunnen scharen onder naïviteit. Het is sociale bewijskracht. Een cognitief mechanisme waarbij we de keuzes van anderen gebruiken als ijkpunt voor onze eigen beslissingen, vooral in situaties die we slecht kunnen beoordelen (Cialdini, 2021).

Had je eenmaal geïnvesteerd, dan werd je geconfronteerd met een derde mechanisme, namelijk commitment en consistentie. Mensen willen consistent zijn met hun eerdere keuzes. Als je je account opblaast, staat je voor een keuze. 1) toegeven dat de eerste stap een vergissing was, of 2) opnieuw investeren. Accountmanagers van Ufunded begrepen dat. Zodra een klant verlies leed, kwamen zij in actie. ‘Als ik bijvoorbeeld op 5.000 euro verlies stond, dan kreeg ik allemaal berichtjes dat het verstandig was om te upgraden’, vertelde een van de ex-klanten aan Pointer.

De Autoriteit Financiële Markten (AFM) oordeelde dat Ufunded beleggingsdiensten aanbood zonder vergunning en winst maakte op het moment dat klanten verlies maakten. Het bleef lang onduidelijk voor veel klanten dat het handelskapitaal eigenlijk niet echt bestond. De omgeving was een simulatie. Ufunded vermeldde dat in kleine lettertjes, maar vertelde het klanten niet actief bij de aanschaf (Pointer, 2026).

De slachtoffers werden systematisch blootgesteld aan mechanismen die werken bij mensen die hun beslissingen nemen op basis van de sociale context. En dat doen heel veel van ons.

Vertrouwen in een situatie: de geldezel als doorgeefluik

De geldezel-fraude werkt anders, maar het psychologische principe overlapt. Hier gaat het niet om een charismatisch persoon of een belofte van groot rendement. Het gaat om een situatie die redelijk klinkt. Een kleine gunst die geen kwaad kan en sociale druk die maakt dat weigeren ongemakkelijker voelt dan meedoen.

De meest voorkomende ronselmethode is eenvoudig. Iemand die je kent, of die je lijkt te kennen, vraagt of geld even via jouw rekening kan worden overgemaakt. De reden klinkt vaak plausibel. Bijvoorbeeld vanwege een geblokkeerde pas, een probleem met buitenlandse overschrijvingen of een tijdelijk ‘technisch’ probleem. Voor de moeite mag je een deel houden. Aantrekkelijk, toch?

Wat mensen onderschatten, is hoe doelgericht deze situaties zijn geconstrueerd. Criminelen zoeken bewust kwetsbare doelgroepen, zoals jongeren, mensen met geldproblemen of mensen die geen nee durven zeggen. Ze maken gebruik van bestaand vertrouwen, via een kennis, klasgenoot of iemand uit de buurt. Ze starten klein, met een casus die weinig weerstand oproept, voordat ze doorschalen.

Uit onderzoek van de Nederlandse Vereniging van Banken onder 258 jongeren bleek dat 7 op de 10 niet weten dat de pakkans bij geldezelfraude vrijwel honderd procent is (NVB, 2024). Wat veel jongeren zich niet realiseren, is dat als je je rekening beschikbaar stelt en een slachtoffer doet aangifte, alles direct traceerbaar is. De crimineel blijft buiten schot en de geldezel staat in de politiesystemen.

Maar dit is niet nadrukkelijk een jeugdprobleem. Een van de slachtoffers in de Ufunded-casus is 54 jaar. Mechanismen zoals sociale bewijskracht, groepsdruk en escalerend commitment brachten haar ertoe 7 accounts te kopen. Dit zijn dezelfde mechanismen die een 17-jarige ertoe brengen even een bankrekening beschikbaar te stellen voor een kennis. De situatie verschilt, maar de psychologie niet.

Vertrouwen in een product: de Ledger supply chain-aanval

De derde aanval is technischer, maar psychologisch even herkenbaar. Een hardwarewallet als een Ledger is specifiek ontworpen om crypto offline te bewaren, buiten het bereik van hackers. De gebruiker koopt een officieel product, van een erkende verkoper, met een intacte zegel. Dat is het vertrouwen dat aanvallers hier exploiteren.

Criminelen kochten Ledger-wallets, openden de apparaten, bouwden een spionagechip in en brachten de wallets terug in de keten. Zo intact dat de herstelcontrole van Ledger niet aansloeg. De verborgen chip onderschepte de 24-woorden herstelzin die gebruikers invoeren bij de eerste installatie. Die herstelzin is de hoofdsleutel tot de wallet. Wie hem heeft, kan de wallet elders opnieuw aanmaken en de fondsen verplaatsen zonder het fysieke apparaat.

De bevestigde schade bedraagt meer dan 102 miljoen dollar, verdeeld over ruim 300 wallets. De aanval begon bij de Indonesische reseller CryptoBilis, maar verspreidde zich. Een apparaat gekocht bij MediaMarkt in Duitsland bleek ook besmet. De moederorganisatie, MediaMarktSaturn, haalde alle Ledger-producten op 13 oktober 2026 uit de verkoop in heel Europa. Bol, Coolblue en Amac volgden in Nederland en zeiden daarbij geen bevestigde besmette apparaten te hebben aangetroffen, maar kozen voor zekerheid voor de klant.

Ledger benadrukte dat zijn eigen chips, software en servers niet zijn gecompromitteerd. De aanval zat in de fysieke distributieketen, niet in het product zelf. Dat onderscheid is technisch correct, maar voor de gebruiker irrelevant. Het Ledger-product dat zij kochten, werkte anders dan verwacht.

De les is scherper dan ‘koop je hardware alleen bij officiële resellers’. De les is dat ook gecertificeerde verkoopketens afhankelijk zijn van mensen die op elk punt correct handelen. Vertrouwen in een product is vertrouwen in een keten en die keten is zo sterk als de zwakste schakel.

Lees ook: De rekening van een overtuiging

Vertrouwen werkt hetzelfde, ongeacht het doelwit

Finfluencerfraude, geldezelfraude en supply chain-aanvallen zijn technisch volledig anders. Ze richten zich op verschillende doelgroepen, via verschillende kanalen, met verschillende tactieken. Maar de architectuur die ze succesvol maakt, is identiek. Ze zoeken het moment waarop iemand vertrouwt zonder te verifiëren.

Bij Ufunded was dat het moment waarop een cursist de screenshots van andere cursisten als bewijs zag dat het werkte. Bij de geldezel-fraude was dat het moment waarop een gunst voor een bekende redelijker voelde dan nee zeggen. Bij de Ledger-aanval was dat het moment waarop een gebruiker ervan uitging dat een product van een erkende verkoper veilig was.

Vertrouwen is niet het probleem, het is noodzakelijk. Vertrouwen in geld, producten en vooral in mensen. Het wordt een aanvalspunt zodra het losstaat van verificatie. Wat niet altijd goed mogelijk is. Je kunt een hardware wallet niet zelf openmaken om de chips te controleren en je kunt de handelssessies van een finfluencer niet forensisch doorlichten.

Het is wel mogelijk de signalen te herkennen. Denk hierbij aan een veel te soepel verlopend sollicitatiegesprek, een screenshot van winst in een community of een product dat je via een onbekende derde partij ontvangt. Maar zeker ook een verzoek om een kleine gunst van iemand die je net of eigenlijk heel goed kent. Dit zijn aanwijzingen dat verificatie altijd de moeite waard is. Voordat het vertrouwen al is gegeven. En iemand die echt een goede vriend of financiële goeroe is, zal daar altijd begrip voor hebben.