Nummerspoofing: hoe bellers je een vals nummer tonen en hoe netwerken dat controleren
Bij nummerspoofing laat een beller op je telefoon een nummer verschijnen dat niet van hem is, vaak dat van je bank. Dat lukt omdat het nummer als een regel gegevens met het gesprek meereist. De telefooncentrale van de beller vult die regel zelf in, en netwerken gaven hem tientallen jaren ongecontroleerd door. Nu verplichten de Verenigde Staten en Frankrijk operators om het nummer te ondertekenen en de handtekening te controleren, en blokkeren het Verenigd Koninkrijk, Duitsland en België gesprekken uit het buitenland met een nummer uit eigen land, of verbergen ze het nummer. De regels veranderen vaak: we hebben elk feit op deze pagina voor het laatst gecontroleerd op 30 oktober 2026.
Paars: het gesprek en zijn zegelLegenda
- Paars: het gesprek en zijn zegel
- Gestippeld: internet en radio
Met controles · de netwerken in je land controleren het nummer
Druk op een knop, of klik op het scherm van de beller, de bank of je mobiel.Druk op een knop, of tik op het scherm van de beller, de bank of je mobiel.
Dezelfde gesprekken met de controles die netwerken nu uitvoeren, en zonder die controles. Elk land controleert op zijn eigen manier.
Anatomie van nummerspoofing: één gesprek uit een kamer in het buitenland, via een provider en over de grens, naar de controle bij je operator en naar je mobiel. De schakelaar toont hetzelfde netwerk zonder de controles. De tekening is niet op schaal.
-
Volg één gesprek
Druk op Gesprek afspelen en kijk mee, of scrol naar beneden: de tekening volgt je stap voor stap. Met Zelf proberen, onder de tekening, voer je je eigen gesprek.Druk op Gesprek afspelen en kijk mee, of ga met Volgende stap voor stap verder. Met Zelf proberen, onder de tekening, voer je je eigen gesprek.
-
Stap 1 van 6
De beller typt het nummer in
De beller zit in het buitenland achter een computer waarop een telefooncentrale draait. In de instellingen staat een veld voor het nummer dat het gesprek moet tonen, en daar typt hij het nummer van je bank in. De software controleert niet of het nummer van hem is. Dat is zo bedoeld: een callcenter dat voor een bedrijf belt, toont het nummer van dat bedrijf en niet zijn eigen nummer.
Waarom kan een beller elk nummer tonen?
Bij een gesprek via het internet staat het getoonde nummer in een regel van het bericht waarmee het gesprek begint, het veld From. Volgens de standaard vult de apparatuur van de beller dat zelf in, en het netwerk aan de andere kant kan niet zien of het klopt.
Met elk gesprek gaan twee nummers mee. Het netwerknummer vertelt operators waar het gesprek vandaan komt. Het getoonde nummer is het nummer dat jij ziet. Meestal zijn ze gelijk, maar een bedrijf kan een algemeen nummer tonen zodat je kunt terugbellen. De beller hoeft het nummer dat hij toont niet te bezitten of te huren.
Bronnen: IETF: RFC 3261, SIP: Session Initiation Protocol (2002); IETF: RFC 8224, Authenticated Identity Management in the Session Initiation Protocol (2018); Ofcom: Tackling scam calls from abroad, statement (2026)
-
Stap 2 van 6
Zijn provider zet het gesprek op het netwerk
De telefooncentrale geeft het gesprek via het internet door aan een provider, die het op het telefoonnet zet. Hier zou voor het eerst iemand kunnen controleren. Een provider die zijn klant en de nummers van die klant kent, kan voor het nummer instaan met een digitale handtekening, een zegel op het gesprek. Een provider in het buitenland die het nummer van je bank nooit heeft gezien, kan het niet eerlijk ondertekenen.
Wat staat er in het zegel?
Het zegel is een kort ondertekend token, PASSporT genaamd, dat met het gesprek meereist. Het bevat het nummer van de beller, het gebelde nummer en het tijdstip, en de provider ondertekent het met een certificaat dat bewijst dat hij voor telefoonnummers mag tekenen.
In de Verenigde Staten heet het systeem STIR/SHAKEN, en daar zegt de provider ook hoe zeker hij is. A betekent dat hij de klant kent en weet dat die het nummer mag gebruiken. B betekent dat hij de klant kent, maar het nummer niet. C betekent dat hij het gesprek alleen van ergens anders heeft doorgegeven.
Een zegel bewijst geen eerlijkheid. De Federal Communications Commission stelde vast dat één provider, Lingo Telecom, het hoogste niveau, A, had gegeven aan 3.978 gespoofde robotgesprekken waarin een door AI nagemaakte stem van Joe Biden klonk, toen nog president.
Bronnen: IETF: RFC 8225, PASSporT: Personal Assertion Token (2018); IETF: RFC 8588, PASSporT extension for Signature-based Handling of Asserted information using toKENs (SHAKEN) (2019); Federal Communications Commission: Enhancing STIR/SHAKEN to combat illegal robocalls, draft notice (2026)
-
Stap 3 van 6
Het gesprek komt je land binnen
Vanaf de provider gaat het gesprek van netwerk naar netwerk, tot het via een internationale gateway je land binnenkomt. Het toont nog steeds het nummer van je bank, een nummer uit je eigen land, terwijl het uit het buitenland komt. Op die tegenstrijdigheid letten de meeste Europese landen nu. Een zegel overleeft die reis zelden, en een zegel uit het buitenland zou toch niet vertrouwd worden.
Waarom zijn gesprekken uit het buitenland moeilijker te controleren?
Een zegel helpt alleen als elk netwerk onderweg het bewaart en het laatste netwerk vertrouwt wie het tekende. Ondertekeningssystemen zijn nationaal, en het Amerikaanse is ontworpen voor één land. Veel internationale routes lopen nog via oudere verbindingen of grensapparatuur die het bericht van het gesprek opnieuw opbouwt, en dan gaat het zegel verloren.
De Federal Communications Commission noemt robotgesprekken uit het buitenland een van de lastigste problemen waar ze voor staat, omdat ze de bellers en de buitenlandse providers die de gesprekken doorgeven niet kan bereiken.
Bronnen: IETF: RFC 7340, Secure Telephone Identity Problem Statement and Requirements (2014); European Conference of Postal and Telecommunications Administrations: ECC Report 338, CLI spoofing (2022); Federal Communications Commission: Targeting gateway providers to combat illegal robocalls, fact sheet (2021)
-
Stap 4 van 6
De controle bij je operator
Voordat je telefoon overgaat, komt het gesprek bij je operator aan, en wat daar gebeurt hangt af van waar je woont. In België en het Verenigd Koninkrijk wordt een gesprek uit het buitenland met een nummer uit eigen land geblokkeerd. In Duitsland wordt het nummer verborgen: in plaats van het nummer van je bank zie je helemaal geen nummer. In Frankrijk wordt een gesprek met een Frans nummer zonder geldig zegel afgebroken. Zonder die controles gaat het gesprek door zoals de beller het intypte, en je telefoon gaat over met Mijn bank op het scherm.
Houdt een controle elk vals gesprek tegen?
Nee. Mobiele nummers zijn de zwakke plek. Een gesprek uit het buitenland met een mobiel nummer uit eigen land kan van iemand op vakantie komen, dus laten de regels het na een controle door, of verbergen ze het nummer. Frankrijk verbergt sinds 1 januari 2026 niet-ondertekende Franse mobiele nummers uit het buitenland, en het Verenigd Koninkrijk toont ze vanaf 15 juli 2027 als afgeschermd.
Oplichters wijken ook uit naar andere kanalen. De Belgische toezichthouder ziet ze steeds vaker overstappen op apps zoals WhatsApp, waar operators niets tegen kunnen doen.
Bronnen: Arcep: Appels frauduleux depuis l'international, communiqué de presse du 2 décembre 2025 (2025); Ofcom: Tackling scam calls from abroad, statement (2026); BIPT: Telecomsector onderschept 103 miljoen frauduleuze oproepen in de eerste helft van 2026 (2026)
-
Stap 5 van 6
Nu belt de echte bank
Nu begint een tweede gesprek. De echte bank belt je vanaf haar eigen nummer. Je telefoon toont het nummer dat meekomt, of de naam die je voor dat nummer hebt opgeslagen, dus staat er Mijn bank op het scherm. Het valse gesprek toont precies hetzelfde als niets het tegenhoudt, want de telefoon kan alleen op het nummer afgaan. Met de controles aan is het nummer van de bank ondertekend en komt het door de controle.
Vertrouwen mensen het nummer op het scherm?
De meesten wel. In 2022 zei 93% van de mensen met een mobiel in het Verenigd Koninkrijk dat ze naar het getoonde nummer kijken om te beslissen of ze opnemen.
Lijkt het een nummer uit eigen land, dan nemen meer mensen op. In 2026 zei 24% van de Britse telefoongebruikers dat ze waarschijnlijk zouden opnemen bij een onbekend Brits mobiel nummer, tegen 8% bij een onbekend nummer uit het buitenland.
Bronnen: Ofcom: New Ofcom rules to fight fake number fraud (2022); Ofcom: Tackling scam calls from abroad, statement (2026)
-
Stap 6 van 6
Je belt terug op een nummer dat je kent
Zegt een beller dat hij van je bank is, hang dan op en bel het nummer op de achterkant van je pas of op de website van de bank. Het netwerk stuurt je gesprek naar het nummer dat je kiest, dus kom je bij de echte bank uit. Een beller kan het nummer vervalsen dat je ziet, maar niet het nummer dat je belt.
En als ik het getoonde nummer terugbel?
Dan krijg je de echte eigenaar van dat nummer aan de lijn. De Duitse toezichthouder wijst erop dat die de boze terugbellers krijgt, terwijl hij niets met de gesprekken te maken had.
Toch raden toezichthouders het af. Op het scherm zie je niet of het nummer het echte nummer van de bank is of een nummer dat de beller in handen heeft, dus bel een nummer dat je zelf hebt opgezocht.
Bronnen: Bundesnetzagentur: Rufnummernmanipulation (2026); European Conference of Postal and Telecommunications Administrations: ECC Recommendation (23)03 on international incoming calls with national numbers (2023); Ofcom: What to do about a scam call, text or message (2026)
Nummerspoofing in cijfers
93 op 100
In 2022 zeiden in het Verenigd Koninkrijk 93 op de 100 mensen met een mobiel dat ze naar het getoonde nummer kijken om te beslissen of ze een gesprek aannemen.
-
74 miljoen
In de eerste helft van 2026 hebben de vijf grootste Belgische operators meer dan 74 miljoen gespoofde gesprekken gedetecteerd of geblokkeerd, meer dan zeven op de tien frauduleuze gesprekken die ze tegenhielden.
BIPT: Telecomsector onderschept 103 miljoen frauduleuze oproepen in de eerste helft van 2026 (2026)
-
19.000
In 2025 kreeg Arcep, de Franse telecomtoezichthouder, meer dan 19.000 meldingen van vervalste nummers, tegen 531 in 2023. Spoofing is daar nu de belangrijkste reden voor een melding.
Arcep: Usurpation de numéros, communiqué de presse du 29 janvier 2026 (2026)
Hoe het zo gekomen is
- 1994
Nummerweergave tussen netwerken
Op 8 maart neemt de Federal Communications Commission regels aan die operators verplichten het nummer van de beller door te geven aan andere netwerken, zodat nummerweergave ook tussen netwerken werkt.
- 2006
Een eerste manier om het nummer te ondertekenen
De Internet Engineering Task Force (IETF) publiceert RFC 4474, de eerste standaard om te ondertekenen van wie een gesprek via het internet komt.
IETF: RFC 4474, Enhancements for Authenticated Identity Management in SIP (2006)
- 2010
Een vals nummer tonen wordt strafbaar
Op 22 december wordt in de Verenigde Staten de Truth in Caller ID Act ondertekend. Een vals nummer tonen met de bedoeling te bedriegen of schade toe te brengen wordt onwettig. Een ander nummer tonen om een goede reden blijft toegestaan.
US Congress: Truth in Caller ID Act of 2009, Public Law 111-331 (2010)
- 2018
Het zegel krijgt zijn standaard
In februari publiceert de IETF RFC 8224 en RFC 8225: een ondertekend token, de PASSporT, dat in het bericht van het gesprek zelf meereist. Het Amerikaanse STIR/SHAKEN is erop gebouwd.
IETF: RFC 8224, Authenticated Identity Management in the Session Initiation Protocol (2018)
- 2021
Ondertekende gesprekken in de Verenigde Staten
Uiterlijk 30 juni moeten Amerikaanse telefonieproviders gesprekken ondertekenen met STIR/SHAKEN in de internetdelen van hun netwerken. Vanaf 28 september weigeren netwerken gesprekken van providers die niet in de Robocall Mitigation Database staan.
- 2022
Duitsland verbergt Duitse nummers uit het buitenland
Vanaf 1 december wordt het nummer verborgen van elk gesprek uit een buitenlands netwerk dat een Duits nummer toont. Mobiele telefoons die in het buitenland roamen zijn uitgezonderd.
Bundesnetzagentur: New regulations to protect against number spoofing (2022)
- 2024
Frankrijk breekt niet-ondertekende gesprekken af
Vanaf 1 oktober breken Franse operators gesprekken naar vaste nummers af als die een Frans nummer tonen zonder geldig zegel. Gesprekken naar mobiele nummers volgen op 1 januari 2025.
Wat de regels zeggen
Er is geen enkele regel voor heel Europa. Het Europees wetboek voor elektronische communicatie behandelt nummerweergave als een dienst en zegt niets over spoofing, dus koos elk land zijn eigen controle. De meeste letten op hetzelfde teken: een gesprek uit het buitenland met een nummer uit eigen land.
-
Verenigde Staten: het nummer ondertekenen en controleren
De TRACED Act van 30 december 2019 droeg de Federal Communications Commission op om STIR/SHAKEN verplicht te maken. De FCC legde 30 juni 2021 vast voor de internetdelen van het netwerk van elke provider. De provider die een gesprek begint, ondertekent het, en de provider die het aflevert, controleert het zegel.
-
Frankrijk: een niet-ondertekend gesprek afbreken
Een wet uit 2020 verplicht operators elk Frans nummer dat als beller wordt getoond te verifiëren, en het gesprek af te breken als dat niet lukt. Ze doen dat met een gedeeld ondertekeningssysteem, het mechanisme voor nummerauthenticatie (MAN). Komt een gesprek uit het buitenland met een Frans nummer dat geen mobiel nummer is, en heeft het geen geldig zegel, dan wordt het afgebroken.
-
Verenigd Koninkrijk: een Brits nummer uit het buitenland blokkeren
De regels van Ofcom verplichten providers gesprekken te blokkeren met een nummer dat ongeldig is of niet gekozen kan worden. Sinds 15 mei 2023 geldt dat voor gesprekken uit het buitenland die een Brits nummer als netwerknummer dragen, en sinds 29 januari 2025 ook voor gesprekken uit het buitenland die een Brits nummer op je scherm zetten. In 2024 besloot Ofcom het ondertekenen van gesprekken voorlopig niet verplicht te maken.
-
Duitsland: een Duits nummer uit het buitenland verbergen
Volgens artikel 120 van de Duitse telecomwet mag een gesprek alleen een Duits nummer tonen als het vanuit het Duitse netwerk wordt aangeleverd. Uiterlijk vanaf 1 december 2022 komt een gesprek uit het buitenland met een Duits nummer aan met een verborgen nummer, en je kunt gesprekken met een verborgen nummer eenvoudig en gratis weigeren. Mobiele telefoons die in het buitenland roamen zijn uitgezonderd.
-
België en Nederland
Een Belgisch koninklijk besluit van 12 mei 2024 verplicht operators gesprekken uit het buitenland met een Belgisch nummer te blokkeren: vaste nummers sinds 1 september 2024, en mobiele nummers sinds 1 december 2024, nadat ze hebben gecontroleerd dat de beller niet roamt. In Nederland verbiedt de Telecommunicatiewet spoofing, en de Autoriteit Consument & Markt (ACM) ziet erop toe. Een conceptwetsvoorstel om het gebruik van Nederlandse nummers vanuit het buitenland te beperken, lag van juli tot oktober 2026 in internetconsultatie.
BIPT; Overheid.nl; Internetconsultatie; European Conference of Postal and Telecommunications Administrations
De meeste van deze regels volgen één Europees model, een aanbeveling uit 2023 van de Europese Conferentie van Post- en Telecommunicatieadministraties: blokkeer gesprekken uit het buitenland met een vast nummer uit eigen land, en controleer bij mobiele nummers eerst of de beller roamt.
Waar Voxbi in beeld komt
Voxbi, een cloudtelefooncentrale gehost in de Europese Unie, toont het nummer van je bedrijf bij gesprekken vanaf bureautelefoons, laptops en mobiels, en Mixvoip, eigenaar van Voxbi, levert de nummers.
Bekijk het in Voxbi