Vervalste brief namens de Apobank
Een arts uit Dornburg-Camburg in het Duitse Saale-Holzland-Kreis is door een quishing-methode ongeveer 100.000 euro kwijtgeraakt. Dat meldde het MDR-programma „Kripo live" op 20 september 2026. De arts heeft al 25 jaar een praktijk in Dornburg-Camburg. Hij maakte zijn zaak openbaar om anderen te waarschuwen.
Volgens de MDR begon de fraude ongeveer twee maanden geleden met een brief die afkomstig leek van de Deutsche Apotheker- und Ärztebank (Apobank). Daarin werd de arts gevraagd zijn gegevens te verifiëren, zodat de rekening zonder problemen zou blijven werken. Een QR-code in de brief zou rechtstreeks naar de bankwebsite leiden. De arts scande de code en voerde op de site zijn bankgegevens in. De site was nagemaakt en diende alleen om de inloggegevens buit te maken.
Tegenover de MDR verklaarde de arts dat de brief geloofwaardig op hem overkwam, omdat hij gewoon per post kwam en bedrieglijk echt was nagemaakt. Eerder was hij al meerdere keren per e-mail gevraagd om zijn gegevens te verifiëren.
Telefoontje van een zogenaamde bankmedewerker
Op de avond na een werkdag belde volgens de MDR een zogenaamde medewerker van de bank. Hij meldde dat er verdacht hoge overschrijvingen naar onbekende rekeningen waren vastgesteld en vroeg of de arts slachtoffer van phishing kon zijn geworden. De arts dacht aan de gescande QR-code en nam het hulpaanbod aan.
De beller beweerde dat de overschrijvingslimiet op 500.000 euro per dag stond en bood aan die te verlagen naar 100.000 euro. De arts stemde in en bevestigde een TAN. Naar eigen zeggen ontdekte hij later dat zijn daglimiet eerder op 25.000 euro stond. Met de TAN had hij de limiet dus niet verlaagd, maar verviervoudigd.
Volgens Sina Poser van de politie in Jena laat de werkwijze zien hoe professioneel en psychologisch handig de daders te werk gaan. Het gaat volgens haar niet om spontaan gedrag, maar om gerichte manipulatie.
39 overschrijvingen goedgekeurd in plaats van geannuleerd
Vervolgens zei de beller volgens de MDR dat er 39 overschrijvingen waren uitgevoerd. De arts zou ze nog kunnen stoppen door de opdrachten te annuleren. In werkelijkheid bevestigde hij daarmee de overschrijvingen van de daders. Hij merkte de fraude kort na het gesprek op, toen hij zijn rekening opnieuw controleerde.
Volgens de politie in Jena ging het geld naar twaalf verschillende rekeningen. Het werd snel bij meerdere geldautomaten in Noordrijn-Westfalen contant opgenomen. Voor de gedupeerde is het geld daarmee verloren, zei Sina Poser van de politie tegen de MDR.
| Stap | Verloop volgens MDR en politie |
|---|---|
| Brief | Vervalste brief namens de Apobank vraagt om rekeninggegevens via een QR-code te verifiëren |
| Phishingsite | De code leidt naar een nagebouwde bankwebsite; daar voert de arts zijn inloggegevens in |
| Telefoontje | Een zogenaamde bankmedewerker meldt verdachte overschrijvingen en biedt hulp aan |
| Limiet | Met een TAN bevestigt de arts een zogenaamde verlaging van de daglimiet; in werkelijkheid stijgt die van 25.000 naar 100.000 euro |
| 39 opdrachten | In plaats van 39 overschrijvingen te annuleren, keurt hij ze goed; het geld gaat naar twaalf rekeningen |
| Contant geld | De bedragen worden volgens de politie bij geldautomaten in Noordrijn-Westfalen opgenomen |
Methode richt zich gericht op artsenpraktijken
De methode richt zich volgens de MDR gericht op artsen. De Apobank en de politie waarschuwen ervoor. De Kassenärztliche Vereinigung Hessen, de Hessische vereniging van contractartsen, meldde in september 2026 dat praktijken momenteel weer vaker vervalste brieven namens de Apobank ontvangen. Quishing wordt volgens de vereniging al sinds de zomer van 2024 vaker waargenomen.
Vervalste bankbrieven met QR-codes zijn ook uit andere regio's bekend. In maart 2026 waarschuwde de politie van Heilbronn na een geval in Tauberbischofsheim voor brieven namens meerdere banken, waaronder de Apobank (artikel). De zaak uit Dornburg-Camburg laat zien dat daders de via een brief verkregen toegang combineren met een daaropvolgend telefoontje.
Adviezen van de politie
- • Blijf rustig bij een zogenaamd telefoontje van uw bank over een overschrijving.
- • Controleer eerst zelf uw saldo en bel daarna uw bank op het bekende nummer.
- • Uw bank belt volgens de politie nooit om een overschrijving telefonisch te laten bevestigen.
- • Lees vóór elke TAN-bevestiging welke opdracht u werkelijk goedkeurt.
- • Open internetbankieren via de app of een zelf ingetypt adres, niet via een QR-code uit een brief.
Quishing-kaart: 37 gedocumenteerde incidenten
De quishing-kaart van QRTrust registreert incidenten in Duitsland, Nederland en België met plaats, datum, methode en bron. De zaak uit Dornburg-Camburg is opgenomen als derde gedocumenteerde geval van vervalste bankbrieven.
QRTrust controleert het doeladres van een QR-code vóór het openen tegen meerdere phishing-databases en AI-modellen.
Naar de quishing-kaart →Bronnen
Over QRTrust
QRTrust is het eerste Duitse QR-code-beveiligingsplatform, ontwikkeld in Dortmund. AI-ondersteunde realtime detectie, een lokale dreigingsdatabase en meerlaagse veiligheidscontroles beschermen burgers, overheden en bedrijven tegen quishing-aanvallen. AVG-conform, gehost in Duitsland.