# De tien oplichtingstrucs die zich op shopeigenaren richten (niet op klanten) en hoe je ze herkent

> Phishing met nepmails van Stripe, terugbetalingsfraude met te veel betaald geld, leveranciersfraude, domeinverlengbrieven op papier. De oplichters die achter jou aan zitten, niet achter je kopers, en hoe de beveiligingsbasis de meeste ervan tegenhoudt.

Ryan Badger - 28 september 2025 - 8 min leestijd

## Oplichting die zich op de verkoper richt, niet op de kaart

Het vorige artikel ging over [transactiefraude: gestolen kaarten, chargebacks, card testing](https://v3.shoprocket.io/nl/blog/webshopfraude-acht-soorten-en-hoe-je-ze-voorkomt.md). Dit artikel gaat over de andere kant: oplichting die rechtstreeks jou als shopeigenaar viseert. Phishingmails die zich voordoen als Stripe. Nepklanten die met social engineering een terugbetaling proberen los te krijgen. Leveranciers die je geld aannemen en verdwijnen. Domeinverlengtrucs per post.

Het meeste is low-tech. Het werkt omdat een shop runnen druk is en de oplichtersmail op een dinsdagmiddag binnenkomt als je moe bent. De verdediging komt grotendeels neer op weten wat je kunt verwachten.

## De grote categorieën

### 1. Phishing die zich voordoet als Stripe, PayPal, Shopify of je bank

Je krijgt een mail: "Je Stripe-account is gemarkeerd, klik hier om te verifiëren." De link leidt naar een loginpagina die er perfect uitziet. Je voert je gegevens in. Ze worden onderschept.

**Waar je op let:**

- Het afzenderdomein: echte Stripe-mails komen van `@stripe.com`, niet van `@stripe-support.com` of `@stripe.verify.co`
- Dringende taal: "je account wordt binnen 24 uur geschorst" is een oplichterspatroon
- Links: beweeg eroverheen voordat je klikt. Echte Stripe-links gaan naar `dashboard.stripe.com`

**Verdediging:**

- Zet 2FA aan op elk betaal- en commerceplatform dat je gebruikt (Stripe, PayPal, je bank, je Shoprocket-account, je e-mail). Een gestolen wachtwoord is nutteloos zonder de tweede factor
- Klik nooit op loginlinks in mails. Ga rechtstreeks naar de site via je bladwijzer of een zelf getypte URL
- Gebruik een wachtwoordmanager. Die vult alleen automatisch in op het echte domein en weigert dus stilzwijgend op phishingpagina's, een prima verklikker

### 2. De "te veel betaald"-truc

Een "klant" plaatst een grote bestelling, betaalt te veel (zo'n $500), en mailt je daarna met het verzoek het teveel terug te storten op een andere kaart of via een andere methode (PayPal, bankoverschrijving, cadeaubonnen). Een week later wordt de oorspronkelijke betaling als fraude teruggedraaid, en heb je geld terugbetaald dat je nooit echt had.

**Waar je op let:**

- Elk terugbetalingsverzoek naar een andere methode dan de oorspronkelijke betaling
- Bestellingen met ongewoon hoge bedragen van nieuwe klanten
- Dringende druk om snel terug te betalen

**Verdediging:**

- **Betaal alleen terug via de oorspronkelijke betaalmethode.** Stripe dwingt dit standaard af, dus deze truc gebeurt vooral als verkopers terugbetalingen handmatig buiten het platform afhandelen
- Staat een "klant" erop dat het via een andere methode moet, dan is alleen dat al het signaal

### 3. De truc "verkeerd adres, verstuur opnieuw"

Een klant bestelt, ontvangt het product en beweert dan "het adres was fout, verstuur opnieuw naar X". Verstuur je opnieuw, dan houden ze allebei.

**Waar je op let:**

- Verzoeken om opnieuw te verzenden die verwijzen naar een adreswijziging nadat de tracking al "bezorgd" toont
- Meerdere klanten met varianten van hetzelfde verhaal, soms gecoördineerd

**Verdediging:**

- Controleer altijd de tracking van de koerier voordat je een adresprobleem oppakt
- Is het product bezorgd op het adres van de bestelling, dan is de order vervuld. Verdere zendingen zijn voor rekening van de klant

### 4. De SEO- en reviewafpersing

Iemand mailt je: "Ik heb een review van één ster achtergelaten. Betaal $200 en ik verwijder hem." Of: "Ik kan negatieve reviews tegen betaling verwijderen." Of: "Je Google Bedrijfsprofiel wordt gemeld tenzij je betaalt."

Het meeste hiervan is bluf. Echte verwijdering van reviews loopt via het proces van het reviewplatform, niet via een privébetaling.

**Verdediging:**

- Betaal nooit. Betalen markeert je als makkelijk doelwit en dan komen er meer eisen
- Markeer de mail als spam, blokkeer de afzender en ga door
- Is er een echte negatieve review, reageer er dan publiekelijk redelijk op. Dat doet meer voor je dan verwijdering

### 5. Nepleverancier / dropshipfraude

Je zoekt een nieuwe leverancier, meestal via Alibaba of een koude mail. Ze bieden prijzen die te mooi zijn om waar te zijn. Je stuurt een aanbetaling (vaak via bankoverschrijving omdat "PayPal niet beschikbaar is"). De goederen worden nooit verzonden, of ze zijn namaak, of er komt te weinig.

**Waar je op let:**

- Betaalmethoden zonder kopersbescherming (bankoverschrijving, cryptovaluta, Western Union)
- Prijzen 30% of meer onder de marktprijs
- Geen te verifiëren bedrijfspresentie (geen fabrieksaudit, geen Alibaba Trade Assurance, geen bedrijfsregistratie die je kunt controleren)
- Communicatie uitsluitend via Gmail of WhatsApp in plaats van zakelijke e-mail

**Verdediging:**

- Gebruik Alibaba's Trade Assurance voor eerste bestellingen. Het houdt de betaling vast tot jij de levering bevestigt
- Bestel eerst een sample. Neem een kleine hoeveelheid af voordat je je aan een volledige productierun verbindt
- Verifieer het bedrijf: registratienummer, google ze, kijk op LinkedIn naar medewerkers, zoek hun productfoto's op via omgekeerd zoeken op afbeelding (gestolen foto's komen vaak voor)

### 6. Nep-Google / Meta / "je vermelding is niet geverifieerd"

"Je Google Bedrijfsprofiel wordt binnenkort verwijderd. Verifieer nu." Of: "Je Meta Business-account vertoont ongebruikelijke activiteit." De link leidt naar een valse loginpagina die de inloggegevens van je advertentieaccount steelt.

Een overgenomen Meta-advertentieaccount is bijzonder pijnlijk: aanvallers draaien hun eigen advertenties op jouw creditcard voordat Meta het merkt en jij de rekening krijgt.

**Verdediging:**

- Log rechtstreeks in op Google Bedrijfsprofiel en Meta Business Manager (niet via maillinks) om de status te controleren
- 2FA op beide
- Stel bestedingslimieten in op je advertentieaccounts. Worden ze overgenomen, dan blijft de schade beperkt tot je limiet

### 7. De truc "je domein verloopt"

Er komt een brief (echt papier) of mail van "Domain Registry of America" of iets dergelijks. Het is niet je registrar. De brief is een overdrachtsverzoek vermomd als verlengfactuur. Betaal je, dan verhuis je je domein naar een trage, dure registrar die drie keer je huidige tarief rekent en het verhuizen weg pijnlijk maakt.

**Verdediging:**

- Weet waar je domein is geregistreerd. Komt de brief niet van je echte registrar, negeer hem dan
- Zet de registrarlock op je domein aan (de meeste registrars bieden dit gratis)
- Stel automatische verlenging in bij je echte registrar, zodat je nooit in "verlengpaniek" raakt

### 8. Nepaffiliate-, partnerschaps- en "brand ambassador"-trucs

"We zijn gek op je merk! We willen je graag opnemen in onze marketingcampagne van $500k. Betaal $2.000 voor plaatsing." Of: "Word onze brand ambassador, stuur ons 50 stuks van je product voor een influencer-unboxing." (Ze zijn geen influencer; ze verkopen de spullen door.)

**Waar je op let:**

- Verzoeken om gratis product van accounts die je niet kunt verifiëren
- Marketingaanbiedingen waarbij jij hén betaalt (en niet andersom)
- Vage, generieke berichten die naar elk merk gestuurd kunnen zijn

**Verdediging:**

- Elk echt samenwerkingsvoorstel komt met specifieke gegevens: publiekscijfers, eerdere campagnes, een deck
- Willen ze gratis product, stuur dan één exemplaar en kijk wat ze ermee doen voordat je er vijftig stuurt
- Willen ze vooraf geld voor een "feature" of "plaatsing", ga er dan van uit dat het niet echt is

### 9. De nepdreiging met juridische stappen

Je krijgt een DMCA-takedownmelding of een brief over inbreuk op een merk van een "advocatenkantoor" waar je nog nooit van hebt gehoord. Ze eisen onmiddellijke actie of betaling. Het kantoor bestaat niet; de claim is verzonnen.

**Verdediging:**

- Controleer of het advocatenkantoor bestaat (Google, het register van de orde van advocaten)
- Stuur de mail door naar je eigen advocaat of juridische hulpdienst; ga er zelf niet op in
- Echte juridische berichten komen op papier of via je gemachtigde, niet als pdf bij een Gmail-adres

### 10. De dreigmail met een chargeback

"Ik wil een terugbetaling. Betaal je niet binnen 24 uur terug, dan start ik een chargeback bij mijn bank EN laat ik op elke site een review van één ster achter." Soms is dit een echte boze klant. Soms is het oplichting om terugbetalingen los te krijgen voor goederen die ze hebben ontvangen en gehouden.

**Verdediging:**

- Beoordeel elk geval op zijn merites: hebben ze een echte reden (verkeerd product, beschadigde goederen), betaal dan terug. Toont de tracking "bezorgd" en is het probleem vaag, vraag dan om specifieke details voordat je terugbetaalt
- Starten ze toch een chargeback, reageer op het geschil dan met verzendbewijs en de communicatie met de klant. Zo win je de meeste geschillen over "niet ontvangen"
- Bedenk dat Stripes drempel voor het chargebackpercentage 1% is; geef je aan elke dreiging toe, dan stijgt je percentage en wordt je account gemarkeerd

## De beveiligingsbasis die elke shop moet hebben

Los van specifieke trucs maken een paar standaardinstellingen bijna dit alles lastiger voor de aanvaller:

- **2FA op elk account** (e-mail, Stripe, PayPal, Shoprocket, domeinregistrar, advertentieaccounts). Bij voorkeur via een authenticator-app, niet via sms
- **Wachtwoordmanager** met een uniek wachtwoord per dienst
- **Apart beheer-e-mailadres** (niet je persoonlijke Gmail) voor commerceaccounts
- **Aparte zakelijke kaart** voor advertenties met lage limieten
- **Tracking en handtekening bij bezorging** boven een drempelbedrag
- **Duidelijke afschriftomschrijving** in Stripe (beperkt chargebacks door vriendelijke fraude flink)
- **Regelmatig de logs doorlopen** in je commerceplatforms. Onbekende logins onderzoek je direct

```
<!-- EXAMPLE ONLY. Grab your real snippet from Sales channels → Embeds in your dashboard -->
<script src="https://cdn.shoprocket.io/loader.js" data-pk="pk_yourkey"></script>
<div data-shoprocket="catalog" data-embed-id="emb_xxx"></div>
```

## Wat Shoprocket regelt

- **Loginbewaking.** Logins vanaf een nieuw apparaat leiden tot een mail aan de accounteigenaar
- **2FA beschikbaar voor verkoperaccounts** (zet het aan onder Mijn account → Accountinstellingen → Beveiliging, met een authenticator-app)
- **Beheerlogboek.** Elke belangrijke actie (productwijzigingen, terugbetalingen, rechtenwijzigingen) wordt vastgelegd en is terug te kijken
- **Rolgebaseerde rechten.** Medewerkers krijgen alleen de rechten die ze nodig hebben; een supportmedewerker kan geen bankgegevens wijzigen
- **Terugbetalingsbescherming.** Terugbetalingen lopen standaard via de oorspronkelijke betaalmethode. Geen verrassende flows met "terugbetalen op een andere kaart"

Wat Shoprocket niet oplost: oplichting die zich richt op je e-mail, je advertentieaccounts, je domein of je leveranciers. Dat valt buiten ons bereik, maar de basis van 2FA en een wachtwoordmanager vangt het meeste ervan op.

> **Tip:** Krijg je een verdachte mail die beweert van Shoprocket te komen, klik dan niet op de link. Log rechtstreeks in op je dashboard. Elk echt bericht zie je ook terug in de meldingen in de app, naast de mail.

## Kort samengevat

- **De meeste oplichting tegen verkopers is social engineering, niet technisch.** De verdediging draait om bewustzijn, niet om software
- **Phishing en het overnemen van advertentieaccounts** doen de meeste financiële schade. 2FA op elk platform blokkeert het meeste
- **Betaal alleen terug via de oorspronkelijke betaalmethode.** Het verzoek "stuur mijn terugbetaling op een andere manier" is bijna altijd oplichting
- **Leveranciers zijn een grote aanvalsvector.** Gebruik Trade Assurance, bestel eerst een sample, controleer of het bedrijf echt bestaat
- **Echte juridische berichten en platformmeldingen komen niet als bijlage bij een Gmail-adres.** Negeer pdf-dreigementen tenzij ze op papier of via een geverifieerd kanaal komen
- **Beveiligingsbasis:** overal 2FA, wachtwoordmanager, beheer-e-mail los van je persoonlijke, tracking en handtekening bij zendingen van hoge waarde

[Start een gratis proefperiode](https://app-v3.shoprocket.io/signup) en 2FA, rolgebaseerde rechten en beheerlogboeken staan standaard aan. 14 dagen, geen creditcard.

---

- HTML version: https://v3.shoprocket.io/nl/blog/tien-oplichtingstrucs-tegen-shopeigenaren-herkennen
- Language: Nederlands (nl)
- Also in: [العربية](https://v3.shoprocket.io/ar/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Deutsch](https://v3.shoprocket.io/de/blog/betrugsmaschen-gegen-shopbetreiber-erkennen-und-abwehren.md), [Ελληνικά](https://v3.shoprocket.io/el/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [English](https://v3.shoprocket.io/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Español](https://v3.shoprocket.io/es/blog/diez-estafas-dirigidas-a-duenos-de-tiendas-y-como-detectarlas.md), [Français](https://v3.shoprocket.io/fr/blog/dix-arnaques-visant-les-e-commercants-comment-les-reperer.md), [עברית](https://v3.shoprocket.io/he/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [हिन्दी](https://v3.shoprocket.io/hi/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Bahasa Indonesia](https://v3.shoprocket.io/id/blog/sepuluh-penipuan-yang-menyasar-pemilik-toko-dan-cara-mengenalinya.md), [Italiano](https://v3.shoprocket.io/it/blog/dieci-truffe-contro-i-titolari-di-negozi-ecommerce.md), [日本語](https://v3.shoprocket.io/ja/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Lietuvių](https://v3.shoprocket.io/lt/tinklarastis/sukciavimo-schemos-nukreiptos-i-parduotuviu-savininkus.md), [Norsk](https://v3.shoprocket.io/nb/blogg/ti-svindeltyper-som-rammer-butikkeiere-og-hvordan-du-avsloerer-dem.md), [Polski](https://v3.shoprocket.io/pl/blog/dziesiec-oszustw-wymierzonych-we-wlascicieli-sklepow-i-jak-je-rozpoznac.md), [Português](https://v3.shoprocket.io/pt/blog/dez-golpes-contra-donos-de-loja-e-como-identificar.md), [Română](https://v3.shoprocket.io/ro/blog/zece-escrocherii-care-tintesc-proprietarii-de-magazine-si-cum-le-recunosti.md), [Русский](https://v3.shoprocket.io/ru/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [ไทย](https://v3.shoprocket.io/th/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Türkçe](https://v3.shoprocket.io/tr/blog/magaza-sahiplerini-hedef-alan-on-dolandiricilik-ve-nasil-fark-edilir.md), [中文](https://v3.shoprocket.io/zh/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md)