Het korte antwoord
Een verificatiecode is een sleutel, geen wachtwoordherinnering. De code bestaat zodat de persoon die inlogt kan bewijzen dat hij de eigenaar van het account is. Wanneer iemand die je niet zelf hebt benaderd je vraagt die code te delen, is het verzoek erop gericht toegang tot je account te krijgen, hoe vriendelijk of officieel de beller ook klinkt.
Accountverificatiecodes zijn bedoeld voor het authenticatieproces van de accounteigenaar. Bron
Dat ene feit beslecht het grootste deel van de beslissing. Je hoeft een inlogcode nooit aan een beller te geven, want de code is niet voor de beller. Hij is voor het inlogscherm voor je.
Drie situaties die op elkaar lijken, maar het niet zijn
De verwarring ontstaat meestal door drie verschillende momenten door elkaar te halen: een login die je zelf bent begonnen, een code die iemand anders wil, en een controle of de beller echt is wie hij zegt. Ze vragen om verschillende acties.
| Situatie | Wat er gebeurt | Wat je moet doen |
|---|---|---|
| Je opende een login of app en er komt een code om die af te ronden | Jij bent degene die inlogt, en de code rondt je eigen actie af | Voer de code in op het scherm dat je hebt geopend. Stuur hem niet door naar iemand anders |
| Een ongevraagde beller vraagt je een code voor te lezen of te sturen | Iemand anders probeert een login als jou af te ronden | Deel hem niet. Beëindig het contact |
| Je wilt bevestigen dat de beller echt is | Je hebt een kanaal nodig dat je al vertrouwt, niet het nummer van de beller | Hang op en neem contact op met de organisatie via een bekend kanaal |
De middelste rij is het belangrijkst. De code is alleen nuttig voor iemand die probeert in te loggen, dus een verzoek om de code is een verzoek om toegang.
Oplichters kunnen zich voordoen als een vertrouwde organisatie en om de code vragen om toegang tot het account te krijgen. Bron
Waarom het nummer van de beller zelf niets beslist
Een beller kan beweren van een bank, het supportteam van een platform of een andere organisatie te zijn waar je mee te maken hebt. Beller-ID, een referentienummer of een rustige manier van doen bewijst niet wie er aan de lijn is. De veilige zet is stoppen met het kanaal dat de beller beheert en overstappen op een kanaal dat je zelf hebt gekozen.
De FTC raadt aan het ongevraagde contact te beëindigen en de organisatie zelf te bellen via een vertrouwd afschrift of een contact in een app, niet via het nummer dat de beller opgaf. Bron
Dit is het deel dat mensen overslaan. Ophangen is niet genoeg als je daarna terugbelt naar het nummer dat de beller je gaf, want dan kom je bij dezelfde persoon uit. Gebruik een contactroute die je al had: een afschrift, een app, een opgeslagen contact of een officiële pagina die je zelf opzoekt.
Een checklist die je op het moment zelf kunt volgen
- Pauzeer het gesprek. Bevestig, ontken of lees niets voor zolang de beller nog praat.
- Vraag jezelf af wie de login is begonnen. Als jij geen inlog hebt geopend, zou er naar niemand een code moeten gaan.
- Beëindig het ongevraagde contact. Je bent een vreemde geen uitleg verschuldigd.
- Gebruik het nummer van de beller niet. Zoek de organisatie op via een kanaal dat je al vertrouwt.
- Neem zelf contact op met de organisatie en vraag of er echt een probleem met je account is.
- Als er een code binnenkwam die je niet hebt aangevraagd, zie dat als een teken dat iemand heeft geprobeerd in te loggen, en meld het via dat vertrouwde kanaal.
Stap 6 is het loskoppelen waard van de rest. Een code die je niet hebt aangevraagd is geen bewijs van een inbreuk, maar wel een reden om te controleren via een route die je zelf beheert en niet via de beller.
Faalroutes die je moet vermijden
- “Ik bevestig gewoon de eerste cijfers.” Een gedeeltelijke code is nog steeds een deel van de sleutel. Deel er niets van.
- “Ik belde het nummer dat ze me gaven en ze bevestigden dat het echt was.” Dat nummer leidt terug naar dezelfde beller. Het bewijst niets.
- “De beller kende mijn naam al, dus het zal wel echt zijn.” Details over jou kennen is geen bewijs van identiteit, en het is geen reden om een code te delen.
- “Ik deel hem nu en verander later mijn wachtwoord.” Zodra iemand anders een login afrondt, is de situatie al veranderd. Stop vóór het delen, niet erna.
Geen van deze routes vereist dat je weet hoe de menu’s van een bepaald platform werken. De beslissing valt voordat een menu ertoe doet: de code is voor de accounteigenaar, en een ongevraagde beller is niet de accounteigenaar.
Wat deze gids niet behandelt
Sommige organisaties gebruiken hun eigen bevestigingsprocedures wanneer jij zelf contact met ze opneemt. Die zijn niet hetzelfde als een inlogcode die binnenkomt voor een login die je niet bent begonnen, en deze gids behandelt niet elke supportbevestigingsstap als een inlogcode. De regel hier is bewust smal: een code om in te loggen blijft bij degene die inlogt.
Deze pagina behandelt ook niet het opruimen van een account na een schrik, het wijzigen van instellingen of het controleren of een profiel echt is. Dat zijn aparte taken.
Een nuttige volgende stap
Het telefoontje gaat vaak gepaard met een verhaal: een bericht, een socialmediaprofiel of een supportaccount dat beweert officieel te zijn. Als je die bewering wilt onderzoeken in plaats van het telefoongesprek, is de volgende taak controleren of een supportaccount echt is. Onze gids over neppe socialmedia-accounts van klantenservice controleren behandelt die aparte vraag.
Een zoekopdracht naar een gebruikersnaam kan een startpunt zijn wanneer je kijkt naar een profiel dat contact met je opnam, maar een openbare match is een aanwijzing, geen bewijs van wie erachter zit. Behandel het als iets om te verifiëren, niet als bevestiging.