Een sms-bericht dat eruitziet als een officiële overheidskennisgeving is de afgelopen tijd op mobiele telefoons in heel Nigeria binnengekomen. "FRSC: You have a new road traffic offence record that requires handling", luidt het — taal die de communicatie nabootst die overheidsinstanties doorgaans versturen. Ondanks zijn officiële uiterlijk is het bericht een oplichting. Het Federal Road Safety Corps (FRSC), het agentschap dat wordt nagebootst, is naar voren gekomen om burgers te waarschuwen voor een frauduleuze campagne die mensen onder het mom van het oplossen van vermeende verkeersovertredingen naar nepwebsites leidt.

Het ontwerp van de oplichting is cruciaal voor de effectiviteit ervan. In plaats van een evident dubieus aanbod of een te-goed-om-waar-te-zijn beleggingskans te presenteren, begint het met een scenario waarmee veel bestuurders zich kunnen identificeren: de mogelijkheid een verkeersovertreding te hebben begaan. Door te beweren dat een nieuwe overtreding is geregistreerd, creëert het bericht een dringende oproep tot actie, waardoor ontvangers worden aangezet tot het klikken op links die naar frauduleuze sites leiden. Het voorwendsel is niet uniek voor Nigeria — autoriteiten in verschillende andere landen hebben vergelijkbare waarschuwingen uitgegeven over sms-berichten over verkeersboetes, een teken hoe betrouwbaar dit sjabloon over landsgrenzen reist.

Een van de specifieke websites die door de FRSC zijn gemarkeerd, is frscgov.top/ng, waarvan het agentschap zegt dat deze op geen enkele manier aan hem gelieerd is. Voor betrouwbare informatie verwijst de FRSC publiek naar de officiële website frsc.gov.ng.

Vrijwel identieke berichten, gedeeld op sociale media

Recente online reacties wijzen op een verontrustende en schijnbaar gecoördineerde trend. Talloze Nigerianen zijn screenshots gaan plaatsen van vrijwel identieke sms-berichten die ze ontvingen, wat vermoedens doet rijzen over de oorsprong en het doel achter deze communicatie.

Velen die de berichten meldden, zeiden recent geen contact te hebben gehad met de FRSC, wat een urgente vraag oproept: hoe kwamen de afzenders aan persoonlijke informatie zoals hun telefoonnummers? Nu steeds meer mensen hun ervaringen delen, wordt de behoefte aan antwoorden steeds kritieker voor de getroffenen.

De bezorgdheid nam toe na een breed gedeeld bericht op X waarin een gebruiker alarm sloeg omdat sommige ontvangers daadwerkelijk geld hadden overgemaakt na ontvangst van de berichten, waarbij volgens hen geld later zonder toestemming van hun rekeningen was opgenomen.

Berichten die op sociale media circuleren, suggereren dat de campagne zich richt op grotere steden, waaronder Abuja, Lagos en Port Harcourt. Hoewel deze verhalen afkomstig zijn van online discussies en niet van geverifieerde cijfers, wijst de consistente aard van de berichten die verschillende gebruikers deelden op een gecoördineerde inspanning in plaats van een eenmalige oplichting.

Geen bewijs van een datalek bij de FRSC

De kwestie heeft veel mensen laten afvragen of hun telefoonnummers zijn gelekt via een datalek. Tot nu toe is er echter geen hard bewijs dat de FRSC betrokken was bij enig lek of dat zijn overheidsdatabase is gebruikt om deze nummers te verzamelen — een onderscheid dat ertoe doet.

Oplichters hoeven niet in een FRSC-database te duiken om mensen te overspoelen met berichten. Ze vertrouwen vaak op eerder gelekte lijsten met Nigeriaanse telefoonnummers uit verschillende bronnen, waaronder marketingdatabases en eerdere lekken. Met zulke lijsten kunnen ze massale sms-campagnes starten, hetzelfde bericht naar duizenden mensen sturen in de hoop dat enkelen de lods biiten.

De inhoud van de berichten doet veel van het werk. Zo'n bericht ontvangen betekent niet dat de ontvanger iets fout heeft gedaan, maar de loutere suggestie van een overtreding kan twijfel en bezorgdheid wekken — vooral bij iemand die recent contact heeft gehad met verkeersagenten en zich zorgen maakt dat er daadwerkelijk een overtreding geregistreerd staat.

Waar de phishing plaatsvindt

De frauduleuze berichten leiden ontvangers naar nepwebsites, en daar vindt de phishing plaats. De FRSC heeft het publiek gewaarschuwd geen links teken en geen gevoelige informatie te delen, zoals bankgegevens, wachtwoorden of voertuigregistratiegegevens.

Het doel van de oplichting is waarschijnlijk veel breder dan het innen van vermeende verkeersboetes. Een nepverkeerspagina kan bijvoorbeeld om creditcardgegevens vragen, waardoor wat lijkt op een simpele informatiesite verandert in een platform voor het stelen van waardevolle betaalgegevens. Dat is ook waarom het advies van het agentschap draait om de links: kaartnummers of wachtwoorden die op een frauduleuze pagina worden ingevoerd, kunnen tegen de echte rekeningen van het slachtoffer worden gebruikt.

De domeinnaam zelf is een waarschuwingssignaal. frscgov.top kan legitiem lijken, vooral wanneer het vergezeld gaat van een officieel ogend bericht, maar de .top-extensie is een rode vlag. De FRSC heeft expliciet verklaard geen band te hebben met dat domein.

'STOP. VERIFICEREN. RAPPORTEREN.'

De FRSC heeft Nigerianen gewaarschuwd over de verdachte verkeersovertredingsberichten en het publiek geadviseerd dergelijke berichten te bewaren, niet verder in te gaan op de inhoud en vermeende overtredingen via officiële kanalen te verifiëren. De richtlijn van het agentschap is samengevat in drie woorden: "STOP. VERIFY. REPORT." In een advies dat is geplaatst op zijn officiële X-account zei het korps ook toegewijd te zijn aan samenwerking met politie en cybersecurityexperts om de verantwoordelijken voor de imitatiepogingen op te sporen.

In de tussentijd blijft geïnformeerd en voorzichtig zijn de beste bescherming: verifieer communicatie van overheidsinstanties en haast je nooit tot actie op basis van dringende berichten.

Onbeantwoorde vragen

De waarschuwing laat desondanks veel vragen onbeantwoord. Hoeveel mensen hebben de verdachte berichten ontvangen? Hoeveel hebben op de aangeboden links geklikt? En, cruciaal, hoeveel hebben uiteindelijk persoonlijke informatie of creditcardgegevens gedeeld? Het is onduidelijk of de berichten zijn verstuurd via bulk-sms-diensten, gehackte accounts of een andere methode. Misschien wel de meest dringende vraag is waar de oplichters in eerste instantie de telefoonnummers vandaan hebben. Tot op heden heeft de FRSC geen van deze zorgen behandeld; updates worden via dezelfde officiële kanalen verwacht — de website van het korps en zijn X-account — waar het advies voor het eerst verscheen.

Er is geen bewijs dat de campagne voortkwam uit een lek in de eigen systemen van de FRSC. Ook kan niet worden aangenomen dat iedereen die een bericht ontving, werd geselecteerd op basis van zijn voertuigregistratie. Een waarschijnlijker scenario is massale phishing: oplichters sturen berichten die van de overheid lijken te komen naar een breed publiek van Nigeriaanse telefoonnummers, waarbij ze gebruikmaken van een gevoel van urgentie, angst of nieuwsgierigheid om slachtoffers te vangen. Wat voor ene persoon een absurdistisch bericht lijkt, kan voor iemand die recent met verkeersagenten te maken heeft gehad en bang is voor een mogelijke overtreding volledig geloofwaardig overkomen.

Zodra een oplichter iemand overhaalt op een link te klikken, verliest het oorspronkelijke bericht over de verkeersovertreding zijn betekenis. Het echte gevaar schuilt in de persoonlijke informatie die via die links kan worden prijsgegeven.

De FRSC roept bestuurders op om vermeende verkeersovertredingen rechtstreeks te verifiëren via de officiële middelen — waaronder de website en de nationale gratis servicelijn 122 — in plaats van te vertrouwen op ongevraagde berichten.