Wanneer phishing zo hard op een advocatenbrief begint te lijken dat je het verschil moet onderzoeken

Vandaag kreeg ik een e-mail die zogezegd afkomstig was van een advocatenkantoor in Antwerpen. Een officiële ingebrekestelling wegens auteursrechtinbreuk op mijn Facebookpagina. Met wetsartikelen, een dossiernummer, een deadline en dreigementen over gerechtelijke procedures. Alles erop en eraan.

Er zijn van die e-mails waarbij je na drie seconden weet dat het spam is. Een Nigeriaanse prins die een erfenis wil verdelen, een pakketje dat niet geleverd kan worden of een bankrekening die dringend geverifieerd moet worden.

Maar vandaag kreeg ik iets anders.

Een zogenaamde ingebrekestelling van een advocatenkantoor, Cabinet Delchambre et Dubuisson, gevestigd aan de Amerikalei in Antwerpen.

Een zekere advocaat, Griet De Pauw, zou optreden namens Werner Vervoort, die beweerde dat ik op 27 oktober 2026 auteursrechtelijk beschermd materiaal op mijn Facebookpagina had gepubliceerd.

De brief bevatte verwijzingen naar het Wetboek van economisch recht, een officieel ogend dossiernummer, een telefoonnummer, een adres en een uiterste antwoorddatum: 16 november 2026.

Ik moest onmiddellijk materiaal verwijderen, schriftelijk bevestigen dat ik dat had gedaan, informatie verstrekken over mijn publicaties en contact opnemen voor een minnelijke schadevergoeding.

Welke publicatie? Welke afbeelding? Welke video?

Dat stond er niet in.

Maar er was natuurlijk wel een link om de zogenaamde bewijsstukken te downloaden. Een Word-document.

Het probleem is dat deze onzin tegenwoordig behoorlijk echt lijkt

Wat mij vooral stoort, is hoe sterk dergelijke phishing begint te lijken op de echte juridische correspondentie die je als ondernemer soms ontvangt.

Ik heb door de jaren heen genoeg brieven, aanmaningen, klachten en procedurele verzoeken gezien.

Sommige zijn terecht. Andere zijn zo bureaucratisch opgesteld dat je eerst een halfuur moet uitzoeken wat iemand eigenlijk van je wil.

Er worden wetsartikelen geciteerd, termijnen opgelegd en mogelijke juridische gevolgen opgesomd. Soms lijkt het alsof een eenvoudig meningsverschil alleen opgelost kan worden door drie brieven, twee advocaten en een stapel documenten.

En nu hebben criminelen blijkbaar ontdekt dat dit een uitstekend format is voor phishing.

Je hoeft iemand niet meer te vertellen dat hij een miljoen euro heeft gewonnen.

Je vertelt hem gewoon dat hij mogelijk een wet heeft overtreden.

Dat werkt waarschijnlijk veel beter.

Dus begon ik te controleren

Eerst het telefoonnummer.

Ik belde naar het nummer dat onderaan de brief stond. Het werkte niet.

Vervolgens keek ik naar het e-mailadres. Een zogenaamd advocatenkantoor dat een formele ingebrekestelling verstuurt, maar voor de correspondentie een persoonlijk iCloud-adres gebruikt.

Niet onmogelijk, maar toch opmerkelijk.

Daarna ging ik naar advocaat.be, de officiële website van de Orde van Vlaamse Balies.

Ik zocht naar de naam van de ondertekenaar: Griet De Pauw.

Geen resultaten.

Dat betekent op zichzelf nog niet dat iemand nergens als advocaat geregistreerd kan zijn. Maar samen met het onbereikbare telefoonnummer, het vreemde e-mailadres en de ontbrekende informatie over de vermeende inbreuk werd het verhaal steeds ongeloofwaardiger.

En dat Word-document? Dat heb ik niet geopend.

Waarom zou ik een onbekend document downloaden van iemand wiens identiteit ik niet kan bevestigen?

Vijf à tien minuten van mijn leven kwijt

Uiteindelijk heb ik ongeveer vijf tot tien minuten besteed aan het controleren van deze e-mail.

Dat lijkt misschien weinig.

Maar bedenk eens hoeveel van dit soort berichten ondernemers dagelijks ontvangen.

Een factuur die gecontroleerd moet worden. Een betalingsherinnering. Een klacht. Een verzoek van een overheidsinstantie. Een brief van een advocaat. Een melding van een platform.

Je kunt ze niet allemaal zomaar negeren.

En precies daarvan maken fraudeurs gebruik.

Ze creëren een situatie waarin je denkt: Misschien is dit onzin, maar als het echt is en ik reageer niet, krijg ik straks nog meer problemen.

Dus ga je zoeken, bellen, controleren en vergelijken.

Je besteedt tijd aan iets wat waarschijnlijk nooit een legitieme kwestie is geweest.

Dat is misschien nog het meest irritante aan deze vorm van phishing. Zelfs wanneer je niet in de val trapt, hebben ze je al tijd gekost.

De juridische wereld heeft een geloofwaardigheidsprobleem

Ik heb soms het gevoel dat bepaalde juridische procedures zo ver van het gewone gezond verstand verwijderd zijn geraakt dat je nauwelijks nog onderscheid kunt maken tussen een overdreven echte advocatenbrief en een vervalste.

Begrijp me niet verkeerd: advocaten zijn noodzakelijk. Rechtsbescherming is belangrijk en wie werkelijk schade lijdt, moet zijn rechten kunnen verdedigen.

Maar de manier waarop sommige juridische correspondentie wordt opgesteld, is soms ronduit absurd.

Veel dreigende taal. Veel verwijzingen naar artikelen. Veel formele eisen.

En soms opvallend weinig concrete uitleg.

Wanneer criminelen die stijl overnemen, hoeven ze nauwelijks iets te veranderen.

Een dossiernummer erbij, een paar correcte wetsartikelen, een officiële ondertekening en een deadline.

Klaar.

Het lijkt op een juridische procedure.

En dat is precies het probleem.

Met AI wordt dit alleen maar gemakkelijker

Vroeger kon je phishing vaak herkennen aan slecht Nederlands, vreemde zinsconstructies of onprofessionele opmaak.

Die tijd is voorbij.

Met generatieve AI kun je in enkele seconden een juridisch overtuigende brief laten opstellen, inclusief relevante wetsartikelen, formele terminologie en een geloofwaardige structuur.

Je kunt zelfs de naam van een Facebookpagina, een bestaand e-mailadres en andere publiek beschikbare gegevens automatisch verwerken.

De ontvanger krijgt daardoor het gevoel dat iemand daadwerkelijk onderzoek heeft gedaan.

Terwijl het mogelijk gewoon een automatisch gegenereerde e-mail is die naar honderden of duizenden mensen wordt verstuurd.

En als maar een klein percentage op de downloadlink klikt, kan zo'n campagne al succesvol zijn.

Ik weet niet wat er precies achter de Word-link in mijn e-mail zat. Dat heb ik bewust niet onderzocht door het document te openen. Het kan een poging zijn om malware te verspreiden, gegevens te verzamelen of iemand richting een betaling te sturen.

Maar de combinatie van signalen is verdacht genoeg om niet mee te werken.

Straks moet je elke advocaat eerst zelf onderzoeken

Dat is misschien de grootste ironie.

Iemand stuurt je een brief waarin hij beweert dat jij de wet hebt overtreden.

En voordat je zelfs maar kunt beoordelen of de klacht terecht is, moet je eerst onderzoeken of de afzender überhaupt bestaat, werkelijk advocaat is en bevoegd is om namens iemand op te treden.

Je moet telefoonnummers controleren, advocatenregisters doorzoeken, e-mailadressen analyseren en uitzoeken of de genoemde organisatie wel echt bestaat.

Allemaal omdat iemand een officiële juridische procedure probeert na te bootsen.

En ondertussen draait de ondernemer op voor het tijdverlies.

Vandaag waren het vijf à tien minuten.

Morgen misschien een halfuur.

En iemand die minder technisch onderlegd is of sneller schrikt van juridische dreigementen, opent misschien gewoon het document.

Wat mij betreft zouden advocatenkantoren en andere juridische instanties veel consequenter gebruik moeten maken van onafhankelijk verifieerbare contactgegevens en duidelijke, concrete communicatie.

Want wanneer echte juridische correspondentie en frauduleuze dreigbrieven qua vorm nauwelijks meer van elkaar te onderscheiden zijn, hebben we een probleem.

De phishing van vandaag probeert niet langer op een bank of een rijke prins te lijken. Ze trekt gewoon een toga aan.

Enkele maanden geleden probeerden ze het nog via OpenAI

Wat deze situatie extra interessant maakt, is dat ik enkele maanden geleden al met een andere, behoorlijk creatieve phishingpoging te maken kreeg.

Toen gebeurde het via uitnodigingen om een applicatie te testen.

De fraudeurs hadden blijkbaar een applicatie aangemaakt met een naam die sterk leek op een product van OpenAI. Vervolgens kreeg ik uitnodigingen om deel te nemen aan een testprogramma en de applicatie te installeren.

En dat gebeurde niet één keer. Gedurende verschillende maanden kwamen dergelijke uitnodigingen terug.

Technisch zag het er op het eerste gezicht behoorlijk geloofwaardig uit. Je kreeg een uitnodiging via een bestaand distributie- of testplatform. Alleen wist je helemaal niet waarom je werd uitgenodigd of wat die applicatie precies moest voorstellen.

Voor mij was het relatief eenvoudig te herkennen. Ik werk dagelijks met AI, ken de producten van OpenAI en weet ongeveer welke applicaties ze uitbrengen. Als iemand mij plots uitnodigt om een onbekende applicatie te installeren die zogezegd van OpenAI afkomstig is, gaan er onmiddellijk alarmbellen af.

Maar iemand die minder vertrouwd is met die technologie, zou misschien gewoon denken dat hij exclusieve toegang krijgt tot een nieuw AI-product.

En dat is precies de truc.

De fraudeurs gebruiken niet alleen bekende bedrijfsnamen. Ze proberen ook het vertrouwen te misbruiken dat mensen hebben in bestaande platformen en hun officiële uitnodigingssystemen.

Eerst waren het dus uitnodigingen voor zogezegde OpenAI-applicaties. Nu is het een zogenaamde advocaat die mij beschuldigt van auteursrechtinbreuk.

Twee totaal verschillende verhalen, maar eigenlijk dezelfde methode: zich voordoen als een betrouwbare partij en hopen dat iemand handelt voordat hij begint na te denken.

Bij die OpenAI-uitnodigingen kon ik er nog vrij snel doorheen kijken.

Maar die onverwachte juridische brief van vandaag? Die deed mij toch even twijfelen. Niet omdat ik dacht iets verkeerd te hebben gedaan, maar omdat je bij juridische dreigementen nooit zomaar kunt aannemen dat ze onzin zijn.

En eerlijk gezegd vind ik het ondertussen niet meer grappig.

Als ik straks dagelijks tien van dergelijke berichten ontvang, ben ik meer tijd kwijt aan het controleren van fraudeurs dan aan mijn eigen werk.

Op een bepaald moment krijg je bijna zin om zelf uit te zoeken wie er achter die campagnes zit.

Niet door op hun links te klikken of hun spel mee te spelen, maar door de technische herkomst, verzendgegevens en infrastructuur te onderzoeken en de resultaten bij de juiste instanties neer te leggen.

Want als we straks iedere e-mail van een advocaat, softwarebedrijf of overheidsinstantie eerst als een potentieel digitaal misdrijf moeten behandelen, dan wordt gewone zakelijke communicatie wel bijzonder vermoeiend.