Eurojackpot-phishing 2026: hoe criminelen nep-winmails gebruiken om uw bankrekening leeg te roven

De Eurojackpot-jackpot stond op dinsdag 22 juli 2026 op maar liefst €93 miljoen — en cybercriminelen zagen hun kans schoon. Niet door een lot te kopen, maar door honderdduizenden nep-winmails naar Nederlanders te sturen die nooit een ticket hadden aangeschaft. Volgens De Nederlandsche Bank (DNB) steeg het aantal frauduleuze transacties in Nederland in 2025 met 30%, tot bijna 658.000 gevallen met een totale schade van €198 miljoen. Loterij-phishing vormt een groeiend onderdeel van dit probleem — en de signalen zijn duidelijk herkenbaar voor wie weet waar op te letten.

Jackpot als lokaas: waarom criminelen Eurojackpot misbruiken

Een jackpot van tientallen miljoenen euro's trekt massaal media-aandacht — en dat weten cybercriminelen maar al te goed. Zij volgen persberichten over hoge trekkingen nauwlettend en spelen er direct op in. De officiële Eurojackpot-trekkingen vinden elke dinsdag en vrijdag plaats. Na een grote jackpot sturen oplichters massaal e-mails, WhatsApp-berichten en zelfs fysieke brieven naar willekeurige mensen met de boodschap: "Gefeliciteerd, u heeft gewonnen."

De Nederlandse Loterij — de officiële Eurojackpot-aanbieder in Nederland — waarschuwt expliciet op haar website: zij zal u nooit om directe betalingen vragen via telefoon of e-mail. Maar veel ontvangers kennen dit beleid niet. En dat is precies wat oplichters uitbuiten.

Wat deze phishing bijzonder gevaarlijk maakt, is de professionele vormgeving. Nep-e-mails bevatten het officiële Eurojackpot-logo, neppe referentienummers en verzorgde lay-outs. Ze zijn vrijwel niet van echt te onderscheiden als u niet op technische details let. De drempel om erin te trappen is lager dan ooit.

Drie varianten van Eurojackpot-oplichting in 2026

Cybercriminelen hanteren drie bewezen methoden om slachtoffers te misleiden:

Variant 1 — De nep-bevestigingsmail: U ontvangt een professioneel opgemaakte e-mail met Eurojackpot-branding. U wordt gevraagd op een link te klikken om uw "gewonnen prijs te bevestigen." De link leidt naar een valse website die er identiek uitziet als de echte Eurojackpot-site, maar die uw inloggegevens en persoonsinformatie steelt zodra u deze invult.

Variant 2 — De advance-fee fraude: U bent "winnaar" maar moet eerst een bedrag betalen — variërend van €150 tot €750 — als "verzekering," "belasting" of "administratiekosten" voordat de prijs wordt overgemaakt. Dat bedrag verdwijnt rechtstreeks in de zakken van de oplichter. De jackpot bestaat uiteraard niet.

Variant 3 — Identiteitsdiefstal via dataverzameling: U stuurt uw naam, geboortedatum, adres, bankrekeningnummer of een kopie van uw identiteitsbewijs op. Met deze gegevens kan een crimineel leningen op uw naam afsluiten, uw bankrekening leegroven of creditcards aanvragen — zonder dat u er aanvankelijk iets van merkt.

Fraudehelpdesk.nl rapporteerde dat loterij-gerelateerde oplichting tot de meest gemelde vormen van online fraude in Nederland behoort. In 2025 werden 47 aangiftes gekoppeld aan één oplichtersbende die de naam van de Postcode Loterij misbruikte, met een totale schade van meer dan €300.000. Gelijkaardige operaties richten zich ook op Eurojackpot-spelers.

Wat de drie varianten gemeen hebben: zij worden vaak gecombineerd. Een oplichter begint met een nep-bevestigingsmail (variant 1), vraagt vervolgens om een kleine betaling (variant 2) en verzamelt intussen uw gegevens voor identiteitsdiefstal op langere termijn (variant 3). De schade stapelt zich op — en dat maakt tijdige herkenning des te belangrijker.

Zo verloopt een echte aanval: een concreet scenario

Stel: het is woensdag 23 juli 2026 — één dag na de Eurojackpot-trekking van dinsdag, waarvan het nieuws nog vers is. U ontvangt 's ochtends om 09:17 uur een e-mail met het onderwerp: "Eurojackpot – Officiële bevestiging van uw prijs: €487.000,00." Het afzenderadres luidt eurojackpot-winst@eurolot-service.com. De mail bevat het Eurojackpot-logo, een referentienummer (EJW-2026-NL-0722-4471), en de mededeling dat uw "gereserveerd ticketnummer" via een secundaire trekking is geselecteerd.

Er staat een deadline in: u heeft 72 uur om te reageren, anders vervalt uw aanspraak. U wordt gevraagd €225 over te maken als "administratie- en verificatiekosten" én uw volledige persoonsgegevens — naam, geboortedatum, adres, IBAN — te sturen naar een Gmail-adres.

Als u het geld overmaakt én uw gegevens verstuurt, kunt u met twee soorten schade te maken krijgen:

1. Het directe verlies van €225 (de nep-administratiekosten die u bewust overmaakt).
2. Identiteitsfraude op langere termijn: met uw naam, geboortedatum en IBAN kan een crimineel binnen 24 uur een persoonlijke lening van €5.000 tot €15.000 op uw naam aanvragen bij een kredietverstrekker, of uw betaalrekening via spoofing leegmaken.

De DNB benadrukt dat slachtoffers van phishing waarbij zij zelf een betaling goedkeurden — zoals het overmaken van "administratiekosten" — in de meeste gevallen géén of slechts gedeeltelijke vergoeding ontvangen van hun bank. Een zogenaamde "authorized push payment" wordt juridisch anders behandeld dan een ongeautoriseerde transactie. Gemiddeld draagt een slachtoffer van identiteitsfraude maandenlang de last van schuldsanering en kreditherstel, met kosten die kunnen oplopen tot €8.000.

Een IT-beveiligingsexpert herkent dit patroon ogenblikkelijk: het afzenddomein eurolot-service.com eindigt niet op euro-jackpot.net (het officiële Eurojackpot-domein). De betaaleis vóór uitbetaling is een klassiek kenmerk van advance-fee fraude. En de kunstmatige urgentie van "72 uur" is een bewuste tactiek om kritisch denken te omzeilen.

Wat een IT-beveiligingsexpert voor u kan doen

Bedrijven en particulieren die vaker doelwit zijn van phishing schakelen steeds vaker een gecertificeerde IT-beveiligingsspecialist in. Een expert op dit gebied biedt meerdere beschermingslagen:

• E-mailfilters configureren die verdachte afzenders automatisch detecteren op basis van SPF-, DKIM- en DMARC-verificatie, en lookalike-domeinen blokkeren nog voordat een nep-mail uw inbox bereikt.
• Medewerkers of huisgenoten trainen in het herkennen van social engineering, phishing-indicatoren en correcte meldingsprocedures.
• Schade beperken na een aanval: accounts beveiligen, uw bank en de Autoriteit Persoonsgegevens informeren, aangifte begeleiden en uw digitale identiteit herstellen.
• Domeinen monitoren die uw naam, bedrijfsnaam of een bekende merknaam misbruiken voor lookalike-aanvallen.

Het Nationaal Cyber Security Centrum stelt vast dat preventie structureel goedkoper is dan herstel na een succesvolle aanval. Dezelfde phishing-technieken werden ook ingezet bij nep-websites van gokplatforms zoals Bet365 en bij het overnemen van Facebook-accounts via malafide e-mails. De onderliggende aanvalsmethode is steeds dezelfde: urgentie creëren, een autoritaire merknaam imiteren en directe actie eisen.

Vijf concrete stappen om uzelf te beschermen

1. Controleer het afzendadres. Het officiële Eurojackpot-domein in Nederland is euro-jackpot.net. Elke e-mail van een ander domein is vrijwel zeker nep. Let ook op subtiele spellingsvarianten: eurojackpot-service.com of eurolot-jackpot.net zijn voorbeelden van lookalike-domeinen die criminelen registreren.

2. Betaal nooit vooraf om een prijs te claimen. Legitieme loterijen vragen nooit om betalingen vóórdat u een prijs ontvangt. Dit is een absolute regel — er bestaat geen uitzondering.

3. Klik niet op links in de e-mail. Ga altijd direct naar euro-jackpot.net via uw browser en controleer uw tickets via de officiële kanalen.

4. Meld de nep-mail. Stuur het bericht door naar Fraudehelpdesk.nl en verwijder het daarna. Melden vergroot de kans dat oplichters sneller worden opgespoord en beschermt toekomstige slachtoffers.

5. Bent u toch slachtoffer geworden? Neem onmiddellijk contact op met uw bank om transacties te blokkeren, doe aangifte bij de politie en meld de identiteitsfraude bij de Autoriteit Persoonsgegevens. Hoe sneller u handelt, hoe groter de kans dat verdere schade wordt beperkt. Een gecertificeerde IT-beveiligingsexpert via Expert Zoom kan u begeleiden bij het beveiligen van al uw accounts, het blokkeren van misbruikte inloggegevens en het volledig documenteren van de aanval voor uw aangifte.

Voor technische richtlijnen over hoe u uw digitale omgeving beschermt tegen phishing, biedt het Nationaal Cyber Security Centrum (NCSC) actuele adviezen en meldingsmogelijkheden voor particulieren en bedrijven.

Disclaimer: Dit artikel is uitsluitend informatief van aard. Heeft u schade geleden door loterij-fraude of identiteitsdiefstal? Raadpleeg dan een gecertificeerde IT-beveiligingsexpert voor persoonlijk advies op maat.