Prime Big Deal Days: Is die e-mail echt van Amazon?

Amazon's Prime Big Deal Days beginnen op 6 oktober en duren 48 uur in 22 landen, waaronder de VS, het VK, Canada en Duitsland. Voor oplichters is het de drukste week van het najaar. Mensen wachten toch al op orderbevestigingen en verzendupdates, waardoor een extra vals bericht gemakkelijk onopgemerkt blijft. Dit jaar ontvangen klanten in Duitsland ook echte e-mails van Amazon over geld.

Waarom deze week extra riskant is

Op 1 oktober oordeelde het Duitse Bundesgerichtshof dat de clausule die Amazon in 2022 gebruikte om de Prime-prijzen te verhogen, ongeldig is (zaak III ZR 205/25). De consumentenorganisatie Verbraucherzentrale NRW had de zaak aangespannen. Leden die al vóór 15 september 2022 Prime hadden, betalen nu weer de oude prijs: €69 per jaar of €7,99 per maand. Amazon noemt de verlaging in zijn e-mail tijdelijk en heeft geen terugbetalingen voor eerdere jaren aangekondigd. Die zijn onderwerp van een afzonderlijke collectieve rechtszaak.

Voor oplichters is dat ideaal materiaal. Een echte e-mail over geld die miljoenen mensen bereikt, is een perfect voorbeeld voor een valse e-mail die een terugbetaling belooft in ruil voor bankgegevens. Cijfers van Check Point die op 1 oktober zijn gepubliceerd, laten zien hoe groot de omvang is. In september werden 1.284 nieuwe domeinen geregistreerd die verband hielden met Amazon of Prime, 37% meer dan een jaar eerder. Check Point beoordeelde 1 op de 16 daarvan als kwaadaardig of verdacht. Het vond ook neppe Amazon-inlogpagina's gericht op gebruikers in Japan, Vietnam en het VK, plus neppe Amazon-webwinkels uit Duitsland en Japan. De lokmiddelen zijn bekend: van gratis cadeaubonnen tot zogenaamd geblokkeerde accounts. In Duitsland kwamen e-mails vorig jaar met 46% bovenaan de meldingen over Amazon-imitatie. In het VK haalden telefoontjes e-mail in: 44% tegenover 37%.

De veiligste controle vind je in je account

Afzendernamen, logo's en toon kunnen allemaal worden vervalst, en Amazon zegt dat zelf ook op zijn helppagina's. Je account is het enige betrouwbare overzicht. Open de Amazon-app of typ het adres zelf in je browser, nooit via een link in het bericht. Onder Je account vind je het Berichtencentrum, waarin volgens Amazon alle e-mails staan die het bedrijf je heeft gestuurd. Staat een e-mail daar niet bij, dan komt die niet van Amazon.

Op de Duitse site heeft het Berichtencentrum nu aparte secties voor e-mails, sms-berichten en telefoontjes. De echte e-mail over de Prime-kosten van 2 oktober staat daar vermeld, verstuurd vanaf [email protected]. Bestellingen zijn nog sneller te controleren. Een verzendmelding voor iets wat je niet hebt gekocht, is hoogstwaarschijnlijk nep, en bij Je bestellingen staan alleen echte aankopen. Op de pagina voor je Prime-lidmaatschap zie je of je abonnement actief is en wat het kost.

Amazon kan berichten voor je verifiëren

Als het Berichtencentrum geen antwoord geeft, biedt Amazon eigen controlemogelijkheden. Je kunt een verdachte e-mail doorsturen naar [email protected]. Volgens Amazon kan iedereen dit doen, of je nu klant bent of niet, en krijg je een antwoord waarin staat of de e-mail echt is. De helppagina's van Amazon bevatten ook een verificatieformulier voor e-mails, sms-berichten en telefoontjes. De Duitse versie accepteert berichten die maximaal 30 dagen oud zijn. In de VS kan Alexa for Shopping nu dezelfde vraag beantwoorden. Amazon zegt dat elk jaar 360.000 klanten contact opnemen met de klantenservice, alleen maar om te vragen of een bericht echt is.

Waar Amazon nooit om zal vragen

Volgens de hulppagina's vraagt Amazon nooit telefonisch om je wachtwoord, eenmalige codes, cadeauboncodes of kaartgegevens. Het vraagt je ook nooit om buiten zijn website of app om te betalen, bijvoorbeeld via een bankoverschrijving. Wie wil dat je een app voor externe toegang installeert, is ook niet Amazon. Voor telefoontjes is het advies van Amazon eenvoudig: hang bij twijfel op en neem zelf via de app of website contact op met de klantenservice.

De Duitse Prime-e-mail laat zien hoe een echt bericht eruitziet. Het bericht geeft alleen informatie. Amazon schrijft dat de lagere prijs ingaat bij de volgende betaling, dat de wijziging automatisch wordt doorgevoerd en dat leden niets hoeven te doen. Een bericht dat een terugbetaling voor voorgaande jaren belooft en om bank- of kaartgegevens vraagt, komt niet overeen met wat Amazon heeft verstuurd. Duitse leden die hun geld terug willen, kunnen zich bij het Federaal Bureau voor Justitie aanmelden voor de collectieve rechtszaak. Ze moeten die pagina zelf opzoeken in plaats van een link te volgen.

Passkeys en tweestapsverificatie voordat de uitverkoop begint

De beste bescherming is een account dat niet alleen met een via phishing verkregen wachtwoord kan worden geopend. Amazon ondersteunt passkeys, die je instelt onder Je account en Inloggen en beveiliging. Daarna meld je je aan met je gezicht, vingerafdruk of de pincode van je apparaat. Omdat een passkey gekoppeld is aan het echte webadres van Amazon, werkt deze niet op een nagemaakte website. Amazon vermeldt iOS 16, Android 9, Windows 10 of macOS Big Sur als minimumvereisten. In hetzelfde menu kun je tweestapsverificatie inschakelen, met codes die per sms worden verstuurd of in een verificatie-app worden gegenereerd. De app is de veiligere optie, omdat sms-codes kunnen worden onderschept via een SIM-swap. In onze gids over het beveiligen van je accounts lees je hoe passkeys, appcodes en wachtwoorden samenwerken.

Heb je al geklikt en je aangemeld? Kom dan snel in actie. Wijzig meteen je Amazon-wachtwoord op de echte website. Heb je kaartgegevens ingevoerd, bel dan je bank of kaartuitgever. Op Amazons hulppagina ‘Een scam melden’ vind je vervolgens de volgende stappen, afhankelijk van of je accountgegevens, bankgegevens of toegang op afstand hebt gedeeld. Stuur het nepbericht als bijlage door naar [email protected]. Zo blijven de headergegevens behouden die Amazon gebruikt om te achterhalen waar het bericht vandaan kwam. Is er al geld verdwenen, meld dit dan ook bij de politie. Een nieuw wachtwoord neemt niet elk risico weg, zoals ons artikel over gestolen sessiecookies laat zien.