Welkom, hacker
Vandaag ben jij de hacker. Je onderzoekt een nep-doelwit van jouw leeftijd en bedenkt een bericht waar je doelwit in trapt. Zo leer je hoe echte scammers werken. Alles is nep en blijft op dit apparaat.
Jullie opdracht
Bedenk een bericht dat jouw doelwit overtuigt en leg uit waarom het werkt. In Level 3 kies je het kanaal. Er wordt niets echt verstuurd.
Welke groep ben je?
Je groep bepaalt welk doelwit je krijgt.
Dit apparaat
Alles wat je invult blijft alleen in de browser van dit apparaat; er gaat niets naar buiten. Wis het na afloop met de knop hieronder — dat kan iedereen zelf doen.
Hoe werkt zo'n aanval?
Eerst samen: wat wil een aanvaller eigenlijk, en waarom trappen mensen erin? Daarna kijken we naar een nep-bericht en zie je stap voor stap wat er gebeurt als je klikt.
Een aanval verloopt vaak in drie stappen. Vandaag oefenen we vooral de eerste.
Je account overnemen, meestal doordat jij je wachtwoord invoert op een nep-pagina. Dit oefenen we.
Vanuit jouw account je vrienden en familie benaderen — zij vertrouwen jou immers.
Geld, skins, foto's of persoonlijke gegevens. Of jouw account verkopen.
Een van de meest gebruikte trucs bij jongeren: 'gratis V-bucks', 'gratis Robux' of 'je hebt een prijs gewonnen'. Je klikt, belandt op een pagina die om je login vraagt, en voert hem in. Niet de prijs, maar jouw account is dan weg — en daarmee ook je skins, volgers en je vrienden als volgend doelwit.
Je logt in op de nep-pagina voor je 'prijs'.
De aanvaller zit in je account en appt je vrienden.
Skins, volgers of geld buitgemaakt.
De les: gratis bestaat bijna nooit. Daarom draait vandaag om die eerste stap: jou laten klikken en inloggen.
Vraag de klas: waarom zou je hierop reageren? Verzamel de antwoorden en benoem daarna de knoppen.
verifieer-nu.ig-check.net
Dit is een algemeen bericht naar iedereen. Straks maken jullie het persoonlijk en gericht — precies op jullie doelwit.
Veel mensen weten niet precies wat er misgaat als je op een link klikt of een QR scant. Kies een scenario en loop de stappen langs.
Verken je doelwit
Klik in het dossier op informatie die je kunt gebruiken en kies in welk vakje het hoort. Je kunt ook zelf typen. Kies daarna op welke knoppen je wilt drukken.
Deel 1 — Wat vonden we?
Deel 2 — Op welke knoppen drukken we?
Vink de knoppen aan die jullie willen gebruiken. Je ziet meteen wat de verdediging ertegen is; die komt terug in de debrief.
Bouw de opzet
Werk je aanval uit
Werk jullie aanpak uit in het kanaal dat je in Level 2 koos. De vorm past zich daarop aan — een mail, een sms, een belscript, een QR of een chatbericht. Dit is een oefenomgeving: er wordt niets echt verstuurd.
Tip: laat je uitwerking zien tijdens de pitch. In de debrief draaien we hem om: welke signalen hadden het doelwit moeten waarschuwen?
Pitch je aanpak
Dit scherm bundelt wat je hebt ingevuld. Gebruik het als spiekbriefje bij je pitch van ± 3 minuten.
Beoordeel elkaar op geloofwaardigheid, personalisatie, plausibiliteit en het herkenbare signaal.
Van aanval naar verdediging
Voor elk trucje het signaal en de tegenzet. De knoppen die jullie kozen, staan bovenaan gemarkeerd.
| Aanvaller gebruikt | Signaal | Wat je dan doet |
|---|
Korte evaluatie
Help ons Scam Squad te verbeteren. Dit kost een halve minuut en blijft op dit apparaat.
1 = matig, 5 = uitstekend
1 = oneens, 5 = helemaal eens
De acht gouden regels
Simpele regels die je online veilig houden. Een paar raken deze les direct en zijn gemarkeerd. Vink aan welke regels júllie aanval hadden tegengehouden — die keuze verschijnt ook op de pitch.
Over Scam Squad
Scam Squad is een security-awarenessles voor leerlingen van 12 tot 15 jaar. Leerlingen denken een lesuur lang als een aanvaller, zodat ze echte aanvallen beter herkennen.
Scam Squad is ontwikkeld door Castor Cyber Risk BV. De lesopzet, teksten, scenario's, fictieve persona's, vormgeving en software zijn intellectueel eigendom van Castor Cyber Risk BV.
© 2026 Castor Cyber Risk BV. Alle rechten voorbehouden.
Castor Cyber Risk BV · KvK 42034463 · castorcyberrisk.nl
- Gebruik. De app mag uitsluitend worden gebruikt voor het geven van security-awarenesslessen door de school of organisatie die de app van Castor Cyber Risk BV heeft ontvangen, binnen de afspraken die daarover met Castor Cyber Risk BV zijn gemaakt.
- Geen overname. Zonder voorafgaande schriftelijke toestemming van Castor Cyber Risk BV is het niet toegestaan de app of onderdelen daarvan te kopiëren, te verspreiden, door te verkopen, aan te passen of te gebruiken als basis voor een eigen product. Het aanpassen van naam, logo en kleuren met de meegeleverde huisstijltool is toegestaan; deze vermelding van Castor Cyber Risk BV blijft daarbij staan.
- Alleen een oefening. Alle personen, accounts, berichten en websites in de app zijn verzonnen. De app verstuurt niets. De technieken worden behandeld om aanvallen te leren herkennen. Het is niet toegestaan ze te gebruiken tegen echte personen.
- Privacy. Wat leerlingen invullen, blijft in de browser op het gebruikte apparaat. Er is geen account, geen server en geen tracking. De gegevens zijn te wissen met de knop op de Start-pagina. Vul geen echte persoonsgegevens van jezelf of anderen in.
- Foto's. De profielfoto's van de fictieve doelwitten zijn afkomstig van derden en vallen niet onder het eigendom van Castor Cyber Risk BV. De rechten daarop liggen bij de makers.
- Aansprakelijkheid. De app wordt geleverd zoals hij is. Castor Cyber Risk BV spant zich in om de inhoud juist en actueel te houden, maar is niet aansprakelijk voor schade die voortvloeit uit het gebruik van de app, behalve in geval van opzet of bewuste roekeloosheid.
- Toepasselijk recht. Op het gebruik van de app is Nederlands recht van toepassing.
Vragen over het gebruik, een licentie voor je eigen school of organisatie, of een fout gevonden? Neem contact op via castorcyberrisk.nl.
Facilitatorscherm
Afgeschermd
Dit scherm is alleen voor de facilitator. Voer het wachtwoord in.
De vier spelregels
- Alleen fictieve doelwitten. Nooit een echte collega, klant of bekende.
- Materiaal blijft in de zaal. Na de debrief wissen, niet mailen of bewaren.
- Een opzet, geen wapen. Een uitwerking in de oefenomgeving; niets wordt echt verstuurd.
- Elk trucje krijgt zijn tegenzet. In de debrief koppelen we alles aan verdediging.