Nepmails over DAC8 en je cryptobezit: zo herken je phishing namens de Belastingdienst

Krijg je een mail "van de Belastingdienst" of van je exchange waarin je over DAC8 moet inloggen, je cryptobezit moet opgeven of je gegevens moet "verifiëren" via een link? Dan is het vrijwel zeker phishing. De Belastingdienst vraagt nooit via een link in een mail om in te loggen en persoonlijke gegevens door te geven. DAC8, de Europese regel waardoor cryptoplatforms sinds 1 januari 2026 gegevens aan de fiscus doorgeven, is volgens de Belastingdienst ook "geen aanleiding" om je per mail om informatie te vragen.

Hoe de nepmails werken

Volgens de Belastingdienst werden alleen al in de eerste week van januari 2026 negen nieuwe varianten gemeld (bericht van 15 januari 2026). De mails vragen je om via DigiD in te loggen en extra informatie over je cryptobezit te geven. In vervolgmails doet iemand zich voor als medewerker van de Belastingdienst die een belafspraak wil maken over je crypto.

Sindsdien zijn de oplichters overgestapt op een slimmer verhaal. De mail komt niet meer alleen van de "Belastingdienst" maar van je "exchange", en noemt een echte wet: DAC8, MiCA, de Wwft (de antiwitwaswet) of de Travel Rule. Die regels bestaan echt, en daardoor lijkt het verzoek logisch. Het verschil zit in de route: een echt verzoek regel je in de app of op de website die je zelf opent, nooit via een knop in een mail.

Nepmails over crypto die de Fraudehelpdesk publiceerde

Een selectie uit het archief van de Fraudehelpdesk, stand 1 oktober 2026. De onderwerpregels staan er zoals de oplichters ze schreven.

Dat de namen van Kraken, Bitvavo en Coinbase worden misbruikt, zegt niets over die bedrijven zelf: oplichters kiezen bekende merken omdat veel mensen daar een account hebben. Op fraudehelpdesk.nl kun je zoeken of een mail die jij kreeg er al tussen staat.

Wat de nepmail zegt en wat er echt klopt

Zo herken je een nepmail

• Er staat een link of knop in om "in te loggen met DigiD", je "account compliant te maken" of een "verplicht formulier" in te vullen.
• Er wordt gedreigd met een boete, beslag, blokkade of een deadline van enkele dagen.
• Er wordt een wet of richtlijn genoemd (DAC8, MiCA, Wft, Wwft) om het verzoek gewicht te geven, soms met een verzonnen datum of wetsnummer.
• Er wordt gevraagd naar je wallet, je herstelzin (seed phrase), je exchange-account of een screenshot van je saldo.
• Het afzenderadres of de link wijkt af van belastingdienst.nl of van het echte domein van je exchange, al is dat soms moeilijk te zien.

Belt de Belastingdienst echt?

Soms wel: volgens de Belastingdienst belt hij regelmatig naar burgers en bedrijven als extra dienstverlening. Vertrouw je het gesprek niet, geef dan geen gegevens en hang op. Je kunt naam en nummer van de beller noteren en de BelastingTelefoon bellen; die kan nagaan of het echt een medewerker is.

Wat kun je doen?

1. Klik niet op links en open geen bijlagen.
2. Log alleen in via de website of app van de Belastingdienst of je exchange die je zelf opent, nooit via een link in een mail. Staat daar niets voor je klaar, ga er dan van uit dat de mail nep was.
3. Deel nooit je herstelzin, met niemand. Geen enkele instantie heeft die nodig. Lees wat een private key is.
4. Stuur een nepmail namens de Belastingdienst door naar valse-email@belastingdienst.nl (dat adres is alleen voor zulke meldingen). Andere verdachte mails, ook die uit naam van een exchange, kun je doorsturen naar de Fraudehelpdesk via valse-email@fraudehelpdesk.nl. Verwijder de mail daarna.
5. Heb je al gegevens ingevuld of geld overgemaakt? Neem direct contact op met je bank en met je exchange, verander je wachtwoorden, zet tweestapsverificatie aan en doe aangifte bij de politie.

In België

Ook in België geven cryptoplatforms onder DAC8 gegevens door, aan de FOD Financiën (voor het eerst uiterlijk 30 juni 2027). Verdachte mails, ook uit naam van de FOD Financiën, kun je doorsturen naar verdacht@safeonweb.be, het meldadres van het Centrum voor Cybersecurity België. Over de nieuwe Belgische belasting op crypto lees je meer in meerwaardebelasting op crypto in België.

Wat DAC8 wel betekent

Crypto hoort in Nederland al langer in box 3 van je aangifte. DAC8 zorgt er alleen voor dat de Belastingdienst gegevens van cryptoplatforms ontvangt, zodat het makkelijker wordt te controleren of crypto is opgegeven. De eerste rapportage, over 2026, moet uiterlijk 31 januari 2027 binnen zijn. Meer uitleg lees je in DAC8 uitgelegd. Zie je naast nepmails ook advertenties met bekende Nederlanders die rijk werden met crypto? Lees hoe die nepadvertenties werken.