Tien jaar geleden waren phishing-e-mails makkelijk te herkennen. Gebrekkig Nederlands, een vreemd afzenderadres, een overduidelijk neppe link. Je zag het direct.
Die tijd is voorbij.
Moderne phishing-e-mails zijn professioneel opgemaakt, geschreven in vlekkeloos Nederlands en voorzien van logo’s, handtekeningen en afzenderadressen die niet van echt te onderscheiden zijn. Ze worden bovendien steeds persoonlijker, met jouw naam, jouw bedrijfsnaam, jouw recente transacties erin verwerkt.
De enige effectieve verdediging is weten waar je op moet letten. In dit artikel geven wij je de concrete signalen die verraden dat een e-mail nep is, ook als alles er op het eerste gezicht betrouwbaar uitziet.
Wat is phishing?
Phishing is een vorm van oplichting waarbij criminelen via e-mail proberen gevoelige informatie te stelen of mensen te verleiden tot een actie, een betaling doen, inloggegevens invullen op een nep-website, of een bijlage openen die malware installeert.
De naam is een woordspeling op fishing, vissen. De crimineel gooit een aas uit en wacht tot iemand bijt. Bij gerichte aanvallen op specifieke bedrijven of personen spreken we van spear phishing: het aas is dan zorgvuldig afgestemd op het specifieke doelwit.
Phishing is de meest voorkomende vorm van cybercriminaliteit in Nederland. Volgens het NCSC is het tevens de meest gebruikte methode om toegang te krijgen tot bedrijfsnetwerken, niet via technische hacks, maar via mensen die op de verkeerde link klikken.
De 10 signalen van een phishing-e-mail
1. Een gevoel van urgentie of dreiging
“Uw account wordt binnen 24 uur geblokkeerd.” “Betaal direct om een boete te vermijden.” “Reageer vandaag nog, anders vervalt uw aanvraag.”
Urgentie is het meest gebruikte wapen van phishing-criminelen. Ze willen dat jij handelt zonder na te denken. Een gevoel van tijdsdruk is bijna altijd een waarschuwingssignaal, legitieme organisaties stellen redelijke termijnen en dreigen niet via e-mail.
2. Een verzoek om inloggegevens, wachtwoorden of betaalgegevens
Geen legitieme bank, overheidsinstantie of serieus bedrijf vraagt ooit via e-mail om jouw wachtwoord, pincode, BSN-nummer of volledige creditcardgegevens. Nooit. Als een e-mail dat toch doet, is het phishing, ongeacht hoe betrouwbaar de afzender eruitziet.
3. Het zichtbare afzenderadres klopt niet
Kijk niet alleen naar de weergavenaam, die is eenvoudig te vervalsen. Klik op de naam om het volledige e-mailadres te zien. Phishing-afzenders gebruiken vaak adressen zoals service@ing-veilig.com, support@paypal-beveiliging.nl of noreply@belastingdienst-melding.com. Het domein achter het @-teken is het enige wat telt en dat is bijna nooit het echte domein van de organisatie.
4. De link wijst naar een ander domein dan verwacht
Beweeg je muis over een link zonder te klikken. Linksonder in je browser verschijnt dan de echte URL waar de link naartoe gaat. Wijkt dat af van wat je verwacht? Klik niet.
Phishing-links gebruiken vaak domeinen die lijken op het echte adres: www.rabobank-inloggen.nl, www.amazon-veilig.com of www.postnl-tracking.info. Het subdomein of een extra woord in het adres veraadt de nep.
Op mobiel is dit moeilijker, daar zie je de URL pas nadat je al hebt geklikt. Wees extra voorzichtig met links in e-mails op je telefoon.
5. Algemene aanhef zonder jouw naam
“Geachte klant”, “Beste gebruiker”, “Beste rekeninghouder”, als een bedrijf waarmee jij een relatie hebt jou aanspreekt, gebruiken ze jouw naam. Een algemene aanhef wijst erop dat de e-mail naar duizenden mensen tegelijk is gestuurd, zonder persoonlijke gegevens.
Let op: geavanceerde spear phishing-aanvallen gebruiken wél jouw naam. De afwezigheid van jouw naam is een signaal, maar de aanwezigheid ervan is geen bewijs van echtheid.
6. Taalfouten of onnatuurlijk taalgebruik
Hoewel phishing-e-mails steeds beter worden, zijn er nog steeds aanvallen met zichtbare taalfouten, ongebruikelijke formuleringen of zinnen die lopen alsof ze automatisch zijn vertaald. Vertrouw je buikgevoel: als de toon of het taalgebruik net iets te stijf, te formeel of te vreemd aanvoelt, kan dat een reden zijn tot twijfel.
7. Een bijlage die je niet verwacht
Een bijlage in een e-mail die je niet had verwacht is een significant risico. Zeker als het een uitvoerbaar bestand is (.exe, .zip, .dmg) of een Office-bestand dat vraagt om macro’s in te schakelen. Malware wordt vrijwel altijd verspreid via bijlagen of via links, nooit via de tekst van de e-mail zelf.
Open geen bijlagen van afzenders die je niet kent of niet had verwacht. Neem bij twijfel telefonisch contact op met de vermeende afzender via een bekend nummer.
8. De e-mail vraagt je om buiten normale kanalen te handelen
“Bel dit privénummer direct.” “Reageer niet via de normale weg, maar stuur een e-mail naar dit adres.” “Vertel dit niet aan collega’s, dit is vertrouwelijk.”
Instructies om buiten normale procedures te handelen zijn een klassiek kenmerk van CEO-fraude en gerichte phishing-aanvallen. Criminelen willen voorkomen dat jij verificatie zoekt bij collega’s of via officiële kanalen.
9. De e-mail komt onverwacht en vraagt om iets wat niet klopt in de context
Je hebt geen pakket besteld, maar ontvangt een bezorgmelding. Je hebt geen account bij die bank, maar er is een “beveiligingswaarschuwing”. Je hebt niets besteld, maar er staat een factuur in je inbox.
Context is een krachtig detectiemiddel. Als de aanleiding voor de e-mail ontbreekt of niet klopt met jouw recente activiteit, is extra voorzichtigheid op zijn plaats.
10. Jouw gevoel zegt dat er iets niet klopt
Dit klinkt vaag, maar is wetenschappelijk onderbouwd: mensen zijn goed in het onbewust oppikken van kleine inconsistenties. Als je een e-mail leest en denkt “dit voelt niet goed”, vertrouw dat gevoel. Neem even de tijd om te verifiëren voordat je handelt.
Phishing herkennen is niet genoeg, jouw bedrijf heeft ook technische bescherming nodig
Alertheid helpt. Maar mensen maken fouten, zeker onder tijdsdruk, met een volle agenda of op een moment van concentratieverlies. Eén klik op de verkeerde link kan genoeg zijn.
Technische bescherming vormt de tweede verdedigingslinie en die werkt ook als iemand in jouw team even niet oplettend genoeg is.
SPF, DKIM en DMARC voorkomen dat criminelen e-mails versturen uit naam van jóúw bedrijf naar jouw klanten. Het beschermt niet direct tegen phishing-aanvallen die op jou gericht zijn, maar het beschermt jouw reputatie en jouw klanten.
E-mailfilters en anti-phishing software analyseren inkomende e-mails op bekende phishing-patronen en blokkeren verdachte berichten voordat ze de inbox bereiken. Microsoft 365 en Google Workspace hebben dit ingebouwd maar de standaardinstellingen zijn lang niet altijd optimaal geconfigureerd.
Medewerkerstraining is de meest onderschatte maatregel. Medewerkers die weten waar ze op moeten letten, zijn minder vatbaar voor phishing. Een jaarlijkse bewustwordingstraining, eventueel aangevuld met gesimuleerde phishing-tests, verhoogt de weerbaarheid van het hele team aanzienlijk.
Bij Orange Warriors adviseren en implementeren wij de technische laag. Lees meer over onze email beveiliging voor bedrijven →
Wat doe je als je toch op een phishing-link hebt geklikt?
Het overkomt de meest oplettende mensen. Als het toch is gebeurd, is snel handelen essentieel.
Stap 1: Verbreek de internetverbinding. Koppel je computer los van het netwerk. Dit beperkt de schade als er malware wordt gedownload of als er geprobeerd wordt toegang te krijgen tot andere systemen in jouw netwerk.
Stap 2: Wijzig direct alle wachtwoorden. Begin met het account waarop de phishing was gericht, e-mail, bank, zakelijke software en ga daarna verder met andere accounts. Doe dit vanaf een ander apparaat dat niet besmet kan zijn.
Stap 3: Informeer je IT-afdeling of IT-leverancier. Zij kunnen de schade inschatten, het apparaat scannen op malware en verdere verspreiding in het netwerk voorkomen.
Stap 4: Controleer op ongeautoriseerde activiteit. Zijn er e-mails verstuurd die jij niet hebt gestuurd? Is er ingelogd op accounts vanaf onbekende locaties? Zijn er betalingen gedaan of gewijzigd?
Stap 5: Doe aangifte. Phishing is strafbaar. Aangifte via politie.nl helpt bij het in kaart brengen van de aanval en draagt bij aan opsporing.
Stap 6: Meld een datalek indien van toepassing. Als klant- of medewerkergegevens zijn ingezien of gestolen als gevolg van de phishing-aanval, geldt de meldplicht bij de Autoriteit Persoonsgegevens.
