Meer dan 90% van alle succesvolle cyberaanvallen begint met een phishingmail. Dat cijfer klinkt alarmerend, maar het goede nieuws is dat phishing herkenbaar is als je weet waar je op moet letten. Het probleem is dat de meeste medewerkers dat niet structureel leren.
Een klik op de verkeerde link kost je gemiddeld meer dan 10.000 euro aan herstelkosten, stilstand en reputatieschade. Dit artikel geeft je vijf concrete signalen die je vandaag al met je team kunt delen.
1. Het afzenderadres klopt niet helemaal
Het eerste wat je checkt bij een verdachte mail is het volledige afzenderadres, niet alleen de weergavenaam. Aanvallers zetten in het zichtbare naamveld "ING Bank" of "Belastingdienst", maar het achterliggende e-mailadres verrraadt ze.
Typische trucs:
- Het echte domein is vervangen door een vergelijkbaar nep-domein, zoals
ing-service.nlin plaats vaning.nl - Er staat een extra letter of leesteken in het domein:
belastingdienst-nl.comofrnicrosoft.com(met een rn in plaats van een m) - Het afzenderadres is een willekeurig Gmail- of Hotmail-adres dat niets met de organisatie te maken heeft
Leer je team om op de naam van het afzendende domein te letten, niet alleen op de weergavenaam. In de meeste e-mailprogramma's zie je het volledige adres als je op de naam klikt of erover hovert.
2. De toon is urgent of dreigend
Phishingmails willen dat je snel handelt zonder na te denken. Daarvoor gebruiken ze druk of angst.
Herkenbare patronen:
- "Je account wordt geblokkeerd als je niet binnen 24 uur reageert"
- "Dringende melding: ongeautoriseerde inlogpoging op je account"
- "Je factuur staat open. Betaal nu om incassokosten te vermijden"
- "Laatste kans: claim je terugbetaling voor de deadline van morgen"
Legitieme organisaties sturen geen berichten waarbij je binnen een paar uur moet handelen om verlies te voorkomen. Als een bericht stress veroorzaakt en tot snelle actie aanzet, is dat precies de reden om even te pauzeren en te controleren.
Een eenvoudige vuistregel voor je team: hoe urgenter een mail aanvoelt, hoe meer reden om hem te vertrouwen via een tweede kanaal, bijvoorbeeld door direct naar de website van de afzender te gaan of de klantenservice te bellen.
3. Er wordt gevraagd om inloggegevens of persoonlijke informatie
Geen enkele legitieme organisatie vraagt je per e-mail om je wachtwoord, pincode, BSN-nummer of bankgegevens. Nooit. Niet jouw bank, niet de Belastingdienst, niet je softwareleverancier.
Phishingmails leiden je vaak naar een nagemaakte inlogpagina die er identiek uitziet als de echte. Als je je gegevens invult, gaan ze rechtstreeks naar de aanvaller. Daarna kunnen ze inloggen op je echte account, betalingen starten of gegevens doorverkopen.
Wat je medewerkers moeten weten: klik nooit op een link in een e-mail om vervolgens in te loggen. Ga altijd rechtstreeks naar de website door het adres zelf in te typen of een opgeslagen bladwijzer te gebruiken. De link in een mail en de echte website kunnen er identiek uitzien maar toch heel anders zijn.
4. De link in het bericht is niet wat hij lijkt
Links in phishingmails zijn misleidend opgemaakt. De tekst van de link zegt een ding, maar de URL waarnaar hij leidt is iets anders.
Hoe je een link controleert zonder erop te klikken: beweeg je muiscursor over de link en bekijk de URL die onderin je browservenster of e-mailprogramma verschijnt. Op mobiel houd je de link lang ingedrukt om een preview te zien.
Waarschuwingssignalen bij links:
- De URL begint niet met
https://maar methttp:// - Er staat een IP-adres in de URL in plaats van een domeinnaam
- Het domein heeft een achtervoegsel als
.xyz,.tkof.infodat je niet herkent - De naam van de bekende organisatie staat als subdomein voor een vreemd domein:
ing.nl.betaling-bevestigen.com
Bij Web Design by Kick adviseren we klanten om in phishingtrainingen bewust gebruik te maken van dit "hover-om-te-checken" principe, omdat het een vaardigheid is die voor elke medewerker te leren is.
5. Bijlagen die je niet verwachtte
Een bijlage die je niet verwachtte, die je niet om hebt gevraagd, of die van iemand komt die je niet kent is een risico. Aanvallers verstoppen malware in documenten, pdf's, en uitvoerbare bestanden.
Gevaarlijke extensies die regelmatig worden misbruikt: .exe, .zip, .docm (macro-ingeschakeld Word-bestand), .xlsm (macro-ingeschakeld Excel-bestand) en .js. Maar ook gewone Word- en Excel-bestanden kunnen gevaarlijk zijn als ze je vragen macro's in te schakelen.
De standaardregel: open geen bijlagen van onbekende afzenders. Maar phishingaanvallen worden steeds gerichter. Een aanvaller die jouw bedrijf heeft gescout, stuurt een mail die eruitziet alsof hij van een bekende leverancier of collega komt, met een bijlage die past bij wat jullie normaal uitwisselen. Controleer bij twijfel altijd telefonisch of via een apart bericht of de afzender de bijlage echt heeft gestuurd.
Wat te doen als je een phishingmail vermoedt
Goed gedrag na het herkennen van een phishingmail is net zo belangrijk als het herkennen zelf. Zorg dat je team weet wat ze moeten doen:
- Klik nergens op, open geen bijlagen, reageer niet
- Meld het bij een collega of leidinggevende
- Stuur de mail door naar de beveiligingsafdeling, IT-leverancier of naar de echte organisatie die wordt nagebootst (de meeste banken en overheidsinstanties hebben een officieel meldpunt voor phishing)
- Verwijder de mail daarna
Als iemand toch op een link heeft geklikt of gegevens heeft ingevoerd: meld dit direct, wijzig direct het wachtwoord van het betreffende account, en informeer je IT-leverancier. Hoe sneller je handelt, hoe kleiner de schade.
Hoe train je je team op phishing?
Bewustwording helpt, maar kennis vervaagt. Onderzoek toont aan dat phishingtraining effectiever is als het niet eenmalig is. Regelmatige korte herhalingen werken beter dan een jaarlijkse cursus van een uur.
Praktische stappen:
- Stuur maandelijks een intern bericht met een recent phishingvoorbeeld dat in de branche circuleert
- Gebruik gesimuleerde phishingtesten waarbij je zelf neppe phishingmails stuurt naar je team om te zien wie klikt (dit heet phishing simulation en is bij veel aanbieders beschikbaar)
- Maak melden laagdrempelig, zodat medewerkers niet bang zijn om toe te geven dat ze op iets hebben geklikt
Tools als Microsoft 365 Defender, KnowBe4, en Proofpoint bieden beheerde phishingsimulaties met rapportages. Voor kleinere teams is ook een simpele maandelijkse "phishing tip van de maand" al effectief.
Conclusie
Phishing is geen technisch probleem maar een menselijk probleem. De vijf signalen in dit artikel zijn concreet genoeg om ze morgen met je team te delen, en samen vormen ze een eerste laag van bescherming die geen extra software of budget vereist. Bewustwording kost je een half uur; een datalek kost je maanden.