Phishing herkennen: zo zie je het verschil

Een phishingmail herken je zelden nog aan slechte spelling. Aanvallers gebruiken AI, kopiëren de huisstijl van Microsoft of een leverancier en weten soms precies wie je collega’s zijn. Wat wel werkt: letten op wat de mail van je vraagt, en op een paar technische details die niet te vervalsen zijn.

Hieronder de signalen van phishing die ertoe doen, de vormen die we het meest zien en wat je doet als iemand toch heeft geklikt.

De vijf vragen die je stelt bij elke onverwachte mail

Vraagt de mail om iets te doen? Inloggen, een bijlage openen, een betaling doen, gegevens wijzigen. Bijna elke phishingmail vraagt om een handeling. Een mail die alleen informeert, is zelden gevaarlijk.

Is er haast? “Je mailbox is vol en wordt vandaag geblokkeerd.” “De factuur moet voor 16:00 betaald.” Tijdsdruk is bedoeld om je te laten handelen voordat je nadenkt.

Klopt de afzender echt? Kijk naar het mailadres zelf, niet naar de naam die erboven staat. [email protected] is niet van Microsoft. Let ook op kleine verschillen, zoals rn in plaats van m.

Waar gaat de link naartoe? Ga met je muis over de link zonder te klikken. Onderin je scherm zie je het echte adres. Wijkt dat af van wat je verwacht, klik dan niet.

Past het bij hoe deze persoon normaal werkt? Een directeur die ineens via mail vraagt om cadeaubonnen te kopen. Een vaste leverancier die meldt dat zijn rekeningnummer is gewijzigd. Bel bij twijfel, met een nummer dat je zelf al had, niet met het nummer uit de mail.

De vormen van phishing die we het meest zien

Nep-inlogpagina’s

Een mail over een gedeeld document, een voicemail of een volle mailbox, met een link naar een pagina die eruitziet als het inlogscherm van Microsoft 365. Wie daar inlogt, geeft zijn wachtwoord weg. Steeds vaker wordt ook de MFA-code onderschept.

Factuur- en betaalfraude

Een aanvaller zit al weken mee te lezen in de mailbox van een leverancier en stuurt op het juiste moment een factuur met een ander rekeningnummer. De mail komt echt van het juiste adres, dus het afzendersignaal helpt hier niet. De afspraak dat een gewijzigd rekeningnummer altijd telefonisch wordt gecontroleerd, wel.

CEO-fraude

Een mail die van de directeur lijkt te komen, met een vertrouwelijk verzoek aan de financiële afdeling. Vaak verstuurd als de directeur op vakantie is, wat aanvallers via LinkedIn of een afwezigheidsmelding weten.

QR-codes

Een mail met een QR-code om “je account te verifiëren”. Je scant hem met je telefoon, buiten de beveiliging van je werklaptop om. Een QR-code in een zakelijke mail is bijna altijd verdacht.

Teams en sms

Phishing komt niet meer alleen via mail. Berichten via Teams van externe accounts die zich voordoen als de helpdesk, of sms’jes van de “bank”, werken met dezelfde trucs.

Wat doe je als je toch hebt geklikt?

Schaamte is hier de grootste vijand. Hoe sneller iemand het meldt, hoe kleiner de schade.

1. Meld het direct bij je IT-afdeling of IT-partner, ook als je twijfelt.
2. Heb je ingelogd, wijzig dan je wachtwoord en laat IT alle actieve sessies van je account afmelden.
3. Heb je een bijlage geopend, haal dan de netwerkkabel eruit of zet wifi uit, en wacht op IT.
4. Heb je een betaling gedaan, bel dan meteen je bank. Binnen een paar uur is een overboeking soms nog terug te halen.

Gebruik in Outlook de knop om een bericht als phishing te melden. Zo leert het filter mee en ziet IT dat er een aanval loopt, ook bij collega’s. Krijg je privé een verdacht bericht, dan kun je dat melden bij de Fraudehelpdesk.

Waarom techniek alleen niet genoeg is

Een goed ingesteld spamfilter, met controle op vervalste afzenders, houdt het grootste deel tegen. Maar er komt altijd iets door. Daarom zijn medewerkers die een phishingmail herkennen en durven melden je laatste en vaak beste verdediging.

Eén keer per jaar een presentatie werkt daarvoor slecht. Wat wel werkt: korte, doorlopende lessen en realistische phishingsimulaties, waarbij je niet alleen meet wie klikt, maar ook wie meldt. Bij een goede simulatie krijgt wie klikt meteen uitleg, zonder dat het een afrekening wordt.

Lees ook de 7 grootste cybersecurityfouten in het mkb.