Phishing is een van de oudste trucs in het boekje van cybercriminelen, maar nog steeds verrassend effectief. Bijna elke dag ontvangen miljoenen mensen wereldwijd phishing-e-mails. Het doel? Toegang krijgen tot gevoelige informatie zoals wachtwoorden, bankgegevens of bedrijfsdata.

Uit recent onderzoek blijkt dat meer dan 90% van alle cyberaanvallen begint met een phishing-mail. Het is daarmee veruit de meest gebruikte aanvalsvector. In deze blog leggen we uit wat phishing precies is, welke vormen er bestaan en — het belangrijkste — hoe je het kunt voorkomen.

Wat is phishing precies?

Phishing is een vorm van digitale oplichting waarbij aanvallers zich voordoen als een betrouwbare instantie om gevoelige informatie te stelen. De naam is afgeleid van het Engelse "fishing" — vissen — omdat de aanvaller als het ware een hengel uitgooit en hoopt dat er iemand in trapt.

De meeste phishing-aanvallen verlopen via e-mail, maar phishing komt ook steeds vaker voor via sms (smishing), telefoon (vishing) en social media. De aanvaller stuurt bijvoorbeeld een e-mail die lijkt te komen van je bank, Microsoft of een collega, met daarin een dringend verzoek om op een link te klikken of gegevens in te vullen.

Klik je op de link, dan kom je op een valse website die er exact uitziet als de echte. Vul je daar je gegevens in, dan zijn ze direct in handen van de aanvaller.

De meest voorkomende vormen van phishing

E-mail phishing

De klassieke variant. Massale mails die vaak slecht vertaald zijn en algemene aanhef gebruiken zoals "Beste klant". Hoewel de kwaliteit toeneemt door AI, kun je ze vaak nog herkennen aan spelfouten en vreemde afzenderadressen.

Spear phishing

Een gerichte aanval op een specifiek persoon of organisatie. De aanvaller heeft research gedaan en gebruikt persoonlijke informatie om geloofwaardig over te komen. Dit is aanzienlijk gevaarlijker dan generieke phishing.

Whaling

Spear phishing gericht op topmanagers of directieleden. De aanvaller doet zich voor als CEO of CFO en vraagt om spoedbetalingen of gevoelige documenten. De schade kan enorm zijn.

Smishing (SMS-phishing)

Phishing via sms-berichten. Je ontvangt een bericht over een pakket dat niet bezorgd kon worden of een dringende betaling. De link leidt naar een valse pagina.

Clone phishing

Een legitieme e-mail die je eerder ontving wordt gekopieerd, maar met vervangen links of bijlagen. Omdat de mail er exact uitziet als een echte, is deze moeilijk te onderscheiden.

Medewerker analyseert verdachte e-mail op phishing

Hoe herken je een phishing-mail?

Gelukkig zijn er een aantal duidelijke signalen waaraan je phishing kunt herkennen. Train je medewerkers om hierop te letten:

Controleer de afzender

Kijk niet alleen naar de weergegeven naam, maar ook naar het echte e-mailadres. Een bank stuurt je nooit mail vanaf @gmail.com of een vreemd domein.

Check de link voordat je klikt

Beweeg met je muis over de link (zonder te klikken) en bekijk de URL. Als het adres niet overeenkomt met de organisatie die de mail zou moeten sturen, is het verdacht.

Let op urgentie en druk

Phishing-mails spelen in op emoties. "Uw account wordt binnen 24 uur geblokkeerd!" of "Onmiddellijke actie vereist!" zijn klassieke alarmsignalen.

Taal- en spelfouten

Veel phishing-mails bevatten grammaticale fouten of kromme zinnen. Met de komst van AI wordt dit wel steeds lastiger te herkennen.

Onverwachte bijlagen

Open nooit bijlagen van onbekende afzenders. Zelfs als de mail van een bekende lijkt te komen — eerst verifiëren, dan pas openen.

Wat te doen bij een phishing-poging?

Heb je per ongeluk toch op een phishing-link geklikt? Geen paniek, maar handel snel:

Verander direct je wachtwoorden — begin bij het account waar de mail over ging.

Neem contact op met je IT-beheerder of servicedesk.

Scan je apparaat op malware met een up-to-date virusscanner.

Meld de phishing-poging bij de Fraudehelpdesk of de politie.

Controleer of er de afgelopen dagen verdachte activiteiten zijn geweest op je accounts.

“Een organisatie is zo veilig als haar zwakste schakel. En die schakel is bijna altijd de mens. Security awareness is geen luxe, het is noodzaak.”
ICT Teamwork

Technische maatregelen tegen phishing

Naast bewustwording kun je als organisatie ook technische maatregelen nemen om phishing tegen te gaan:

SPF, DKIM en DMARC

Configureer e-mailauthenticatie om te voorkomen dat aanvallers namens jouw domein kunnen mailen.

Geavanceerde spamfilters

Moderne e-mailbeveiliging zoals Microsoft Defender for Office 365 herkent phishing op basis van AI en gedragsanalyse.

Multi-factor authenticatie

Zelfs als een wachtwoord wordt gestolen, voorkomt MFA dat de aanvaller toegang krijgt tot het account.

Endpoint detection & response

EDR-oplossingen detecteren verdacht gedrag op apparaten, zoals malware afkomstig uit phishing-bijlagen.

Regelmatige phishing-simulaties

Test je medewerkers met realistische nep-phishingmails. Meten is weten — en je traint meteen.

Patchmanagement

Houd alle software up-to-date. Veel phishing-aanvallen maken gebruik van bekende kwetsbaarheden in verouderde software.

Samenvattend

Phishing is en blijft de meest effectieve aanvalsmethode voor cybercriminelen. De enige manier om je ertegen te beschermen is een combinatie van bewustwording (mensen trainen) en techniek (de juiste beveiligingstools inzetten).

Twijfel je over de phishing-bestendigheid van jouw organisatie? ICT Teamwork helpt je graag met een security awareness-training, phishing-simulatie of een complete cybersecurity-oplossing.

Phishing-bestendig worden?

Laat je niet vangen. Bescherm je organisatie tegen phishing.

Van security awareness-training tot complete e-mailbeveiliging — wij helpen je met een aanpak op maat.

Vrijblijvend kennismaken

Phishing: What It Is and How to Prevent It