Phishing anno nu: waarom medewerkers geen zwakke schakel zijn, maar een doelwit
Phishing is 21e eeuws geworden. Vroeger zag je kromme zinnen, rare logo’s en een afzender als “micros0ft-security.ru”. Nu krijg je berichten die klinken alsof ze zo uit jouw organisatie komen. De toon klopt, de timing klopt en soms klopt zelfs de naam van je collega. Aanvallers combineren gelekte data, social media en slimme automatisering. Daardoor voelt een phishingbericht minder als spam en meer als “dit hoort bij mijn werk”.
En het blijft niet bij e-mail. Je ziet phishing in Teams, WhatsApp, sms en zelfs via telefoontjes. Het doel blijft hetzelfde: jou laten inloggen op een nep-pagina of jou laten betalen voor iets dat niet bestaat. De verpakking verandert, maar de truc is net zo gehaaid als altijd.
Medewerkers zijn geen zwakke schakel, maar een doelwit
Stop met het idee dat “de mens de zwakste schakel” is. Aanvallers richten zich op mensen omdat mensen toegang hebben. Een mailbox opent deuren naar facturen, klantdata, projecten, agenda’s en wachtwoord resets. Eén account, en dus één klik op een foute link, biedt vaak precies genoeg om verder te komen.
Daarom werkt schuld of schaamte averechts. Een medewerker die bang is voor gedoe, meldt te laat. Een medewerker die zich veilig voelt, meldt snel. En snelheid bepaalt hier de schade. Niet perfect gedrag, maar snelle signalering maakt het verschil.
Waarom phishing werkt: druk, afleiding en “even snel”
Phishing wint niet omdat jij naïef bent. Phishing wint omdat jij druk bent. Je schakelt tussen taken, je reageert op collega’s, je zit in meetings, je telefoon trilt. In dat ritme zoekt een aanvaller het moment waarop je brein op automatisch gaat.
Phishing speelt in op reflexen zoals:
- “Dit is dringend”
- “Dit komt van een leidinggevende”
- “Dit hoort bij een betaling”
- “Dit is een beveiligingsmelding”
Dan klik je niet omdat je dom bent, maar omdat je wilt helpen. Je hebt haast, je moet door en je hebt hier eigenlijk geen tijd voor. De aanval gebruikt jouw goede intentie als hefboom.
De meest gebruikte trucs van dit moment
Je ziet een paar smaken steeds terugkomen:
Neppe Microsoft 365 of Teams-inlog
Een bericht meldt dat je sessie verloopt, je wachtwoord reset, of een document klaarstaat. Je klikt en belandt op een pagina die echt lijkt. Je logt in. De aanvaller leest mee.
Factuur- en betaalfraude
Een e-mail van “de leverancier” met een nieuw rekeningnummer. Of een bericht van “de directie” dat er nú een betaling uit moet. Vaak zit er net genoeg context in om geloofwaardig te voelen.
Bestand delen met tijdsdruk
“Bekijk dit document voor 17:00.” Of: “Je hebt een bericht gemist.” De link leidt naar een login of een download.
Telefoon en WhatsApp als versneller
Eerst een appje: “Ben je even beschikbaar?” Daarna een verzoek. Zo bouwt de aanvaller vertrouwen op, stap voor stap.
Lookalike-domeinen: één letter verschil, groot probleem
Lookalike-domeinen maken phishing irritant effectief. Aanvallers registreren domeinen die lijken op die van jouw leverancier of jouw bedrijf. Eén letter verschilt. Soms wisselt een puntje of streepje. Soms lijkt een i op een l. Op mobiel zie je dat verschil amper.
Voorbeelden:
- campai.nl versus campai-nl.com
- leverancier.com versus leverancler.com
- microsoft.com versus rnicrosoft.com
De afzender oogt vertrouwd, en jij vult de rest in. Daarom werkt een simpele gewoonte: kijk niet naar de naam, kijk naar het echte domein. Zorg ervoor dat iedereen in het team zo denkt, zo voorkom je problemen.
Waarom schaamte de grootste vijand is (en melden de oplossing)
Phishing stopt niet bij “niet klikken”. Het echte winstpunt ligt bij “snel melden”. Schaamte vertraagt dat. Medewerkers denken: “Ik heb iets doms gedaan.” Ze hopen dat het wel meevalt. Ze wachten. Precies dat venster gebruikt een aanvaller om door te pakken.
Maak melden normaal. Maak het zelfs saai en extreem laagdrempelig. Zet een vaste route neer: één knop, één mailadres, één Teams-kanaal. Reageer snel en positief op meldingen. Geef een bedankje en zeker geen ''straf''. Dat klinkt klein, maar het verandert gedrag. En het levert een extra voordeel op: je team leert van elkaar. Elke melding maakt de volgende aanval minder kansrijk.
Wat je direct doet als je geklikt hebt
Eerst: stop met doorklikken. Sluit het tabblad. Vul niets meer in.
Daarna meld je het direct. Stuur het bericht door naar de juiste plek binnen je organisatie of naar je IT-partner. Voeg toe wat je deed: link aangeklikt, gegevens ingevuld, bestand geopend.
Verander je wachtwoord. Begin bij het account dat je gebruikte. Gebruik daarna unieke wachtwoorden via een wachtwoordmanager. Hergebruik maakt van één fout een kettingreactie.
Bevestig je extra inlogstap. Kreeg je MFA-meldingen die je niet herkent? Weiger die. Meld dat meteen. Aanvallers pushen soms net zo lang tot iemand “oké” tikt.
Laat je apparaat checken. Een IT-partner checkt logs, sessies, vreemde mailboxregels en mogelijke downloads. Die controle voorkomt dat een aanvaller stil blijft hangen.
Waarschuw je team. Stuur een korte heads-up met een screenshot en het echte afzenderdomein. Zo voorkom je herhaling binnen dezelfde dag.
Bekijk meer van onze blogs
