Alert Online 2026: weten wat cyberveilig is, betekent nog niet dat we het ook doen

Het onderzoek, uitgevoerd onder 609 consumenten en 378 werknemers, richt zich niet alleen op wat mensen weten over cybersecurity, maar vooral op de vraag waarom veilig gedrag soms uitblijft. Voor phishing is vooral interessant dat relatief eenvoudig controleergedrag redelijk ingeburgerd is, terwijl actievere veiligheidsmaatregelen veel minder vanzelfsprekend zijn.

Het controleren van een e-mail gaat relatief goed: 48 tot 66% controleert altijd of de inhoud van een e-mail logisch is, en 41 tot 50% let altijd op tijdsdruk of dringende formuleringen. Maar zodra veilig gedrag extra handelingen vereist, dalen de percentages sterk. Slechts 31% van de consumenten en 21% van de werknemers geeft aan altijd zelf naar de officiële website of app te navigeren in plaats van een link uit een e-mail te gebruiken.

Juist bij moderne phishing is dat relevant. Het wordt steeds lastiger om alleen op basis van een link, vormgeving of schrijfstijl te bepalen of een bericht betrouwbaar is. Op mobiele apparaten is een URL bovendien vaak maar gedeeltelijk zichtbaar. Een eenvoudige gedragsregel kan daarom veiliger zijn: vraagt een bericht je om ergens in te loggen? Gebruik dan niet de link uit het bericht, maar open zelf de officiële website of app. Daarmee verschuift de aandacht van “Kan ik deze phishingmail herkennen?” naar “Welk gedrag is veilig, ongeacht hoe overtuigend het bericht eruitziet?”

Een opvallende conclusie is dat mensen die veel vertrouwen hebben in hun vermogen om phishing zelf te herkennen, minder vaak de officiële website of app gebruiken. Waarschijnlijk speelt hier een vorm van overmoed mee: als je denkt dat je een nepmail goed kunt onderscheiden van een echte mail, lijkt een extra veiligheidsstap minder noodzakelijk. Dat is een belangrijk inzicht voor security awareness: mensen steeds beter leren phishing herkennen is nuttig, maar kan niet de enige verdedigingslinie zijn. Phishing wordt steeds professioneler en persoonlijker; een betrouwbaar ogend logo, foutloze tekst of bekende afzender is geen garantie.

Ook bij het melden van fouten bestaat een duidelijke gedragskloof. Slechts 33% van de werknemers geeft aan een cyberfout, zoals klikken op een link die achteraf verdacht blijkt, altijd bij de organisatie te melden. Juist bij phishing kan snelheid cruciaal zijn: wanneer een medewerker direct meldt wat er is gebeurd, kan een security- of IT-team onderzoek doen, een account beveiligen of verdere verspreiding beperken. Het onderzoek laat zien dat de sociale omgeving invloed heeft op de meldbereidheid: wanneer werknemers ervaren dat het melden van cyberfouten wordt gewaardeerd, melden zij vaker. Dat maakt een veilige meldcultuur belangrijk.

Volgens het onderzoek zijn vier factoren belangrijk bij het verklaren van cyberveilig gedrag: inertia (de veilige optie kost soms meer moeite dan de onveilige), procedurele kennis (mensen weten dát ze iets moeten doen, maar niet altijd precies hoe), ervaren nut (een extra veiligheidsmaatregel voelt niet altijd noodzakelijk) en sociale normen (we zien nauwelijks hoe veilig anderen zich digitaal gedragen). Een link aanklikken kost bijvoorbeeld één handeling; zelf een browser openen, de juiste website zoeken en inloggen vraagt meerdere stappen. Dat kleine verschil in moeite kan al invloed hebben op gedrag.

Het onderzoek gebruikt het EAST-model om te laten zien hoe organisaties veilig gedrag kunnen stimuleren: Easy (maak veilig gedrag eenvoudig, denk aan een duidelijke meldknop en veilige standaardinstellingen), Attractive (maak duidelijk waarom veilig gedrag voordeel oplevert en voorkom dat mensen te veel op hun eigen vermogen vertrouwen), Social (maak zichtbaar dat collega’s en leidinggevenden veilig gedrag vertonen en dat het melden van fouten wordt gewaardeerd) en Timely (geef ondersteuning precies op het moment waarop iemand een beslissing neemt, bijvoorbeeld met een waarschuwing bij externe e-mail).