ENISA Threat Landscape 2026: phishing blijft de belangrijkste ingang, en wordt steeds persoonlijker
Onderzoek
Het Europese cybersecurityagentschap ENISA publiceerde op 15 september 2026 zijn jaarlijkse dreigingsbeeld voor de Europese Unie. Het rapport kijkt naar 8.257 incidenten uit 2025. Die zijn vooral verzameld uit openbare bronnen, aangevuld met informatie van lidstaten en partners. Het is dus geen volledig beeld, wel een betrouwbare momentopname van de belangrijkste trends.
Voor wie zich met phishing bezighoudt, is de hoofdboodschap helder: social engineering blijft een van de belangrijkste manieren om binnen te komen, en phishing staat daarbij met afstand bovenaan.
Van de social-engineeringtechnieken die ENISA in incidenten zag, ging het in 77,8% van de gevallen om phishing. Malafide spam volgt op ruime afstand met 13%. E-mail blijft het belangrijkste kanaal. Daarnaast ziet ENISA sms-phishing (smishing), telefonische phishing (vishing) en phishing via QR-codes (quishing).
Opvallend is de groei van ClickFix. Daarbij krijgt een slachtoffer een nep-foutmelding of nep-verificatie (“ik ben geen robot”) en wordt hij overgehaald om zelf een kwaadaardige opdracht op zijn computer uit te voeren. De aanvaller hoeft dan geen kwetsbaarheid te misbruiken: het slachtoffer doet het werk.
Phishing is een volwassen markt geworden. Kant-en-klare phishingkits en Phishing-as-a-Service-platforms maken het voor criminelen eenvoudig om grootschalige campagnes op te zetten.
Een bekend voorbeeld is Tycoon 2FA, volgens het rapport de meest waargenomen phishingkit van 2025. Deze kit werkt als adversary-in-the-middle: de aanvaller zit tussen het slachtoffer en de echte inlogpagina in. Daardoor kan hij ook de tweede factor onderscheppen. Tweestapsverificatie met sms- of app-codes is dus niet meer vanzelf een sluitende bescherming.
Voor spearphishing zijn vooral de ontwikkelingen interessant die laten zien hoe gericht aanvallen worden:
AI voor overtuigende berichten. Aanvallers gebruiken AI onder meer om op schaal phishingberichten te maken die op het doelwit zijn afgestemd. Volgens ENISA gaat het vooral om het versterken van bestaande technieken, niet om compleet nieuwe aanvallen. Maar het effect is wel dat berichten sneller, beter en persoonlijker worden.
Chatapps als ingang. In 2025 zag ENISA grootschalige campagnes in meerdere lidstaten via vertrouwde apps als Signal en WhatsApp. Aanvallers legden persoonlijk contact en stuurden het doelwit vervolgens naar een legitiem inlogproces. Zo kregen ze volledige toegang tot het apparaat.
Bellen namens de IT-afdeling. De criminele groep ShinyHunters kwam vaak binnen door zich telefonisch voor te doen als IT-medewerker en zo inloggegevens en MFA-codes los te krijgen. Ook ransomwaregroep SafePay gebruikte deze aanpak.
Nep-recruiters. Noord-Koreaanse groepen benaderden ontwikkelaars met valse vacatures en programmeeropdrachten, onder meer via LinkedIn, om malware te verspreiden.
Gelekte gegevens als brandstof. Data uit datalekken wordt verhandeld en hergebruikt voor fraude en gerichte phishing. Hoe meer een aanvaller over je weet, hoe geloofwaardiger zijn bericht.
Daarnaast blijft de klassieke seizoensphishing bestaan. In minstens negen lidstaten deden criminelen zich voor als de belastingdienst of een overheidsportaal, met thema's als belastingteruggave of een openstaande betaling.
Wat betekent dit voor organisaties?
Het ENISA-rapport bevestigt wat we in de praktijk zien: phishing wordt professioneler, persoonlijker en komt via steeds meer kanalen binnen. Een paar lessen:
Herkennen alleen is niet genoeg. Als AI foutloze, persoonlijke berichten schrijft en aanvallers via WhatsApp of de telefoon binnenkomen, kun je niet blijven vertrouwen op het spotten van taalfouten of vreemde afzenders.
Kies standaard de veilige route. Vraagt een bericht, app of beller je om in te loggen of een code te delen? Ga dan zelf naar de officiële website of app, of bel zelf terug via een bekend nummer.
Kijk kritisch naar je MFA. Codes via sms of een app zijn beter dan alleen een wachtwoord, maar zijn via adversary-in-the-middle-kits te onderscheppen. Phishingbestendige methoden zoals passkeys of hardwaresleutels zijn sterker.
Zorg dat melden normaal is. Wie op een link heeft geklikt of een code heeft gedeeld, moet dat snel en zonder schaamte kunnen melden. Elke minuut telt.
Neem kanalen buiten e-mail mee. Awareness die alleen over e-mail gaat, mist chatapps, telefoon, sms en QR-codes.
Deze pagina bevat algemene informatie en is geen persoonlijk advies. Leading Digital is niet aansprakelijk voor schade die voortvloeit uit het gebruik van deze informatie. Volg bij een incident altijd de procedures van je eigen organisatie.