Hoe herken je phishing en spearphishing?

Phishing wordt steeds lastiger te herkennen. Door generatieve AI zijn taal- en grammaticafouten minder bruikbaar als waarschuwingssignaal en kunnen berichten, websites en andere digitale interacties overtuigender ogen.

Toch zijn er signalen waarop u kunt letten. Belangrijk daarbij: phishing herken je zelden aan één kenmerk. Het gaat om het totaalbeeld van afzender, context, verzoek, urgentie en kanaal.

Let vooral op het verzoek

Veel phishingaanvallen proberen u tot een concrete handeling te bewegen. Bijvoorbeeld:

snel inloggen;
een betaling uitvoeren;
vertrouwelijke informatie delen;
een document of bijlage openen;
een QR-code scannen;
een MFA-verzoek goedkeuren;
contact opnemen via een ander kanaal.

Extra alertheid is verstandig wanneer daarbij tijdsdruk, vertrouwelijkheid of mogelijke negatieve consequenties worden gebruikt.

Tijdsdruk is een belangrijk signaal

Aanvallers proberen regelmatig te voorkomen dat een ontvanger tijd neemt om na te denken of het verzoek via een andere route controleert.

Bijvoorbeeld:

“Deze betaling moet vandaag nog worden uitgevoerd.”
“Uw account wordt binnen 30 minuten geblokkeerd.”
“Ik zit in een vergadering, kun je dit direct regelen?”
“Dit is vertrouwelijk, bespreek het nog niet met anderen.”

Urgentie betekent niet automatisch dat iets phishing is. Maar een ongebruikelijk verzoek gecombineerd met tijdsdruk is wel reden om extra te verifiëren.

Controleer afzender en adressering

Let onder andere op:

een e-mailadres dat subtiel afwijkt van het echte domein;
een onverwachte afzender;
een afzendernaam die betrouwbaar lijkt terwijl het achterliggende adres anders is;
communicatie die niet past bij de normale relatie met de afzender.

Maar let op: bij spearphishing kan de aanvaller juist veel moeite doen om deze signalen weg te nemen.

Controleer links en inlogverzoeken

Wees voorzichtig wanneer u via een bericht wordt gevraagd om ergens in te loggen.

Let bijvoorbeeld op:

een afwijkend of onbekend domein;
extra woorden, cijfers of subtiele spelfouten in een URL;
een loginpagina die via een onverwachte link wordt aangeboden;
een verzoek om opnieuw authenticatiegegevens in te voeren terwijl daar geen duidelijke aanleiding voor is.

Bij twijfel is het veiliger om zelf via de bekende website of applicatie naar de betreffende dienst te gaan.

Let op inhoud en toon

Een bericht kan technisch perfect zijn en toch frauduleus.

Let daarom ook op:

wijkt het verzoek af van de normale werkwijze?
past de toon bij de persoon of organisatie?
wordt om informatie gevraagd die normaal niet via dit kanaal wordt gedeeld?
probeert iemand een bestaande controleprocedure te omzeilen?
wordt u gevraagd iets vertrouwelijk te houden?
sluit het verzoek opvallend goed aan op een actuele gebeurtenis, project of verantwoordelijkheid?

Juist dat laatste kan bij spearphishing belangrijk zijn.

Bijlagen en documenten

Ook onverwachte documenten kunnen onderdeel zijn van een aanval.

Denk aan:

facturen;
contracten;
gedeelde documenten;
pakketmeldingen;
sollicitaties;
spreadsheets;
uitnodigingen;
documenten die zogenaamd moeten worden gecontroleerd of ondertekend.

Een bekende bestandsnaam of herkenbare huisstijl zegt op zichzelf weinig over betrouwbaarheid.

Phishing herken je aan het totaalbeeld

Een enkele afwijking hoeft niets te betekenen.

Een combinatie van:

ongebruikelijk verzoek + tijdsdruk + afwijkend kanaal + vertrouwelijkheid + onverwachte authenticatie

is veel relevanter dan één losse indicator.

Bij twijfel geldt daarom een eenvoudige regel:

Stop, controleer en verifieer via een onafhankelijk kanaal.

Gebruik daarbij niet automatisch het telefoonnummer, de link of andere contactgegevens uit het verdachte bericht zelf.

Bij spearphishing wordt herkennen moeilijker

Een gerichte aanvaller kent de bekende rode vlaggen ook.

Bij spearphishing wordt informatie over een specifieke persoon, functie of organisatie gebruikt om een benadering geloofwaardiger te maken.

Een aanvaller kan bijvoorbeeld weten:

waar iemand werkt;
welke functie iemand heeft;
wie collega's of leidinggevenden zijn;
welke leveranciers worden gebruikt;
welke projecten openbaar bekend zijn;
wanneer iemand reist of op een evenement aanwezig is;
welke technologie of diensten een organisatie gebruikt;
welke medewerkers betalingen, accounts of gevoelige informatie kunnen beheren.

Daardoor hoeft een spearphishingbericht helemaal niet vreemd aan te voelen.

Hoe beter een aanvaller uw organisatie begrijpt, hoe minder de aanval als een aanval hoeft te voelen.

Spearphishing is niet alleen e-mail

Spearphishing wordt vaak geassocieerd met zakelijke e-mail, maar een gerichte aanval kan via vrijwel ieder communicatiekanaal plaatsvinden.

Bijvoorbeeld via:

zakelijke e-mail;
privé-e-mail;
LinkedIn of andere sociale media;
WhatsApp;
Signal of andere berichtenapps;
sms;
Microsoft Teams of andere collaboration-platforms;
telefoongesprekken;
videobellen.

Een aanvaller kan bovendien meerdere kanalen combineren.

Een eerste contact via LinkedIn kan bijvoorbeeld worden gevolgd door een WhatsApp-bericht en uiteindelijk een verzoek om via een zakelijke omgeving iets te openen of goed te keuren.

Daarom is spearphishing geen puur e-mailprobleem.

Het is een probleem van vertrouwen, context en menselijke besluitvorming.

Waarom spearphishing anders is dan gewone phishing

Bij traditionele phishing wordt vaak één boodschap naar grote aantallen ontvangers gestuurd.

Spearphishing is gerichter.

De aanvaller probeert de boodschap af te stemmen op:

de persoon;
de functie;
de organisatie;
bestaande relaties;
actuele gebeurtenissen;
een specifiek doel.

Dat doel kan bijvoorbeeld zijn:

toegang verkrijgen tot een account;
authenticatiegegevens verzamelen;
een sessietoken buitmaken;
een betaling laten uitvoeren;
vertrouwelijke informatie verkrijgen;
toegang krijgen tot interne communicatie;
verdere verkenning binnen de organisatie mogelijk maken.

Van bericht naar bredere aanval

De eerste interactie is vaak slechts het begin.

Een geslaagde social-engineeringaanval kan leiden tot:

Targeting → Contact → Vertrouwen → Handeling → Compromittering → Detectie → Melding → Escalatie → Respons

Daarom is het niet voldoende om alleen te meten hoeveel medewerkers op een phishinglink klikken.

Een weerbare organisatie kijkt ook naar:

hoe snel afwijkend gedrag wordt herkend;
of verzoeken worden geverifieerd;
hoe eenvoudig medewerkers kunnen melden;
hoe snel securityteams reageren;
wanneer een incident wordt geëscaleerd;
hoe bestuur en crisisorganisatie handelen wanneer de impact groter wordt.

Wat kunt u doen tegen spearphishing?

Spearphishing is niet met één maatregel op te lossen.

Een effectieve aanpak combineert technologie, processen en menselijk handelen.

1. Leer mensen verifiëren, niet alleen herkennen

Training moet niet alleen gaan over spelfouten, verdachte links en vreemde afzenders. Belangrijker is de vraag:

Past dit verzoek bij wat ik normaal zou verwachten?
Kan ik het via een tweede, onafhankelijk kanaal controleren?

2. Maak verificatie onderdeel van processen

Bij gevoelige handelingen moet verificatie niet afhankelijk zijn van individuele oplettendheid. Denk bijvoorbeeld aan aparte procedures voor:

grote betalingen;
wijzigingen van bankgegevens;
wachtwoord- en MFA-reset;
delen van gevoelige informatie;
wijzigingen in toegangsrechten;
verzoeken vanuit directie of bestuur.

3. Maak melden eenvoudig

Een medewerker die twijfelt moet snel kunnen melden. Ook wanneer iemand:

al heeft geklikt;
gegevens heeft ingevoerd;
een MFA-verzoek heeft goedgekeurd;
informatie heeft gedeeld;
een betaling heeft uitgevoerd.

4. Bescherm high-value accounts extra

Niet iedere gebruiker heeft hetzelfde risicoprofiel. Accounts van bestuurders, Finance, beheerders en andere sleutelpersonen kunnen aanvullende bescherming vereisen. Denk aan:

phishingresistente authenticatie;
sterke identity- en accesscontroles;
beperking van privileges;
monitoring van afwijkende loginactiviteit;
bescherming tegen impersonatie;
e-mailauthenticatie;
aanvullende verificatie bij gevoelige handelingen.

5. Bereid u voor op wat er na een succesvolle aanval gebeurt

De belangrijkste vraag is niet alleen: “Kunnen wij voorkomen dat iemand erin trapt?” Maar ook: “Wat gebeurt er wanneer dat toch gebeurt?”

Wie ontvangt de melding?
Wie onderzoekt het account?
Wanneer worden sessies beëindigd?
Wanneer wordt een account geblokkeerd?
Wanneer is sprake van een security-incident?
Wanneer wordt het crisisteam betrokken?
Wie informeert management, klanten, toezichthouders of andere betrokkenen?

De belangrijkste vraag bij spearphishing

Bij een gerichte aanval ziet het bericht er mogelijk helemaal niet verdacht uit.

Daarom is de beste vraag niet uitsluitend:

“Is dit bericht echt?”

maar:

“Is dit verzoek logisch, past het bij onze normale werkwijze en kan ik het onafhankelijk verifiëren?”

Spearphishing probeert vertrouwen te gebruiken als toegangsmiddel.

Uw weerbaarheid wordt daarom bepaald door de combinatie van:

technologie → verificatie → menselijk oordeel → veilig melden → snelle respons

Bron en verdere informatie

Een deel van de algemene herkenningspunten op deze pagina is gebaseerd op voorlichting van het Nationaal Cyber Security Centrum over phishing.

Bron: Nationaal Cyber Security Centrum (NCSC), beschikbaar onder CC0 waar aangegeven.

Voor actuele overheidsinformatie over phishing adviseren we ook rechtstreeks de informatie van het NCSC te raadplegen.