De vraag is niet langer: "Is dit bericht echt?" De vraag is: "Klopt dit verzoek, en kan ik dat bevestigen buiten dit bericht om?"
Het principe: verifieer via een kanaal dat je zelf kiest
Verifiëren betekent dat je een verzoek controleert via een tweede, onafhankelijk kanaal. Twee dingen zijn daarbij essentieel:
- Je kiest zelf het kanaal. Niet het kanaal waarlangs het verzoek binnenkwam.
- Je gebruikt contactgegevens die je al had vóór het verzoek. Niet het telefoonnummer, de link of het e-mailadres uit het bericht zelf.
Alleen dan weet je zeker dat je niet opnieuw met de aanvaller praat.
Een echte afzender, een correct logo of een bekende stem bewijst niet dat een verzoek echt is. Alleen een controle via een kanaal dat je zelf kiest, doet dat.
Wanneer verifieer je? Vaste triggers
Verificatie mag geen gevoelskwestie zijn. Wie moet inschatten of iets "verdacht genoeg" is, laat zich juist leiden door de tijdsdruk en het vertrouwen die de aanvaller heeft opgebouwd. Leg daarom vast bij welke verzoeken verificatie altijd verplicht is, ongeacht wie het verzoek doet:
- een betaling buiten het normale proces, of een gewijzigd rekeningnummer;
- een verzoek om in te loggen, een code te delen of een MFA-verzoek goed te keuren;
- een wachtwoord- of MFA-reset, of het koppelen van een nieuw apparaat;
- het delen van gevoelige informatie of het wijzigen van toegangsrechten;
- een verzoek met nadrukkelijke spoed of geheimhouding;
- een bekende afzender die opeens via een ander kanaal of een ander nummer contact zoekt.
Valt een verzoek onder een van deze triggers? Dan verifieer je, ook als alles klopt en ook als het verzoek van de directie komt.
Hoe verifieer je? Per kanaal
De juiste controle hangt af van het kanaal waarlangs het verzoek binnenkomt.
Verifieer zo
Bel terug op een nummer uit je eigen systeem of contactenlijst.
Niet zo
Antwoorden op de e-mail, of bellen naar het nummer in de handtekening.
Telefoon
Verifieer zo
Hang op en bel zelf terug via een nummer dat je al kende.
Niet zo
Doorgaan omdat het nummer of de stem bekend lijkt.
WhatsApp of andere chatapp
Verifieer zo
Bel de persoon op zijn bekende, oude nummer.
Niet zo
In hetzelfde gesprek vragen of het echt is.
Videocall
Verifieer zo
Stel een controlevraag die alleen de echte persoon kan beantwoorden, of bel na afloop zelf terug.
Niet zo
Vertrouwen op beeld en stem.
Link of QR-code om in te loggen
Verifieer zo
Open zelf de app of typ het bekende webadres in.
Niet zo
De link of QR-code gebruiken, ook als de pagina er echt uitziet.
Helpdesk (MFA-reset, nieuw apparaat)
Verifieer zo
Stel de identiteit vast volgens een vaste procedure en bel terug naar het geregistreerde nummer.
Niet zo
Resetten op basis van een overtuigend verhaal of tijdsdruk.
Waarom verificatie toch mislukt
Veel organisaties hebben een verificatieregel. Toch gaat het in de praktijk vaak mis. Dit zijn de valkuilen:
Hetzelfde kanaal gebruiken
Bij een overgenomen mailbox komt je antwoord gewoon bij de aanvaller terecht. Een reply is geen verificatie.
Contactgegevens uit het bericht
Bellen naar het nummer in de handtekening of de berichtgegevens betekent dat je de aanvaller belt.
Vertrouwen op het getoonde nummer
Een telefoonnummer op je scherm kan worden vervalst. Alleen zelf bellen naar een nummer dat je al kende, telt als controle.
Tijdsdruk en hiërarchie
"De CFO zit in een vergadering en is niet bereikbaar" is precies het moment om níet door te gaan. Aanvallers kiezen zulke momenten bewust.
Verificatie die als wantrouwen voelt
Mensen slaan de controle over omdat ze een leidinggevende, collega of klant niet willen beledigen. Daarom moet verifiëren de norm zijn, geen persoonlijke keuze.
Verificatie organiseren
Verificatie werkt alleen als het niet afhangt van de moed van één medewerker. Het moet in de organisatie zijn ingebouwd.
Het recht om te vertragen
Iedereen mag een verzoek pauzeren om te verifiëren, ook tegenover bestuurders. Laat de top dit zelf uitspreken: "Bel mij altijd terug, ook als ik haast heb."
Vaste stamgegevens
Rekeningnummers en telefoonnummers van leveranciers en collega's worden alleen gewijzigd via een apart, gecontroleerd proces, nooit op basis van een e-mail.
Vierogenprincipe
Betalingen en wijzigingen van bankgegevens worden altijd door een tweede persoon gecontroleerd, ook bij spoed.
Controlevragen of codewoord
Spreek voor urgente verzoeken van bestuur of directie een vaste controlevraag of codewoord af. Dat helpt vooral bij telefoon en video, waar stemmen en beelden kunnen worden nagemaakt.
Een strenge helpdeskprocedure
Het resetten van een wachtwoord of MFA, of het koppelen van een nieuw apparaat, moet net zo goed beveiligd zijn als het inloggen zelf. Anders verplaatst de aanval zich naar de servicedesk.
Een duidelijke norm naar buiten
Communiceer naar klanten, leveranciers en medewerkers wat je nooit zult vragen, bijvoorbeeld: "Wij vragen je nooit om via een link in te loggen of een code te delen." Daarmee wordt elk afwijkend verzoek direct herkenbaar.
Verificatie en techniek versterken elkaar. Met phishingresistente MFA hoeft een medewerker bij het inloggen niet meer zelf te beoordelen of een pagina echt is.
Bij twijfel: vertraag, vraag, verifieer
1. Vertraag
Handel niet direct. Neem de tijd om na te denken, ook als er haast lijkt te zijn.
2. Vraag
Met wie heb ik te maken? Is dit logisch? Is dit de normale procedure?
3. Verifieer
Controleer het verzoek via een kanaal dat je zelf kiest, met contactgegevens die je al had.
Dit drietrapsmodel wordt ook door de Fraudehelpdesk geadviseerd.
En als je al hebt gehandeld?
Ook wie goed oplet, kan een keer te snel handelen. Meld het dan direct, ook als je twijfelt of het wel echt misging. Hoe sneller er wordt ingegrepen, hoe meer er nog te herstellen valt: een betaling kan soms nog worden teruggehaald en een account kan worden afgeschermd. Snel melden is belangrijker dan schuld zoeken.
Lees verder
Bronnen en verder lezen
- Fraudehelpdesk: halfjaarcijfers 2026 en het advies Vertraag, Vraag, Verifieer
- NCSC: Wat is BEC-fraude?
- Cybersecurity gedragsonderzoek Alert Online 2026 (ECP en Behavior Change Group), over zelf navigeren naar de officiële website of app
- ENISA Threat Landscape 2026, over vishing en het nabootsen van IT-medewerkers
- Cisco Talos: voorbeeld van een aanval via vishing en MFA-goedkeuring
Deze pagina bevat algemene informatie en is geen persoonlijk advies. Leading Digital is niet aansprakelijk voor schade die voortvloeit uit het gebruik van deze informatie. Volg bij een incident altijd de procedures van je eigen organisatie.