Twijfel je of een aanval generiek of gericht is? Lees de vergelijking: wat is het verschil tussen phishing en spearphishing?
Hoe werkt een spearphishingaanval?
- 1
Doelwit selecteren
De aanvaller kiest een persoon of functie met toegang tot geld, gegevens of systemen.
- 2
Informatie verzamelen
Via openbare bronnen verzamelt de aanvaller kennis over het doelwit en diens omgeving.
- 3
Geloofwaardig scenario creëren
De aanvaller bedenkt een verhaal dat past bij de werkelijkheid van het slachtoffer.
- 4
Contact opnemen
Via e-mail, messaging, telefoon of andere kanalen wordt het doelwit benaderd.
- 5
Vertrouwen of urgentie creëren
Het bericht speelt in op autoriteit, tijdsdruk of een ogenschijnlijk logisch verzoek.
- 6
Verleiden tot een actie
Het slachtoffer wordt bewogen tot een overboeking, het delen van gegevens of het openen van een bijlage of link.
Welke informatie gebruiken aanvallers?
De kracht van spearphishing zit in de voorbereiding. Aanvallers gebruiken vrijwel altijd openbaar beschikbare informatie, bijvoorbeeld:
- je functie en werkgever;
- namen van collega's, leidinggevenden en leveranciers;
- informatie van sociale media zoals LinkedIn;
- lopende projecten, evenementen of recente nieuwsberichten;
- agenda-informatie, zoals vakanties of zakenreizen van je leidinggevende;
- openbare bedrijfsinformatie, zoals jaarverslagen, vacatures en persberichten.
Met deze informatie kan een aanvaller een bericht schrijven dat inhoudelijk klopt en juist daardoor niet opvalt.
Op wie richt spearphishing zich?
Iedereen kan doelwit zijn, maar bepaalde rollen zijn extra interessant voor aanvallers vanwege hun toegang, bevoegdheden of informatiepositie:
- directie en bestuur;
- Finance en Inkoop;
- HR;
- IT-beheerders;
- directieondersteuning;
- medewerkers met toegang tot gevoelige informatie of systemen.
Deze functies noemen we kritieke functies: functies waarin één verkeerde beslissing direct grote gevolgen kan hebben voor de organisatie. Juist medewerkers in deze functies verdienen extra aandacht in beveiliging, training en processen.
Voorbeelden van spearphishing
Spearphishing kent veel verschijningsvormen. Enkele veelvoorkomende voorbeelden:
- CEO-fraude: een aanvaller doet zich voor als directeur en vraagt om een spoedbetaling of gevoelige gegevens;
- Business Email Compromise (BEC): fraude via een overgenomen of nagemaakt zakelijk e-mailaccount, vaak rond betalingen of facturen;
- Whaling: gerichte phishing op topbestuurders en andere hoge doelwitten;
- credential phishing: een gericht bericht dat uitlokt dat je je inloggegevens invoert op een nagemaakte inlogpagina;
- OAuth consent phishing: de aanvaller vraagt geen wachtwoord, maar toestemming voor een kwaadaardige applicatie;
- gerichte phishing via LinkedIn, Teams, WhatsApp of andere communicatiekanalen.
Waarom werkt spearphishing?
Spearphishing werkt omdat het inspeelt op hoe mensen beslissingen nemen: op vertrouwen, autoriteit, tijdsdruk, nieuwsgierigheid, behulpzaamheid en bestaande werkprocessen. Een verzoek dat past in de dagelijkse praktijk (van een bekende afzender, op een druk moment) roept zelden argwaan op. Lees meer over deze beïnvloedingstechnieken op de pagina over social engineering en de psychologie van de klik.
Hoe herken je spearphishing?
Gerichte aanvallen zijn bewust lastig te herkennen, maar er zijn wel degelijk signalen: een ongebruikelijk verzoek, subtiele afwijkingen in het adres of domein, onverwachte tijdsdruk of een verzoek dat afwijkt van de normale werkwijze. Lees meer over deze signalen op de pagina over de psychologie van de klik en weerbaarheid tegen phishing en spearphishing.
Hoe maak je een organisatie weerbaarder?
Weerbaarheid tegen spearphishing vraagt een combinatie van maatregelen: onafhankelijke verificatie van gevoelige verzoeken, gerichte bescherming van kritieke functies, een laagdrempelige meldcultuur, heldere processen rond betalingen en toegang, en regelmatig oefenen met realistische scenario's. Lees hoe je dit aanpakt op weerbaarheid tegen phishing en spearphishing.
Wat als iemand toch handelt?
Ook in goed beveiligde organisaties gebeurt het: iemand klikt, deelt gegevens of keurt een verzoek goed. Dan is snel melden essentieel, elke minuut vertraging beperkt de mogelijkheden om schade te voorkomen. Schaamte is daarbij de grootste vijand: wie zich schaamt, meldt later of niet. Op Cyberschaamte.nl lees je meer over de menselijke kant van melden en schaamte na een cyberincident.
Gerichte aanvallen vragen gerichte weerbaarheid
Spearphishing stop je niet met alleen technologie. Het vraagt medewerkers, en in het bijzonder medewerkers in kritieke functies, die weten hoe een aanval eruitziet, wanneer ze moeten verifiëren en hoe ze veilig kunnen melden.
Bronnen
- Nationaal Cyber Security Centrum (NCSC): Phishing: informatie over phishing en gerichte aanvallen
- CISA: Phishing: definities van phishing, spearphishing en whaling
- FBI IC3: 2025 Internet Crime Report: cijfers over Business Email Compromise
- Microsoft Digital Defense Report 2025: trends in cybercriminaliteit en gerichte aanvallen
Deze pagina bevat algemene informatie en is geen persoonlijk advies. Leading Digital is niet aansprakelijk voor schade die voortvloeit uit het gebruik van deze informatie. Volg bij een incident altijd de procedures van je eigen organisatie.