Phishing herkennen: zo werken aanvallers en zo blijft u scherp

Een factuur van een "vaste leverancier". Een melding dat uw Microsoft 365-wachtwoord verloopt. Een pakketje dat niet kon worden afgeleverd. Phishingmails zien er steeds vaker gewoon uit, en dat is precies het probleem.

Phishing blijft een van de meest gebruikte manieren om bedrijven binnen te komen, niet omdat de techniek zo ingenieus is, maar omdat één klik op het verkeerde moment genoeg is. Hieronder laten we zien hoe aanvallers zo'n mail opbouwen, waar u op moet letten en wat u doet als het toch misgaat.

Hoe aanvallers een phishingmail maken

Een phishingmail begint zelden met de mail zelf. Eerst verzamelt een aanvaller informatie: wie werkt er bij een bedrijf, met welke leveranciers en banken wordt gewerkt, en welke software is in gebruik. Veel van die informatie staat gewoon op LinkedIn, op de website of in een automatische "out of office"-reactie.

Met die informatie wordt een scenario gekozen dat aansluit bij de dagelijkse praktijk: een factuur die niet klopt, een gemiste levering, een verzoek van "de directie" om iets over te maken. Hoe specifieker het scenario, hoe geloofwaardiger de mail.

Daarna volgt de uitvoering. De afzender wordt nagemaakt of gespoofed, logo en huisstijl worden gekopieerd, en de mail wordt zo geschreven dat die aanzet tot snel handelen. Steeds vaker gebeurt dat met AI-tools: foutloos Nederlands, een passende toon en een overtuigende opbouw, zonder dat de aanvaller de taal zelf spreekt. De tijd dat je phishing herkende aan kromme zinnen is voorbij.

Welke technieken ze daarbij gebruiken

Een paar technieken komen steeds terug:

Afzender vervalsen of lookalike-domeinen. De mail lijkt te komen van facturatie@uwleverancier.nl, maar wordt verzonden vanaf uwleverancier-nl.com of een domein met één verwisselde letter. Bij spoofing staat de naam van de afzender correct, maar klopt het achterliggende e-mailadres niet.

Gekaapte accounts van bekenden. Is een account van een leverancier, klant of collega al gehackt, dan verstuurt de aanvaller de phishingmail vanaf dat echte adres. De mail komt dan uit een vertrouwde inbox, met een bestaande gesprekshistorie erbij. Dat maakt dit type mail extra overtuigend.

Urgentie en autoriteit. "Reageer binnen 24 uur" of een verzoek dat zogenaamd van de directie komt, zet de ontvanger onder druk. Onder tijdsdruk wordt een link minder goed gecontroleerd.

Nagemaakte inlogpagina's. De link in de mail leidt naar een pagina die sprekend op een Microsoft 365- of bankomgeving lijkt. Gegevens die daar worden ingevuld, gaan rechtstreeks naar de aanvaller.

Bijlagen en QR-codes. Een Word- of PDF-bestand met een schadelijke macro, of een QR-code die naar een phishingpagina leidt. QR-codes in mail ("quishing") zijn lastiger te controleren, omdat de onderliggende link niet zichtbaar is voordat u scant.

Waar u op moet letten bij een ontvangen mail

Vier controles die bij elke twijfelachtige mail werken:

• Het echte e-mailadres, niet alleen de weergegeven naam. Beweeg over de afzender of klik op "details weergeven" om het volledige adres te zien.
• De link, voordat u klikt. Houd de muis boven de link (op mobiel: houd ingedrukt) en controleer of het domein klopt. Let op kleine afwijkingen zoals een extra woord, streepje of ander topleveldomein.
• De toon van het bericht. Ongewone haast, een dreigend randje of een verzoek dat niet past bij hoe deze afzender normaal communiceert, zijn allemaal signalen.
• Het verzoek zelf. Wordt er gevraagd om in te loggen, te betalen of gegevens te delen via de mail? Vraag u af of dat logisch is gezien de context, en of deze afzender dat normaal zo zou doen.

5 tips om phishing te herkennen

1. Controleer het volledige e-mailadres van de afzender, niet alleen de naam die in beeld staat.
2. Beweeg over links voordat u klikt en vergelijk het domein met wat u verwacht.
3. Wees extra alert bij spoed en druk, zeker bij verzoeken om geld, gegevens of inloggen.
4. Controleer ongewone verzoeken via een ander kanaal: bel de afzender op een bekend nummer, stuur geen reactie op de mail zelf.
5. Gebruik waar mogelijk multifactorauthenticatie. Dan is een gestolen wachtwoord alleen niet genoeg om bij een account te komen.

Twijfelt u? Klik niet en vraag het na. Eén telefoontje kost minder tijd dan het herstellen van een gehackt account.

Bent u toch gephished? Dit doet u direct

Is er al op een link geklikt, zijn er gegevens ingevuld of is een bijlage geopend? Handel dan meteen, en in deze volgorde:

1. Wijzig het wachtwoord van het betrokken account, en van elk ander account waar hetzelfde wachtwoord wordt gebruikt.
2. Meld het intern, direct bij IT-beheer of uw ICT-partner. Hoe eerder het bekend is, hoe sneller toegang kan worden ingetrokken.
3. Controleer het account op sporen van misbruik: onbekende aanmeldingen, nieuwe doorstuurregels in de mailbox of gewijzigde rechten. Dit is precies waar Office 365-securitymonitoring voor is bedoeld.
4. Waarschuw collega's en eventueel klanten als vanaf het account mogelijk phishingmails zijn verstuurd, zodat zij niet alsnog intrappen.
5. Bij financiële schade of een betaling die al is uitgevoerd: neem ook contact op met de bank en doe aangifte.

Phishing voorkomen is niet alleen techniek, het is vooral een kwestie van scherp blijven en op tijd hulp inschakelen. Twijfelt u over een mail, of wilt u weten of uw organisatie goed beschermd is tegen phishing en gehackte accounts? Neem gerust contact met ons op.