Normity

Phishing is een vorm van cybercriminaliteit waarbij aanvallers zich voordoen als betrouwbare partij (bank, collega, leverancier) om slachtoffers te verleiden gevoelige informatie te delen of op schadelijke links te klikken. Phishing gebeurt via e-mail, sms (smishing), telefoon (vishing) of social media. Het is de meest voorkomende vorm van cybercriminaliteit.

Bulk phishing stuurt hetzelfde bericht naar duizenden ontvangers. Spear phishing is gericht op één persoon of organisatie met persoonlijke details. Whaling richt zich op bestuurders (CEO-fraude). Clone phishing kopieert een legitiem bericht met kwaadaardige wijziging. Business Email Compromise (BEC) misbruikt intern e-mailverkeer voor financiële fraude.

Typische signalen: onverwachte afzender, dringende taal ('actie binnen 24 uur'), spelfouten, verdachte links (hover over om echte URL te zien), vraag om inlog- of betaalgegevens, afwijkende afzenderadressen. Moderne phishing gebruikt AI en is steeds overtuigender — verificatie via een tweede kanaal (telefoon, in persoon) is vaak nodig.

Stop direct, sluit de browser, en meld het aan de interne helpdesk of CISO. Als je gegevens hebt ingevoerd, wijzig direct je wachtwoord op alle plaatsen waar dat wachtwoord wordt gebruikt. Bij mogelijke betaalfraude: direct contact met de bank. Snelle melding beperkt schade; schaamte voor de fout is menselijk maar niet productief.

Technische maatregelen: spam-filters, SPF/DKIM/DMARC-configuratie, URL-scanning, multi-factor authenticatie (MFA). Organisatorische maatregelen: awareness-training, phishing-simulaties, duidelijke meldprocedures. Geen enkele maatregel stopt alles — de combinatie telt.

CEO-fraude (ook wel whaling of BEC) is phishing waarbij criminelen zich voordoen als CEO of CFO om medewerkers te overtuigen grote bedragen over te maken of gevoelige informatie te delen. Berichten wijken subtiel af qua e-mailadres en spelen in op gezag en urgentie. Bescherming: vier-ogenprincipe bij betalingen en verificatie via een tweede kanaal.

Multi-factor authenticatie (MFA) vereist naast een wachtwoord een tweede bewijs van identiteit: een code op je telefoon, vingerafdruk of fysieke sleutel. MFA maakt phishing van wachtwoorden vrijwel onbruikbaar — zelfs als een aanvaller je wachtwoord heeft, komt hij er niet in zonder tweede factor. MFA is een van de meest effectieve beveiligingsmaatregelen.

Alleen als er persoonsgegevens zijn gelekt of dreigen gelekt te worden. In dat geval: melding bij de Autoriteit Persoonsgegevens binnen 72 uur (bij risico voor betrokkenen) en eventueel aan de betrokkenen zelf (bij hoog risico). Phishing zonder datalek hoeft niet aan de AP te worden gemeld, wel aan interne CISO en eventueel politie.