Wat is phishing?
Hoe criminelen zich voordoen als uw bank, leverancier of collega, en hoe u dat herkent en voorkomt.
Phishing in het kort
Phishing is online oplichting waarbij criminelen zich voordoen als een betrouwbare partij, zoals uw bank, een leverancier of een collega. Via e-mail, sms, telefoon of een QR-code proberen zij u te verleiden om op een link te klikken, inloggegevens in te vullen, een bijlage te openen of geld over te maken.
Hoe werkt phishing?
Phishing speelt in op menselijke reacties: haast, angst, nieuwsgierigheid of respect voor gezag. Een bericht meldt bijvoorbeeld dat uw mailbox vol is, dat een factuur openstaat of dat uw account wordt geblokkeerd. De link leidt naar een pagina die eruitziet als die van Microsoft 365 of uw bank. Wat u daar invult, komt bij de criminelen terecht.
Er zijn verschillende vormen:
- E-mailphishing: algemene berichten die naar grote aantallen mensen tegelijk gaan.
- Spearphishing: een gericht bericht, voorbereid met informatie van uw website of LinkedIn, zodat het geloofwaardig klinkt.
- CEO-fraude en factuurfraude: iemand doet zich voor als uw directeur of leverancier en vraagt om een spoedbetaling of geeft een nieuw rekeningnummer door.
- Sms- en WhatsApp-phishing: korte berichten met een link, bijvoorbeeld over een pakketje of een betaling.
- Telefonische phishing: een beller die zich voordoet als helpdesk of bank en vraagt om gegevens of om software te installeren.
- QR-code-phishing: een QR-code in een mail of op papier die naar een nagemaakte pagina leidt. Op een telefoon ziet u het adres minder goed.
Waarom phishing een risico is voor het MKB
In een kleiner bedrijf doen medewerkers veel tegelijk, zijn de lijnen kort en wordt een betaling soms door één persoon geregeld. Dat maakt het makkelijker om met een goed getimed bericht iemand te misleiden.
Eén klik kan veel gevolgen hebben. Met een buitgemaakt wachtwoord lezen criminelen mee in uw mailbox en sturen zij vanuit uw adres valse facturen naar klanten. Phishing is ook een veelgebruikte route voor ransomware. Raken daarbij persoonsgegevens in verkeerde handen, dan is er sprake van een datalek. Brengt dat risico's mee voor de mensen om wie het gaat, dan moet u het binnen 72 uur melden bij de Autoriteit Persoonsgegevens.
Checklist: phishing herkennen en voorkomen
Voor iedere medewerker:
- Kijk naar het echte afzenderadres, niet alleen naar de naam die u ziet.
- Ga met de muis over een link (op de telefoon: lang ingedrukt houden) en controleer waar hij echt naartoe gaat.
- Wees extra kritisch bij haast, dreiging of een onverwacht verzoek om in te loggen of een bijlage te openen.
- Controleer een betaalverzoek of gewijzigd rekeningnummer door te bellen naar een nummer dat u zelf al had, niet naar het nummer in het bericht.
- Twijfelt u? Meld het bericht en klik niet.
Voor het bedrijf:
- Gebruik e-mailbeveiliging die verdachte berichten en links filtert.
- Zet MFA aan op alle accounts.
- Stel SPF, DKIM en DMARC in, zodat criminelen minder makkelijk mailen uit naam van uw domein.
- Spreek af dat betalingen boven een bepaald bedrag door twee mensen worden gecontroleerd.
- Maak duidelijk bij wie medewerkers verdachte berichten melden, en bespreek voorbeelden samen.
Veelgemaakte fouten
- Uit schaamte niets zeggen. Hoe sneller een klik gemeld wordt, hoe kleiner de schade meestal is. Zorg voor een cultuur waarin melden normaal is.
- Volledig vertrouwen op het spamfilter. Een filter houdt veel tegen, maar niet alles. Medewerkers blijven een belangrijke laag.
- Alleen het wachtwoord wijzigen. Na een geslaagde phishingaanval moeten ook actieve sessies worden afgemeld en moet de mailbox worden gecontroleerd op doorstuurregels die de aanvaller heeft aangemaakt.
- Hetzelfde wachtwoord op meerdere plekken. Eén gestolen wachtwoord geeft dan toegang tot meerdere systemen. Een wachtwoordmanager voorkomt dit.
- Denken dat het bij u niet gebeurt. Phishing is grotendeels geautomatiseerd en treft bedrijven van elke omvang.
Is het al gebeurd? Lees dan ons artikel Op phishing geklikt, wat nu? Meer voorbeelden van herkenningspunten vindt u in phishing herkennen.
Hoe Netron ICT helpt
Wij bouwen de bescherming in lagen op: e-mailbeveiliging die verdachte berichten filtert, MFA en goede instellingen in Microsoft 365, een wachtwoordmanager als Keeper en Microsoft Defender op de werkplekken. Daarnaast helpen wij uw medewerkers om phishing te herkennen en denken wij mee als er toch op een link is geklikt.
Meer over onze aanpak leest u op de pagina cybersecurity, of vraag een gratis ICT-scan aan.
FAQ
Veelgestelde vragen over phishing
Wat is het verschil tussen phishing en spam?
Wat moet ik doen als ik op een phishinglink heb geklikt?
Waar kan ik een phishingmail melden?
Herken ik phishing aan taalfouten?
Helpt MFA tegen phishing?
Meer in de kennisbank
Uw medewerkers trainen
Bijgewerkt op Door Steven Cremers, directeur van Netron ICT
De informatie op deze pagina is met zorg samengesteld. Aan genoemde prijzen, specificaties en diensten kunnen geen rechten worden ontleend. Prijzen en voorwaarden kunnen zonder vooraankondiging worden gewijzigd. De exacte invulling van een dienst is afhankelijk van de gebruikte software, licenties en uw specifieke omgeving. Lees onze volledige disclaimer voor meer informatie.
Wilt u phishing beter tegenhouden?
Wij kijken met u naar uw e-mail, accounts en afspraken, en maken een voorstel op maat. Bel ons of stuur een bericht.