Wat is phishing en hoe herken je het?

Je krijgt een mailtje van je bank, of van de Belastingdienst, met het dringende verzoek om even in te loggen. Ziet er echt uit, logo klopt, toon klopt. Toch is het precies zo’n bericht waarmee criminelen jaarlijks miljoenen buitmaken bij ondernemers. Je hebt er geen gebrek aan IT-kennis voor nodig om erin te trappen, want iedereen kan een keer op een verkeerd moment klikken. Daarom is weten hoe het werkt je beste verdediging.

Wat is phishing?

Phishing is een vorm van internetoplichting waarbij iemand zich voordoet als een betrouwbare partij, bijvoorbeeld je bank, een leverancier, Microsoft of zelfs een collega, om gevoelige gegevens los te peuteren of je een besmette bijlage te laten openen. De naam komt van het Engelse fishing: er wordt een lokkertje uitgegooid en de oplichter hoopt dat jij hapt.

Het gebeurt lang niet alleen via e-mail. Je ziet het ook via sms (smishing), via de telefoon (vishing) en steeds vaker via WhatsApp. Het doel is bijna altijd hetzelfde: je inloggegevens, je betaalgegevens, of je apparaat besmetten met malware.

Waarom juist kleine bedrijven doelwit zijn

Veel ZZP’ers en kleine ondernemers denken “bij mij valt toch niks te halen”. Dat is precies de denkfout waar oplichters op rekenen. Kleinere bedrijven hebben zelden een eigen IT-afdeling, vaak minder beveiliging, en toch toegang tot geld en klantgegevens. Je bent daarmee een makkelijker doelwit dan een groot concern met een securityteam.

Een klassieker is factuurfraude: een nette mail die lijkt te komen van een bekende leverancier, met precies dezelfde opmaak, maar met een gewijzigd rekeningnummer. Betaal je zonder na te denken, dan is je geld weg.

De meest voorkomende vormen van phishing

Niet elke phishingpoging ziet er hetzelfde uit. De vorm bepaalt vaak ook hoe goed je hem kunt herkennen.

• Massamail-phishing. Dezelfde nepmail gaat naar duizenden mensen tegelijk, in de hoop dat een paar procent erin trapt. Vaak wat generieker van toon, “Beste klant” in plaats van je echte naam.
• Spear phishing. Een gerichte aanval op jou of je bedrijf specifiek, met details die kloppen: je naam, je functie, misschien zelfs een lopend project. Veel lastiger te herkennen omdat het persoonlijk aanvoelt.
• CEO-fraude en factuurfraude. De oplichter doet zich voor als je directeur, een collega of een vaste leverancier en vraagt om een spoedbetaling of een gewijzigd rekeningnummer. Werkt vaak juist doordat er tijdsdruk en autoriteit wordt ingezet.
• Technical support scams. Een melding of telefoontje dat beweert dat je computer besmet is, met de vraag om direct software te installeren of in te loggen op een “supportportaal”.

Hoe gerichter de aanval, hoe overtuigender hij meestal is, en hoe groter de schade als het misgaat.

Hoe phishing met AI overtuigender wordt

Waar phishingmails vroeger vaak te herkennen waren aan kromme zinnen en rare vertalingen, is dat signaal steeds minder betrouwbaar. AI-tools schrijven inmiddels vloeiend Nederlands, foutloos en in precies de juiste toon. Sommige aanvallers gaan nog een stap verder en gebruiken AI-gekloonde stemmen om een telefoontje van “de directeur” na te bootsen, zie ook onze uitleg over deepfakes herkennen. Taalfouten blijven een signaal, maar zijn niet langer je belangrijkste verdediging. Kijk daarom vooral naar de afzender, de link, en of het verzoek logisch is gezien de context.

Zo herken je een phishingmail

Let op deze signalen:

• Afzender klopt net niet. De naam lijkt goed, maar het adres erachter is raar, zoiets als [email protected].
• Té dringende toon. “Uw account wordt binnen 24 uur geblokkeerd.” Druk is bedoeld om je te laten klikken vóór je nadenkt.
• Links die ergens anders heen gaan dan ze beweren. Beweeg je muis over de link (zonder te klikken) en kijk onderin waar hij écht naartoe wijst.
• Rare zinsbouw of taalfouten. Al worden phishingmails met AI steeds beter geschreven, dus reken hier niet blind op.
• Een onverwachte bijlage. Zeker een .zip, een .html, of een Office-bestand dat vraagt om “macro’s inschakelen”.
• Een verzoek dat je gegevens wil. Een betrouwbare partij vraagt je nooit per mail om je wachtwoord of pincode te bevestigen.

Wat te doen als je toch geklikt hebt

Overkomt de beste. Handel dan rustig maar snel:

1. Vul niks in en sluit het tabblad.
2. Heb je een wachtwoord ingevuld, wijzig het meteen, en overal waar je datzelfde wachtwoord gebruikte.
3. Zet twee-factor-authenticatie aan op dat account, zodat een gestolen wachtwoord alleen niet meer genoeg is.
4. Betaalgegevens ingevuld? Bel direct je bank.
5. Meld het bij de Fraudehelpdesk en bij de partij die werd nagebootst.

Wat phishing een bedrijf kan kosten

De schade van een geslaagde phishingaanval zit niet alleen in het bedrag dat wordt overgemaakt bij factuurfraude. Reken ook op de uren die je kwijt bent aan het herstellen van accounts en systemen, mogelijke meldplicht bij een datalek, en het vertrouwen van klanten als blijkt dat hun gegevens zijn buitgemaakt. Bij een klein bedrijf kan één succesvolle aanval verhoudingsgewijs veel harder aankomen dan bij een grote organisatie met reserves en een eigen securityteam. Dat maakt preventie, hoe simpel ook, verreweg de goedkoopste optie.

Voorkomen is beter dan opruimen

De meeste ellende voorkom je met een paar basismaatregelen: twee-factor-authenticatie overal aan, een wachtwoordmanager zodat je nergens hetzelfde wachtwoord hoeft te gebruiken, fatsoenlijke spamfilters, en medewerkers die weten waar ze op moeten letten.

Wil je je zakelijke mail echt dichttimmeren, met sterke spamfilters, verplichte 2FA en veilig ingerichte accounts, dan is een goed opgezette Microsoft 365-omgeving je grootste winst. En verwerk je klantgegevens? Zorg dan dat je AVG en GDPR op orde hebt, want een datalek door phishing valt onder de meldplicht.