Wat is phishing en hoe herken je het?

Je krijgt een mailtje van je bank, of van de Belastingdienst, met het dringende verzoek om even in te loggen. Ziet er echt uit, logo klopt, toon klopt. Toch is het precies zo’n bericht waarmee criminelen jaarlijks miljoenen buitmaken bij ondernemers. Je hebt er geen gebrek aan IT-kennis voor nodig om erin te trappen, want iedereen kan een keer op een verkeerd moment klikken. Daarom is weten hoe het werkt je beste verdediging.

Wat is phishing?

Phishing is een vorm van internetoplichting waarbij iemand zich voordoet als een betrouwbare partij, bijvoorbeeld je bank, een leverancier, Microsoft of zelfs een collega, om gevoelige gegevens los te peuteren of je een besmette bijlage te laten openen. De naam komt van het Engelse fishing: er wordt een lokkertje uitgegooid en de oplichter hoopt dat jij hapt.

Het gebeurt lang niet alleen via e-mail. Je ziet het ook via sms (smishing), via de telefoon (vishing) en steeds vaker via WhatsApp. Het doel is bijna altijd hetzelfde: je inloggegevens, je betaalgegevens, of je apparaat besmetten met malware.

Waarom juist kleine bedrijven doelwit zijn

Veel ZZP’ers en kleine ondernemers denken “bij mij valt toch niks te halen”. Dat is precies de denkfout waar oplichters op rekenen. Kleinere bedrijven hebben zelden een eigen IT-afdeling, vaak minder beveiliging, en toch toegang tot geld en klantgegevens. Je bent daarmee een makkelijker doelwit dan een groot concern met een securityteam.

Een klassieker is factuurfraude: een nette mail die lijkt te komen van een bekende leverancier, met precies dezelfde opmaak, maar met een gewijzigd rekeningnummer. Betaal je zonder na te denken, dan is je geld weg.

Zo herken je een phishingmail

Let op deze signalen:

• Afzender klopt net niet. De naam lijkt goed, maar het adres erachter is raar, zoiets als [email protected].
• Té dringende toon. “Uw account wordt binnen 24 uur geblokkeerd.” Druk is bedoeld om je te laten klikken vóór je nadenkt.
• Links die ergens anders heen gaan dan ze beweren. Beweeg je muis over de link (zonder te klikken) en kijk onderin waar hij écht naartoe wijst.
• Rare zinsbouw of taalfouten. Al worden phishingmails met AI steeds beter geschreven, dus reken hier niet blind op.
• Een onverwachte bijlage. Zeker een .zip, een .html, of een Office-bestand dat vraagt om “macro’s inschakelen”.
• Een verzoek dat je gegevens wil. Een betrouwbare partij vraagt je nooit per mail om je wachtwoord of pincode te bevestigen.

Wat te doen als je toch geklikt hebt

Overkomt de beste. Handel dan rustig maar snel:

1. Vul niks in en sluit het tabblad.
2. Heb je een wachtwoord ingevuld, wijzig het meteen, en overal waar je datzelfde wachtwoord gebruikte.
3. Zet twee-factor-authenticatie aan op dat account, zodat een gestolen wachtwoord alleen niet meer genoeg is.
4. Betaalgegevens ingevuld? Bel direct je bank.
5. Meld het bij de Fraudehelpdesk en bij de partij die werd nagebootst.

Voorkomen is beter dan opruimen

De meeste ellende voorkom je met een paar basismaatregelen: twee-factor-authenticatie overal aan, een wachtwoordmanager zodat je nergens hetzelfde wachtwoord hoeft te gebruiken, fatsoenlijke spamfilters, en medewerkers die weten waar ze op moeten letten.

Wil je je zakelijke mail echt dichttimmeren, met sterke spamfilters, verplichte 2FA en veilig ingerichte accounts, dan is een goed opgezette Microsoft 365-omgeving je grootste winst. En verwerk je klantgegevens? Zorg dan dat je AVG en GDPR op orde hebt, want een datalek door phishing valt onder de meldplicht.