Phishing uitgelegd: wat het is, hoe het werkt en hoe je je ertegen beschermt
Phishing is de meest voorkomende vorm van cybercriminaliteit wereldwijd: aanvallers doen zich voor als betrouwbare partijen om gevoelige informatie te stelen. Dit dossier legt uit welke vormen er zijn en welke basismaatregelen helpen.
Kernpunten
- Phishing is een vorm van social engineering waarbij aanvallers mensen misleiden om gevoelige informatie te onthullen of malware te installeren.
- De meest voorkomende varianten zijn e-mailphishing, smishing (via sms), vishing (via telefoon) en spear phishing (gericht op een specifiek persoon of organisatie).
- Generatieve AI vergroot de schaal en overtuigingskracht van aanvallen: in 2023 had 94% van de bedrijven te maken met phishingaanvallen, tegenover 72% in 2017.
- Basismaatregelen zijn: wetgeving, gebruikerseducatie, publieke bewustwording en technische beveiligingsmaatregelen.
Phishing is wereldwijd de meest voorkomende vorm van cybercriminaliteit. Aanvallers sturen valse berichten die afkomstig lijken van een betrouwbare bron — een bank, een overheidsinstantie, een collega — met als doel gevoelige informatie te ontfutselen of malware te installeren. Dat meldt Wikipedia op basis van onder meer gegevens van het Internet Crime Complaint Center van de FBI.
De naam verwijst naar het Engels 'fishing': een lokmiddel uitwerpen en wachten tot iemand bijt. De term werd voor het eerst geregistreerd in 1995.
Vier hoofdvormen
- E-mailphishing — Massaal verstuurde nepmails die leiden naar een valse inlogpagina. De berichten wekken urgentie of vertrouwen.
- Smishing — Dezelfde truc via sms: een link, telefoonnummer of e-mailadres om op te klikken of te bellen.
- Vishing — Geautomatiseerde of bemande telefoongesprekken via VoIP, waarbij het belnummer wordt vervalst om een bank of instelling te imiteren.
- Spear phishing — Gerichte aanval op een specifiek persoon of organisatie, waarbij persoonlijke of organisatorische informatie wordt gebruikt om geloofwaardigheid te vergroten. Richt zich vaak op leidinggevenden of medewerkers met toegang tot financiële gegevens.
Wat betekent dit voor de BeNeLux?
Phishing treft organisaties en particulieren wereldwijd, ook in de BeNeLux. Het stijgende percentage getroffen bedrijven — van 72% in 2017 naar 94% in 2023 — laat zien dat zowel werkgevers als werknemers baat hebben bij regelmatige bewustwording en technische basisbeveiliging.
Hoe verloopt een phishingaanval?
Een typische e-mailphishingaanval combineert meerdere misleidingstechnieken tegelijk. Wikipedia somt de vaste onderdelen op:
- Een domeinnaam die lijkt op die van een legitieme organisatie, maar er net iets van afwijkt.
- Onjuiste of gekloonde huisstijl van het imiterende merk.
- Algemene, niet-persoonsgebonden aanhef of tekst.
- Spelfouten of onnauwkeurigheden.
- Een gevoel van urgentie ('uw account wordt geblokkeerd').
- Een valse link die naar een nepsite leidt.
- Een onjuiste naam of functie.
Moderne aanvallen gaan verder: ze spiegelen de echte website van het doelwit volledig na, zodat de aanvaller alles kan meelezen terwijl het slachtoffer navigeert — inclusief aanvullende beveiligingslagen. Generatieve AI maakt het bovendien mogelijk om op grote schaal gepersonaliseerde en overtuigende berichten te genereren, wat de drempel voor aanvallers verlaagt.
Spear phishing: gerichter en gevaarlijker
Spear phishing is effectiever dan bulkaanvallen omdat het is afgestemd op de specifieke ontvanger. Aanvallers combineren daarbij vaak meerdere kanalen tegelijk: e-mail, sms én telefoongesprekken, om zo een grotere druk te creëren. Accountants- en auditkantoren worden als bijzonder kwetsbaar beschouwd vanwege de gevoelige financiële informatie waartoe hun medewerkers toegang hebben.
Onderzoek naar vatbaarheid voor spear phishing liet zien dat 43% van jongeren (18–25 jaar) en 58% van oudere gebruikers klikte op gesimuleerde phishinglinks in dagelijkse e-mails over een periode van 21 dagen.
Vishing: telefonische misleiding
Bij vishing (voice phishing) bellen aanvallers via VoIP grote aantallen mensen, vaak met tekst-naar-spraak-synthesizers. Het belnummer wordt vervalst zodat het lijkt alsof een bank of officiële instantie belt. Slachtoffers worden gevraagd gevoelige gegevens in te toetsen of worden doorverbonden met een persoon die sociale manipulatietechnieken inzet. Vishing profiteert van het feit dat mensen telefonisch contact als betrouwbaarder of minder verdacht ervaren dan e-mail.
Smishing: phishing via sms
Smishing gebruikt tekstberichten als drager. Het bericht vraagt doorgaans om op een link te klikken, een nummer te bellen of een e-mailadres te contacteren. Aanvallers doen zich voor als overheidsinstanties, klantenservice, bezorgdiensten, collega's of leidinggevenden.
Basismaatregelen
Wikipedia noemt vier categorieën van maatregelen om phishing te voorkomen of de impact te beperken:
- Wetgeving — Juridische kaders die phishing strafbaar stellen.
- Gebruikerseducatie — Mensen leren hoe ze verdachte berichten herkennen.
- Publieke bewustwording — Bredere communicatiecampagnes over het fenomeen.
- Technische beveiligingsmaatregelen — Denk aan spamfilters, tweefactorauthenticatie en anti-spoofingprotocollen.
Het belang van phishingbewustwording is toegenomen in zowel persoonlijke als professionele omgevingen, aldus Wikipedia.
Veelgestelde vragen
- Wat is phishing precies?
- Phishing is een vorm van social engineering waarbij aanvallers zich voordoen als een betrouwbare partij om slachtoffers te verleiden gevoelige informatie — zoals inloggegevens of financiële gegevens — te delen, of om malware te installeren.
- Wat is het verschil tussen phishing, smishing en vishing?
- Phishing verwijst in brede zin naar alle nepberichten die gevoelige informatie proberen te ontfutselen. Smishing is de variant via sms-berichten, vishing via (veelal geautomatiseerde) telefoongesprekken. Bij alle drie worden slachtoffers misleid door een vertrouwde identiteit na te bootsen.
- Wat is spear phishing en waarom is het gevaarlijker dan gewone phishing?
- Spear phishing is een gerichte aanval op een specifiek persoon of organisatie. Aanvallers gebruiken persoonlijke of organisatorische informatie om het bericht geloofwaardiger te maken. Dat verhoogt de slaagkans ten opzichte van bulkaanvallen. Leidinggevenden en medewerkers met toegang tot financiële gegevens zijn vaak het doelwit.
- Hoe herken ik een phishingmail?
- Typische kenmerken zijn: een domeinnaam die lijkt op maar afwijkt van het echte adres, onjuiste huisstijl, een algemene aanhef, spelfouten, een gevoel van urgentie, een valse link en een onjuiste naam of functie. Moderne aanvallen zijn echter steeds beter in staat deze signalen te verbergen.
- Welke maatregelen helpen tegen phishing?
- De meest effectieve aanpak combineert wetgeving, gebruikerseducatie, publieke bewustwording en technische beveiligingsmaatregelen zoals spamfilters en tweefactorauthenticatie. Zowel op individueel als organisatieniveau wordt educatie als een kernmaatregel beschouwd.