De klassieke tips over phishing gaan over spelfouten en rare aanspreektitels. Die adviezen zijn achterhaald. Een bericht dat vandaag binnenkomt is in vlekkeloos Nederlands geschreven, verwijst naar een dossier dat echt bestaat, en komt binnen op een moment waarop u het verwacht.
Wat wél blijft werken, zijn de kenmerken die niet met taal te maken hebben maar met de bedoeling van het bericht.
1. Er wordt iets van u gevraagd wat haast heeft
Bijna elk phishingbericht vraagt om een handeling binnen een korte termijn: bevestig, betaal, log in, klik voor het vervalt. Haast schakelt nadenken uit, en dat is precies de bedoeling. Een echte leverancier die geld tegoed heeft, verliest zijn geduld pas na weken.
2. Het gaat over geld of over toegang
Er zijn maar twee dingen die een aanvaller wil: een betaling, of uw inloggegevens. Elk bericht dat op een van beide uitkomt, verdient een tweede blik — ook als het van een collega lijkt te komen.
3. Het kanaal klopt niet met de vraag
Uw boekhouder stuurt geen rekeningnummerwijziging via WhatsApp. Microsoft belt u niet op. De bank vraagt geen codes via mail. Een vraag die op een ongebruikelijke manier binnenkomt, is verdacht, ook als de inhoud plausibel is.
4. De aanmeldpagina komt na de klik
Dit is het patroon dat het vaakst werkt: u klikt op een document, en er verschijnt een aanmeldscherm van Microsoft dat er perfect uitziet. Het adres in de balk is dat niet. De regel die u uw team kunt meegeven is simpel: u meldt zich nooit aan via een link uit een bericht. U opent zelf een tabblad en typt het adres dat u kent.
5. Het antwoordadres wijkt af van de afzender
De naam van de afzender is vrij invulbaar. Het echte adres staat erachter. Op een gsm staat dat verstopt achter één tik. Dat ene tikje is de goedkoopste controle die bestaat.
6. Er wordt gevraagd het buiten de gebruikelijke weg te houden
“Ik zit in een vergadering, bel me niet, regel dit even discreet.” Wie dat schrijft, wil vooral verhinderen dat u de vraag verifieert. Dat is het kenmerk van CEO-fraude en het is het enige signaal dat op zichzelf al genoeg is om te stoppen.
Wat u doet met een bericht dat u niet vertrouwt
Niet doorsturen naar collega’s, want dan verspreidt u het. Niet antwoorden. Niet klikken om te kijken. Wel: melden bij wie het in uw bedrijf opvolgt, en de vraag verifiëren via een kanaal dat u zelf kiest — het telefoonnummer dat u al had, niet het nummer in het bericht.
En als er toch geklikt is: dat is geen ramp en zeker geen ontslagreden. Wat dan telt, zijn de eerste minuten. Lees wat te doen na een phishingklik.
Waarom techniek alleen het niet oplost
Filters vangen het grootste deel weg. Wat overblijft, is net het deel dat door een filter geraakt is omdat het er echt uitziet. Daarom zetten wij mailbeveiliging en awareness met phishingsimulaties naast elkaar: het filter neemt het volume weg, de mensen vangen de uitzonderingen.
De cultuur eromheen bepaalt of dat werkt. In een bedrijf waar melden gevolgen heeft, wordt er niets gemeld — en dan hoort u pas van de klik als de gevolgen zichtbaar worden.
In het kort
Let niet op de taal, let op de vraag. Haast, geld, toegang, een ongewoon kanaal en de vraag om het stil te houden: dat zijn de vijf die blijven werken. Wilt u weten hoe uw team er vandaag op reageert? Een phishingsimulatie geeft dat antwoord zonder dat er iets misgaat.