Twintig jaar geleden kon je ze er nog zó uitpikken: de e-mails van de schatrijke Congolese erfgenaam die zijn miljoenen met je wilde delen. Vol spelfouten, onwaarschijnlijke verhalen en amateuristisch opgebouwd. Maar tegenwoordig zijn veel phishingberichten nauwelijks van echt te onderscheiden. Wat kun je daartegen doen? 

Geachte heer/mevrouw, 

Mijn naam is Jimmy Mobutu, zoon van wijlen president Mobutu Sese Seko van Zaïre. Na het overlijden van mijn vader is een aanzienlijk vermogen van $15.000.000 (vijftien miljoen dollar) achtergebleven.  

Vanwege de strikte wet- en regelgeving in mijn land is het voor ons onmogelijk dit bedrag rechtstreeks over te maken. Daarom zijn wij op zoek naar een betrouwbare partner in het buitenland die ons kan helpen deze erfenis veilig te stellen…. 

Een mail zoals hierboven roept vast herinneringen op bij iedereen die in de jaren negentig of begin 2000 online was. Het idee alleen al – een wildvreemde die jou miljoenen wil schenken – was genoeg reden om meteen op Verwijderen te klikken. Maar tijden zijn veranderd. Mede onder invloed van AI zijn veel phishingberichten inmiddels niet meer van echt te onderscheiden. 

Wat is phishing ook alweer? 

“Met phishing probeert een crimineel op slinkse wijze informatie los te krijgen, waarmee hij zelf geld kan verdienen of een ander schaden,” vertelt Jenne Zuidema, presales consultant bij CTNET. 

Vaak gebeurt dat via e-mail, maar ook via Teams, WhatsApp, valse websites of zelfs brieven met een QR-code kan worden ‘gevist’. Het doel: toegang tot digitale accounts of financiële gegevens. In 2024 werd bijna 1 procent van de Nederlanders slachtoffer van phishing, meldt het Centraal Bureau voor de Statistiek (CBS). 

Cybersecurity en de factor mens 

Vaak wordt gezegd dat de gebruiker de zwakste schakel is. Jenne nuanceert dat beeld. “Eigenlijk moet je dat niet zo zien. Mensen krijgen zóveel mails per dag. En phishingmails worden steeds moeilijker om te ontdekken. Je zag vroeger nog wel eens een mail vol spelfouten met de boodschap: ik heb 4,5 miljoen voor je, waar kan ik dat naartoe storten? Dat zie je tegenwoordig helemaal niet meer. Het is steeds professioneler en geavanceerder.” 

Daarom kan iedereen slachtoffer worden, benadrukt Jenne. Dat bleek onlangs nog bij de politie, waar een vrijwilliger volgens De Telegraaf op een phishinglink zou hebben geklikt, met een gigantisch datalek als gevolg. 

Zo bescherm je jouw organisatie tegen phishing 

Om zulke rampen te voorkomen, ondersteunen we bij CTNET onze klanten met zowel technische maatregelen als bewustwording. De eerste technische verdedigingslinie is een softwarematige. Jenne beschrijft hoe we dankzij Microsoft-tools de visexpedities van criminelen dwarsbomen: 

• Safe Links (deel van Microsoft Defender): verdachte links in e-mails, Teams-berichten of Microsoft 365-applicaties worden eerst door Microsoft gecontroleerd. Schadelijke links worden geblokkeerd. 

• Safe Attachments (deel van Microsoft Defender): bijlagen worden in een veilige virtuele omgeving geopend en gecontroleerd, voordat de gebruiker ze ontvangt. 

• Externe tags in Microsoft 365: mails van buiten de organisatie krijgen een duidelijke waarschuwing, zodat medewerkers alert zijn. 

Cybersecurity awareness kun je leren 

Techniek alleen is niet genoeg. Medewerkers moeten ook leren hoe ze verdachte berichten herkennen. Daarom werken we als CTNET samen met het platform 5MOT, dat korte awareness-trainingen biedt. Wat zijn nu typische kenmerken van een nepmail? En welke verantwoordelijkheden geeft de AVG jouw organisatie als het toch mis gaat? 

Mocht een medewerker ondanks al deze maatregelen toch onverhoopt op een foute link klikken? Uiteraard komen we dan meteen in actie. “We hebben bij de meeste klanten de logging aangezet,” legt Jenne uit. “Stel dat een klant belt over een phishingincident, dan kunnen wij in de omgeving van die klant zien wat er de laatste uren of dagen is gebeurd met het account. Als we zien dat er bijvoorbeeld automatisch mails worden doorgestuurd naar een onbekend adres, grijpen we direct in en wijzigen we het wachtwoord.”  

Mens én techniek 

Phishing is al lang geen knullige oplichtingstruc meer. Het is een geraffineerd kat-en-muisspel tussen aanvallers en verdedigers. Om je te wapenen is zowel de mens als de technologie belangrijk. “Je kunt veel technisch afvangen, maar zonder bewustwording blijf je kwetsbaar,” aldus Jenne. 

Twijfel je of jouw organisatie voldoende beschermd is tegen phishing en andere vormen van cybercrime? Of weet je niet goed waar je moet beginnen met preventie? Plan dan een vrijblijvend gesprek met ons in. We kijken mee, brengen de risico’s in kaart en helpen je stap voor stap naar een veilige en weerbare organisatie.