René denkt vrijblijvend met u mee: waar u staat, wat er echt nodig is en wat kan wachten.
Een phishing-mail is een nepbericht waarmee criminelen u proberen te laten klikken, inloggen, betalen of een bijlage openen. De mail lijkt te komen van een bekende afzender, zoals uw bank, een leverancier, de KVK of Microsoft.
Een phishing-mail melden kost een minuut en levert veel op. Uw IT-beheer kan dezelfde mail bij collega’s verwijderen voordat iemand klikt, en de Fraudehelpdesk kan anderen waarschuwen. Hoe sneller de melding, hoe kleiner de kans op schade.
Hieronder leest u hoe u phishing herkent, met voorbeelden uit zakelijke mailboxen. Daarna leest u waar u meldt en wat u doet als er al is geklikt. Voor organisaties staat erbij hoe u een vaste meldroute inricht. Het bredere beeld staat in ons overzicht van cybercrime voor bedrijven.
Zo herkent u een phishing-mail
Phishing werkt omdat het bericht lijkt op iets wat u verwacht. Let daarom minder op de vorm en meer op wat de mail van u vraagt. Deze signalen komen steeds terug:
- Haast of dreiging. Uw account wordt geblokkeerd, een betaling is mislukt of u moet vandaag nog reageren.
- Een vraag om in te loggen of te betalen. Via een knop, een link of een QR-code in de mail.
- Een afzender die net niet klopt. Een extra letter, een cijfer in plaats van een letter, of een bekende naam met een vreemd adres erachter.
- Een link die ergens anders heen gaat. Ga met de muis over de link zonder te klikken. Het echte adres verschijnt dan in beeld.
- Een onverwachte bijlage. Zeker een factuur, een gedeeld document of een spraakbericht waar u niet op rekende.
- Een algemene aanhef. “Beste klant” in plaats van uw naam. Gerichte aanvallen gebruiken juist wel uw naam, dus andersom bewijst het niets.
Taalfouten zijn geen betrouwbaar signaal meer. Criminelen kunnen hun teksten door AI laten schrijven, en dan valt een kromme zin weg als waarschuwing. Ook een afzender kan echt lijken terwijl hij is vervalst. Hoe dat werkt, leest u in wat spoofing is.
Voorbeelden van phishing in de zakelijke mailbox
Phishing die op bedrijven is gericht, haakt in op wat er op kantoor gebeurt. Deze voorbeelden kunt u tegenkomen:
| Voorbeeld | Wat de mail vraagt | Waar u op let |
|---|---|---|
| Nepfactuur | Een openstaande factuur betalen of een bijlage openen. | Klopt de leverancier, het bedrag en het rekeningnummer met uw administratie? |
| Wachtwoord verloopt | Inloggen bij Microsoft 365 om uw account te behouden. | Het adres van de inlogpagina, en of uw IT dit zo zou vragen. |
| Gedeeld document | Een document openen via een link die naar een inlogpagina leidt. | Verwachtte u dit document van deze afzender? |
| Pakket of levering | Verzendkosten betalen of een bezorgmoment kiezen. | Heeft u iets besteld, en past de afzender bij de vervoerder? |
| KVK of overheid | Gegevens bijwerken of een registratie betalen. | Ga zelf naar de website van de instantie in plaats van de link te volgen. |
| Bericht van de directeur | Snel en vertrouwelijk een betaling doen. | Een ongewone route en geheimhouding: bel de directeur zelf. |
Vraagt een collega of de directeur per mail om een snelle, vertrouwelijke betaling, dan kan het om CEO-fraude gaan. Daar staat vaak geen link of bijlage in, alleen een verzoek. Hoe u dat herkent, leest u in CEO-fraude en factuurfraude.
Waar u een phishing-mail meldt
Een phishing-mail melden doet u op drie plekken. Elke melding heeft een eigen doel.
- Bij uw eigen organisatie. Gebruik de meldknop in uw mailprogramma of stuur de mail naar het vaste meldadres van IT. Zij kunnen dezelfde mail bij collega’s weghalen en de afzender blokkeren.
- Bij de Fraudehelpdesk. Stuur de mail als bijlage door naar valse-email@fraudehelpdesk.nl. Dat adres is bedoeld voor mails met verdachte links of bijlagen. Een sms, een WhatsApp-bericht of een mail zonder link meldt u via het meldformulier op de site.
- Bij de organisatie die wordt nagemaakt. Veel banken en bedrijven hebben een eigen meldadres. De KVK gebruikt bijvoorbeeld valse-email@kvk.nl. Met de link uit de mail kan zo’n organisatie proberen de nepsite te laten blokkeren.
Waarom als bijlage? Bij gewoon doorsturen gaan de technische gegevens van de mail verloren, zoals de route die hij heeft afgelegd. Die gegevens heeft de Fraudehelpdesk nodig voor onderzoek. Hoe u een mail als bijlage doorstuurt, verschilt per mailprogramma en staat op de meldpagina van de Fraudehelpdesk.
Weet u hoe uw team reageert? Met een phishing-simulatie ziet u wie een nepmail herkent en vooral wie hem meldt. Zo oefent uw organisatie de meldroute voordat het echt nodig is.
Een eerste meting geeft richting. Bekijk de phishing simulatie
Wat er met uw melding gebeurt
De Fraudehelpdesk onderzoekt de mail die u doorstuurt. Weet zij na onderzoek zeker dat het om phishing of malware gaat? Dan krijgt u dezelfde dag een mail terug met meer informatie en tips. Nieuwe varianten zet de Fraudehelpdesk als waarschuwing op haar website, zonder uw gegevens.
Intern levert uw melding direct iets op. IT kan nagaan wie de mail nog meer heeft ontvangen, hem uit alle mailboxen halen en de afzender blokkeren. Bij een gerichte aanval ziet IT zo ook een patroon, bijvoorbeeld als dezelfde afzender het bij meerdere collega’s probeert.
Al geklikt of gegevens ingevuld? Dit doet u
Schrik niet, en meld het direct bij IT, ook als u denkt dat er niets is gebeurd. Een snelle melding is meer waard dan een perfecte inschatting achteraf. Wat er daarna gebeurt, hangt af van wat u heeft gedaan.
Bij ingevulde inloggegevens is een nieuw wachtwoord niet genoeg. Sommige phishingpagina’s onderscheppen ook de inlogsessie, zodat de crimineel binnen blijft, zelfs met meerfactorauthenticatie (MFA, een tweede inlogstap). Daarom trekt IT ook de actieve sessies in en controleert het de mailbox op nieuwe doorstuurregels.
Is er een bijlage geopend en mogelijk malware binnengekomen? Dan adviseert het NCSC om geen risico te nemen en het systeem opnieuw te installeren. Zijn er persoonsgegevens buitgemaakt, dan kan het om een datalek gaan dat u mogelijk moet melden bij de Autoriteit Persoonsgegevens. Daarvoor geldt een korte termijn. Het volledige stappenplan voor als het groter is, staat in gehackt, wat nu.
Een vaste meldroute voor uw organisatie
Medewerkers melden vooral als het makkelijk is en als het goed valt. Regel daarom drie dingen:
- Eén knop of één adres. Outlook heeft een ingebouwde knop om phishing te melden. Uw beheerder bepaalt of meldingen naar een eigen meldpostvak gaan, naar Microsoft of naar allebei. Werkt u niet met Microsoft 365, spreek dan één vast meldadres af.
- Snelle opvolging. Iemand kijkt elke werkdag naar de meldingen en haalt een echte phishing-mail direct uit alle mailboxen.
- Een bedankje, geen verwijt. Wie meldt dat hij heeft geklikt, helpt de organisatie. Een verwijt zorgt ervoor dat de volgende klik verborgen blijft.
Oefenen helpt om de route te laten beklijven. Met een phishing-simulatie ziet u hoeveel mensen een nepmail melden, en hoe snel. Die meldcijfers zeggen meer over uw weerbaarheid dan het aantal kliks.
Valt uw organisatie onder de Cyberbeveiligingswet, dan horen bewustwording en een werkende meldketen bij de zorgplicht. Een ingerichte meldroute is daar goed bewijs van.
Phishing uit naam van uw eigen organisatie
Soms gebruiken criminelen juist uw naam. Klanten of leveranciers krijgen dan een nepfactuur of een inlogverzoek dat van u lijkt te komen. Dat schaadt het vertrouwen in uw echte mail.
Bescherm daarom uw domeinnaam met SPF, DKIM en DMARC. Samen zorgen die drie instellingen ervoor dat ontvangers mail weigeren die zich ten onrechte als die van u voordoet. Hoe u dat stap voor stap invoert, staat bij DMARC instellen.
Krijgen klanten toch nepberichten op uw naam, waarschuw ze dan met een korte melding op uw website. Vertel daarbij hoe u wel communiceert, bijvoorbeeld dat u een rekeningnummer nooit per mail wijzigt. Meld de campagne ook bij de Fraudehelpdesk, zodat die kan meewaarschuwen.
Veelgemaakte fouten bij het melden
- Reageren naar de afzender. Het adres of nummer in de mail is van de crimineel. Zoek zelf het echte contact op.
- Even klikken om te kijken. Ook een klik zonder in te loggen kan een download starten. Bekijk een link alleen door er met de muis overheen te gaan.
- Verwijderen zonder melden. Een collega krijgt dezelfde mail misschien ook, en klikt wel.
- Alleen extern melden. De Fraudehelpdesk waarschuwt anderen, maar haalt de mail niet uit de mailboxen van uw collega’s. Dat kan alleen uw eigen IT.
Veelgestelde vragen over phishing-mail melden
Is het melden van een phishing-mail verplicht?
Voor u als ontvanger niet. Het is wel verstandig, want uw melding beschermt collega’s en anderen. Leidt de phishing tot een datalek, of valt uw organisatie onder de Cyberbeveiligingswet? Dan kan er voor de organisatie wel een meldplicht gelden.
Moet ik aangifte doen bij de politie?
Voor een mail die u alleen heeft ontvangen, is dat niet nodig. Heeft u gegevens ingevuld en is er schade of dreigt die, dan kunt u aangifte doen. Informeer dan eerst zo snel mogelijk uw bank. Aangifte kan online of via 0900-8844.
Hoe stuur ik een mail door als bijlage?
In Outlook selecteert u de mail en kiest u bij de opties voor doorsturen “Doorsturen als bijlage”. In andere mailprogramma’s heet de optie vergelijkbaar.
Ik twijfel of een mail phishing is. Wat nu?
Meld hem toch. Een onterechte melding kost IT een paar minuten, een gemiste phishing-mail kan veel meer kosten. Wilt u het zeker weten, neem dan contact op met de afzender via een nummer of adres dat u zelf opzoekt.
Moet ik phishing via sms of WhatsApp ook melden?
Ja. Zulke berichten meldt u via het meldformulier van de Fraudehelpdesk, omdat het mailadres alleen voor mails is. Gaat het om een zakelijk nummer, meld het dan ook intern. Zo weet IT dat de campagne ook langs deze weg loopt.
Melden is de reflex die het verschil maakt
Een phishing-mail die wordt gemeld, kan IT bij iedereen weghalen. Een mail die zonder melding wordt verwijderd, blijft bij collega’s in de inbox staan. Investeer daarom in een meldroute die makkelijk is en goed valt.
Meer over de andere vormen leest u in ons overzicht van cybercrime. Wilt u dat uw team phishing leert herkennen en melden, zie dan de Security Awareness Training.
