Phishing

Definitie

Phishing is een aanvalstechniek waarbij criminelen zich voordoen als een betrouwbare partij om gevoelige informatie zoals wachtwoorden of betaalgegevens te stelen. Dit gebeurt via e-mail, sms of nepsites.

Phishing is een aanvalstechniek waarbij cybercriminelen zich voordoen als een betrouwbare partij om gevoelige informatie te stelen, zoals wachtwoorden, creditcardgegevens of bedrijfsinformatie. Volgens het Verizon DBIR 2024 is phishing betrokken bij meer dan 80% van alle gerapporteerde beveiligingsincidenten, waarmee het de belangrijkste aanvalsvector voor organisaties vormt.

Hoe werkt phishing?

Bij een phishing-aanval stuurt een aanvaller een bericht dat afkomstig lijkt van een vertrouwde bron: een bank, overheidsinstantie, collega of leverancier. Het bericht bevat een urgente oproep om actie te ondernemen, zoals het klikken op een link, het invullen van inloggegevens op een nepwebsite of het openen van een besmette bijlage. De term is afgeleid van het Engelse fishing in combinatie met phreaking. Moderne phishing-aanvallen worden steeds geavanceerder door AI-tools die foutloze, gepersonaliseerde teksten genereren in elke taal.

Soorten phishing

Spear phishing is een gerichte aanval op een specifiek persoon of organisatie, vaak met gepersonaliseerde informatie uit LinkedIn of sociale media. Whaling richt zich op directie en bestuurders, met vaak grote financiele gevolgen. Smishing vindt plaats via SMS of WhatsApp, bijvoorbeeld nepberichten van pakketbezorgers of banken. Vishing is telefonische phishing, waarbij aanvallers bellen als bankmedewerker of IT-helpdesk. Met AI-stemtechnologie worden deze aanvallen steeds overtuigender. Quishing maakt gebruik van QR-codes in brieven of op openbare plekken. Business Email Compromise (BEC) is een variant waarbij aanvallers een zakelijk e-mailaccount compromitteren of imiteren voor frauduleuze betalingsverzoeken.

Hoe herken je phishing?

Kenmerkend zijn een onpersoonlijke aanhef, druk om direct te handelen, een afzenderadres dat niet overeenkomt met de organisatie, en links naar afwijkende domeinen. Door AI worden phishing-berichten steeds moeilijker te herkennen aan taalfouten. Controleer altijd het daadwerkelijke domein achter links.

Impact voor organisaties

Phishing is de belangrijkste initiele aanvalsvector voor ransomware, datalekken en BEC-fraude. De gemiddelde kosten van een datalek bedragen $4,88 miljoen (IBM Cost of Data Breach Report 2024). In Nederland zijn phishing-gerelateerde incidenten de meest gemelde cybercrime-categorie bij de politie. Onder NIS2 zijn organisaties in kritieke sectoren verplicht medewerkers aantoonbaar te trainen in het herkennen van phishing. Het Anti-Phishing Working Group registreerde meer dan 4,7 miljoen phishing-aanvallen in 2023.

Bescherming tegen phishing

Effectieve bescherming combineert technische en menselijke maatregelen. Technisch: e-mailfiltering met SPF, DKIM en DMARC, multi-factor authenticatie (MFA), endpoint detection en URL-filtering. Menselijk: regelmatige security awareness trainingen en phishing-simulaties om het herkenningsvermogen van medewerkers te testen en te verbeteren. Organisatorisch: verificatieprocedures voor betalingsverzoeken, een actueel incidentresponsplan en een duidelijk meldpunt voor verdachte e-mails.

Hoe DEFION helpt

DEFION biedt Security Awareness Masterclasses en phishing-simulaties waarmee organisaties het bewustzijn van medewerkers meten en verbeteren. De Email Risk Assessment toont hoe kwetsbaar een organisatie daadwerkelijk is voor e-mailaanvallen. Bij een geslaagde phishing-aanval staat het 24/7 incident response team direct klaar.

Gerelateerde termen

DEFION Security helpt organisaties hiermee: