Beschermen tegen phishing: de complete gids voor bedrijven
Phishing (uitgesproken als "fishing") is de meest voorkomende cybercriminaliteitstechniek ter wereld. Criminelen proberen uw geld of identiteit te stelen door u te verleiden tot het delen van wachtwoorden, bankgegevens of persoonlijke informatie. Hoe herkent u een aanval — en hoe beschermt u uzelf en uw bedrijf?
Wat is phishing?
Phishing is een populaire vorm van cybercriminaliteit omdat het zo effectief is. Cybercriminelen doen zich voor als betrouwbare bedrijven, overheidsinstanties, vrienden of collega's in een vals bericht — met als doel u te bewegen persoonlijke gegevens te delen of op een kwaadaardige link te klikken.
Ze maken gebruik van e-mails, sms-berichten en directe berichten op sociale media of in videogames. De aanval linkt vrijwel altijd naar een nep-website die er exact uitziet als de echte — maar in werkelijkheid bedoeld is om uw gegevens te stelen.
E-mail phishing
Massaal verzonden valse e-mails die zich voordoen als uw bank, Microsoft, overheid of andere vertrouwde afzenders.
Smishing
Phishing via sms of WhatsApp. Typisch: 'Uw pakket kon niet worden afgeleverd — klik hier.'
Vishing
Phishing via telefoon. Een 'bankmedewerker' vraagt uw kaartgegevens of pincode te bevestigen.
Vormen van phishing: van massaal tot gericht
Niet alle phishing-aanvallen zijn hetzelfde. Naarmate criminelen professioneler worden, worden aanvallen ook gerichter en moeilijker te herkennen.
Bulk phishing
Miljoenen identieke berichten uitgestuurd. Weinig gepersonaliseerd, maar effectief door de schaal. Typisch voorbeeld: valse DHL-sms of nep-Microsoft e-mail.
Spear phishing
Gericht op een specifiek individu of bedrijf. De aanvaller onderzoekt vooraf het doelwit via LinkedIn, de website of sociale media en schrijft een geloofwaardig, gepersonaliseerd bericht. Veel gevaarlijker dan bulk phishing.
Whaling
Spear phishing gericht op CEO's, CFO's of andere leidinggevenden. Het doel: grote financiële transacties goedkeuren of gevoelige bedrijfsinformatie vrijgeven.
Business Email Compromise (BEC)
Criminelen hacken of spoofen een zakelijk e-mailadres en geven opdracht tot betalingen of informatiedeling. In België een van de snelst groeiende vormen van fraude.
Clone phishing
Een legitiem e-mailbericht wordt gekopieerd, bijlagen of links worden vervangen door kwaadaardige varianten, en het bericht opnieuw verstuurd — alsof het een update is van het origineel.
Phishing herkennen: waar let u op?
De beste verdediging begint met bewustzijn. Weten waar u op moet letten, is al de helft van de bescherming. Hieronder de meest voorkomende kenmerken van een phishing-bericht.
Dringende oproep tot actie of bedreigingen
Wees achterdochtig bij berichten die beweren dat u onmiddellijk moet handelen: een bijlage openen, een boete betalen, of uw account bevestigen om uitsluiting te vermijden. Het creëren van een vals gevoel van urgentie is een klassieke phishing-tactiek. Neem altijd de tijd om het bericht te controleren.
Eerste keer of onbekende afzender
Ontvangt u een e-mail van iemand die u niet kent, of die door uw e-mailclient wordt gemarkeerd als "externe afzender"? Wees extra voorzichtig. Neem de tijd om het bericht grondig te onderzoeken vooraleer u op links klikt of bijlagen opent.
Spelfouten en slechte grammatica
Professionele organisaties hebben redactioneel personeel. Duidelijke spellings- of grammaticafouten zijn een waarschuwingssignaal. Soms zijn fouten zelfs opzettelijk — om spamfilters te omzeilen die exacte frauduleuze teksten herkennen.
Algemene begroeting
Uw bank, verzekeraar of vaste leverancier kent uw naam. Als een e-mail begint met "Beste klant", "Geachte gebruiker" of "Dear Sir/Madam" — is dat een duidelijk alarmsignaal dat het bericht generiek en mogelijk frauduleus is.
Alarmsignalen in één oogopslag
Gebruik deze lijst als snelle referentie. Herkent u één of meerdere van deze signalen? Dan is extra voorzichtigheid geboden.
Gevaarlijke links en bijlagen: hoe gaat u er mee om?
Het klikken op een kwaadaardige link of het openen van een geïnfecteerde bijlage is de meest voorkomende manier waarop phishing-aanvallen succesvol zijn. Hier leest u hoe u dit vermijdt.
Hoe controleert u een link zonder erop te klikken?
Beweeg uw muisaanwijzer over de link (hover) zonder te klikken. In de statusbalk van uw browser of e-mailclient ziet u het echte webadres waarnaar de link verwijst. Komt dat adres niet overeen met wat verwacht wordt — of ziet u een reeks cijfers of een vreemd domein? Klik dan niet.
Echte URL: http://185.220.101.47/bank/confirm.php
Controleer het domein
Een veilige bankwebsite gebruikt altijd https:// en het exacte domein. Let op subtiele varianten: 'kbc-secure.be' of 'belfius-login.com' zijn NIET het echte domein.
HTTPS is geen garantie
Een hangslot-icoon in uw browser betekent enkel dat de verbinding versleuteld is — niet dat de website legitiem is. Phishing-sites gebruiken ook HTTPS.
Bijlagen: open niets onverwachts
PDF's, Word-documenten, Excel-bestanden en zip-bestanden kunnen macro's of malware bevatten. Open enkel bijlagen die u verwacht en van een betrouwbare bron komen.
Twijfel? Navigeer zelf
Twijfelt u over een link? Typ het adres zelf in uw browser in plaats van op de link te klikken. Zo vermijdt u omleiding naar een nepsite.
Technische bescherming: lagen die phishing tegenhouden
Bewustzijn alleen is niet genoeg. Technische maatregelen vormen een noodzakelijke tweede verdedigingslinie. Combineer ze voor maximale bescherming.
E-mailfiltering en anti-spam
PrioriteitGeavanceerde e-mailfilters (zoals Microsoft Defender for Office 365) analyseren inkomende berichten op phishing-kenmerken, kwaadaardige links en verdachte bijlagen — nog voor ze uw inbox bereiken. Essentieel voor elke zakelijke omgeving.
SPF, DKIM en DMARC
Deze e-mailauthenticatieprotocollen maken het moeilijker voor criminelen om uw domein te spoofen (nep-e-mails sturen met uw bedrijfsnaam als afzender). Zonder deze configuratie kan iedereen een e-mail sturen die er uitziet alsof hij van u komt.
DNS-filtering en veilig browsen
DNS-filtering blokkeert verbindingen naar bekende phishing-domeinen — ook als een medewerker per ongeluk op een link klikt. Oplossingen als Cisco Umbrella of Microsoft Defender SmartScreen bieden deze bescherming.
Endpoint Detection & Response (EDR)
EDR-software detecteert kwaadaardige activiteiten op uw toestellen — ook wanneer een phishing-aanval toch door de filters glipt en malware probeert te installeren. Lees meer in ons artikel over EDR vs antivirus.
Automatische software-updates
Phishing-aanvallen maken vaak gebruik van bekende kwetsbaarheden in browsers, PDF-lezers of Office-toepassingen. Zorg dat alle software automatisch en tijdig geüpdatet wordt.
MFA: uw vangnet als een wachtwoord toch gestolen wordt
Stel dat een medewerker toch op een phishing-link klikt en zijn wachtwoord invoert op een nepsite. Wat dan? Zonder extra beveiliging heeft de aanvaller onmiddellijk volledige toegang tot het account.
Multi-Factor Authenticatie (MFA) voegt een extra verificatiestap toe. Zelfs als uw wachtwoord gestolen is, heeft de aanvaller nog steeds uw telefoon nodig om in te loggen.
Hoe werkt MFA?
U voert uw gebruikersnaam en wachtwoord in (iets wat u weet)
Een eenmalige code wordt verstuurd naar uw telefoon (iets wat u heeft)
U voert de code in — toegang verleend
Medewerkers trainen: bewustzijn is uw sterkste verdediging
Technologie kan veel opvangen, maar de menselijke factor blijft de zwakste schakel. Één klik van één medewerker kan leiden tot een volledig compromis van uw netwerk. Regelmatige training is daarom geen luxe, maar een noodzaak.
Security awareness trainingen
Korte, regelmatige sessies leren medewerkers phishing herkennen. Online platformen als KnowBe4 of Proofpoint Security Awareness Training bieden dit aan.
Gesimuleerde phishing-aanvallen
Stuur zelf nep-phishing e-mails naar uw team om te testen wie klikt. Geen bestraffing, wel gerichte opvolging voor medewerkers die in de val trappen.
Duidelijke meldprocedure
Medewerkers moeten weten waar ze verdachte berichten melden. Maak de drempel laag — melden mag nooit voelen als een fout toegeven.
Cultuur van veiligheid
Creëer een omgeving waar medewerkers bij twijfel durven te vragen. 'Is deze e-mail echt?' stellen is altijd beter dan zwijgend klikken.
Wat doet u als u toch op een link geklikt heeft?
Paniek is de slechtste reactie. Volg deze stappen rustig en systematisch:
Verbreek de internetverbinding
Koppel het toestel onmiddellijk los van wifi of ethernet. Dit beperkt de schade en voorkomt dat malware zich verder verspreidt op uw netwerk.
Verander uw wachtwoorden
Wijzig onmiddellijk het wachtwoord van het account dat mogelijk gecompromitteerd is — en van elk account waar u hetzelfde wachtwoord gebruikt. Begin met uw e-mailaccount.
Activeer MFA
Als MFA nog niet actief was, activeer het nu. Zo heeft de aanvaller enkel uw wachtwoord, maar niet de tweede factor.
Scan uw toestel
Voer een volledige scan uit met uw anti-malware of EDR-software. Meld het bij uw IT-beheerder of IT-partner — zij kunnen forensisch onderzoek uitvoeren.
Meld bij uw IT-partner en bank
Informeer uw IT-partner en, indien financiële gegevens zijn ingevoerd, uw bank. Bij diefstal van identiteitsgegevens: contacteer de relevante diensten (Card Stop: 078 170 170).
Doe aangifte
Meld phishing bij de politie of via verdacht.be (doorgestuurd naar het CCB). Houd alle bewijzen bij: screenshots, e-mailheaders, URLs.
Phishing en KMO's: waarom u een aantrekkelijk doelwit bent
Grote bedrijven investeren miljoenen in cybersecurity. KMO's beschikken doorgaans over minder middelen, minder specialisten en minder strikte procedures — wat hen tot een aantrekkelijker doelwit maakt.
Waarom KMO's extra kwetsbaar zijn
- Geen of beperkt intern IT-team
- Geen formele security awareness training
- Wachtwoorden worden hergebruikt of gedeeld
- MFA niet overal geactiveerd
- Verouderde software en systemen
- Geen duidelijke meldprocedure
Wat u vandaag kunt doen
- MFA activeren op alle accounts
- E-mailfiltering inschakelen (Microsoft 365 Defender)
- SPF, DKIM en DMARC configureren
- Medewerkers jaarlijks trainen
- Duidelijke meldprocedure opstellen
- IT-partner raadplegen voor security audit
Anti-phishing checklist voor uw bedrijf
Gebruik deze checklist als startpunt voor uw anti-phishing aanpak. Hoe meer vakjes aangevinkt, hoe beter u beschermd bent.
Technische basismaatregelen
Bewustzijn en procedures
Wachtwoordbeleid
Incident response
Veelgestelde vragen over beschermen tegen phishing
Klaar om uw team te wapenen tegen phishing?
Acom begeleidt KMO's bij het opzetten van een volledige anti-phishing aanpak: van technische maatregelen en e-mailbeveiliging tot awareness trainingen en simulaties.
Geen verplichtingen. Eerlijk advies. Reactie binnen 1 werkdag.