Phishing Herkennen: 10 Signalen die uw Medewerkers Moeten Kennen
90% van alle cyberincidenten begint met een phishing-mail. Uw medewerkers zijn zowel de grootste risicofactor als de sterkste verdedigingslinie. Leer hen phishing herkennen — met deze 10 concrete signalen en een duidelijk actieplan.
Wat is phishing en waarom werkt het zo goed?
Phishing is een aanvalstechniek waarbij cybercriminelen zich voordoen als een betrouwbare partij — uw bank, bpost, Microsoft, een collega — om u te verleiden op een link te klikken, een bijlage te openen of gevoelige informatie te delen.
Het werkt zo goed omdat het inspeelt op menselijke psychologie: urgentie, angst, nieuwsgierigheid of hebzucht. Geen antivirussoftware ter wereld beschermt tegen een medewerker die zelf op een link klikt. Dat maakt bewustzijn uw sterkste verdediging.
90%
van cyberincidenten start met een phishing-mail
Bron: IBM
€45M
verloren door Belgische bedrijven aan CEO-fraude in 2024
Bron: FCU
17 sec
gemiddelde tijd vooraleer iemand klikt op een phishing-link
Bron: Proofpoint
Recente phishing-trends in België
Phishing evolueert razendsnel. Wat uw medewerkers 3 jaar geleden leerden herkennen, volstaat vandaag niet meer. Dit zijn de belangrijkste trends die Belgische KMO's nu treffen.
AI-gegenereerde phishing — foutloos en gepersonaliseerd
Met tools als ChatGPT schrijven aanvallers in seconden vlekkeloos Vlaams Nederlands. Foutloze tekst is dus geen garantie meer voor legitimiteit. AI stelt hen ook in staat om duizenden gepersonaliseerde varianten te maken op basis van LinkedIn-profielen.
Deepfake-stem en video (vishing)
Aanvallers klonen de stem van de CEO via AI en bellen medewerkers op om een 'dringende' betaling te bevestigen. In België zijn al meerdere gevallen gerapporteerd van succesvolle deepfake-fraudegesprekken.
QR-code phishing (quishing)
E-mails bevatten een QR-code in plaats van een link, zodat e-mailfilters de verdachte URL niet detecteren. De code verwijst naar een nep-loginpagina. Medewerkers scannen de code via hun privé-smartphone die minder beveiligd is.
Microsoft 365 & Teams-phishing
Aanvallers sturen nep-notificaties van SharePoint, OneDrive of Teams-uitnodigingen. De mails zien er identiek uit aan echte Microsoft-communicatie. Doel: inloggegevens stelen voor Microsoft 365-accounts.
De 10 signalen om phishing te herkennen
Elk van deze signalen is op zich al reden tot waakzaamheid. Ziet u er twee of meer tegelijk? Dan is de kans op phishing zeer hoog. Train uw team om ze reflexmatig te scannen bij elke onverwachte e-mail.
Urgentie en druk
Voorbeeld: "Uw account wordt binnen 24 uur geblokkeerd. Klik hier om te bevestigen."
Aanvallers creëren kunstmatige haast om u te verhinderen kritisch na te denken. Echte organisaties stellen zelden ultimatums via e-mail. Hoe urgenter de toon, hoe verdachter de mail.
Stop. Adem. Bel de organisatie rechtstreeks op via een telefoonnummer dat u zelf opzoekt — niet het nummer in de e-mail.
Verdachte afzenderadressen
Voorbeeld: noreply@bel-gius.com i.p.v. noreply@belgius.be
Aanvallers registreren domeinnamen die lijken op bekende merken: bpost-delivery.com, ing-banck.be, microsofft.com. Het display name kan 'ING Bank' zijn, maar het echte adres is totaal anders.
Klik op de afzendernaam om het volledige e-mailadres te zien. Let op: extra letters, koppeltekens, of een verkeerde landcode (.com i.p.v. .be).
Generieke aanhef
Voorbeeld: "Beste klant", "Geachte gebruiker", "Dear Sir/Madam"
Uw bank weet hoe u heet. Uw leverancier ook. Een generieke aanhef is een klassiek teken van een massale phishing-campagne waarbij de aanvaller uw naam niet kent.
Uitzondering: AI-gegenereerde phishing-mails kunnen inmiddels uw naam en bedrijf correct gebruiken. Vertrouw dus niet blind op een persoonlijke aanhef als enige veiligheidscheck.
Spelfouten en vreemd taalgebruik
Voorbeeld: "Wij hebben opgemerkt dat uw rekening verdachtige activiteiten heeft."
Fouten in zinsbouw, woordkeuze of leestekens zijn klassieke signalen. Let ook op onnatuurlijk formeel of net te informeel taalgebruik — alsof de tekst vertaald is.
In 2025 worden AI-gegenereerde phishing-mails foutlozer. Spelfouten zijn dus geen vereiste — hun afwezigheid garandeert geen legitimiteit.
Verdachte links
Voorbeeld: Knop 'Log hier in' verwijst naar http://my-ing-login.xyz/secure
Hover met uw muis over een link (zonder te klikken) om de echte bestemmings-URL te zien in de statusbalk. Een phishing-link ziet er soms betrouwbaar uit maar verwijst naar een volledig ander domein.
Op mobiel: druk lang op een link om een voorvertoning te zien. Controleer altijd het domein vóór de eerste schuine streep — dat is de echte bestemming.
Onverwachte bijlagen
Voorbeeld: "Zie bijgevoegde factuur" — maar u verwacht geen factuur
Bijlagen in phishing-mails bevatten vaak malware verstopt in Word-documenten, Excel-bestanden of PDF's. Het openen volstaat soms al om uw systeem te infecteren.
Gevaarlijkste extensies: .exe, .zip, .js, .docm, .xlsm (macro's). Maar ook 'gewone' PDF's en Word-bestanden kunnen kwaadaardig zijn. Bij twijfel: niet openen en IT contacteren.
Verzoeken om gevoelige informatie
Voorbeeld: "Bevestig uw wachtwoord en bankkaartgegevens om uw account te vrijwaren."
Geen enkele legitieme organisatie vraagt via e-mail naar uw wachtwoord, pincode, volledige kaartnummer of BSN-nummer. Nooit. Dit is altijd phishing.
Geldt ook voor interne verzoeken: als 'IT-support' via mail vraagt om uw wachtwoord, is dat een alarmbel. Legitiem IT-personeel heeft uw wachtwoord niet nodig.
Te mooi om waar te zijn
Voorbeeld: "U heeft een iPhone 16 gewonnen! Betaal €2 verzendkosten om te ontvangen."
Prijzen die u niet heeft gewonnen, erfenissen van verre familieleden, vacatures met onrealistisch hoge salarissen — klassieke lokmiddelen die inspelen op hebzucht of geluk.
De €2 'verzendkosten' zijn een voet-in-de-deur-techniek. Daarna volgen hogere bedragen of worden uw betaalgegevens gebruikt voor frauduleuze transacties.
Vervalste logo's en huisstijl
Voorbeeld: Een e-mail met bpost-logo, correct kleurenschema en zelfs een echte tracking-link — maar de link verwijst naar een nep-pagina.
Aanvallers kopiëren met één klik de volledige huisstijl van bekende merken: Belfius, bpost, Itsme, Proximus, Belastingdienst. Visueel zijn deze mails nauwelijks van echt te onderscheiden.
Vertrouw nooit alleen op uiterlijk. Controleer het afzenderadres én de URL van eventuele links — ook als het logo perfect klopt.
Bypass van normale procedures
Voorbeeld: "Dit is vertrouwelijk. Maak deze betaling over vóór het einde van de dag zonder de normale goedkeuring te vragen."
CEO-fraude en Business Email Compromise (BEC) vragen expliciet om normale beveiligingsprocedures over te slaan. 'Zeg het niet aan je collega's', 'dit is spoedeisend en vertrouwelijk' — dit zijn directe alarmsignalen.
Hoe hoger de druk om procedures te omzeilen, hoe meer u net wél die procedures moet volgen. Bel de vermeende afzender op een gekend nummer om te verifiëren.
Wat doen bij een verdachte mail? Concreet actieplan
Kennis van de signalen is stap één. Maar wat doet u als u een verdachte mail ontvangt? Dit eenvoudige stappenplan geeft uw medewerkers houvast — ook in stressvolle situaties.
Niet klikken, niet openen
Klik op geen enkele link en open geen bijlagen. Scroll gerust door de mail om te analyseren, maar interageer niet.
Meld aan IT of uw helpdesk
Stuur de mail door naar uw IT-verantwoordelijke of gebruik de rapporteringsknop in Outlook. Hoe sneller, hoe beter — ook andere collega's kunnen de mail hebben ontvangen.
Rapporteer als phishing
In Microsoft 365: drie puntjes > Rapporteren als phishing. Dit helpt het systeem toekomstige gelijkaardige mails te blokkeren voor de hele organisatie.
Verwijder de mail
Na rapportering kunt u de mail verwijderen. Laat hem niet in uw inbox staan waar u per ongeluk op kan klikken.
Klikte u toch? Meld het direct
Geen schaamte. Meld het onmiddellijk aan IT — hoe sneller er ingegrepen wordt, hoe minder schade. Verander uw wachtwoord en schakel MFA in als dat nog niet het geval is.
Gouden regel
Twijfelt u? Klik dan niet. Neem de telefoon en bel de vermeende afzender op via een nummer dat u zelf opzoekt (website, telefoonboek). 30 seconden bellen vermijdt mogelijk dagenlange schade.
Phishing-simulaties: waarom ze onmisbaar zijn
Bewustzijn creëren via een artikel of training is een goed begin. Maar echte gedragsverandering bereikt u door simulaties: nep-phishing-mails die u zelf verstuurt naar uw eigen medewerkers.
Medewerkers die 'gevangen' worden door een simulatie, krijgen onmiddellijk een korte uitleg waarom de mail verdacht was. Geen straf — maar een leermoment op het meest effectieve moment: net nadat ze de fout maakten.
Meting van kwetsbaarheid
U ziet exact welk percentage van uw team op een phishing-link klikt — per afdeling, per leeftijdsgroep. Dat geeft u prioriteiten voor gerichte training.
Bewezen resultaten
Bedrijven die regelmatige simulaties uitvoeren, zien de klikratio op phishing dalen van gemiddeld 30% naar minder dan 5% binnen 12 maanden.
Realistische scenario's
Goede simulaties bootsen actuele campagnes na: Microsoft-notiicaties, bpost-leveringen, CEO-fraude. Uw team traint op wat ze echt kunnen verwachten.
Gecombineerd met training
Simulaties werken het best in combinatie met een korte jaarlijkse awareness-training. Acom biedt beide als pakket aan voor Belgische KMO's.
Veelgestelde vragen over phishing
Wilt u een phishing-awareness programma voor uw team?
Acom biedt realistische phishing-simulaties én security awareness-trainingen op maat van Belgische KMO's. Van nul tot een weerbaar team in 3 maanden.
Geen verplichtingen. Reactie binnen 1 werkdag. Gevestigd in Wilrijk, actief in heel Antwerpen.