Phishing is een van de meest gebruikte manieren om binnen te komen bij een organisatie. Een aanvaller stuurt een bericht dat er betrouwbaar uitziet en probeert de ontvanger te verleiden om op een link te klikken, een bijlage te openen, inloggegevens in te vullen of een betaling te doen. Spamfilters houden veel van deze berichten tegen, maar nooit allemaal. Uiteindelijk zijn alerte medewerkers de laatste verdedigingslinie. In dit artikel leest u waar phishing aan te herkennen is en hoe u bewustwording in uw organisatie blijvend op peil houdt.
In het kort
- Leer medewerkers letten op afzender, toon en de bestemming van links.
- Spreek af dat betalingsverzoeken altijd via een tweede kanaal worden gecontroleerd.
- Maak melden makkelijk en reageer positief op elke melding.
Waaraan herkent u phishing?
Phishingberichten worden steeds beter. Spelfouten en vreemde opmaak zijn allang geen betrouwbaar kenmerk meer. Let daarom op een paar vaste signalen:
- De afzender. Klopt het e-mailadres echt, of lijkt het er alleen op? Kijk naar het adres zelf, niet alleen naar de weergegeven naam.
- De toon. Wordt er druk gezet, bijvoorbeeld met een dreigende deadline, een geblokkeerd account of een onverwachte factuur?
- De vraag. Wordt er gevraagd om in te loggen, gegevens te bevestigen of snel te betalen?
- De link. Gaat de link naar een ander adres dan u verwacht? Beweeg met de muis over de link om te zien waar die naartoe gaat, zonder te klikken.
- De bijlage. Verwachtte u dit bestand? Wees extra voorzichtig met bijlagen die vragen om macro’s of inhoud in te schakelen.
Een handige vuistregel: twijfelt u, ga dan niet via het bericht zelf naar de website, maar typ het adres zelf in of gebruik de app.
Niet alleen e-mail
Phishing komt ook binnen via sms, WhatsApp, sociale media en telefoon. Bij CEO-fraude doet iemand zich voor als directeur of leidinggevende en vraagt met spoed een betaling te doen of cadeaukaarten te kopen. Bij factuurfraude wordt een echte leverancier nagebootst, met de mededeling dat het rekeningnummer is gewijzigd.
Spreek daarom af dat betalingsverzoeken en wijzigingen van rekeningnummers altijd via een tweede kanaal worden gecontroleerd. Bel bijvoorbeeld de afzender op een nummer dat u al kende, niet op het nummer in het bericht. Zo’n vaste afspraak maakt het voor medewerkers ook makkelijker om “nee” te zeggen tegen iemand die zich als hun directeur voordoet.
Maak melden makkelijk
Medewerkers moeten weten waar ze een verdacht bericht kunnen melden. Een vaste meldknop in het mailprogramma of één duidelijk e-mailadres werkt goed. Hoe makkelijker het melden, hoe vaker het gebeurt.
Minstens zo belangrijk is de reactie op een melding. Bedank de melder, ook als het bericht onschuldig bleek. Wie bang is om een fout toe te geven, meldt een klik niet, en juist dan telt elke minuut. Een medewerker die meldt dat hij op een link heeft geklikt, verdient een compliment, geen verwijt. Dan kunt u snel ingrijpen, bijvoorbeeld door het wachtwoord te wijzigen.
Train in korte rondes
Eén lange training per jaar beklijft slecht. Korte herhalingen werken beter. Denk aan:
- een paar minuten tijdens een teamoverleg over een actueel voorbeeld;
- een gesimuleerde phishingmail, met korte uitleg voor wie erin trapt;
- een intern bericht als er een nieuwe vorm van fraude rondgaat;
- aandacht voor phishing bij de introductie van nieuwe medewerkers.
Gebruik gesimuleerde phishing om te leren, niet om mensen aan de schandpaal te nagelen. Bespreek de resultaten op teamniveau en laat zien dat het melden toeneemt. Er zijn aanbieders van bewustwordingstrainingen die dit voor u kunnen verzorgen, inclusief rapportages.
Techniek als vangnet
Training en techniek versterken elkaar. Een goed ingesteld spamfilter, tweestapsverificatie en waarschuwingen bij externe afzenders verkleinen de kans dat een geslaagde phishingaanval grote gevolgen heeft. Zelfs als iemand zijn wachtwoord invult op een nepsite, houdt tweestapsverificatie de aanvaller vaak nog buiten.
Veelgestelde vragen
Wat moet een medewerker doen na een klik op een phishinglink?
Direct melden, het wachtwoord wijzigen vanaf een ander apparaat als er gegevens zijn ingevuld, en het apparaat laten controleren. Snelheid is belangrijker dan schuld: hoe eerder het bekend is, hoe kleiner de schade.
Hoe vaak moet ik een phishingsimulatie doen?
Een paar keer per jaar is voor de meeste organisaties een goed ritme. Vaker kan ook, mits de nadruk ligt op leren en niet op afrekenen.
Waar kan ik verdachte berichten nog meer melden?
Phishingmails kunt u ook doorsturen naar de Fraudehelpdesk of naar de organisatie die wordt nagebootst, zoals een bank. Raakt een aanval uw bedrijf echt, neem dan contact op met uw IT-partner en overweeg aangifte bij de politie.