Phishing: de val herkennen en reageren zonder paniek

Op een maandagochtend krijg je een e-mail van je leveringsdienst. Het pakje kan niet worden afgeleverd, er ontbreekt 1,95 euro en het bericht stelt voor om ‘nu te regulariseren’. Je verwacht echt een pakje. Het logo klopt, de zin is goed geschreven en het bedrag is klein genoeg om je niet ongerust te maken.

Dat is precies wat phishing doeltreffend maakt. Het probeert niet altijd een buitengewoon verhaal te vertellen. Het zoekt het juiste moment waarop een banaal bericht samenvalt met je leven.

Een poging herkennen draait dus niet langer om het opsporen van spelfouten. Je moet kijken naar de situatie, de gevraagde handeling en de manier om ze te controleren.

Het decor verandert, het doel blijft hetzelfde

Een phishingbericht wil meestal een van deze dingen verkrijgen:

• je wachtwoord of een aanmeldcode;
• je bankgegevens of een itsme-bevestiging;
• het openen van een bestand of het installeren van software;
• een betaling;
• persoonlijke informatie die bruikbaar is voor latere fraude.

Het pakje, de boete, de belastingteruggave, de geschorste account en de factuur zijn alleen voorwendsels. Dat leesrooster is nuttig omdat het ook werkt bij een scenario dat je nog nooit hebt gezien.

Vraag jezelf bij het lezen van een bericht af: ‘Als ik de instructies precies volg, wat krijgt de afzender dan?’

Eerste signaal: je bedenktijd wordt ingekort

‘Laatste herinnering’, ‘account vanavond geblokkeerd’, ‘betaling onmiddellijk te bevestigen’. Kunstmatige urgentie bewijst op zich geen fraude, maar ze moet je gedrag veranderen: hoe meer een bericht aandringt, hoe meer je moet vertragen.

Fraudeurs voegen soms een tweede drukmiddel toe: geheimhouding. Een valse directeur vraagt met niemand over een gevoelige verrichting te praten. Een valse bankadviseur beweert dat het onderzoek mislukt als je het kantoor contacteert. Die vraag om isolement is een bijzonder sterk signaal.

Een legitieme organisatie aanvaardt dat je het bericht sluit en via haar officiële kanaal terugkomt.

De weergegeven naam is niet het adres

Je mailprogramma kan ‘Bank’, ‘Directie’ of de voornaam van een naaste tonen, terwijl het echte adres totaal verschilt. Open op een computer de details van de afzender. Tik op een smartphone op de naam om het volledige adres te zien.

Kijk naar het deel na de `@`. De meest misleidende varianten voegen een woord toe, vervangen een letter of gebruiken een andere extensie. Een adres als `service@bank-verificatie.example` kan geloofwaardig lijken omdat het de verwachte naam bevat; het echte domein blijft wat vlak vóór de extensie staat.

Let wel: een correct adres garandeert geen correct bericht. Een mailbox kan gecompromitteerd zijn. Daarom moet je ook het verzoek zelf bekijken.

Een link kan het ene zeggen en het andere openen

De zichtbare tekst van een knop bewijst niets. Plaats op een computer de muisaanwijzer erop zonder te klikken. Op een smartphone toont lang drukken vaak de bestemming.

Heel lange adressen, linkverkorters en doorverwijspagina's maken het lezen moeilijk. Probeer niet van elke URL een expert te worden. Als het bericht over een bestaande account gaat, is de veiligste methode eenvoudiger: volg de link niet. Open de gebruikelijke app of typ zelf het gekende adres in.

Als de waarschuwing echt is, verschijnt ze doorgaans in je eigen omgeving.

Een ongewoon verzoek zegt meer dan een fout

Stel enkele concrete vragen:

• is het normaal dat deze organisatie me per e-mail om een code vraagt?
• heb ik deze leverancier al eens op dit rekeningnummer betaald?
• waarom heeft iemand die me belt nodig dat ik een verrichting bevestig?
• waarom moet ik een tool voor toegang op afstand installeren?
• waarom verandert deze collega plots van kanaal en toon?

Een bank vraagt niet naar je persoonlijke codes. Een ernstige IT-dienst vraagt niet naar je wachtwoord. Een overheidsinstantie verplicht je niet om geld over te schrijven naar een ‘beschermingsrekening’.

Moderne phishing loopt over meerdere kanalen

De e-mail kan slechts het begin zijn. Na een klik belt iemand die beweert je te helpen. Een valse helpdesk zet het gesprek voort op WhatsApp. Een QR-code leidt naar een mobiele pagina waar het adres minder zichtbaar is.

Elk nieuw kanaal lijkt het vorige te bevestigen, terwijl ze allemaal door hetzelfde team worden beheerd. Daarom is ‘het nummer in het bericht bellen’ geen onafhankelijke controle.

Gebruik voor een controle een nummer dat je al hebt opgeslagen, het nummer op je bankkaart, een oude factuur of de officiële website die je apart hebt gevonden.

En als het bericht echt van een collega komt?

Met een gecompromitteerde professionele mailbox kan de fraudeur gesprekken lezen en op het juiste moment tussenkomen. Hij kan een handtekening overnemen, een echte factuur citeren en in de bestaande draad antwoorden.

Financiële verzoeken moeten dus een procedure volgen die los staat van e-mail. Een wijziging van bankgegevens wordt telefonisch bevestigd bij een gekend contact. Een ongebruikelijke betaling krijgt een tweede goedkeuring. De regel beschermt evengoed tegen hacking als tegen een interne vergissing.

Eenmalige codes maken een valse site niet veilig

Sommige phishingpagina's sturen je gebruikersnaam en wachtwoord in realtime door naar de echte dienst. Daarna vragen ze de code die je hebt ontvangen en gebruiken die meteen. Authenticatie via app of sms blijft nuttig, maar houdt niet alle aanvallen tegen.

Passkeys en fysieke beveiligingssleutels bieden meer weerstand: ze controleren het domein van de website. Op een nagemaakte site weigeren ze normaal om te authenticeren.

Activeer ze in de eerste plaats voor je mailbox, je wachtwoordbeheerder en je beheerdersaccounts.

Je hebt geklikt: wat nu?

Een klik heeft niet altijd dezelfde gevolgen. Raak niet in paniek; ga na wat er is gebeurd.

### Je hebt alleen de pagina geopend

Sluit ze. Download niets en vul geen enkel veld in. Stuur het bericht door naar `suspect@safeonweb.be`. Als de browser of het toestel zich vreemd gedraagt, laat het dan controleren.

### Je hebt een wachtwoord ingevoerd

Wijzig vanaf een veilig toestel het wachtwoord van de betrokken account. Als het hergebruikt was, wijzig het dan overal. Trek actieve sessies in, controleer het herstelmailadres en bekijk de doorstuurregels van je mailbox.

### Je hebt een code doorgegeven of itsme bevestigd

Neem onmiddellijk contact op met de betrokken organisatie via een officieel nummer. Gaat het om een bankverrichting, bel dan meteen je bank. Wijzig niet alleen een wachtwoord: de verrichting kan al zijn toegestaan.

### Je hebt een bestand geopend of een programma geïnstalleerd

Koppel het toestel los van het netwerk zonder bewijs te wissen. Neem contact op met je helpdesk of een professional. Meld het incident in een organisatie meteen; tijd die verloren gaat om een fout te verbergen, helpt alleen de aanvaller.

Een cultuur waarin melden geen schuldbekentenis is

Bewustmakingscampagnes herhalen vaak ‘klik niet’. Dat volstaat niet. Berichten zijn ontworpen om de klik uit te lokken, en iemand die haast heeft, zal zich ooit vergissen.

Een weerbare organisatie geeft duidelijk aan:

• waarheen je een twijfelachtig bericht doorstuurt;
• wie je belt na een verkeerde handeling;
• dat een snelle melding niet wordt bestraft;
• welke verrichtingen een tweede goedkeuring vereisen.

De eerste collega die een campagne meldt, kan het hele team beschermen. Zwijgen maakt van een individuele fout daarentegen een collectief incident.

Officiële bronnen

• Safeonweb — tips over phishing
• CCB — de cyberrealiteit in België in 2025 (FR)
• Verdachte berichten melden: `suspect@safeonweb.be`