Phishing in 2022: alles dat je moet weten over phishing

| Leestijd: 9 minuten

Phishing

Phishing is één van de gevaarlijkste vormen van cybercriminaliteit omdat het veel voorkomt, lastig te herkennen is en de financiële schade flink kan oplopen. Hier leggen we je uit wat phishing is en hoe het werkt.

Maandelijks trappen er honderden bedrijven in een phishingmail met alle gevolgen van dien. Vaak had dit voorkomen kunnen worden door een security awareness training, een extern hulpmiddel of periodieke phishingsimulatie. Wij zijn er dan ook van overtuigd dat iedereen die goed getraind is instaat is om een phishingmail te herkennen.

Maar hoe herken je nu een phishingmail? Of zorg je ervoor dat je organisatie niet in een phishingmail trapt? Geen zorgen, wij vertellen je de kneepjes van het vak.

Deze afbeelding laat een persoon zien die aan phishing doet. De afbeelding is in illustratie vorm en geeft verschillende vormen van phishing weer.

Wat is phishing precies?

Bij phishing probeert een aanvaller iemand te verleiden om belangrijke informatie door te geven, bijvoorbeeld inloggegevens of creditcardgegevens. Om slachtoffers te laten geloven dat ze te maken hebben met een echt bedrijf, worden er vaak websites en e-mails van bekende bedrijven nagemaakt. Een phishing-aanval wordt vaak uitgevoerd per e-mail waarbij het slachtoffer naar een nepwebsite wordt geleid. Maar phishing kan ook plaatsvinden via WhatsApp, sociaalmedia of sms.

Vaak gaat het dan om een bericht waarbij de oplichter zich voordoet als een vriend, familielid of andere bekende. In dat bericht schrijft de ‘bekende’ dat hij of zij dringend financiële hulp nodig heeft en vraagt je om snel geld over te maken. Achteraf blijkt vaak dat het account van deze vriend is gehackt of dat de oplichter een vals account of een nieuw telefoonnummer gebruikte. De echte bekende in kwestie is zich van geen kwaad bewust. Ondertussen heeft de oplichter wel geld ontvangen van het slachtoffer.

Phishing voorbeelden

Een veel voorkomende vorm van phishing is het versturen van e-mails die lijken te zijn verstuurd door een pakketbezorgdienst, zoals PostNL, DHL of DPD. We ontvangen allemaal wel eens een e-mail van zo’n pakketbezorger met een trackinglink om te controleren wanneer je internetbestelling wordt bezorgd. Criminelen maken hier gebruik van door deze e-mails na te maken met een kwaadaardige link erin. Wie op de link klikt, wordt gevraagd in te loggen om bepaalde informatie te kunnen zien of om bepaalde verzendkosten te betalen. Als je hebt inlogt, ben je een prooi voor de cybercrimineel.

Een phishing mail die gebruikt wordt door cybercriminelen om zo mensen op te lichten. Deze phishingmail is afkomstig van PostNL en draagt een verkeerde URL met zich mee. Personen die in deze mail trappen wordt gevraagd om geld over te maken voor de verzendkosten. Dit is natuurlijk nep want het is een phsihingmail.
Een phishingmail afkomstig van Postnl

Een andere bekende manier van oplichting zijn e-mails die zogenaamd namens het Centraal Justitieel Incassobureau (CJIB) zijn verstuurd. Deze organisatie is vooral bekend om het versturen van verkeersboetes. Oplichters laten je in de e-mail geloven dat je nog een boete open hebt staan. Via de link in de e-mail kun je die direct betalen. Zo lijkt het althans. Wie op de link klikt en inlogt, komt niet echt in de online omgeving van zijn bank maar verstuurt zijn inloggegevens voor zijn bankrekening direct naar de oplichters. Zij kunnen vervolgens eenvoudig je rekening leeghalen.

Deze phishingmail is natuurlijk niet afkomstig van het CJIB maar doet zich wel zo voor. In de mail staat dat je je flitsfoto moet bekijken maar dit is nep. Wanneer je je bekeuring gaat bekijken log je in en heeft de cybercrimineel jouw inloggegevens gestolen.
Een phishingmail afkomstig van het CJIB.

Een ander voorbeeld van phishing is deze mail van Parkmobile. Dit mailtje was afkomstig van Parkmobile of beter gezegd info@parkeren.nl. Kan jij de phishingmail van Parkmobile onderscheiden van de echte? Waaraan is deze phishingmail nu te herkennen:

  • Het verzendadres: info@parkeren.nl, het échte adres van Parkmobile is noreply@parkmobile.nl.
  • Je klantnummer staat niet op de factuur, dit doet parkmobile wel.
  • De tijd dat jij geparkeerd hebt, heb jij deze maand wel voor €18,54 geparkeerd? Of heb je überhaupt deze maand ergens geparkeerd.
  • Parkmobile schrijft in de meeste gevallen automatisch af en krijg je dus alleen een herinnering als dat in de deze maand niet was gebeurt.
Deze phishingmail doet zich voor als Parkmobile maar is afkomstig van info@parkeren. Dit is dus overduidelijk phishing.
Een phishingmail afkomstig van Parkmobile

Wat is een phishing simulatie?

Een phishing simulatie is een “nep” phishingmail die jij als gebruiker in je inbox krijgt als een daadwerkelijke phishingmail. Een phishing simulatie kan je als organisatie versturen naar je medewerkers om inzicht te krijgen op het security awareness niveau van je organisatie.

Een simulatie phishingmail is vaak moeilijk te onderscheiden van een échte mail. Een simpel streepje in de domeinnaam kan het verschil maken tussen een simulatie en een daadwerkelijke phishingmail. Kijk bijvoorbeeld naar deze mail afkomstig van Exact. Zie jij dat dit een phishing simulatie is?

Een afbeelding van een phishingsimulatie van Exact.
De mail is te herkennen aan het verzendadres: noreply@start-exactonline.nl

Hoe werkt een phishingsimulatie (video)?

5 dingen waar jij op met letten bij phishing

Nu je weet wat phishing is en een aantal voorbeelden hebt gezien van phishing. Is het tijd voor 5 dingen waar jij op moet letten om phishing te voorkomen. De tips die hieronder staan zijn zowel voor organisaties als particulieren interessant om toe te passen.

1. Klopt de afzender?

Vaak is het adres van de afzender een goede aanwijzing of het gaat om een echt bericht of niet. Klopt de domeinnaam waarvan wordt gemaild? Dat is het deel van het mailadres achter de apenstaart, bijvoorbeeld @ing.nl. Een phishingmail die ooit door oplichters namens ‘de ING’ was verstuurd, had als afzender support@ing-groepe.com. In de mail werd gevraagd om gegevens te controleren voordat een bepaalde betaling werd goedgekeurd. De echte ING-bank zou nooit mailen met een mailadres dat eindigt op ‘ing-groepe.com’.

2. Controleer de link in de e-mail

Dit doe je door je muis er overheen te bewegen zonder te klikken. Als het goed is verschijnt onderin beeld de link. Oplichters gebruiken hier ook wel eens een link die begint met ‘bit.ly’. Dat lijkt handig omdat het een kort internetadres is, maar in feite proberen oplichters zo te verhullen dat je wordt gestuurd naar een valse website. Bij twijfel, nooit op de link klikken! Vaak is het veiliger om zelf het internetadres van een bedrijf of organisatie in de browser in te tikken in plaats van te klikken op een link uit een mail.

3. Gebruik je gezonde verstand

Klopt het bericht wel? In phishingmails wordt vaak gevraagd om snel iets te doen. Je moet bijvoorbeeld snel een achterstallige betaling goedkeuren of inloggen om te voorkomen dat je bankpas wordt geblokkeerd. Maar is dat wel zo?

Zo zijn er vaak oplichtersmails verstuurd die zogenaamd van een bank afkomstig waren en waarin je wordt opgeroepen om een nieuwe pas aan te vragen omdat je huidige bankpas bijna verloopt. Als je zo’n mail ontvangt van een bank waar je helemaal geen rekening hebt, dan is het duidelijk een poging tot oplichting.

4. Zet tweestapsverificatie aan

Bij tweestapsverificatie is het invoeren van een gebruikersnaam en wachtwoord niet genoeg om te kunnen inloggen. Je moet daarna bijvoorbeeld nog een cijfercode invullen die je per op je mobiel ontvangt, of die je per e-mail krijgt toegestuurd. Het gebruik van tweestapsverificatie zorgt voor een extra beveiligingslaag. Stel dat je toch een keer in een phishingmail trapt, dan kunnen oplichters nog steeds niet zomaar inloggen met je gebruikersnaam en wachtwoord omdat ze de extra code niet kennen.

5. Gebruik de Holmes Security Coach

Dit is een extra functie die je in je mailprogramma (bijv. Windows Mail of Microsoft Outlook) kunt installeren. De Outlook Security Coach geeft bij elke mail in de inbox aan of het een betrouwbare mail is of niet. Twijfel je alsnog? Dan kun je met één klik op de Life line-knop je mail laten controleren door een phishingexpert van Surelock.

De Outlook Security Coach is hét persoonlijke hulpmiddel tegen phishing waar elke medewerker op zijn of haar manier gebruik van kan maken. En dat 24 uur per dag en 7 dagen per week.

Spelfouten in phishingmails

Veel mensen denken dat de spelfouten in phishingmails per ongeluk zijn, dit is echter niet zo. De cybercriminelen maken door gebruik te maken van spellingsfouten onderscheidt in de doelgroep. Iemand die de spelfout herkent gaat gelijk door naar de volgende mail en negeert de phishingmail. Terwijl iemand die minder taalkundig is de phishingmail niet kan herkennen aan de spelfouten en ingaat op de mail.

Zo hebben de cybercriminelen later in het phishing proces ook geen last meer van slimme opmerkingen. Ze maken hun phishing proces dus makkelijker door vooraf onderscheidt te maken in hun doelgroep.

Herken jij een phishingmail?

Nu je weet hoe oplichters te werk gaan. Zou jij een phishingmail herkennen? Doe de test en ontdek hoe goed jij bent in het herkennen van oplichters.

Doe de phishing test

Hoe herken je phishing-berichten?

Als je de phishingtest (Bot or Not?) hebt gedaan, heb je waarschijnlijk gezien hoe lastig het kan zijn om nepmails te herkennen. Veel phishingmails zijn nauwelijks van echte e-mails te onderscheiden. Dat is niet altijd zo geweest. Een jaar of tien geleden stonden er zoveel taalfouten in e-mails dat het duidelijk niet om een echt bericht kon gaan. Tegenwoordig zijn de e-mails in keurig Nederlands opgesteld en vaak staat zelfs de naam eronder van iemand die ook echt bij die organisatie werkt.

Wat als je op een phishingmail hebt geklikt?

Heb je op een phishingmail geklikt en je gegevens achtergelaten? Neem dan als eerste contact op met de instelling en geef aan wat er gebeurt is. Verander direct het wachtwoord van je account.

Ben je nieuwsgierig of jouw gegevens ergens zijn uitgelekt? Je kunt bij de site Have I been pwnd? 
met je e-mailadres controleren welk account in handen is van hackers.

Zijn er gegevens uitgelekt? Dan is het belangrijk om van dat betreffende account snel je wachtwoord te wijzigen en tweestapsverificatie aan te zetten.

Waar kan ik phishing melden?

Als ontvanger van de phishingmail kun je de organisaties of instellingen die gebruikt worden als afzender helpen. Dit kun je doen door de phishingmail die jij ontvangt door te sturen naar de “echte” afzender. Een phishingmail kan je altijd melden bij de fraude helpdesk.

De phishing infographic

In deze infographic laten we zien hoe phishing werkt. Dit doen we door aan te geven waar cybercriminelen naar opzoek zijn, wachtwoorden, bank gegevens, identiteit wat samen komt tot los geld. Verder gaan we ook nog in op welke componenten een goede phishingmail heeft. Phishing is de oorzaak van 91% van alle datalekken. Ook geven we je 5 tips om phishing te herkennen.
 
Delen: Phishing in 2022: alles dat je moet weten over phishing

Door

- Stefan Schepers
Marketing manager
Man 22 jaar op de foto met een glimlach en blauwe blouse. Medewerker marketing bij Surelock Stefan Schepers

Wat is een phishing simulatie?

Een phishing simulatie is een “fake” phishingmail die bij jou in je mailbox komt als echt. De phishingmails worden vaak periodiek verstuurd waardoor een bedrijf beter inzicht krijgt in het kennisniveau van haar personeel. Een phishing simulatie is vaak niet te onderscheiden van een échte mail. Zie Bijvoorbeeld het Microsoft office template hieronder. Je ziet hier dat de simulatie, precies hetzelfde is als een Office 365 mail echter klopt er iets niet in de link die je opent.

Is phishing malware?

Nee, phishing is geen malware. Wel kun je malware ontvangen via een phishingmail. Dit malware phishing is een vorm van phishing waarbij de cybercriminelen een downloadlink mee sturen met malware.

Wat is phishing?


Bij phishing probeert een aanvaller iemand te verleiden om belangrijke informatie door te geven, bijvoorbeeld inloggegevens of creditcardgegevens. Om slachtoffers te laten geloven dat ze te maken hebben met een echt bedrijf, worden er vaak websites en e-mails van bekende bedrijven nagemaakt. Een phishing-aanval wordt vaak uitgevoerd per e-mail waarbij het slachtoffer naar een nepwebsite wordt geleid. Maar phishing kan ook plaatsvinden via WhatsApp, sociaalmedia of sms.



Vaak gaat het dan om een bericht waarbij de oplichter zich voordoet als een vriend, familielid of andere bekende. In dat bericht schrijft de ‘bekende’ dat hij of zij dringend financiële hulp nodig heeft en vraagt je om snel geld over te maken. Achteraf blijkt vaak dat het account van deze vriend is gehackt of dat de oplichter een vals account of een nieuw telefoonnummer gebruikte. De echte bekende in kwestie is zich van geen kwaad bewust. Ondertussen heeft de oplichter wel geld ontvangen van het slachtoffer.


Hoe phishing verwijderen?

Phishing verwijderen doe je door de mail permanent te verwijderen. Dit doe je door de mail naar je prullenbak in je mailbox te verplaatsen en vervolgens je prullenbak te legen. Let er wel op dat je niet per ongelijk mails verwijdert die je niet wilt verwijderen. Sommige emailproviders laten je mails ook direct permanent verwijderen zo heb je de prullenbak niet nodig.

Neem contact op

Wij helpen je graag verder.
E-mails beantwoorden wij binnen 1 werkdag.

Bel ons:

0348 - 796 146

Telefonisch bereikbaar op

Maandag
Dinsdag
Woensdag
Donderdag
Vrijdag
Zaterdag
Zondag

08:00 – 18:00
08:00 – 18:00
08:00 – 18:00
08:00 – 18:00
08:00 – 18:00
Gesloten
Gesloten