Phishing herkennen als ondernemer

Phishing is een poging om je te laten geloven dat je met iemand betrouwbaars te maken hebt, je bank, een leverancier, een collega, “de baas”, terwijl dat niet zo is. Het doel is steeds hetzelfde: toegang, geld of gegevens loskrijgen, meestal via e-mail. En de eerlijke stand van zaken is dat phishing er allang niet meer amateuristisch uitziet. Waar het vroeger vaak meteen opviel door rare zinnen en een verkeerd logo, ziet een groot deel van wat nu binnenkomt er gewoon professioneel uit, mét de juiste huisstijl, een kloppende toon en soms zelfs met jouw eigen naam erin.

Als eenmanszaak of klein bedrijf heb je meestal geen IT-afdeling die verdachte mail eruit filtert voor die bij jou in de inbox belandt. Je bent zelf het filter. Dat is precies waarom het de moeite waard is om te weten waar je op moet letten, want de oude vuistregels werken niet meer zo goed als ze deden.

Waarom is “let op spelfouten” geen goed advies meer?

Het advies om te letten op spelfouten en houterige zinnen stamt uit de tijd dat phishingmails vaak met de hand of met slechte vertaalsoftware in elkaar werden gezet. Dat klopte toen. Het klopt nu niet meer. Met AI-schrijfhulpmiddelen kan iedereen, ook iemand met kwade bedoelingen, in een paar seconden een vlekkeloze zakelijke e-mail in het Nederlands laten schrijven, in precies de toon die bij een bank of een boekhoudpakket past. De mail die je vanochtend kreeg van “je bank” kan grammaticaal foutloos zijn en er nog steeds op uit zijn om je inloggegevens te stelen.

Dat betekent niet dat een mail met rare zinnen ineens veilig is als hij foutloos is, taalfouten zijn nog altijd een reden om op te letten. Het betekent vooral dat de afwezigheid van fouten niets meer bewijst. Je hebt dus andere signalen nodig, signalen die niet verdwijnen zodra de tekst beter wordt.

Welke signalen wijzen wel op phishing?

Zonder spelfouten als leidraad let je vooral op wat de mail van je vraagt en of dat verhaal eigenlijk wel klopt.

• Haast en druk. Zinnen als “binnen 24 uur reageren” of dreigende taal over een geblokkeerd account of een gemiste betaling zijn er niet voor niets. Ze zijn bedoeld om je te laten handelen voordat je nadenkt, en dat werkt helaas goed.
• Een afzender die niet klopt. De weergegeven naam kan er prima uitzien, “ABN AMRO” bijvoorbeeld, terwijl het echte e-mailadres erachter er niets mee te maken heeft. Klik of hover op de afzendernaam om het volledige adres te zien voordat je iets gelooft van wat erin staat. Op je telefoon moet je daarvoor soms op de naam tikken in plaats van hoveren, maar het adres is altijd ergens op te vragen.
• Links die niet naar de tekst leiden. Hover over een link zonder erop te klikken en je ziet de echte bestemming onderin je browser of e-mailprogramma. Die kan compleet afwijken van wat er zichtbaar staat, ook al oogt de linktekst als een heel normale url.
• Onverwachte bijlages. Vooral een .zip, een .exe of een Office-document met macro’s dat je niet verwachtte, is reden om even te pauzeren voor je iets opent. Verwachtte je geen factuur, cv of pakbon, open hem dan ook niet omdat de mail beweert dat het er een is.

Wat is CEO-fraude en factuurfraude precies?

Dit is het patroon waar de schade meestal het grootst is, omdat het niet om een gestolen wachtwoord gaat maar direct om geld: een mail die zich voordoet als de directeur, een leverancier of de boekhouder, met het verzoek om snel, en het liefst stilletjes, een betaling te doen of bankgegevens aan te passen. Bij kleinere bedrijven is dit patroon extra effectief, simpelweg omdat vaak dezelfde persoon zowel de boekhouding als het contact met leveranciers doet, en die persoon dus zonder tussenstap kan besluiten om een rekening te betalen.

Elk verzoek om een gevoelige actie via e-mail alleen, een betaling, gewijzigde rekeninggegevens, een wachtwoord invullen op een gelinkte pagina, verdient daarom een extra controle. Een legitiem verzoek overleeft die controle prima. Een frauduleus verzoek meestal niet, want de fraudeur rekent erop dat je niet checkt.

Wat doe je als je twijfelt over een mail?

Bij twijfel over een betalings- of gegevensverzoek verifieer je altijd via een ander kanaal dan de mail zelf. Bel de afzender op een nummer dat je al kende, niet op een nummer dat toevallig in diezelfde mail staat, voordat je iets uitvoert. En antwoord ook niet gewoon op de verdachte mail om te “checken of het klopt”: als het afzenderadres vervalst is, praat je dan alsnog met de oplichter.

Klik niet op links in een verdachte mail. Ga zelf naar de site door de bekende URL in te typen of een bestaande bookmark te gebruiken. Dat kost tien seconden meer en voorkomt een hoop gedoe achteraf.

Ben je er toch ingetrapt en heeft iemand meegekeken in je mailbox of je klantenbestand? Dan is dat een datalek, en gaat er een klok lopen. Wat je dan in welke volgorde doet, staat in Een datalek in je bedrijf: wat doe je in de eerste 72 uur?.

Heb je collega’s? Meld verdachte mails intern zodat anderen gewaarschuwd zijn voordat dezelfde mail bij hen binnenkomt, en verwijder hem daarna. Eén gewaarschuwde collega die de mail ook krijgt en ’m meteen herkent, bespaart je op een slechte dag heel veel gedoe.

En zorg dat tweestapsverificatie aanstaat op je belangrijke accounts. Zelfs als iemand toch op een phishinglink klikt en een wachtwoord invult, is dat wachtwoord alleen dan meestal niet genoeg om binnen te komen. Hoe je dat instelt lees je in Tweestapsverificatie instellen voor je bedrijf.

Alertheid herkent niet elke phishingmail, ook niet bij mensen die dagelijks met dit soort mail te maken hebben. Daarom is het combineren van bewustzijn met technische maatregelen zoals 2FA en goed wachtwoordbeheer zo belangrijk: samen zorgen ze dat één moment van onoplettendheid niet meteen tot een probleem leidt. Dat is precies waar privacy en cyberbeveiliging om draait.