Hoe herken je een phishingmail die écht overtuigend is

De tijd van slecht gespelde e-mails van Nigeriaanse prinsen is voorbij. Moderne phishingaanvallen zijn overtuigend, persoonlijk en moeilijk te onderscheiden van echte berichten. Zelfs mensen die weten dat phishing bestaat, trappen er regelmatig in.

Dat is geen zwakte. Het is het resultaat van aanvallers die er hun werk van hebben gemaakt.

Waarom moderne phishing zo effectief is

Aanvallers doen hun huiswerk. Ze bekijken LinkedIn-profielen, websites en sociale media om te weten wie er bij een organisatie werkt, wie de leidinggevenden zijn en welke tools en systemen er gebruikt worden. Een phishingmail die eruitziet alsof hij van de directeur komt, gericht aan een specifieke medewerker, over een herkenbaar onderwerp, is veel moeilijker te herkennen dan een generiek bericht.

Daar komt bij dat aanvallers bewust momenten kiezen waarop mensen afgeleid zijn. Vrijdagmiddag, vlak voor een deadline, of juist op een rustige ochtend waarop de waakzaamheid wat lager is.

De signalen die je moet kennen

Er zijn een aantal signalen die ook bij overtuigende phishingmails vaak aanwezig zijn.

• Urgentie. Berichten die vragen om direct te handelen, een factuur die vandaag nog betaald moet worden, een wachtwoord dat onmiddellijk gewijzigd moet worden, zijn bijna altijd verdacht. Echte urgentie in zakelijke communicatie is zeldzamer dan aanvallers je willen laten geloven.
• Een afwijkend verzoek. Als iemand die normaal nooit om iets vraagt plotseling een dringend verzoek stuurt, is dat een signaal. Vertrouw op je gevoel als iets niet klopt met de normale manier van werken.
• Een link of bijlage die je niet verwacht. Klik niet op links en open geen bijlagen als je het bericht niet had verwacht, ook niet als de afzender bekend lijkt.
• Een afwijkend e-mailadres. Een mail die van peter@bedrijfnaam.com lijkt te komen maar eigenlijk van peter@bedrijfnaam.co komt, is een klassieke truc die in de haast makkelijk over het hoofd wordt gezien.

Wat je kunt doen: bezint eer ge begint

De effectiefste maatregel is twijfel normaliseren. Moedig medewerkers aan om even te bellen als iets niet klopt, ook als de afzender de directeur is. Dat klinkt omslachtig maar het voorkomt veel ellende.

Daarnaast helpt techniek. Goede e-mailbeveiliging filtert een groot deel van de phishingpogingen al voordat ze aankomen. Maar het filtert niet alles, en het is nooit een vervanging voor bewustzijn.

De kern

Phishing werkt omdat het inspeelt op vertrouwen en haast. De beste verdediging is niet wantrouwen maar bewuste aandacht. Een seconde extra nadenken voordat je klikt, is genoeg om de meeste aanvallen te stoppen.