Phishing herkennen als ondernemer: dit moet je weten

Cybercriminelen richten zich steeds vaker op bedrijven. Niet met ingewikkelde technische aanvallen, maar met eenvoudige trucs via e-mail. Phishing is de meest gebruikte methode en vrijwel elke geslaagde aanval begint met één klik van een medewerker.

Waarom bedrijven een geliefd doelwit zijn

Bedrijven hebben toegang tot bankrekeningen, klantgegevens en leverancierscontacten. Dat maakt ze aantrekkelijk voor criminelen. Kleinere organisaties worden vaker geraakt omdat ze minder beveiligingslagen hebben dan grote corporates, maar ook grote bedrijven worden dagelijks aangevallen. De aanpak verschilt per doelwit, maar het principe is hetzelfde.

Wat is een phishing campagne?

Bij phishing doen criminelen zich voor als een betrouwbare partij, zoals een bank, de Belastingdienst of een leverancier. Ze sturen een e-mail met een link of bijlage die er legitiem uitziet, maar die naar een nepsite leidt of malware installeert op het apparaat van de ontvanger.

Geavanceerde aanvallen werken met campagnes: gecoördineerde golven van berichten gericht op specifieke sectoren of typen bedrijven. Hoe zo’n aanval precies in elkaar zit en welke vormen er bestaan, lees je hier: Wat is een phishing campagne.

Signalen die je moet herkennen

• Een e-mailadres dat net niet klopt, bijvoorbeeld info@ing-service.com in plaats van een officieel ing.nl-adres.
• Urgentie in de berichttoon: “Uw account wordt binnen 24 uur geblokkeerd.”
• Een linkadres dat niet overeenkomt met de afzender. Zweef met je muis over de link om het echte adres te zien.
• Onverwachte bijlagen, ook van bekende afzenders. Een gehackt e-mailaccount kan berichten sturen naar het volledige contactenboek.
• Taalfouten in de tekst. Let op: door het gebruik van AI is de taal in phishingmails steeds vaker foutloos.

Wat kost een phishing-aanval?

De directe schade van een geslaagde phishing-aanval kan oplopen tot tienduizenden euro’s. Denk aan frauduleuze betalingen, herstelkosten en verlies van klantdata. Onder de AVG ben je als organisatie verplicht datalekken te melden en kun je aansprakelijk worden gesteld bij nalatigheid.

Naast de financiele schade is er reputatieschade. Klanten en partners die horen dat hun gegevens zijn gelekt, verliezen vertrouwen. Voor bedrijven in sectoren waar vertrouwen centraal staat, zoals financiele dienstverlening of de zorg, kan dat langdurige gevolgen hebben.

Wat kun je doen?

• Zet tweefactorauthenticatie in voor e-mail, bankomgevingen en bedrijfssystemen.
• Train medewerkers regelmatig om verdachte berichten te herkennen en te melden.
• Stel een intern protocol in: wat doet iemand als hij of zij een verdachte mail ontvangt?
• Gebruik een spamfilter en e-mailbeveiligingsoplossing die phishingpogingen automatisch detecteert.

De meeste bedrijven denken pas aan phishing nadat het misgegaan is. Zorg dat jouw organisatie dat moment voor is. Wie begrijpt hoe aanvallers te werk gaan, prikt er sneller doorheen. Wil je weten hoe goed je medewerkers dat in de praktijk doen, dan bieden phishing simulaties een concrete manier om dat te testen en verbeteren.