Hoe herken je phishing? Een praktische gids

Stap 1: controleer de afzender

De naam van de afzender in uw mailprogramma is eenvoudig nep te maken. De crimineel kan "Microsoft Support" of "Directeur Jan de Vries" weergeven terwijl het werkelijke e-mailadres afwijkt. Klik altijd op de naam om het volledige adres te zien.

Echte voorbeelden van nepadressen:

• noreply@microsoft-support.nl - Microsoft gebruikt altijd @microsoft.com
• facturatie@ing-bank.com - ING gebruikt @ing.nl, niet .com
• directeur@uwbedrijfnaam.org - uw directeur heeft een @uwbedrijfnaam.nl adres
• info@postnl-pakket.com - PostNL communiceert via @postnl.nl

Let ook op subtiele aanpassingen: een kleine "L" die op een "1" lijkt, een extra letter, of een ander topniveaudomein (.com in plaats van .nl). Zonder training zijn deze bijna onzichtbaar.

Stap 2: herken urgentietaal

Phishing e-mails creëren kunstmatige haast om u te laten handelen zonder na te denken. Urgentietaal is een van de meest gebruikte en effectiefste phishingtechnieken.

Herkenbare urgentiezinnen:

• "Uw account wordt geblokkeerd als u niet binnen 24 uur reageert"
• "Dringende actie vereist: verifieer uw gegevens nu"
• "Laatste waarschuwing: uw betaling is mislukt"
• "Uw pakket wordt teruggezonden als u niet betaalt"
• "Reageer zsm, dit is vertrouwelijk" (van een "leidinggevende")

De gouden regel: hoe urgenter een verzoek, hoe meer reden om even te pauzeren en te verifiëren via een ander kanaal. Bel het officiële nummer van de organisatie op, of loop naar uw collega toe in plaats van terug te mailen.

Stap 3: controleer de links

Klik nooit blindelings op een link in een e-mail. Ga met uw muis over de link heen (zonder te klikken) en bekijk de URL die verschijnt. De weergegeven tekst en de werkelijke URL kunnen compleet van elkaar afwijken.

Waarschuwingssignalen in links:

• URL begint niet met https:// (al is https alleen geen garantie meer)
• Domeinnaam wijkt af van wat verwacht wordt: bit.ly/xyz, of microsoft-login.ru
• Subdomein wordt misbruikt: login.uw-bank.malicieus-domein.com - kijk altijd naar het hoofddomein (het deel voor de laatste slash plus .com/.nl)
• Onverwachte tekens of cijfers in de URL: paypàl.com (met accent), arnazon.com

Op mobiel is een link controleren moeilijker. Houd de link lang ingedrukt om de volledige URL te zien voordat u tikt. Ga bij twijfel zelf naar de website via uw browser in plaats van op de link te klikken.

Stap 4: let op verdachte bijlagen

Bijlagen zijn een veelgebruikte manier om malware te installeren. Niet alleen uitvoerbare bestanden (.exe) zijn gevaarlijk - ook Word, Excel, PDF en ZIP-bestanden kunnen schadelijke code bevatten.

Verdachte bestandstypen en situaties:

• Uitvoerbare bestanden: .exe, .bat, .cmd, .vbs, .js
• Office-bestanden die macro's willen inschakelen bij openen
• ZIP-bestanden van onbekende afzenders met verleidende namen ("factuur_2026.zip")
• PDF-bestanden die vragen een handtekening in te zetten of een plugin te installeren
• Bijlagen bij e-mails die u niet verwacht, zelfs van bekende afzenders

Ontvangt u een bijlage die u niet verwacht, zelfs van een bekende afzender? Bevestig via een ander kanaal (telefoon, persoonlijk gesprek) dat de afzender de bijlage bewust heeft gestuurd. Gehackte e-mailaccounts kunnen bijlagen doorsturen zonder dat de eigenaar het weet.

Stap 5: herken smishing en vishing

Phishing is niet beperkt tot e-mail. Sms (smishing) en telefoon (vishing) worden steeds vaker ingezet, juist omdat mensen hier minder waakzaam op zijn.

Smishing herkennen:

• Onverwacht bericht van bank, Belastingdienst of PostNL met een link
• Verzoek om pincode, wachtwoord of betaling via sms
• Link die eindigt op een ander domein dan verwacht
• WhatsApp-bericht van "kind in nood" met een onbekend nummer

Vishing herkennen:

• Beller vraagt om inloggegevens, een TAN-code of toegang via TeamViewer
• Beller claimt van Microsoft, bank of overheid te zijn en belt onverwacht
• Er is tijdsdruk: "uw account wordt nu gehackt als u niet meteen handelt"
• Beller klinkt geloofwaardig maar vraagt iets ongebruikelijks

Serieuze organisaties vragen nooit uw wachtwoord, pincode of volledige betaalgegevens via telefoon of sms. Bij twijfel: hang op en bel zelf het officiële nummer terug.

De STOP-DENK-MEL regel

Medewerkers hoeven geen IT-expert te zijn om phishing te herkennen. Leer ze één simpele vuistregel die in elke twijfelgeval geldt:

1. STOP - Klik niet. Laat de urgentie bezinken.
2. DENK - Klopt de afzender? Is de link betrouwbaar? Verwachtte ik dit bericht?
3. MEL - Stuur het door naar IT of de aangewezen contactpersoon. Zelfs bij twijfel.

Melden is altijd de juiste keuze. Een onterechte melding kost 30 seconden van het IT-team. Een gemiste phishingmail kan de organisatie maanden van herstelwerk kosten.