Phishing herkennen, voorkomen en melden: waar je na de vakantie op moet letten

Terug van vakantie en een inbox met honderden berichten. Je scrolt, klikt en werkt weg, en juist dan glipt er iets doorheen. Tussen de gemiste updates, automatische meldingen en dringende verzoeken zit soms dat ene bericht dat betrouwbaar lijkt, maar dat niet is. Cybercriminelen weten precies wanneer mensen minder scherp zijn en spelen daar op in.

In dit artikel lees je wat phishing is, welke soorten phishing er bestaan, hoe je de signalen herkent, hoe je je organisatie beschermt en waar je een phishing-poging meldt.

Wat is phishing?

Phishing is een vorm van internetfraude waarbij criminelen zich voordoen als een betrouwbare afzender om je persoonlijke informatie te ontfutselen. Denk aan je bank, een overheidsinstantie, een leverancier, een collega of een abonnementsdienst waar je toch al klant bent. Het doel: inloggegevens, betaalgegevens of andere persoonlijke gegevens, die vervolgens worden gebruikt voor identiteitsdiefstal, fraude of een inbraak op het bedrijfsnetwerk.

Phishing emails zijn de bekendste vorm, maar het gebeurt net zo goed via telefoon (vishing), sms en chat. Bij gerichte phishingaanvallen wordt het persoonlijk: spearphishing richt zich op één specifieke medewerker, whaling op de directie of het bestuur. En bij consent phishing hoeft de aanvaller je wachtwoord niet eens te weten. Je geeft een malafide app zelf toestemming tot je mailbox en bestanden.

Volgens het Verizon Data Breach Investigations Report 2026 speelt bij 62% van de datalekken een menselijke handeling een rol. Dat zegt weinig over de oplettendheid van medewerkers en veel over de kwaliteit van de berichten: die zijn de afgelopen jaren sterk verbeterd.

Soorten phishing en gebruikte methoden

De phishingvormen zijn de laatste jaren flink uitgebreid:

• Phishing via e-mail. Valse e-mails met een link naar valse websites die er tot op de pixel hetzelfde uitzien als het origineel.
• Smishing (sms-phishing). Een kort bericht over een pakket, een boete of een geblokkeerde pas, met een link.
• Vishing (voice phishing). Een telefoontje van de "bankmedewerker" of "helpdesk". Met voice cloning klinkt zo'n stem inmiddels overtuigend als die van een bekende collega.
• Quishing. Een QR-code op een factuur, parkeerautomaat of poster die naar een valse website leidt. Mailfilters zien een plaatje, geen link.
• Phishing via sociale media. Nepprofielen, valse winacties en gehackte accounts van bekenden.
• Malware als vervolgstap. Eén klik op een bijlage kan spyware installeren die meekijkt, of ransomware die je bestanden versleutelt.

Vaak is de phishingmail slechts stap één. De echte schade ontstaat daarna: een gekaapte mailbox, een gewijzigd rekeningnummer op een factuur of een netwerk dat plat ligt.

Herkennen van phishing

Er is zelden één signaal dat het verraadt. Het gaat om de optelsom. Let op deze waarschuwingssignalen:

1. Tijdsdruk. "Binnen 24 uur reageren, anders wordt je account geblokkeerd."
2. Een onverwacht verzoek. Een betaling, een wachtwoordwijziging of een gewijzigd bankrekeningnummer waar niemand om vroeg.
3. Een afwijkend afzenderadres of domein. Hover over de link voordat je klikt.
4. Vragen om persoonlijke gegevens. Een bank of overheidsinstantie vraagt nooit per mail om je inloggegevens of pincode.
5. Toon die net niet klopt. Een directeur die normaal nooit mailt, mailt ineens "even snel" over een betaling. Een klassieke vorm van whaling.
6. Te mooi om waar te zijn. Ook piramidespelen en een ponzi-scheme beginnen tegenwoordig met een DM of mail met een onweerstaanbaar rendement.

Wil je testen hoe scherp je bent? De google phishing-quiz van Jigsaw laat in acht voorbeelden zien hoe lastig echte phishing-fraude te onderscheiden is. Leerzaam en confronterend tegelijk.

Bescherming en preventie tegen phishing

Techniek en gedrag moeten samen het werk doen. Wat helpt:

• E-mailauthenticatie inrichten. Met SPF, DKIM en DMARC voorkom je dat criminelen mailen uit naam van jouw domein.
• Multifactor-authenticatie en sterke wachtwoorden. Bij voorkeur phishing-resistente MFA, zodat een gestolen wachtwoord alleen niet genoeg is.
• Beveiligingsupdates automatisch uitrollen. Ongepatchte software is de makkelijkste vervolgstap na een geslaagde klik.
• Train medewerkers structureel. Eén jaarlijkse presentatie beklijft niet. Anti-phishing training met realistische simulaties, korte lessen en directe feedback wél.
• Voer een doorlopende bewustwordingscampagne. Voorlichting over de babbeltruc, veilig bankieren en online veiligheid werkt het best als het herhaald en concreet is.
• Maak melden makkelijk. Een meldknop in Outlook en een vaste interne phishingcel, oftewel een klein team dat meldingen direct oppakt, verlaagt de drempel enorm.
• Ken je rechten. Wettelijke bescherming, coulanceregelingen van banken en de inzet van consumentenverdedigers kunnen schade beperken, maar voorkomen doen ze niets.

Belangrijk: reken medewerkers niet af op een misklik. Wie bang is om fouten te melden, meldt niets, en dan verlies je de kostbaarste uren na een incident.

Wat te doen bij phishing en waar meld je het?

Ben je erin getrapt? Handel snel:

1. Verbreek de verbinding en wijzig je wachtwoord van het betreffende account, plus overal waar je hetzelfde wachtwoord gebruikte.
2. Bel direct je bank als je betaalgegevens hebt ingevuld of geld hebt overgemaakt naar een onbekende bankrekening. Banken hebben hiervoor een centrale noodnummer-route; grote banken hebben daarnaast een eigen adres voor het doorsturen van een vals bericht.
3. Meld het intern bij je IT-afdeling of IT-partner, ook als je twijfelt.
4. Doe aangifte bij de politie en meld het bij de Fraudehelpdesk. Een verdachte mail stuur je als bijlage door naar valse-email@fraudehelpdesk.nl; telefonisch is de Fraudehelpdesk bereikbaar op 088 786 73 72.
5. Gebruik de Meldknop op Veiliginternetten.nl. Deze meldknop (voorheen bekend als meldknop.nl) hoort bij de overheidscampagne rond veilig internetten en wijst je per situatie naar het juiste loket.

Let extra op WhatsApp-fraude en valse betaalverzoeken via Tikkie: een "zoon of dochter met een nieuw nummer", of een vals betaalverzoek dat je net iets te snel goedkeurt. De Nederlandsche Bank telde over 2025 ongeveer 658.000 frauduleuze betalingstransacties, 30% meer dan het jaar ervoor, goed voor circa €198 miljoen aan fraude.