Wat kun je doen tegen phishing?

Wat is phishing?

Phishing is een vorm van cybercriminaliteit waarbij door middel van een e-mail of ander bericht (zoals SMS, WhatsApp of Messenger) wordt geprobeerd om gevoelige informatie te achterhalen. Cybercriminelen proberen op deze manier inloggegevens, creditcardinformatie, pincodes of andere (persoonlijke) gegevens te bemachtigen. Het woord phishing komt uit het Engels en betekent zoveel als ‘hengelen’.

Phishing gebeurt dus per mail, maar ook andere soorten berichtendiensten kunnen ingezet worden. Zo worden SMS-berichten gestuurd met de mededeling dat je nog een factuur of belastingaanslag moet betalen, of dat er een pakket voor je klaarligt waar je nog kosten voor moet voldoen.

In de meeste gevallen wordt in de berichten gebruikgemaakt van malafide websites waar je als ontvanger gegevens moet invullen. Deze gegevens zijn vervolgens inzichtelijk voor de cybercriminelen die deze gebruiken om bijvoorbeeld geld op te nemen van je rekening, of in te loggen in een bedrijfsnetwerk met de opgegeven inloggegevens.

Phishing lijkt op, maar is niet hetzelfde als, andere vormen van cybercriminaliteit zoals WhatsApp-fraude waarbij de crimineel zich voordoet als een familielid of vriend met een nieuw telefoonnummer, CEO-fraude, catfishing etc. Phishing kan ook via papieren post plaatsvinden, vaak staat er dan een QR-code op de brief.

Wat gebeurt er bij phishing?

Bij phishing stuurt de cybercrimineel een bericht waarbij hij/zij het doet voorkomen alsof dit van een betrouwbare partij is. Je ziet dan als afzender in de e-mail of van een SMS bijvoorbeeld je bank staan, of een bedrijf als PostNL of DHL. Ook verschillende overheidsorganen zoals de Belastingdienst of Rijksoverheid worden gebruikt als zogenaamde afzender. Ook worden de bekende logo’s toegevoegd om betrouwbaar over te komen.

In het bericht wordt vaak gemeld dat er iets mis is. Je bent te lang niet ingelogd geweest en je account staat op het punt geblokkeerd te worden. Of er ligt een pakketje voor je klaar maar je moet nog even de verzendkosten betalen, of er staat een bericht voor je klaar in je berichtenbox van de overheid. Cybercriminelen zijn creatief en gebruiken mailings die de organisaties zelf ook zouden kunnen versturen. Voor het gemak staat er een link in het bericht waar je het probleem meteen kunt oplossen, door in te loggen met jouw gegevens.

Als je op de link klikt, lijk je op een betrouwbare website uit te komen. Het lijkt allemaal op wat je gewend bent van je bank, de overheid of welke organisatie er dan ook gebruikt is. Maar het is verre van echt en betrouwbaar, want zodra jij je gegevens invult, komen die bij de cybercrimineel uit. En die kan deze gegevens gaan gebruiken om bijvoorbeeld in te loggen in jouw bankierenomgeving, mailbox, etc. etc.

Dit zijn problemen die voorkomen bij consumenten. Maar ook voor organisaties kan phishing een probleem zijn. Zo kunnen er inloggegevens voor bedrijfsnetwerken en -applicaties worden buitgemaakt, met alle gevolgen van dien. Ook kunnen er, bijvoorbeeld bij administratieve afdelingen, bankgegevens en andere gevoelige gegevens worden binnengehengeld,

Kortom, of het nu een persoonlijk of zakelijk bericht is, het is altijd goed om alert te zijn en zeker niet zomaar op een link te klikken, ook al ziet het er betrouwbaar uit!

Hoe herken je phishing?

Voorheen was phishing vaak nog wel te herkennen aan het taalgebruik. Kromme zinnen, onlogische zinsopbouw, spelfouten: als je oplette zag je dat het een slechte vertaling was, of dat het geschreven was door iemand die geen of weinig Nederlands sprak. In een persoonlijk bericht kan dat nog, maar van geautomatiseerde berichten van bedrijven verwacht je dat dit redelijk foutloos is.

Maar ook cybercriminelen hebben de wereld van Artificial Intelligence ontdekt. Tools als ChatGPT laten ze foutloos Nederlands schrijven, en zelfs in de stijl van het bedrijf waarvoor ze zich uitgeven. Je zult dus steeds vaker keurige berichten ontvangen die niet van echt te onderscheiden zijn.

Je zult dus op andere dingen moeten letten. Er zijn twee zaken die vaak meteen weggeven of het een echt of nepbericht is:

De afzender. Kijk niet alleen naar de naam, maar ook naar het e-mailadres of telefoonnummer waarvandaan het verzonden is. Controleer of dit overeenkomt met bekende gegevens. Wees ook alert op extra leestekens of toevoegingen aan een naam. Zo komen berichten. PostNL bijvoorbeeld gebruikt een e-mailadres met postnl.nl achter de @. Krijg je iets als post-nl.nl, postn1.nl of postnl.com dan is het opletten geblazen.

De link. Open een link niet klakkeloos (en een bijlage ook niet) maar klik met de rechtermuisknop op de link. Je ziet dan waarnaartoe de link verwijst. Op een mobiele telefoon doe je dat door de link lang ingedrukt te houden. Wijkt de link af van wat je verwacht? Dan mag je ervan uit gaan dat het wellicht niet klopt.

Wat nu? Open de link niet tot je zeker weet of het allemaal in orde is. Doe dit door bijvoorbeeld via de bij jou bekende contactgegevens contact op te nemen met de afzender, of via de algemene informatie van een klantenservice die je op de officiële website vindt.

Meld verdachte berichten op je zakelijke mailadres of telefoonnummer ook altijd bij je IT-afdeling of servicedesk. Elke melding draagt weer bij aan een veiligere organisatie!