Wat is phishing en hoe herken je een phishingmail?

Phishing is een vorm van cybercriminaliteit waarbij aanvallers zich voordoen als een betrouwbare partij, zoals een bank, overheidsinstantie of collega, om jou te verleiden gevoelige informatie te delen of op een kwaadaardige link te klikken. Het is veruit de meest gebruikte methode om toegang te krijgen tot bedrijfssystemen en persoonlijke gegevens. In dit artikel beantwoorden we de meest gestelde vragen over phishing: hoe je het herkent, wat de varianten zijn en wat je doet als het toch misgaat.

Hoe werkt een phishingaanval precies?

Een phishingaanval werkt door vertrouwen te wekken. De aanvaller stuurt een bericht dat er legitiem uitziet, van een bekende afzender, met een geloofwaardige reden, en vraagt de ontvanger om een actie te ondernemen: inloggen, een bijlage openen of gegevens bevestigen. Wie dat doet, geeft de aanvaller toegang tot accounts, systemen of geld.

Het proces verloopt doorgaans in drie stappen. Eerst kiest de aanvaller een doelwit en verzamelt informatie: een bedrijfsnaam, de naam van een leidinggevende, of een lopend project. Vervolgens maakt hij een overtuigend bericht dat inspeelt op urgentie, angst of autoriteit. Denk aan een “melding” dat je account geblokkeerd wordt, of een “factuur” die vandaag nog betaald moet worden. Tot slot wacht de aanvaller totdat het slachtoffer klikt, inlogt of betaalt.

Wat phishing zo gevaarlijk maakt, is dat de technische drempel laag is. Je hoeft geen geavanceerde hacker te zijn om een overtuigende phishingmail te sturen. Tegelijkertijd zijn de gevolgen voor bedrijven groot: één klik van één medewerker kan leiden tot een datalek, ransomware-infectie of financiële fraude.

Wat zijn de meest voorkomende kenmerken van een phishingmail?

Een phishingmail herken je aan een combinatie van signalen. De meest voorkomende kenmerken zijn een onbekend of verdacht afzenderadres, een gevoel van urgentie, spelfouten of vreemd taalgebruik, en links die niet overeenkomen met de organisatie die ze zeggen te vertegenwoordigen. Geen enkel kenmerk is op zichzelf doorslaggevend, het gaat altijd om het geheel.

Concrete phishingkenmerken om op te letten:

• Verdacht afzenderadres: de naam klopt, maar het domein is net iets anders, zoals @bol-klantenservice.com in plaats van @bol.com
• Urgentie of dreiging: “Uw account wordt binnen 24 uur geblokkeerd” of “Betaal direct om een boete te voorkomen”
• Algemene aanhef: “Geachte klant” in plaats van jouw naam
• Spelfouten en vreemd taalgebruik: automatisch vertaalde teksten bevatten vaak subtiele fouten
• Onverwachte bijlagen: facturen, pakketbevestigingen of documenten die je niet verwacht
• Links die niet kloppen: de zichtbare tekst zegt één URL, maar de echte link gaat ergens anders naartoe
• Verzoek om inloggegevens of betalingen: legitieme organisaties vragen hier nooit om via e-mail

Phishingvoorbeelden die in 2026 veel voorkomen: nepfacturen van “leveranciers”, valse Microsoft 365-inlogpagina’s, en berichten die zogenaamd van de Belastingdienst of een bank komen. Hoe professioneler het bericht eruitziet, hoe moeilijker het te herkennen is.

Wat is het verschil tussen phishing, spear phishing en smishing?

Phishing is de overkoepelende term voor oplichting via digitale communicatie waarbij aanvallers zich voordoen als betrouwbare partijen. Spear phishing is een gerichte variant waarbij de aanvaller specifieke informatie over het doelwit gebruikt om geloofwaardiger over te komen. Smishing is phishing via sms of andere berichtendiensten in plaats van e-mail.

Phishing versus spear phishing

Reguliere phishing is massaal: dezelfde mail gaat naar duizenden mensen tegelijk. De aanvaller gooit een groot net uit en hoopt dat een klein percentage bijt. Spear phishing is het tegenovergestelde: één specifiek doelwit, zorgvuldig onderzocht. De aanvaller weet jouw naam, functie, de naam van je leidinggevende en misschien zelfs een lopend project. Het bericht voelt persoonlijk en geloofwaardig aan. Directeuren en financieel medewerkers zijn populaire doelwitten, omdat zij toegang hebben tot geld of gevoelige systemen.

Smishing en andere varianten

Smishing gebruikt sms-berichten in plaats van e-mail. Denk aan een “pakketmelding” van een bezorgdienst met een link om je adres te bevestigen. Omdat mensen sms-berichten als persoonlijker en betrouwbaarder ervaren dan e-mail, is de slagingskans hoog. Vishing (voice phishing) werkt via telefoongesprekken, waarbij iemand zich voordoet als bankmedewerker of IT-support. Al deze varianten delen hetzelfde principe: vertrouwen wekken om toegang te krijgen.

Hoe controleer je of een link in een e-mail veilig is?

Beweeg je muis over de link zonder te klikken, het werkelijke webadres verschijnt dan onderaan je scherm of in een tooltip. Controleer of dat adres overeenkomt met de organisatie die de mail zegt te zijn. Let op kleine afwijkingen in de domeinnaam, zoals een extra letter, een koppelteken of een andere domeinextensie (.net in plaats van .nl).

Aanvullende manieren om een link te controleren:

1. Hover eerst: kijk naar de volledige URL voordat je klikt. Vertrouw nooit alleen de zichtbare linktekst.
2. Let op het domein: het echte domein staat direct voor de eerste slash na “https://”. Alles daarvoor kan misleidend zijn, “bol.com.kwaadaardige-site.nl” is geen bol.com-link.
3. Controleer het HTTPS-slot niet als enige bewijs: ook phishingpagina’s gebruiken tegenwoordig HTTPS. Een slotje betekent dat de verbinding versleuteld is, niet dat de site betrouwbaar is.
4. Ga rechtstreeks naar de website: als je twijfelt, typ het adres dan handmatig in je browser in plaats van op de link te klikken.
5. Gebruik een linkchecker: online tools kunnen een URL analyseren op bekende phishing-indicatoren.

Bij twijfel geldt altijd: niet klikken. Neem contact op met de vermeende afzender via een officieel kanaal, niet via de contactgegevens in de verdachte mail zelf.

Wat moet je doen als je toch op een phishinglink hebt geklikt?

Als je op een phishinglink hebt geklikt, handel dan direct. Koppel het apparaat los van het netwerk, verander je wachtwoorden via een veilig apparaat, en meld het incident bij je IT-afdeling of IT-partner. Hoe sneller je handelt, hoe kleiner de schade.

Volg deze stappen zo snel mogelijk:

1. Koppel het apparaat los: schakel wifi uit of trek de netwerkkabel eruit. Dit voorkomt dat malware zich verspreidt naar andere systemen.
2. Verander je wachtwoorden: doe dit via een ander, veilig apparaat. Begin met het account waarvoor je de phishinglink volgde, daarna alle accounts met hetzelfde wachtwoord.
3. Activeer meervoudige authenticatie (MFA): als dat nog niet actief was, stel het nu in op alle kritieke accounts.
4. Meld het intern: informeer je IT-afdeling of IT-partner direct. Zij kunnen de schade beoordelen en verdere verspreiding voorkomen.
5. Controleer op verdachte activiteit: bekijk je accountgeschiedenis op onbekende inlogpogingen of transacties.
6. Doe aangifte bij ernstige gevallen: als er geld is overgemaakt of klantgegevens zijn gelekt, overweeg dan aangifte bij de politie en meld het bij de Autoriteit Persoonsgegevens.

Schaam je niet als het je overkomt. Phishingaanvallen worden steeds geraffineerder en treffen ook ervaren medewerkers. Snel handelen is wat het verschil maakt.

Hoe bescherm je jezelf en je organisatie tegen phishing?

Effectieve bescherming tegen phishing combineert technische maatregelen met bewustwording bij medewerkers. Geen enkele technische oplossing is waterdicht als medewerkers niet weten hoe ze phishing herkennen, en omgekeerd schiet bewustwording tekort zonder de juiste beveiligingslagen in je systemen.

Technische maatregelen

Zorg dat je e-mailomgeving is ingesteld met SPF, DKIM en DMARC, dit zijn protocollen die voorkomen dat aanvallers jouw domeinnaam misbruiken voor phishingmails. Gebruik meervoudige authenticatie (MFA) op alle accounts, zodat een gestolen wachtwoord alleen niet genoeg is om in te loggen. Houd software en besturingssystemen up-to-date, want verouderde systemen zijn kwetsbare toegangspoorten. Een goede security baseline dekt deze basismaatregelen af en vormt de fundering van je digitale weerbaarheid.

Bewustwording en beleid

Train medewerkers regelmatig in het herkennen van phishing. Eenmalige voorlichting is niet genoeg, phishingtactieken veranderen voortdurend. Simuleer phishingaanvallen om te testen hoe medewerkers reageren en gebruik de resultaten als leermiddel, niet als strafmaatregel. Stel duidelijke procedures op voor het melden van verdachte mails, zodat medewerkers weten wat ze moeten doen zonder zelf een beslissing te hoeven nemen.

Voor organisaties die meer willen weten over hun huidige beveiligingsniveau, biedt TCA een gratis securitycheck aan. Als managed IT-partner helpt TCA bedrijven niet alleen met technische beveiliging, maar ook met bewustwordingstraining en incidentresponseprocedures, zodat je organisatie weerbaar is op alle niveaus. Wil je weten waar je nu staat? Maak een afspraak voor een vrijblijvend gesprek.

Gerelateerde artikelen

• Waarom is een lokale server een risico voor je bedrijfscontinuïteit?
• Wat zijn de 5 basisprincipes van digitale weerbaarheid?
• Wat is een nulmeting voor cybersecurity en hoe werkt het?
• Hoe kies je de juiste cloudoplossing voor jouw branche?
• Kan een cloudwerkplek mijn oude server vervangen?