Phishing-mail herkennen: 7 concrete signalen

Waarom phishing nog steeds werkt

Phishing blijft een van de meest gemelde incidenttypes die een SOC dagelijks verwerkt, niet omdat de techniek geavanceerd is, maar omdat ze inspeelt op tijdsdruk en gewoontegedrag. De meeste mensen scannen een inbox in enkele seconden. Phishing-mail is daarop gebouwd: hij hoeft maar één onoplettend moment te vinden.

7 signalen om zelf op te letten

1. Kunstmatige urgentie of dreiging. "Je account wordt binnen 24 uur geblokkeerd" of "onbetaalde factuur, actie vereist" is bedoeld om je te laten klikken vóórdat je nadenkt. Legitieme organisaties geven je vrijwel altijd meer tijd en meer dan één manier om te reageren.
2. Afzenderadres wijkt af van de displaynaam. Een mailprogramma toont standaard alleen de naam ("Belastingdienst"), niet het achterliggende adres. Klik of tik op de naam om het volledige adres te zien: staat daar iets als noreply@belasting-dienst-nl.info, dan is dat een rode vlag.
3. Het linkdomein klopt niet bij het hoveren. Beweeg je muis over een link (zonder te klikken) en lees de URL die onderin je mailprogramma of browser verschijnt. Wijkt het domein af van wat je verwacht, klik dan niet.
4. Onverwachte bijlage, zeker een .zip, .exe of macro-bevattend Office-document van een afzender waar je geen bijlage van verwacht.
5. Verzoek om gevoelige gegevens of een betaalwijziging. Een nieuw bankrekeningnummer voor een bestaande leverancier, of een verzoek om in te loggen via een link in plaats van je eigen favoriet/bladwijzer, is typisch voor CEO-fraude en factuurfraude.
6. Zwakke afzenderauthenticatie van het eigen domein. Dit signaal zie je niet in de mail zelf, maar het verklaart waarom spoofing van bekende afzenders zo vaak lukt: veel bedrijven hebben geen afdwingbaar SPF/DMARC-beleid, waardoor hun domeinnaam makkelijk na te bootsen is. Zie DMARC instellen om te voorkomen dat jouw eigen domein hiervoor misbruikt wordt.
7. Afwijkende stijl ten opzichte van eerdere, échte mail van diezelfde afzender: een andere opmaak, logo, schrijfstijl of ondertekening dan je gewend bent.

Wat te doen bij twijfel

Klik niet en open geen bijlage. Neem in plaats daarvan rechtstreeks contact op met de vermeende afzender, via een telefoonnummer of websiteadres dat je zelf al kende, niet via de contactgegevens in de verdachte mail zelf. Binnen een bedrijf: meld het altijd bij IT of je beveiligingscontact, ook als je zelf niet hebt geklikt. Eén melding kan voorkomen dat een collega dezelfde mail wél opent.

De technische kant afdekken

Het herkennen van phishing is mensenwerk, maar de technische laag eronder helpt voorkomen dat anderen jouw eigen domein gebruiken voor dit soort aanvallen. Lees SPF-record instellen en DMARC instellen, of controleer in enkele seconden hoe jouw domein er al voor staat met onze gratis scan.