Wat is phishing en hoe bescherm ik mijn medewerkers daartegen?

Phishing is een van de meest voorkomende oorzaken van beveiligingsincidenten binnen organisaties. Criminelen sturen valse e-mails, berichten of links om medewerkers te verleiden inloggegevens af te geven, malware te installeren of geld over te maken. De beste bescherming combineert bewustwording bij medewerkers met technische maatregelen en een helder intern proces voor het melden van verdachte berichten. In dit artikel beantwoorden we de meest gestelde vragen over phishing herkennen, voorkomen en aanpakken.

Hoe herken je een phishingmail of -bericht?

Een phishingmail of -bericht herken je aan een combinatie van signalen: een onverwachte afzender, een gevoel van urgentie, een verdacht linkadres of een verzoek om gevoelige informatie te delen. Geen enkel signaal is op zichzelf doorslaggevend, maar meerdere signalen tegelijk zijn een sterke aanwijzing dat iets niet klopt.

Let op de volgende kenmerken:

• Afzenderadres: het domein lijkt op een bekend bedrijf maar wijkt net iets af (bijvoorbeeld @micros0ft.com in plaats van @microsoft.com)
• Urgentie of dreiging: berichten als “uw account wordt geblokkeerd” of “reageer binnen 24 uur” zijn bedoeld om je te laten handelen zonder na te denken
• Verdachte links: zweef met je muis over een link zonder te klikken en controleer of de URL overeenkomt met de verwachte website
• Onverwachte bijlagen: een factuur of document dat je niet verwacht, kan malware bevatten
• Taal en opmaak: spelfouten, ongebruikelijke aanhef of een afwijkende huisstijl zijn rode vlaggen, al worden phishingberichten steeds professioneler

Moderne phishingberichten zijn vaak moeilijk te onderscheiden van legitieme communicatie. Criminelen gebruiken echte logo’s, kopiëren e-mailstijlen en personaliseren berichten op basis van openbare informatie. Juist daarom is het trainen van medewerkers in phishing herkennen zo belangrijk.

Welke vormen van phishing zijn het gevaarlijkst voor organisaties?

Voor organisaties zijn spear phishing en CEO-fraude de gevaarlijkste vormen van phishing. Bij spear phishing richt de aanvaller zich specifiek op één persoon of afdeling met gepersonaliseerde informatie, waardoor het bericht veel geloofwaardiger overkomt dan een generieke phishingmail.

Spear phishing en CEO-fraude

Bij spear phishing verzamelt een aanvaller vooraf informatie over de doelorganisatie, bijvoorbeeld via LinkedIn of de bedrijfswebsite. Het bericht lijkt afkomstig van een collega, leverancier of leidinggevende. CEO-fraude is een specifieke variant waarbij de aanvaller zich voordoet als de directeur en een medewerker van de financiële afdeling vraagt om een spoedoverboeking te doen.

Smishing en vishing

Phishing beperkt zich niet tot e-mail. Smishing (via sms of WhatsApp) en vishing (via telefoongesprekken) worden vaker ingezet, ook richting zakelijke medewerkers. Een nep-sms van een pakketdienst of een telefoontje van een zogenaamde IT-helpdesk kan net zo effectief zijn als een phishingmail, juist omdat medewerkers minder alert zijn op deze kanalen.

Hoe richt je een effectieve phishingtraining in voor medewerkers?

Een effectieve phishingtraining combineert bewustwording met praktijkoefeningen. Eenmalige e-learnings hebben beperkt effect. Regelmatige, realistische phishingsimulaties gevolgd door directe feedback zijn aantoonbaar effectiever in het veranderen van gedrag op de lange termijn.

Een goed opgezet trainingsprogramma bevat de volgende elementen:

1. Nulmeting: stuur een gesimuleerde phishingmail om te meten hoeveel medewerkers erop klikken, zonder dat zij dit weten
2. Bewustwordingssessie: leg uit wat phishing is, welke vormen er bestaan en wat de gevolgen zijn voor de organisatie
3. Herhaalde simulaties: voer meerdere keren per jaar gesimuleerde aanvallen uit met variatie in type en kanaal
4. Directe feedback: geef medewerkers die op een gesimuleerde link klikken onmiddellijk uitleg over wat er mis was
5. Meldingsgedrag bevorderen: beloon medewerkers die verdachte berichten correct melden, ook als het een valse melding blijkt te zijn

Trainingen zijn het meest effectief als ze aansluiten bij de dagelijkse werkcontext van medewerkers. Een zorgprofessional herkent andere signalen dan een medewerker op een financiële afdeling. Maak de voorbeelden dus herkenbaar en relevant. Kwinzo biedt interactieve trainingen die hierop aansluiten.

Welke technische maatregelen verkleinen het risico op phishing?

Technische maatregelen kunnen phishingaanvallen niet volledig voorkomen, maar verkleinen het risico aanzienlijk en beperken de schade als een medewerker toch op een link klikt. De belangrijkste maatregelen richten zich op e-mailauthenticatie, toegangsbeveiliging en het beperken van schade bij een geslaagde aanval.

De meest effectieve technische maatregelen zijn:

• SPF, DKIM en DMARC: e-mailauthenticatieprotocollen die voorkomen dat criminelen domeinen van uw organisatie kunnen misbruiken om valse e-mails te versturen
• Meerfactorauthenticatie (MFA): zelfs als een wachtwoord wordt buitgemaakt via phishing, kan een aanvaller zonder de tweede factor niet inloggen
• Spamfilters en linkscanning: moderne e-mailomgevingen kunnen verdachte berichten en links automatisch blokkeren of markeren
• Least privilege-toegang: geef medewerkers alleen toegang tot de systemen en gegevens die zij daadwerkelijk nodig hebben, zodat de schade bij een succesvolle aanval beperkt blijft
• Patchmanagement: zorg dat software en besturingssystemen up-to-date zijn, zodat bekende kwetsbaarheden niet worden uitgebuit via malware die via phishing binnenkomt

Techniek en menselijk gedrag versterken elkaar. Technische maatregelen vangen veel aanvallen op, maar een goed getrainde medewerker is de laatste verdedigingslinie bij aanvallen die de filters omzeilen.

Wat moet een medewerker doen als hij een phishingpoging vermoedt?

Als een medewerker een phishingpoging vermoedt, moet hij het bericht niet openen, niet klikken en het direct melden via het interne meldproces. Snel handelen is belangrijk: hoe eerder de IT-afdeling of beveiligingsverantwoordelijke op de hoogte is, hoe sneller verdere verspreiding voorkomen kan worden.

Een helder stappenplan voor medewerkers ziet er als volgt uit:

1. Niet klikken: klik niet op links of bijlagen, ook niet om te controleren of het echt is
2. Niet doorsturen: stuur het bericht niet door naar collega’s, ook niet met de bedoeling hen te waarschuwen
3. Melden: gebruik het interne meldkanaal, bijvoorbeeld een speciaal e-mailadres of een knop in de e-mailclient
4. Bewijs bewaren: verwijder het bericht niet direct, zodat de beveiligingsverantwoordelijke het kan analyseren
5. Bij twijfel: controleer buiten het bericht om: bel de vermeende afzender via een bekend telefoonnummer om te bevestigen of het bericht echt is

Organisaties die geen duidelijk meldproces hebben, lopen het risico dat medewerkers incidenten stilhouden uit schaamte of onzekerheid. Maak melden laagdrempelig en benadruk dat het melden van een vermoeden altijd goed is, ook als het achteraf om een legitiem bericht gaat.

Hoe past phishingpreventie binnen ISO 27001 of NEN-7510?

Phishingpreventie is een verplicht onderdeel van zowel ISO 27001 als NEN-7510. Beide normen vereisen dat organisaties aantoonbare maatregelen treffen op het gebied van bewustwording, toegangsbeveiliging en incidentbeheer, de drie pijlers waarop een effectieve aanpak van phishing rust.

Concreet zijn de volgende onderdelen van de norm relevant voor phishingpreventie:

• Bewustwording en training (Annex A.6.3 bij ISO 27001:2022): medewerkers moeten aantoonbaar getraind worden in informatiebeveiliging, inclusief het herkennen van phishing
• Toegangsbeheer: de norm vereist dat toegang tot systemen en gegevens beperkt en goed beheerd is, wat de schade bij een succesvolle phishingaanval beperkt
• Incidentbeheer: er moet een gedocumenteerd proces zijn voor het melden, registreren en afhandelen van beveiligingsincidenten, inclusief phishingpogingen
• Leveranciersbeheer: ook phishingrisico’s via leveranciers of ketenpartners vallen onder de scope van het managementsysteem

Wat ISO 27001 en NEN-7510 onderscheidt van losstaande maatregelen, is de eis van aantoonbaarheid en continue verbetering. Het is niet voldoende om eenmalig een training te geven. De norm vraagt om een cyclisch proces: meten, evalueren, verbeteren. Phishingsimulaties, meldingsregistraties en evaluaties van incidenten leveren de bewijslast die een auditor verwacht. Meer weten over hoe normen en beveiligingskaders samenhangen? Dat lees je op de normenpagina.

Hoe Kwinzo helpt met phishingpreventie en informatiebeveiliging

Phishing aanpakken als losstaand probleem werkt niet. Duurzame bescherming vraagt om een gestructureerde aanpak die techniek, mensen en processen met elkaar verbindt. Dat is precies wat wij bij Kwinzo doen.

Wij ondersteunen organisaties in zorg, ICT en onderwijs bij het opzetten en onderhouden van een Information Security Management System (ISMS) dat phishingpreventie structureel verankert. Onze aanpak omvat:

• Implementatiebegeleiding bij ISO 27001 of NEN-7510, inclusief het inrichten van bewustwordingsprogramma’s en meldprocessen
• Interactieve trainingen voor medewerkers, afgestemd op de sector en de dagelijkse werkpraktijk
• Interne audits als generale repetitie voor de externe certificeringsaudit, waarbij we ook controleren of phishingmaatregelen aantoonbaar werken
• Praktische hulpmiddelen zoals onze eigen ISMS-tool, voorbeelddocumenten en een actuele kennisbank
• Maandelijkse workshops voor Security Officers die hun kennis over specifieke onderdelen van de norm willen verdiepen

Informatiebeveiliging moet niet alleen kloppen op papier, maar werken in de praktijk. Wil je weten hoe wij uw organisatie kunnen helpen? Neem contact met ons op voor een vrijblijvend adviesgesprek.