Phishing herkennen: 7 signalen en wat je doet als een medewerker toch geklikt heeft

Van alle manieren waarop een KMO in de problemen komt, begint het overgrote deel met een e-mail. Geen geniale hacker die door je firewall breekt, maar een bericht dat er net echt genoeg uitziet om op te klikken. Bij bedrijven van een vijftiental medewerkers zien we dat patroon keer op keer terug. In dit artikel overlopen we zeven signalen waaraan je een phishingmail herkent, en vooral: wat je doet op het moment dat iemand toch geklikt heeft.

Waarom phishing bij een klein team de belangrijkste ingang is

Aanvallers kiezen niet bewust voor jouw bedrijf. Ze sturen dezelfde mail naar duizenden adressen tegelijk en wachten af wie hapt. Een KMO met vijftien medewerkers heeft vijftien mailboxen, en dus vijftien kansen. Er is zelden een IT-afdeling die alles tegenhoudt, en iedereen heeft het druk. Precies daar rekent een phishingmail op: je leest hem tussen twee andere dingen door, op je telefoon, en je klikt.

In een klein bedrijf liggen de rollen bovendien dicht bij elkaar: wie de facturen betaalt, zit twee bureaus verder dan de zaakvoerder. Een mail die zogezegd van de baas komt met de vraag om snel te betalen, voelt dan niet vreemd. Dat maakt factuurfraude bij KMO's zo doeltreffend.

Zeven signalen waaraan je phishing herkent

Geen enkel signaal is op zich sluitend, maar wie deze zeven kent, vangt het grootste deel van de verdachte berichten op.

1. Het afzenderadres klopt niet helemaal. De naam lijkt juist, maar het adres erachter is een gratis mailadres of een domein met een letter te veel of te weinig. Kijk altijd naar het volledige adres, niet alleen naar de weergegeven naam.
2. Er wordt druk gezet. 'Vandaag nog betalen', 'je account wordt geblokkeerd', 'dringend, ik zit in vergadering'. Urgentie is de standaardtruc om je te laten handelen voor je nadenkt.
3. De link gaat ergens anders naartoe dan de tekst beweert. Beweeg op een computer met je muis over de link zonder te klikken en bekijk het echte adres. Op een telefoon hou je de link even ingedrukt.
4. Afwijkende betaalgegevens. Een leverancier die plots een nieuw rekeningnummer doorgeeft, is het klassieke begin van factuurfraude. Bel de leverancier op een nummer dat je al had, nooit op het nummer uit de mail.
5. Onverwachte bijlagen. Een factuur die je niet verwacht, een zip-bestand, een document dat vraagt om 'inhoud in te schakelen' of macro's toe te laten. Open het niet.
6. De taal of toon klopt niet. Een collega die je opeens formeel aanspreekt, een leverancier die zinnen schrijft die net niet Nederlands klinken, een aanhef als 'Beste klant' waar normaal je naam staat.
7. Meldingen van tweestapsverificatie die je niet zelf hebt aangevraagd. Krijg je een MFA-pushbericht terwijl je niet aan het inloggen bent, dan probeert iemand met je wachtwoord binnen te raken. Keur het niet goed, ook niet als het blijft komen, en verander meteen je wachtwoord.

Twijfel je? Dan is de veiligste route altijd dezelfde: niet klikken, en het bericht even laten bekijken door een collega of je IT-partner. Dat kost twee minuten. Een verkeerde klik kost dagen.

Wat doe je als iemand toch geklikt heeft?

Het gebeurt, ook bij oplettende mensen. Wat telt is hoe snel je reageert: de eerste uren maken het verschil tussen een vervelend voorval en een echte crisis. Doorloop deze stappen in deze volgorde.

1. Verwijt niemand iets. Wie zich schaamt, meldt te laat of helemaal niet. Bedank de medewerker en ga aan de slag.
2. Reset het wachtwoord van het betrokken account meteen, en ook overal waar hetzelfde wachtwoord hergebruikt werd.
3. Log alle actieve sessies uit. In Microsoft 365 en Google Workspace kan een beheerder dat centraal doen. Zo verliest een aanvaller die al binnen is zijn toegang.
4. Verwittig je IT-partner of de persoon die je IT beheert. Vertel precies wat er gebeurd is: welke mail, welke link, wat er ingevuld werd.
5. Stuur de phishingmail door naar [email protected], het meldpunt van het Centrum voor Cybersecurity België. Zo help je ook anderen.
6. Controleer de mailbox op doorstuurregels. Aanvallers zetten vaak een regel die alle inkomende mail stilletjes naar een extern adres kopieert. Kijk ook naar onbekende apps die toegang kregen tot het account.
7. Waarschuw je collega's, en bij misbruik van het account ook klanten en leveranciers. Dezelfde mail zit waarschijnlijk ook in hun inbox.

Werd er een betaling gedaan? Bel dan onmiddellijk je bank. Hoe sneller, hoe groter de kans dat het geld nog tegengehouden kan worden.

Melden moet veilig zijn, en opleiding hoort kort te zijn

Techniek vangt een deel van de phishing op, maar de laatste verdedigingslinie blijft de mens die de mail leest. Daarom weegt de cultuur in je team zwaarder dan welke filter ook.

• Maak duidelijk dat melden altijd goed is, ook bij vals alarm. Wie tien keer een onschuldige mail meldt, meldt ook die ene die telt.
• Hou het eenvoudig: één adres of één persoon waar verdachte mails naartoe gaan. Geen formulier, geen procedure van drie pagina's.
• Kies voor korte, regelmatige momenten. Een kwartier op de teamvergadering met een recent voorbeeld werkt beter dan één lange opleiding per jaar die iedereen tegen de zomer vergeten is.
• Deel echte voorbeelden die jullie zelf ontvingen. Die blijven hangen, generieke slides niet.

Wat we bij klanten zien: waar melden normaal is, komt de eerste melding vaak binnen enkele minuten na een phishinggolf. Waar het beschamend is, horen we het pas als er al iets misgelopen is.