AI-phishing: waarom nepmails steeds echter worden, en hoe u ze herkent
Bijgewerkt op · 4 minuten lezen · door Enes
In het kort
Phishing wordt door AI overtuigender: nepmails bevatten nauwelijks nog spelfouten en nepinlogpagina’s lijken echt. U herkent een valse mail niet meer aan één kenmerk, maar aan het geheel. Een afzender die net niet klopt, haast en een link die ergens anders heen gaat. Twijfelt u, ga dan zelf naar de site, niet via de link.
In dit artikel (6 delen)
Waarom spelfouten u niet meer redden
Phishing is een nepbericht dat u wil verleiden tot een klik, een wachtwoord of het openen van een bijlage. Jarenlang verraadde zo’n bericht zich door kromme zinnen en spelfouten. Dat was het makkelijkste controlepunt: klopte de taal niet, dan was het nep.
Dat punt is grotendeels weg. Met AI-tekstprogramma’s schrijven criminelen in vloeiend Nederlands, zonder fouten, in de toon van een echte organisatie. Ook nepinlogpagina’s zien er professioneel uit. Het NCSC waarschuwt dan ook dat een verzorgd bericht géén bewijs is dat het te vertrouwen is.
Wat AI nog meer mogelijk maakt
Door AI wordt phishing persoonlijker en sneller. Een crimineel verzamelt openbare gegevens over uw bedrijf. Daarmee maakt hij een bericht dat precies op uw situatie lijkt te slaan. Een factuur die klopt met uw leverancier. Of een vraag die van een collega lijkt te komen.
Een bekende vorm is CEO- of factuurfraude. De mail lijkt te komen van de directeur of een bekende leverancier. U moet snel betalen of een rekeningnummer wijzigen. Daarnaast komt nagemaakte stem of beeld (deepfakes) op. De kern blijft hetzelfde: men speelt in op vertrouwen en haast.
Waar u nu wél op let
U herkent phishing zelden aan één kenmerk, maar aan het geheel, schrijft het NCSC. Let op de afzender. Het adres wijkt vaak net iets af van het echte domein. Of het bericht komt van een organisatie waar u geen relatie mee heeft. Let op de toon. Wijkt het bericht af van hoe u normaal contact heeft? Moet u vertrouwelijke gegevens geven of wordt er sterke haast gemaakt?
Let ook op de link of knop. Beweeg uw muis erover (of houd op uw telefoon even ingedrukt) en kijk waar hij echt heen gaat. Wijst hij naar een ander domein of bevat hij vreemde tekens? Of vraagt het bericht u via die link in te loggen in plaats van via de normale website? Dan is dat een waarschuwing.
De gouden regel bij twijfel
Twijfelt u, gebruik dan nooit de link of het telefoonnummer uit het bericht. Ga zelf naar de website of app van de organisatie zoals u die kent. Of bel het nummer dat u zelf heeft, bijvoorbeeld van de achterkant van uw bankpas.
Ging het om een betaling of een gewijzigd rekeningnummer, controleer dat dan via een tweede, bekend kanaal. Eén telefoontje naar een nummer dat u zelf opzoekt, voorkomt de meeste schade.
Maak uw team weerbaar
Techniek alleen is niet genoeg; uw mensen zijn de laatste controle. Maak een paar duidelijke afspraken. Betalingen en nieuwe rekeningnummers gaan altijd via een tweede controle. Bij twijfel vraagt iemand liever één keer te veel na. Zorg dat SPF, DKIM en DMARC voor uw domein goed staan. Dan is het moeilijker om mail uit uw naam te sturen.
Net zo belangrijk is de sfeer. Wie een verdachte mail meldt of er toch op klikte, moet dat zonder schaamte kunnen zeggen. Hoe eerder u het weet, hoe sneller u de schade beperkt. Een gemelde fout is winst, geen blunder.
Test hoe uw team reageert
Wilt u weten hoe uw team in de praktijk reageert, dan is De Phishing-proef de volgende stap (€ 495 vast excl. btw). Wij sturen met uw toestemming één nagemaakte maar onschuldige phishingmail naar uw medewerkers. We rapporteren op groepsniveau hoeveel mensen klikten en wat u eraan kunt doen. Wij noemen nooit namen; het doel is leren, niet afrekenen. Valt uw organisatie onder de medezeggenschap, stem zo’n proef dan vooraf af met de ondernemingsraad.
Wilt u eerst weten of iemand kan mailen uit naam van uw bedrijf? De Mailcheck (€ 245 vast excl. btw) controleert SPF, DKIM, DMARC, DNSSEC en CAA. U kunt het ook zelf alvast voelen met onze korte oefening De verkeerde klik.
Veelgestelde vragen
Hoe herken ik AI-phishing als de spelfouten weg zijn?
Kijk naar het geheel in plaats van naar de taal. Klopt de afzender precies en verwacht u dit bericht? Wordt er haast gemaakt of om gegevens gevraagd? En waar gaat de link echt heen? Eén afwijking is al reden om niet te klikken en zelf naar de site te gaan.
Wat is CEO-fraude?
Een nepbericht dat van uw directeur of een bekende leverancier lijkt te komen. U moet snel betalen of een rekeningnummer wijzigen. Door AI klinken die berichten overtuigend. Controleer zulke verzoeken altijd via een tweede, bekend kanaal, bijvoorbeeld een telefoontje naar een nummer dat u zelf heeft.
Helpt een phishing-simulatie echt?
Ja, als oefening. Uw team leert in een veilige situatie hoe een echte nepmail eruitziet en u ziet waar de aandacht moet liggen. Het gaat om bewustwording op groepsniveau, niet om individuele medewerkers afrekenen. Wij rapporteren daarom nooit op naam.
Mag ik mijn eigen personeel zomaar een testmail sturen?
Doe dat zorgvuldig. Een phishing-proef verwerkt gegevens van medewerkers, dus rapporteer op groepsniveau en zonder namen. Valt uw bedrijf onder de medezeggenschap, dan stemt u zo’n test vooraf af met de ondernemingsraad. Wij voeren een proef alleen uit met uw schriftelijke toestemming.
Verder lezen
Bronnen
- NCSC: hoe herken ik een phishing e-mail?ncsc.nl
- NCSC: aan de slag tegen phishingncsc.nl
- NCSC: phishingncsc.nl
- NCSC: naam NCSC opnieuw misbruikt in phishingcampagnencsc.nl
- NCSC (voorheen Digital Trust Center): AI, kans of bedreiging?ncsc.nl
- Veilig internetten: phishingveiliginternetten.nl
- Fraudehelpdeskfraudehelpdesk.nl