Wat is het verschil tussen phishing en social engineering?

Social engineering is elke poging om iemand te manipuleren zodat die informatie, geld of toegang prijsgeeft. Phishing is de meest voorkomende vorm en verloopt via e-mail of een nepwebsite. CISA noemt ook de telefonische variant, vishing, en de variant via sms, smishing.

Stel u een fictief architectenbureau met 30 medewerkers voor: Calloway Partners. Op een dinsdag ontvangt financieel medewerker Leah drie dingen. Een e-mail van 'de algemeen directeur', verstuurd om 7.58am: 'Leah, zit de hele dag in overleg, je moet de bijgevoegde leverancier vandaag betalen, nieuwe bankgegevens, houd dit tussen ons'. Een sms: 'Uw pakket is tegengehouden, betaal hier £1.45 voor een nieuwe bezorging'. En een telefoontje van iemand die zegt dat hij van de IT-leverancier van het bureau is en haar vraagt een zojuist verstuurde zescijferige code voor te lezen 'om uw mailbox te herstellen'. Ze zien er allemaal anders uit. Het is dezelfde truc.

Welke druktactieken gebruiken phishingberichten?

Phishingberichten gebruiken vijf veelvoorkomende druktactieken, die het NCSC omschrijft als autoriteit, urgentie, emotie, schaarste en actualiteit. De tactiek herkennen is betrouwbaarder dan een typefout opsporen.

Gezag

Het bericht lijkt afkomstig te zijn van een leidinggevende, bank, overheidsinstantie of leverancier, waardoor u het gevoel krijgt dat u aan het verzoek moet voldoen.

Urgentie

Een krappe deadline of dreigende sanctie, zodat u handelt voordat u controleert.

Emotie

Angst, paniek, nieuwsgierigheid of hoop, zodat u reageert in plaats van nadenkt.

Schaarste

Iets wat beperkt beschikbaar is, zoals een termijn om geld terug te vragen of een beperkt aantal toegangskaarten.

Actualiteit

Een verwijzing naar het nieuws, belastingdeadlines of een bekende storing, zodat het bericht verwacht lijkt.

Hoe heeft AI phishing veranderd?

AI heeft phishingberichten verzorgder gemaakt, waardoor goede spelling en grammatica niet langer bewijzen dat een bericht echt is. De richtlijnen van CISA zeggen dit nu expliciet. Aanvallers kunnen ook de schrijfstijl van een collega overnemen, een bericht op uw functie afstemmen of een bekende stem nabootsen tijdens een gesprek. Daardoor is de oude controlelijst met spelfouten en vreemde begroetingen minder bruikbaar en wordt het belangrijker om het verzoek zelf te verifiëren. Een verzoek om geld over te maken, bankgegevens te wijzigen, een code te delen of een normale procedure te omzeilen moet worden geverifieerd, hoe overtuigend het ook klinkt.

Hoe controleert u een verdacht bericht stap voor stap?

U controleert een verdacht bericht buiten dat bericht om: gebruik nooit de links, telefoonnummers of het antwoordadres die erin staan en neem contact op met de persoon of organisatie via contactgegevens die u al vertrouwt.

1. Pauzeer en benoem de tactiek

Vraag u af welke druk er wordt uitgeoefend. Geheimhouding plus haast plus geld is het klassieke patroon van betalingsfraude.

2. Controleer het verzoek, niet alleen de afzender

Weergavenamen en nummerherkenning kunnen worden vervalst. Een gewijzigd bankrekeningnummer of een verzoek om een code is het waarschuwingssignaal, van wie het ook afkomstig lijkt te zijn.

3. Verifieer via een apart kanaal

Bel de persoon op een nummer uit uw eigen administratie of typ zelf het webadres van de organisatie in. Zowel CISA als NCSC geeft dit advies.

4. Deel nooit codes of wachtwoorden

Legitieme IT-teams en banken vragen u niet om een eenmalige code of wachtwoord voor te lezen.

5. Meld het

Gebruik de meldknop in uw e-mailprogramma en licht uw IT-contactpersoon in. In het Verenigd Koninkrijk kunt u verdachte e-mails doorsturen naar [email protected]; in de Verenigde Staten neemt CISA meldingen aan via de dienst voor het melden van cyberincidenten.

Hoe ziet een zwakke reactie eruit, en hoe een sterke?

Een zwakke reactie vertrouwt op de buitenkant. Leah ziet de naam van de algemeen directeur, antwoordt met de vraag of de betaling echt dringend is, krijgt snel 'ja, doe het alstublieft nu' terug vanaf hetzelfde valse adres en betaalt. Ze negeert het sms-bericht, maar wil behulpzaam zijn en leest de code voor aan de beller, die daarmee inlogt op haar mailbox.

Een goede reactie begint met het controleren van het verzoek. Leah herkent de combinatie van gezag, haast en geheimhouding en belt de algemeen directeur op zijn mobiele nummer uit de personeelslijst; hij heeft niets verstuurd. Ze verwijdert het sms-bericht over het pakket zonder op de link te tikken. Ze zegt tegen de beller dat ze de IT-dienstverlener terugbelt, hangt op en belt de dienstverlener op het nummer uit het contract van het bedrijf; zij hebben niet gebeld. Ze meldt alle drie de voorvallen bij IT en stuurt de e-mail door naar het meldadres. Er is niets betaald en er is geen code gedeeld.

Wat moet u doen als u al hebt geklikt of geantwoord?

Als u al hebt geklikt, geantwoord of iets hebt gedeeld, meld dit dan direct bij uw IT-contactpersoon. Snel handelen beperkt de schade en niemand mag een verwijt krijgen omdat die iets meldt. Wijzig vanaf een ander apparaat het wachtwoord van elk account waarvoor u gegevens hebt ingevuld en schakel meervoudige verificatie in. Ging het om geld of bankgegevens, bel dan direct uw bank via het nummer op de website van de bank of op uw bankpas.

Wat zijn veelgemaakte fouten rond phishing?

De meest voorkomende fout is op het verdachte bericht antwoorden om het te controleren. Daarmee vraagt u alleen de aanvaller om bevestiging. Andere fouten: vertrouwen op een weergegeven naam of nummerherkenning, afgaan op spelfouten, op afmeldlinks klikken, eenmalige codes voorlezen en na een fout uit schaamte zwijgen.

Waar staat deze les binnen Tosheo.ai?

Deze les valt onder de categorie Cyberbeveiliging en de cursus cyberbeveiliging. In de praktijkopdracht op Tosheo.ai krijgt u een reeks fictieve berichten. U benoemt bij elk bericht de tactiek, beschrijft de verificatiestap en stelt een melding op. Het beoordelingsschema laat zien welk waarschuwingssignaal u hebt gemist. Het is een bewustwordingstraining voor medewerkers en leidinggevenden, geen technische cursus e-mailbeveiliging.

Bronnen en reikwijdte

NCSC, zo herkent u een frauduleuze e-mail, sms of oproep (gecontroleerd op 19 October 2026) ↗

NCSC, een frauduleuze e-mail melden (gecontroleerd op 19 October 2026) ↗

CISA, phishing herkennen en melden (gecontroleerd op 19 October 2026) ↗

CISA, social engineering en phishingaanvallen voorkomen (gecontroleerd op 19 October 2026) ↗