Ook wij zien dat alleen letten op spelfouten of een vreemd e-mailadres niet meer genoeg is. De belangrijkste vraag om jezelf daarom te stellen is: wat wordt er van je gevraagd en is dat logisch?
Als IT-partner krijgen wij regelmatig de vraag van klanten of een bericht legitiem is en of ze er iets mee moeten doen. Bij twijfel is ons advies altijd hetzelfde: neem zelf contact op met de organisatie om het te controleren. Bel bijvoorbeeld via een telefoonnummer dat je al kent of zelf hebt opgezocht. Dan weet je het zeker.
6 manieren waarop moderne phishing-aanvallen steeds slimmer worden
Phishing verandert snel. Aanvallers gebruiken nieuwe technieken, kanalen en hulpmiddelen om berichten overtuigender te maken en beveiligingsmaatregelen te omzeilen. Dit zijn zes ontwikkelingen en phishingtechnieken waar je als organisatie rekening mee moet houden.
1. AI wordt ingezet om phishing overtuigender te maken
Met AI kunnen aanvallers snel foutloze en professioneel geschreven berichten maken. Ook kunnen ze openbare informatie gebruiken, zoals de naam van een directeur, collega of leverancier. Daardoor kan een phishingmail heel betrouwbaar overkomen.
Waar let je op?
Kijk niet alleen naar de taal of vormgeving. Let vooral op onverwachte verzoeken om in te loggen, snel te betalen of gevoelige informatie te delen. Controleer opvallende verzoeken daarom altijd via een ander communicatiekanaal.
2. Phishing via QR-codes
Bij zogenaamde quishing zit de schadelijke link achter een QR-code. Je krijgt bijvoorbeeld een bericht over een verlopen wachtwoord of gedeeld document en wordt gevraagd de code te scannen. Daarna kom je op een nagemaakte inlogpagina terecht.
Waar let je op?
Scan niet zomaar een QR-code uit een onverwachte e-mail of bijlage. Zeker niet wanneer je daarna moet inloggen of gevoelige informatie moet invoeren. Een QR-code is uiteindelijk gewoon een andere manier om je naar een website te sturen.
3. Phishing via telefoon of Teams
Phishing vindt niet alleen meer via e-mail plaats. Aanvallers kunnen zich ook via telefoon, Teams of andere communicatiekanalen voordoen als een collega, directeur of IT-medewerker. En met AI kunnen tegenwoordig zelfs stemmen worden nagebootst.
Waar let je op?
Vertrouw niet automatisch op iemand omdat diegene jouw naam, functie of organisatie kent. Deel nooit zomaar wachtwoorden of verificatiecodes. En word je onverwacht gevraagd om direct iets te installeren, betalen of aanpassen? Stop en neem zelf contact op via een vertrouwd kanaal.
4. Phishing die MFA probeert te omzeilen
Multi-factor authenticatie maakt accounts veel veiliger. Toch proberen aanvallers ook deze beveiliging te omzeilen. Bij sommige aanvallen wordt een slachtoffer bijvoorbeeld naar een nagemaakte inlogomgeving gestuurd. Zo probeert de aanvaller niet alleen het wachtwoord, maar ook de actieve inlogsessie buit te maken.
Waar let je op?
Keur nooit een MFA-melding goed die je niet zelf hebt veroorzaakt. Krijg je meerdere onverwachte meldingen? Meld dit dan direct bij je IT-beheerder of IT-partner.
5. Device code phishing
Bij device code phishing krijg je het verzoek om een code in te voeren om een apparaat of applicatie te koppelen. De website waarop je terechtkomt kan zelfs echt van Microsoft zijn. En toch kan de code afkomstig zijn van een aanvaller. Door deze in te voeren, kun je onbedoeld toegang geven tot je account.
Waar let je op?
Voer nooit zomaar een apparaatcode in die iemand anders je toestuurt. Start je zelf geen koppeling of aanmelding? Stop dan en controleer eerst wat er gebeurt.
6. Phishing in meerdere stappen
Moderne phishingaanvallen bestaan soms uit meerdere stappen. Je opent bijvoorbeeld eerst een pdf, scant daarna een QR-code en moet vervolgens opnieuw inloggen. Omdat iedere stap afzonderlijk normaal kan lijken, ontstaat sneller vertrouwen.
Waar let je op?
Vraag jezelf af waarom al die stappen nodig zijn. Een onverwachte mail die je via meerdere handelingen naar een inlogpagina stuurt, is reden om extra kritisch te zijn.
Hoe herken je phishing dan nog wel?
De techniek verandert, maar het doel blijft vaak hetzelfde. Een aanvaller wil dat je iets doet voordat je rustig nadenkt.
Denk aan:
- Inloggen via een onverwachte link of QR-code
- Een betaling uitvoeren
- Een MFA-verzoek goedkeuren
- Een wachtwoord of code delen
- Software installeren of instellingen aanpassen
Wat wij organisaties vooral meegeven: kijk naar de hele situatie.
Verwachtte je dit bericht? Is het verzoek logisch? Waarom moet het direct? En klopt het kanaal waarmee je wordt benaderd? Twijfel je? Stop dan direct en controleer het verzoek via een andere, vertrouwde route.
Goede beveiliging bestaat uit meerdere lagen
Goede technische beveiliging kan veel phishingaanvallen tegenhouden. Denk aan e-mailbeveiliging, multi-factor authenticatie en monitoring. Maar techniek alleen is niet voldoende.
Medewerkers spelen ook een belangrijke rol. Zij krijgen verdachte berichten vaak als eerste te zien en moeten kunnen herkennen wanneer iets niet klopt. Daarom is het belangrijk dat zij weten waar ze op moeten letten en bij wie ze terechtkunnen als ze twijfelen.
Daarom kijken we bij TendenZ IT naar het geheel. Hoe is je e-mail beveiligd? Welke vorm van MFA gebruik je? Worden afwijkende inlogpogingen opgemerkt? En weten medewerkers waar ze een verdacht bericht kunnen melden?
Twijfel je of jouw organisatie voldoende beschermd is tegen moderne phishingaanvallen? Laat je IT-beveiliging controleren. Zo krijg je inzicht in mogelijke risico’s en weet je welke stappen nodig zijn om je organisatie beter te beschermen.