Hoe een phishingbericht werkt

Module 3: Phishing herkennen · Leestijd: 11 minuten

Leerdoel: Na deze les kun je de psychologische trucs en de vaste kenmerken van een phishingbericht herkennen, ook als de tekst foutloos is, en reageer je met de reflex stop, check, vraag.
Kernbegrippen: urgentie, autoriteit, angst, nieuwsgierigheid, beloning, pretext, AI-geschreven phishing, de "stop-check-vraag"-reflex

Phishing is een verhaal, geen techniek

Phishing is een bericht dat je iets laat doen wat goed is voor de afzender en slecht voor jou: op een link klikken, inloggen op een nagemaakte pagina, een bijlage openen, een betaling doen of een code doorgeven. De techniek erachter is vaak simpel. Wat het werk doet, is het verhaal.

Dat verhaal heet een pretext: een geloofwaardige aanleiding. "Je pakket kon niet worden bezorgd." "Je mailbox is vol." "Er staat een factuur open." "Je account wordt geblokkeerd." Een goed pretext past bij jouw situatie. Een bakkerij krijgt een mail over een leverancier van meel, een advocatenkantoor over een dagvaarding, een webwinkel over een geblokkeerde betaling.

Het doel is bijna altijd een van deze vier:

Bij de laatste soort gebeurt er op het moment zelf niets ergs. "Wie doet bij jullie de betalingen?" lijkt een gewone vraag. Maar met het antwoord kan de aanvaller later een veel overtuigender mail sturen, gericht aan die ene persoon. Dat heet spear phishing (les 1.2).

De vijf knoppen waar phishing op drukt

Phishing werkt omdat het je laat handelen voordat je nadenkt. Daarvoor drukt het op een paar vaste knoppen in ons hoofd. Bijna elk phishingbericht gebruikt er minstens twee.

1. Urgentie. "Binnen 24 uur", "vandaag nog", "laatste herinnering". Tijdsdruk is de belangrijkste truc, omdat je dan niet de tijd neemt om te controleren.
2. Autoriteit. Het bericht komt zogenaamd van iemand die je serieus neemt: de bank, de Belastingdienst, de directeur, de politie, je hostingbedrijf, een advocaat.
3. Angst. Je account wordt geblokkeerd, je krijgt een boete, je gegevens zijn gelekt, je domein verloopt, er is een inbraak op je rekening.
4. Nieuwsgierigheid. "Bekijk de foto's van het evenement", "je hebt een gedeeld document ontvangen", "er is een voicemail voor je", "salarisoverzicht 2026.pdf".
5. Beloning. Een terugbetaling, een cadeaubon, een gewonnen prijs, een gratis upgrade, een grote order van een nieuwe klant.

Let op: deze knoppen komen ook in echte berichten voor. Een echte factuur heeft een vervaldatum, een echte bank stuurt soms een waarschuwing. Eén truc maakt een bericht dus niet vals. Het wordt verdacht als de druk hoog is en het bericht vraagt om iets wat je normaal niet zo zou doen.

Vaste kenmerken, los van de tekst

Naast de trucs hebben phishingberichten een paar kenmerken die bijna altijd terugkomen:

• Een opdracht om nu iets te doen (call to action): een knop, een link, een bijlage, een telefoonnummer om te bellen.
• Een kanaal dat niet past. Je bank vraagt per mail om in te loggen, je leverancier vraagt via WhatsApp om een betaling, je collega vraagt via sms om cadeaubonnen.
• Een vraag die niet past. Een wachtwoord of inlogcode doorgeven, een IBAN wijzigen, een betaling buiten de normale procedure, software installeren op verzoek van een beller.
• Een afwijking in afzender of link. Het adres of de link hoort net niet bij de organisatie die je verwacht. Hoe je dat precies leest, leer je in les 3.2 en 3.3.
• Geheimhouding of omzeilen van de procedure. "Zeg dit nog niet tegen de rest", "ik zit in een vergadering, bel me niet", "doe het even buiten het systeem om".

Het laatste kenmerk is het sterkste signaal bij CEO- en factuurfraude: een echte directeur heeft er geen belang bij dat jij de normale controle overslaat.

Waarom spelfouten geen goed kenmerk meer zijn

Vroeger herkende je phishing aan krom Nederlands, vreemde aanhef en lelijke opmaak. Dat werkt niet meer. Met taalmodellen (AI) schrijft een aanvaller in een paar seconden een foutloze, vriendelijke mail in elke taal, in de stijl van de organisatie die hij nadoet. Het NCSC waarschuwt ook dat phishing door AI moeilijker te herkennen wordt: minder taalfouten en inlogpagina's die er steeds echter uitzien.

Daar komt bij dat phishing soms uit een echte mailbox komt. Is de mailbox van een leverancier overgenomen, dan antwoordt de aanvaller gewoon in een bestaande mailwisseling, met de handtekening, de toon en de eerdere berichten erbij. Dat heet thread hijacking. Afzender, opmaak en taal zijn dan allemaal echt. Alleen de vraag klopt niet: "We hebben een nieuwe bankrekening, wil je de openstaande factuur daarop betalen?"

Daarom kijk je niet naar hoe een bericht eruitziet, maar naar wat het van je vraagt. Phishing herken je zelden aan één kenmerk, maar aan het totaalbeeld.

De reflex: stop, check, vraag

Je hoeft niet elke truc te kennen. Je hebt één reflex nodig die je elke keer gebruikt als een bericht iets van je vraagt.

Stop. Voel je haast, schrik, nieuwsgierigheid of blijdschap? Dat is precies het moment om niet te klikken. Leg het bericht even weg. Echte organisaties geven je bijna altijd tijd genoeg om het na te gaan.

Check via je eigen weg. Ga niet verder via het bericht zelf. Klik niet op de link, bel niet het nummer uit het bericht en antwoord niet op de mail. Ga zelf naar de site via je bladwijzer of door het adres te typen, of bel op een nummer dat je al had (je eigen administratie, de achterkant van je bankpas, de officiële site). Staat de factuur er echt? Is het pakket echt onderweg?

Vraag. Twijfel je nog, vraag het een collega of de persoon die het zogenaamd stuurt, via een ander kanaal. Spreek in je team af dat zo'n vraag nooit lastig is. Liever tien keer onnodig gevraagd dan één keer betaald.

Deze reflex werkt ook bij een perfecte mail uit een gehackte mailbox. De check via je eigen weg omzeilt de aanvaller helemaal, want die zit niet in jouw bladwijzer en niet aan de telefoon van je leverancier.

In de praktijk: zo ziet het eruit

Drie nagebootste berichten die Bakkerij Example (info@example.com) op één ochtend krijgt. Alle namen zijn verzonnen.

Bericht 1: het pakket

Van: Koeriersdienst <service@koeriersdienst-track.example>
Onderwerp: Bezorging mislukt: actie vereist
Beste klant, we hebben vandaag geprobeerd een pakket te bezorgen. Het adres was onvolledig. Plan binnen 48 uur een nieuwe bezorging in en betaal de herbezorgkosten van 1,95 euro, anders gaat het pakket terug naar de afzender.

Trucs: urgentie (48 uur), angst (pakket terug), een klein bedrag zodat je niet nadenkt. Het doel is je kaartgegevens. Check: verwacht je een pakket? Zoek de zending op via de site of app van de vervoerder zelf.

Bericht 2: de leverancier

Van: Leverancier Meel <administratie@leverancier.example>
Onderwerp: RE: factuur 2026-0412
Hoi, zoals besproken bij deze de factuur. Let op: wegens een bankwissel graag vanaf nu betalen op ons nieuwe rekeningnummer. Kun je dat vandaag nog doen? Dan kunnen we de levering van vrijdag inplannen.

Trucs: autoriteit (bekende leverancier, bestaande mailwisseling), urgentie, beloning (de levering). De afzender kan echt zijn: de mailbox van de leverancier kan zijn overgenomen. Check: bel de leverancier op het nummer uit je eigen administratie, niet uit deze mail.

Bericht 3: het boekhoudpakket

Van: Boekhoudpakket <noreply@boekhoudpakket.example>
Onderwerp: Je abonnement wordt opgeschort
We konden je laatste betaling niet verwerken. Log binnen 24 uur in om je betaalgegevens bij te werken, anders verlies je toegang tot je administratie.
[Inloggen]

Trucs: angst, urgentie, autoriteit. Of de afzender klopt, lees je in les 3.3; waar de knop heen gaat in les 3.2. Check: open zelf de app of je bladwijzer van het boekhoudpakket. Staat daar geen melding, dan is de mail vals.

Samenvatting

• Phishing werkt via een verhaal (pretext) dat bij jou past, met als doel inloggegevens, geld, toegang tot je apparaat of informatie.
• De vijf knoppen: urgentie, autoriteit, angst, nieuwsgierigheid en beloning. Meestal zijn het er twee of meer tegelijk.
• Spelfouten zijn geen betrouwbaar kenmerk meer: AI schrijft foutloze mails en gehackte mailboxen sturen echte berichten.
• Kijk naar wat een bericht van je vraagt en via welk kanaal, niet naar hoe het eruitziet.
• Reflex: stop, check via je eigen weg, vraag bij twijfel.

Quiz

Opdracht

Opdracht A3.1: Trucs herkennen. Je krijgt zes nagebootste berichten. Kies per bericht welke trucs erin zitten (urgentie, autoriteit, angst, nieuwsgierigheid, beloning) en wat je doet: gewoon afhandelen, of eerst controleren via je eigen weg. Het programma kijkt je antwoorden na en legt per bericht uit wat je hebt gemist.

Verder lezen

De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• Is deze mail echt van WebOké? Phishing herkennen en de actiecode gebruiken
• NCSC, Hoe herken ik een phishing e-mail?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-phishing-e-mail
• NCSC, Phishing: https://www.ncsc.nl/wat-kun-je-zelf-doen/dreiging/phishing
• Fraudehelpdesk, voor melden van fraude en phishing: https://www.fraudehelpdesk.nl