Module 2 · 2.4

Nederlands

Nederlands English Deutsch Français Español Italiano Polski Português

Phishing herkennen in je webmail

Module 2: Mail lezen · Leestijd: 10 minuten

Leerdoel: Na deze les herken je de kenmerken van een phishingmail, kun je in de webmail controleren waar een link en een antwoord echt heen gaan, en weet je wat je doet met een verdachte mail en als je toch hebt geklikt.

Kernbegrippen: phishing, linktekst, echte link, domeinnaam, subdomein, lookalike-domein, Antwoord-aan, waarschuwing verdachte adressen, Meld Spam, ander kanaal

Wat phishing is

Phishing is een mail die je probeert te verleiden om iets te doen wat de afzender helpt: inloggen op een nagemaakte pagina, een betaling doen, een bijlage openen, of gegevens terugsturen. Het woord komt van het Engelse fishing: de aanvaller gooit een lijntje uit en wacht wie bijt.

De meeste phishing gaat niet over je computer, maar over jou. Er zit vaak geen virus in. De mail wil alleen dat jij zelf iets doet. Daarom helpt een virusscanner maar beperkt, en helpt het wel om de trucs te kennen.

De vaste ingrediënten

Bijna elke phishingmail gebruikt een of meer van deze middelen:

Haast: "binnen 24 uur", "vandaag nog", "laatste herinnering". Wie haast heeft, controleert minder.
Dreiging: je mailbox wordt afgesloten, je domein verloopt, er staat een incasso open, je pakket gaat terug.
Beloning of nieuwsgierigheid: een terugbetaling, een gedeeld document, een voicemail.
Een knop of link naar een pagina die eruitziet als die van je bank, je provider of je webmail.
Een afzender of domein dat bijna klopt.
Een afwijkend antwoordadres, zodat je antwoord bij de oplichter terechtkomt.

Een mail met haast én een link naar een inlogpagina verdient altijd een tweede blik, ook als hij er netjes uitziet. Goede phishing heeft geen taalfouten meer.

Linktekst en echte link

In een mail zijn de tekst die je ziet en het adres waar de link heen gaat twee verschillende dingen. In de bron van een mail ziet dat er zo uit:

<a href="https://login.weboke.nl.account-check.example/inloggen">
  https://webmail.weboke.nl
</a>

Je ziet https://webmail.weboke.nl, maar je gaat naar een heel ander adres. Op een computer controleer je dat zo: wijs de link of knop met de muis aan, zonder te klikken. Onderin het browservenster verschijnt het echte adres. Op een telefoon of tablet houd je de link lang ingedrukt; je krijgt dan een menu met het adres erboven. Kies daarna niet voor openen.

Een webadres lezen

Het echte adres moet je dan ook goed kunnen lezen. Kijk naar het stuk tussen https:// en de eerstvolgende schuine streep. Lees dat van rechts naar links: de extensie (.nl, .com, .example) en het woord ervoor vormen samen de domeinnaam. Dat is het deel dat telt.

https://webmail.weboke.nl/ : de domeinnaam is weboke.nl. Het deel webmail ervoor maakt er een subdomein van; dat mag alleen de eigenaar van weboke.nl aanmaken.
https://login.weboke.nl.account-check.example/inloggen : de domeinnaam is account-check.example. Alles ervoor ("login.weboke.nl") is een subdomein dat de aanvaller zelf koos. Dit is de bekendste truc.
https://weboke-beveiliging.example/ : een lookalike-domein. Het bevat een bekende naam, maar het is een ander domein, dat iedereen kan registreren.
https://www.example.com@account-check.example/ : alles voor de @ wordt genegeerd; je gaat naar account-check.example.

Er zijn ook domeinen die met lettertrucs werken: een cijfer 0 in plaats van een letter o, rn in plaats van m, of letters uit een ander alfabet die er hetzelfde uitzien. Zie je zo'n verschil niet met het blote oog, dan helpt een wachtwoordmanager: die vult je wachtwoord alleen in op het echte domein (les 1.3).

Afzender en Antwoord-aan

In les 2.2 zag je dat de weergavenaam niets bewijst en dat Antwoord-aan een eigen adres kan hebben. Bij phishing komen die twee vaak samen. De mail heet van "WebOké Support" te komen, het adres is support@weboke-beveiliging.example, en Antwoord-aan wijst naar een gratis mailadres. Of de mail komt van het echte adres van je directeur, maar Antwoord-aan wijst naar een ander domein. Dat laatste zie je vaak bij CEO-fraude: een "dringende betaling" die de directeur vanaf een vergadering zou vragen.

De webmail helpt een beetje. Bevat het adres van de afzender tekens die op gewone letters lijken maar het niet zijn, dan toont de webmail boven het bericht een waarschuwing dat het bericht e-mailadressen bevat die mogelijk niet te vertrouwen zijn. Zie je die melding, behandel de mail dan als verdacht. Zie je hem niet, dan zegt dat niets: de meeste phishing gebruikt gewoon een ander domein.

En onthoud uit les 2.2: een mail die netjes door SPF, DKIM en DMARC komt, kan nog steeds phishing zijn. De aanvaller gebruikt dan zijn eigen, echte domein.

Wat je doet met een verdachte mail

Niet klikken, niet antwoorden, geen bijlage openen. Ook niet "even kijken".
Zelf naar de site gaan. Gaat de mail over je bank, je provider of een pakket? Open de site of app zoals je dat altijd doet, via een bladwijzer of door het adres zelf te typen. Staat daar niets, dan was de mail nep.
Bel bij twijfel, op een nummer dat je al had, niet een nummer uit de mail.
Meld de mail. In de webmail van WebOké met Meld Spam: het bericht gaat naar het spamteam van WebOké en naar je map Spam. Gaat de mail over je bank, stuur hem dan ook door naar het meldadres van die bank. In Nederland kun je phishing ook melden bij de Fraudehelpdesk.
Waarschuw collega's als de mail naar meer mensen in je organisatie ging.

Toch geklikt of ingelogd?

Het kan iedereen overkomen. Snel handelen maakt het grootste verschil.

Wijzig meteen je wachtwoord, vanaf een apparaat dat je vertrouwt, en ook op elke andere plek waar je hetzelfde wachtwoord gebruikte.
Zet tweestapsverificatie aan (les 8.1).
Controleer je mailbox op sporen. Aanvallers die in een mailbox komen, maken vaak een filter dat mail doorstuurt of verbergt, of ze passen Antwoord-aan in je identiteit aan. Kijk bij Instellingen > Filters, Instellingen > Identiteiten en bij Afwezigheidsbericht of daar iets staat dat je niet zelf hebt gemaakt.
Heb je betaalgegevens ingevuld? Bel direct je bank.
Stuurt je mailbox ineens spam? Meld het bij je provider.

In de praktijk: zo werkt het in de webmail

In de webmail wijs je een link aan om het echte adres onderin je browser te zien. Met Details zie je het adres van de afzender, en in het opstelscherm zie je waar een antwoord heen gaat. De knop Meld Spam staat boven het bericht.

Het venster Spam melden met de vraag Wil je dit bericht als spam melden en de keuzes eronder — Het venster Spam melden

Op de afbeelding zie je het venster dat verschijnt als je op Meld Spam klikt. De Roundcube-handleiding beschrijft het bij Spam melden met Meld Spam. In andere webmail, zoals Gmail of Outlook.com, werkt het vergelijkbaar: daar heet de knop bijvoorbeeld Phishing melden of Rapporteren.

Samenvatting

Phishing werkt met haast, dreiging, een link naar een nagemaakte pagina en een afzender die bijna klopt.
Linktekst en echte link verschillen: wijs aan met de muis of houd lang ingedrukt op je telefoon.
Lees de domeinnaam van rechts naar links; alles wat ervoor staat, kiest de eigenaar van dat domein zelf.
Antwoord-aan naar een ander domein en de waarschuwing over verdachte adressen zijn signalen; een geslaagde DMARC-controle bewijst niets over betrouwbaarheid.
Niet klikken, zelf naar de site gaan, melden; toch geklikt: wachtwoord wijzigen en je filters en identiteiten nalopen.

Quiz

Opdracht

Opdracht A2.4: Een verdachte mail ontleden. Het materiaal phishing-1.eml staat onder deze opdracht. Open het als tekst (bijvoorbeeld in Kladblok of TextEdit, niet in je mailprogramma) en zoek de kopregels From en Reply-To en het adres achter de knop in de inhoud (de href). Vul in: het echte afzenderdomein, het domein waar de knop echt heen gaat, het domein van Antwoord-aan, en kies of je de mail vertrouwt. Het programma vergelijkt je antwoorden met de antwoordsleutel en laat per vraag zien waar je het in het bestand had kunnen vinden.

Verder lezen

Waar stappen in de webmail staan, gelden ze voor de webmail van WebOké; in andere webmail werkt het vergelijkbaar.

Cookies op WebOké

Cookie-instellingen

Noodzakelijk

Marketing