Phishing voorkomen begint bij dat soort herkenbare situaties. Waar let je op als een bericht er betrouwbaar uitziet? Wat doe je als je toch hebt geklikt? En hoe zorg je dat ook een collega die net in dienst is, weet bij wie die terechtkan?

Hoe herken je phishing als het bericht er gewoon goed uitziet?

Bij phishing probeert iemand je onder een vals voorwendsel iets te laten doen. Denk aan inloggen op een nagemaakte website, een betaling goedkeuren of een verificatiecode doorgeven. Dat kan via e-mail, maar ook via een sms, een chatbericht of een telefoontje.

Een spelfout of een vreemd afzenderadres kan opvallen. Lastiger wordt het als de tekst netjes is geschreven en het bericht past bij je werk. Let daarom vooral op wat iemand van je vraagt. Wijkt dat af van jullie gebruikelijke werkwijze? Moet je ineens opnieuw inloggen? Of gebruikt iemand tijdsdruk om een controle over te slaan?

Wat de phishingaanval op Odido laat zien

In februari 2026 kregen criminelen gegevens van meer dan zes miljoen klanten van Odido in handen. Volgens de politie belde een Nederlandssprekende man de klantenservice en deed hij zich voor als een collega van de IT-afdeling. Hij kende de interne termen en zei dat hij een probleem moest oplossen. Voor de medewerker klonk dat als een normaal gesprek met een collega.

Op aanwijzing van de beller opende de medewerker een nagemaakte inlogpagina. Daar vulde de medewerker een gebruikersnaam, wachtwoord en verificatiecode in. Zo kregen de aanvallers toegang tot interne systemen.

Voor je eigen organisatie is vooral de vraag interessant hoe makkelijk iemand zo’n gesprek mag onderbreken. Weet een nieuwe collega welk nummer die zelf kan bellen? En krijgt die ook de ruimte om dat te doen als de beller zegt dat er haast bij is? Leg die afspraak vast en bespreek hem tijdens het inwerken.

Wat zeggen de cijfers over phishing?

Voor het Data Breach Investigations Report 2026 onderzocht Verizon in Europa, het Midden-Oosten en Afrika 6.060 incidenten waarbij daadwerkelijk gegevens waren gelekt. Verizon noemt phishing bij 28% als manier waarop aanvallers binnenkwamen. Bij 70% speelde menselijk handelen een rol. Dat laatste cijfer gaat ook over andere situaties en is dus breder dan phishing.

De schade kan ook direct financieel zijn. Zo meldde winkelketen Pepco in februari 2024 dat de Hongaarse organisatie door een phishingaanval ongeveer 15,5 miljoen euro was kwijtgeraakt. Dat was het bedrag vóór eventueel terughalen van geld. Voor een mkb-bedrijf kan één verkeerd betaalde factuur al betekenen dat er minder geld beschikbaar is voor salarissen of leveranciers.

Wat doe je als iemand toch heeft geklikt?

Maak het je medewerkers makkelijk om meteen aan de bel te trekken. Spreek af bij wie ze een verdacht bericht melden en zet het telefoonnummer op een plek die ze ook zonder toegang tot hun mailbox kunnen vinden. Een collega moet ook kunnen bellen met alleen de mededeling ‘Ik twijfel of dit klopt.’

Heeft iemand al geklikt? Vraag dan hoe laat het gebeurde en wat er daarna op het scherm verscheen. Alleen een pagina openen is voor de opvolging een andere situatie dan een wachtwoord invoeren, een bestand uitvoeren of een aanmelding goedkeuren. Laat de medewerker het oorspronkelijke bericht bewaren. Zijn er gegevens ingevuld, is er een bestand uitgevoerd of is er toegang verleend? Bel dan direct de eigen servicedesk. Die kan beoordelen welke maatregelen nodig zijn, zoals een wachtwoord wijzigen en actieve aanmeldsessies intrekken. Is er geld overgemaakt, neem dan ook direct contact op met de bank.

Hoe je als leidinggevende reageert, doet ertoe. Bedank de collega voor de snelle melding. Zoek eerst uit wat er nodig is. Als medewerkers weten dat ze ook na een vergissing gewoon kunnen bellen, maak je de drempel voor de volgende melding lager.

Hoe oefen je dit met je medewerkers?

Begin met een verzoek dat je team echt kan tegenkomen. Bespreek met de administratie wie een gewijzigd rekeningnummer controleert en waar het juiste telefoonnummer staat. Vraag de klantenservice hoe zij vaststelt dat iemand die zich als IT-collega voorstelt ook echt voor jullie werkt. Zo merk je al snel of de afspraak voor iedereen duidelijk én uitvoerbaar is.

Bij STH gebruiken we LupaSafe voor security awareness. Met onze dienst Security Awareness krijgen medewerkers iedere maand per e-mail een korte training over digitale veiligheid. Met de Phishing Campagne ontvangen medewerkers daarnaast regelmatig een gesimuleerde phishingmail. Zo kunnen ze tijdens hun gewone werk oefenen met het herkennen van een verdacht verzoek.

Bespreek na een oefening ook wat er gebeurde toen iemand twijfelde. Wist diegene de servicedesk te vinden? Kon de administratie de betaling eenvoudig uitstellen? Als meerdere collega’s op hetzelfde punt vastlopen, heb je iets concreets om te verbeteren. Soms helpt een volgende training. Soms is het al genoeg om de terugbelafspraak aan te scherpen en het juiste nummer op een logische plek te zetten.

Wil je met je team oefenen met phishing? We bespreken graag welke situaties je medewerkers tegenkomen en hoe een phishingcampagne of korte maandelijkse training daarbij past.