Phishing wordt steeds slimmer: zo herken je een verdachte e-mail
Een slechte vertaling, vreemd e-mailadres en opvallende spelfouten? Zo eenvoudig is phishing tegenwoordig lang niet altijd meer te herkennen. Een nepmail kan eruitzien alsof hij afkomstig is van Microsoft, een leverancier of zelfs een collega. Waar moet je als ondernemer nog op letten?
Phishing is al jaren een van de meest gebruikte manieren om wachtwoorden, betaalgegevens en andere vertrouwelijke informatie buit te maken.
Vroeger waren phishingmails vaak eenvoudig te herkennen. Slechte vertalingen, vreemde zinnen en onprofessionele opmaak vielen snel op.
Tegenwoordig is dat anders.
Cybercriminelen kunnen berichten maken die sterk lijken op echte e-mails van Microsoft, banken, leveranciers, pakketdiensten of zelfs collega's.
Daarom is het belangrijk om niet alleen te letten op hoe een e-mail eruitziet, maar vooral op wat er van je wordt gevraagd.
Controleer niet alleen de naam van de afzender
In veel e-mailprogramma's zie je eerst de naam van de afzender.
Bijvoorbeeld:
Microsoft 365
of:
Administratie leverancier
Maar een zichtbare naam zegt weinig over wie de e-mail daadwerkelijk heeft verzonden.
Controleer daarom ook het echte e-mailadres.
Een bericht kan bijvoorbeeld afkomstig lijken van:
Microsoft Support
terwijl het daadwerkelijke adres iets heel anders is.
Let ook op kleine verschillen in domeinnamen. Eén extra letter, streepje of afwijkende extensie kan voldoende zijn om een vals adres betrouwbaar te laten lijken.
Pas op voor nagemaakte Microsoft 365-inlogpagina's
Een veelgebruikte phishingmethode is een e-mail waarin staat dat je opnieuw moet inloggen.
Bijvoorbeeld omdat:
- Je wachtwoord zou verlopen.
- Je mailbox vol zou zijn.
- Een document voor je klaarstaat.
- Een accountcontrole nodig zou zijn.
- Je sessie opnieuw bevestigd moet worden.
Na het klikken kom je op een website die sterk lijkt op de echte Microsoft-inlogpagina.
Voer je daar je gebruikersnaam en wachtwoord in, dan kunnen die gegevens bij een aanvaller terechtkomen.
Controleer daarom altijd goed op welk webadres je terechtkomt voordat je inloggegevens invoert.
Twijfel je? Open Microsoft 365 dan zelf via je normale snelkoppeling of een bekende website in plaats van via de link in de e-mail.
QR-codes worden ook gebruikt voor phishing
Steeds vaker staat de phishinglink niet rechtstreeks in de e-mail, maar in een QR-code.
Je krijgt bijvoorbeeld het verzoek om de code met je telefoon te scannen om een document te bekijken of je account te bevestigen.
Dat lijkt soms veiliger, maar uiteindelijk kan de QR-code je gewoon naar een malafide website sturen.
Een bijkomend risico is dat je op een telefoon vaak minder duidelijk ziet naar welk webadres je gaat.
Behandel een onverwachte QR-code daarom hetzelfde als een onverwachte link.
Let extra op bij betalingen en gewijzigde bankgegevens
Phishing draait niet altijd om het stelen van wachtwoorden.
Soms proberen aanvallers een bestaande zakelijke relatie na te bootsen.
Je ontvangt bijvoorbeeld een e-mail van een leverancier waarin staat dat het rekeningnummer is gewijzigd.
Of een collega vraagt om snel een betaling uit te voeren.
Bij dit soort verzoeken is een simpele controle vaak de beste beveiliging.
Bel de leverancier of collega via een telefoonnummer dat je al kent en vraag of het verzoek klopt.
Gebruik daarvoor niet zomaar het telefoonnummer uit de verdachte e-mail.
Urgentie is vaak bewust onderdeel van de aanval
Cybercriminelen proberen ervoor te zorgen dat je snel handelt.
Veel phishingberichten bevatten daarom teksten zoals:
- "Je account wordt vandaag geblokkeerd."
- "Betaal binnen één uur."
- "Bevestig direct je identiteit."
- "Je mailbox wordt verwijderd."
- "Dit document is slechts tijdelijk beschikbaar."
Hoe groter de haast, hoe groter de kans dat je minder goed controleert wat er eigenlijk gebeurt.
Een betrouwbare organisatie geeft je meestal de mogelijkheid om zaken via de normale website of een bekende contactpersoon te controleren.
Controleer links voordat je erop klikt
Op een computer kun je vaak met je muis boven een link hangen zonder erop te klikken.
Je ziet dan naar welk adres de link daadwerkelijk verwijst.
Komt dat adres niet overeen met de organisatie die de e-mail zou hebben verzonden? Klik dan niet.
Ook hier geldt: een professionele opmaak zegt niets over de betrouwbaarheid van de link.
Phishingmails gebruiken regelmatig logo's, kleuren en teksten die rechtstreeks van echte websites zijn overgenomen.
Keur nooit zomaar een MFA-verzoek goed
Gebruik je multifactorauthenticatie, dan krijg je soms een melding op je telefoon om een aanmelding goed te keuren.
Ontvang je zo'n melding terwijl je zelf niet probeert in te loggen?
Keur hem dan niet goed.
Een onverwacht MFA-verzoek kan betekenen dat iemand jouw wachtwoord al kent en probeert binnen te komen.
Meld verdachte aanmeldpogingen bij je ICT-beheerder en wijzig waar nodig je wachtwoord.
MFA is een belangrijke beveiligingslaag, maar alleen wanneer je bewust controleert welke aanmelding je goedkeurt.
Twijfel? Gebruik een ander communicatiekanaal
Een eenvoudige maar effectieve regel:
Bevestig een onverwacht verzoek via een ander kanaal.
Krijg je een vreemde e-mail van een collega? Bel die collega.
Krijg je een betalingsverzoek van een leverancier? Gebruik het telefoonnummer dat al in je administratie staat.
Krijg je een melding van Microsoft? Open Microsoft 365 rechtstreeks en controleer daar of er daadwerkelijk iets aan de hand is.
Op die manier vertrouw je niet uitsluitend op de informatie uit het verdachte bericht zelf.
Techniek helpt, maar medewerkers blijven belangrijk
Goede e-mailbeveiliging kan veel spam en phishing tegenhouden voordat het de inbox bereikt.
Maar geen enkel technisch systeem houdt alles tegen.
Daarom blijft het belangrijk dat medewerkers weten waarop ze moeten letten.
Regelmatig aandacht besteden aan phishing, verdachte e-mails bespreken en medewerkers stimuleren om bij twijfel vragen te stellen, verkleint de kans dat één klik grote gevolgen krijgt.
Bij Reinders Full Service ICT kijken we daarom niet alleen naar beveiligingssoftware, maar naar de complete ICT-beveiliging van een bedrijf.
Daarbij horen onder andere beveiligde werkplekken, accountbeveiliging, Microsoft 365, monitoring en bewustwording van gebruikers.
Eén verdachte e-mail kan genoeg zijn
Phishing wordt steeds overtuigender.
Daarom is de belangrijkste beveiligingsmaatregel niet dat je iedere phishingmail perfect herkent.
Het belangrijkste is dat je een onverwacht verzoek altijd even controleert voordat je handelt.
Klik niet automatisch, keur geen onverwachte aanmelding goed en verifieer belangrijke verzoeken via een bekend kanaal.
Een controle van dertig seconden kan veel problemen voorkomen.
Heb je een e-mail ontvangen waar je over twijfelt? Neem gerust contact met ons op. We kijken graag met je mee.