Phishing: Hoe herken je het en wat kun je doen?

Phishing is een (groeiend) probleem voor veel organisaties. 98% van de succesvolle cyberaanvallen beginnen met een phishing e-mail. Omdat mensen emotioneel beïnvloedbaar zijn is het een bijzonder effectief wapen voor cybercriminelen. Maar er is een oplossing: met de juiste kennis kun je een phishing e-mail goed herkennen.

Phishing e-mails spelen in op jouw emoties. Door rationeel te blijven denken voorkom je dat je slachtoffer van een phishing e-mail wordt. Heb je het vermoeden dat je naar een phishing e-mail aan het kijken bent? Dan kun je jouw vermoeden testen door naar specifieke technische kenmerken te kijken.

Phishing speelt in op jouw emotie

Het emotionele deel van ons brein is sneller en sterker dan het rationele deel van ons brein. Daarom wordt bij phishing vaak gebruikgemaakt van technieken om ons te laten handelen vanuit emoties zoals angst en stress. Als je je bewust bent van deze veelgebruikte technieken kun je ze herkennen en rationeel handelen.

Een tip van DTX om niet uit emotie te handelen is de 6-seconden regel. Na 6 seconden zal het rationele deel van je brein weer gelijklopen met het emotionele deel en kun je bewuster de validiteit van de e-mail controleren. Vraag jezelf af wat het doel is van de e-mail en hoe het dit doel probeert te bereiken?

Er zijn zes scenario’s die hackers het meest misbruiken:

• Stress
  Het is bijna 5 uur, je werkt vluchtig door je taken heen en op het laatste moment ontvang je toch nog één e-mail. Vanwege de stress werk je te snel en heb je niet genoeg aandacht voor de e-mail. Te vluchtig reageren op een mail kan ervoor zorgen dat je de risicosignalen mist. Denk aan de 6-seconden regel.
• Urgentie
  Vaak wordt er via deadlines een tijdsdruk gegeven. Dit kan in positieve of negatieve zin, zo kan het zijn dat “je een prijs hebt gewonnen die je binnen een paar uur moet claimen” of “je bankrekening vergrendeld binnen zoveel uur als je geen actie onderneemt”.
• Angst
  Het vorige voorbeeld gebruikt ook angst, je bent bang dat je bankrekening vergrendeld wordt en je niet meer bij je geld kunt. Dit soort e-mails spelen in op je angst om iets te vergeten, dat je iets verkeerd hebt gedaan en er grote consequenties volgen als je niet handelt.
• Hebzucht
  Zijn er nog maar 5 gift-cards over? Doet de dienst of het product zich voor alsof er veel vraag naar is? Is een product ineens heel scherp afgeprijsd? Het is waarschijnlijk te mooi om waar te zijn. Let goed op dat je niet vanuit hebzucht beslissingen maakt.
• Nieuwsgierigheid
  Het is natuurlijk voor de mens om nieuwsgierig te zijn. Een e-mailtje over een onverwachts pakketje dat geleverd gaat worden speelt hier perfect op in. Heb je iets over het hoofd gezien? Ben je vergeten wat je besteld hebt? Via nieuwsgierigheid proberen criminelen je te motiveren om op de link te drukken.
• Autoriteit
  Er kan ook autoriteit nagebootst worden. Dan lijken de e-mails van een persoon te komen die in een positie zit die op basis van autoriteit invloed kan uitoefenen. Denk aan een manager of HR-afdeling die iets van je nodig heeft. Bij twijfel, neem contact op met de afzender via een ander kanaal, gebruik niet de e-mail!

Hoe herken je een phishing e-mail?

Je argwaan is nu geprikkeld, maar klopt dit vervolgens ook? Phishing e-mails zijn op het eerste oog niet snel te herkennen, maar als je even de tijd neemt zijn er een aantal factoren die je kunt controleren om te kijken of een e-mail valide is.

• Logica
  Is het logisch dat je deze mail ontvangt? Ben je wel klant van deze partij, verwacht je ook echt een pakketje of heb je echt een rekening open staan? Denk eerst goed na of het verzoek dat je ontvangt wel logisch is. Twijfel je hierover? Zoek het bedrijf op en neem contact op voor opheldering.
• De afzender
  Vertrouw de afzender-naam niet: De afzender-naam kan vervalst zijn. Bekijk het e-mailadres goed om de afzender te valideren. Controleer ook of je al vaker mails hebt ontvangen van deze afzender.
  De domeinnaam: De meeste legitieme organisaties e-mailen vanuit een eigen domeinnaam, niet vanaf een publiek domein (bijv. niet ‘@hotmail.com’). Komt de domeinnaam overeen met de gebruiker die het zou hebben gestuurd? Staan er spelfouten in de domeinnaam?
• Bijlage
  Wees voorzichtig met bijlagen: Bijlagen kunnen misleidend zijn met lange namen of nep-iconen. Open alleen bijlagen als je zeker bent van de herkomst.
• Linkjes
  Zweef, klik niet: Zweef met je muis over een link (zonder te klikken) om de bestemming te zien. Komt deze overeen met je verwachting? Let op spelfouten of verdachte domeinnamen. Gebruik VirusTotal of namecheck om verdachte links te scannen.
• Taalgebruik
  Aanhef: Is de aanhef specifiek (bijv. je naam) of vaag (bijv. “Beste klant”)?
  Spelling en grammatica: Fouten in spelling of grammatica kunnen wijzen op phishing. Legitieme organisaties hebben dit meestal wel op orde.
• Kleine foutjes
  Stijl en logo’s: Phishing e-mails bevatten vaak kleine stijlfouten of wazige logo’s. Blijf kritisch.
  Contactgegevens: Controleer of de contactgegevens kloppen. Gebruik een zoekmachine om het bedrijf te verifiëren.

Wat te doen bij twijfel?

Voldoet de e-mail aan alle punten, maar twijfel je nog steeds? Neem dan contact op met de afzender via een ander kanaal (niet via de e-mail zelf). De contactgegevens in de e-mail kunnen vervalst zijn.

Wat moet je doen bij een phishing e-mail?

• Markeer als spam
  Door de e-mail als spam te markeren, worden vergelijkbare e-mails in de toekomst beter gefilterd.
• Verwijder direct
  Verwijder de e-mail onmiddellijk om per ongeluk niet later alsnog op links of bijlagen te klikken.

Wat moet je nooit doen bij een phishing e-mail?

• Stuur niet door naar collega’s
  Doorsturen kan hun apparaten infecteren.
• Download geen bijlagen
  Bijlagen kunnen malware bevatten.
• Klik niet op links
  Links kunnen naar schadelijke websites leiden of je e-mailadres bevestigen bij criminelen.
• Reageer niet op de e-mail
  Reageren bevestigt dat je e-mailadres actief is, wat kan leiden tot meer phishingpogingen.
• Bel geen nummers uit de e-mail
  Telefoonnummers in phishing e-mails leiden vaak naar oplichters.

Bescherm je organisatie tegen phishing

Jouw organisatie bestaat uit mensen die dagelijks e-mails ontvangen. Eenmalige uitleg over phishing is niet voldoende. Onze partner Phished biedt een Phishing Training om medewerkers bewuster te maken. Meer weten? Neem contact op met onze experts!