Phishing herkennen: zo ontmasker je ook quishing, smishing en vishing

Waarom phishing het mkb zo vaak raakt

Volgens de Cybersecuritymonitor 2025 van het CBS kreeg 23 procent van de Nederlandse bedrijven in 2024 te maken met phishing of spoofing. Daarmee is het de meest voorkomende en ook meest eenvoudige vorm van cybercriminaliteit. Complexere aanvallen, zoals ransomware, werden door ongeveer 1 procent van de bedrijven gemeld. Ook complexere aanvallen gebruiken de mens vaak als ingang; het verschil zit hem in het doel. Een phishingaanval heeft vaak als doel om via de mens aan inloggegevens te komen, waar een ransomware aanval als doel heeft om de mens een bestand uit te laten voeren, dat vervolgens de inbreker toegang tot het IT-systeem geeft. Dit alles gebeurt met hulp van de mens.

Het aantal phishingpogingen groeit bovendien snel. In de eerste helft van 2026 werden bij de Fraudehelpdesk 15.106 phishingmeldingen gedaan, tegenover 2.776 in dezelfde periode van 2025. Het gaat hierbij vooral om meldingen van consumenten, maar de trend is duidelijk. Berichten worden bovendien overtuigender, omdat criminelen gegevens uit eerdere datalekken in combinatie met AI gebruiken om hun verhaal geloofwaardig te maken. Juist in het mkb, waar lijnen kort zijn en iedereen meerdere petten draagt, is één snelle klik dan genoeg.

Hoe herken je een phishingmail?

Een goed gemaakte phishingmail is lastig te herkennen; AI heeft de tijd van opvallende taalfouten grotendeels beëindigd. Let daarom vooral op de omstandigheden van het bericht:

• Afwijkende afzender of link: het domein lijkt op het echte adres, maar klopt net niet. Zo lijkt rnicrosoft.nl (geschreven dus met een r en een n!) wel heel erg op microsoft.nl. Ga met je muis over een link voordat je klikt.

• Haast of dreiging: “je account wordt vandaag geblokkeerd” of “de factuur moet nog vóór 12.00 uur betaald worden”.

• Een ongebruikelijk verzoek: inloggegevens bevestigen, een rekeningnummer wijzigen of een betaling buiten de normale procedure.

• Onverwachte bijlagen of QR-codes: zeker als je om een bericht niet hebt gevraagd.

• Te mooi om waar te zijn: een cadeau, een teruggave of een aanbieding die net iets te gunstig is.

Twijfel je? Neem dan contact op met de afzender via een nummer of adres dat je zelf opzoekt. Gebruik nooit de gegevens uit het bericht zelf.

Welke soorten phishing zijn er?

Naast de klassieke phishingmail zijn er drie varianten die je medewerkers moeten kennen:

Quishing (QR-phishing). De link zit verstopt in een QR-code, in een mail, een brief of als sticker op een parkeerautomaat of laadpaal. Het gevaarlijke is dat je vooraf niet ziet waar de code naartoe leidt. Bovendien scan je een QR-code meestal met je telefoon. Daarmee omzeil je ongemerkt de beveiliging van je zakelijke laptop en mailomgeving.

Smishing (sms-phishing). Een sms of WhatsApp-bericht over een gemiste pakketbezorging, een openstaande boete of een “nieuw nummer” van je directeur. Berichten op je telefoon voelen persoonlijk en worden sneller beantwoord dan een mail.

Vishing (voice phishing). Iemand belt namens de bank, Microsoft of jullie eigen IT-leverancier. Hij weet je naam, je functie en soms zelfs welke systemen jullie gebruiken. Met AI kunnen criminelen inmiddels ook stemmen nabootsen, bijvoorbeeld die van een collega of leidinggevende.

Praktijkvoorbeeld: één aanval, drie kanalen

Neem een transportbedrijf met 30 medewerkers. Op vrijdagmiddag ontvangt de officemanager een mail “van Microsoft”: haar account moet opnieuw worden geverifieerd via de QR-code in de mail. Het spamfilter ziet geen verdachte link, want die zit in de afbeelding. Ze scant de code met haar telefoon en vult haar wachtwoord in. Tien minuten later belt “de helpdesk van jullie IT-leverancier”. Er is verdachte activiteit gezien; of ze even de code wil doorgeven die ze zojuist per sms ontvangt? Die code blijkt de tweede stap van de inlog te zijn. Op maandagochtend zijn er vanuit haar mailbox facturen met een gewijzigd rekeningnummer naar klanten verstuurd!

Geen enkel technisch systeem heeft hier gefaald. De aanvaller combineerde quishing met vishing en speelde in op haast, gezag en het vrijdagmiddaggevoel.

Wat moet je doen als je op een phishinglink hebt geklikt?

Snelheid beperkt de schade. Zorg dat iedereen in jouw organisatie deze stappen kent:

1. Meld het direct bij je leidinggevende of IT-verantwoordelijke. Schaamte kost tijd; tijd kost geld.

2. Wijzig het wachtwoord van het betrokken account.

3. Verwijder alle actieve sessies.

4. Controleer of er geen persistente toegang via bijvoorbeeld derde partijen apps of e-mail doorstuur regels zijn aangemaakt. Indien wel, verwijder deze dan.

5. Stel 2FA methode opnieuw in.

6. Heb je een code doorgegeven of een betaling gedaan? Bel dan meteen je bank.

7. Waarschuw klanten en leveranciers als er vanuit jullie naam is gemaild.

8. Doe aangifte bij de politie als er schade is. Je kunt de poging ook melden bij de Fraudehelpdesk.

Zijn er persoonsgegevens in verkeerde handen gekomen? Dan heb je mogelijk een meldplicht bij de Autoriteit Persoonsgegevens, binnen 72 uur.

Waarom losse tips niet genoeg zijn

Iedereen kent de tips, toch trapt iedereen er weleens in. Dat komt doordat phishing niet inspeelt op kennis, maar op gedrag: haast, gewoonte en vertrouwen. Een eenvoudige vuistregel helpt: vertraag, vraag en verifieer. Dat klinkt logisch, maar het werkt alleen als het een gewoonte wordt. Daarvoor is oefening nodig.

Bij Securide kijken we naar cyberweerbaarheid vanuit vier invalshoeken: mensen, techniek, processen en leiderschap. Phishing raakt ze alle vier. Medewerkers moeten signalen herkennen. Technische maatregelen zoals tweefactorauthenticatie maken een gestolen wachtwoord minder waardevol. Een vaste procedure voor het wijzigen van rekeningnummers had het transportbedrijf veel ellende bespaard. En als leiding bepaal jij of melden van een fout veilig voelt of juist niet.

Met CyberAwareness trainen we jouw medewerkers met praktijkgerichte trainingen, e-learning en realistische phishingsimulaties, inclusief quishing, smishing en vishing. Zo wordt alert zijn een gewoonte in plaats van een goed voornemen. Wil je eerst weten hoe weerbaar jouw organisatie nu al is? Begin dan met de CyberCheck. Neem contact op. Eén klik minder kan het verschil maken!