Phishing herkennen: 7 signalen voor je team

Hoe vaak komt phishing voor?

In de Cybersecuritymonitor 2025 van het CBS gaf bijna een kwart van de bedrijven met 2 of meer werknemers (23 procent) aan in 2024 met phishing of spoofing te maken te hebben gehad, oftewel oplichting via een link in een mail, telefoongesprek of sms. Van de overige uitgevraagde aanvallen van buitenaf, zoals DDoS-aanvallen, datalekken en BEC-fraude, kwam dit in 2024 volgens het CBS het vaakst voor. Ook bij kleine bedrijven komt het voor: bij 2 tot 10 werknemers was het 20 procent, bij 10 tot 50 werknemers 29 procent. Het cijfer gaat over bedrijven die ermee te maken kregen. Hoeveel bedrijven erin trapten, zegt het niet.

De Fraudehelpdesk ontving in de eerste helft van 2026 15.106 meldingen van phishing, tegenover 2.776 in dezelfde periode van 2025. In 59 procent van de meldingen werd e-mail genoemd, tegenover 30 procent een jaar eerder. Het is een telling van meldingen bij de Fraudehelpdesk en geen telling van alle verstuurde berichten. Volgens de Fraudehelpdesk is het moeilijker geworden om echt van nep te onderscheiden, omdat melders vaker aangeven dat oplichters veel persoonlijke informatie hebben. Het NCSC schrijft dat phishing nooit volledig te voorkomen is.

De 7 signalen van phishing

Volgens het NCSC wijst vaak een combinatie van signalen op phishing. Kijk dus naar het geheel.

1. De afzender klopt bijna. Kijk naar het echte mailadres en niet alleen naar de naam. Het NCSC noemt het vervangen van tekens in de domeinnaam een veelgebruikte truc, bijvoorbeeld een hoofdletter I in plaats van het cijfer 1. Ook een mail van een organisatie waar je geen relatie mee hebt kan een signaal zijn.
2. Er is haast of dreiging. Een oproep om snel te reageren of een dreigend gevolg, zoals een geblokkeerde rekening, moet je laten klikken voordat je nadenkt. Het NCSC schrijft dat aanvallers zo tijdsdruk creëren, zodat je minder kritisch leest.
3. Een onverwachte bijlage, factuur of link. Beweeg de muis boven de link zonder te klikken. Wijst hij naar een ander domein dan zichtbaar is, vertrouw hem dan niet. Open geen onverwachte bijlage om even te kijken.
4. Je moet inloggen of gegevens controleren via een link. Banken, verzekeraars en overheden vragen niet op die manier om persoonsgegevens. Het NCSC adviseert om nooit inloggegevens of verificatiecodes in te voeren via een e-mail. Ga zelf naar de website of app van de organisatie.
5. Een verzoek om geld of een gewijzigd rekeningnummer. Bij factuurfraude verandert een oplichter in een onderschepte factuur het rekeningnummer. De Fraudehelpdesk raadt aan het bedrijf te bellen op een nummer dat je zelf opzoekt, dus zonder de contactgegevens uit de factuur of mail te gebruiken, en het rekeningnummer te vergelijken met dat in je eigen administratie.
6. Een spoedverzoek van de directeur of een collega. Bij Business Email Compromise (BEC) doen criminelen zich voor als iemand die binnen de organisatie wordt vertrouwd, vaak een directeur of leidinggevende (CEO-fraude). Het NCSC noemt BEC een van de snelst groeiende vormen van digitale oplichting. Controleer zo’n verzoek via een ander kanaal, bijvoorbeeld door te bellen op een nummer dat je al kende.
7. De taal of aanhef wijkt af. Taalfouten komen volgens het NCSC minder vaak voor, onder meer door AI, en logo’s en foto’s zien er steeds professioneler uit. Een verzorgde mail zegt dus niets over de betrouwbaarheid. Een algemene aanhef zoals Beste gebruiker kan een signaal zijn, maar criminelen die je gegevens hebben gebruiken soms wel je naam. Vergelijk de mail met een eerdere echte mail van dezelfde afzender.

Wat doe je bij twijfel?

De Fraudehelpdesk raadt consumenten en bedrijven drie stappen aan: vertraag, vraag en verifieer.

• Vertraag. Handel niet direct en neem de tijd om na te denken. Een dwingende toon en de eis om heel snel te reageren kunnen volgens de Fraudehelpdesk betekenen dat het een valse mail is.
• Vraag. Stel kritische vragen: met wie heb ik te maken, is dit logisch en is dit de normale procedure?
• Verifieer. Controleer informatie via een vertrouwde bron voordat je betaalt of gegevens deelt. Het NCSC adviseert om de afzender te bellen op een nummer dat je al kende, of via een andere bron dan de mail.

Klik tot die tijd nergens op, open geen bijlage en meld de mail bij de interne contactpersoon of servicedesk, zoals het NCSC adviseert. Heb je geen eigen IT-medewerker, dan kan dat je IT-partner zijn.

Wat doe je als je toch hebt geklikt?

Dat kan iedereen overkomen. Het NCSC schrijft dat melden altijd moet worden aangemoedigd, ook als iemand al op een link heeft geklikt, en dat snel melden de schade beperkt. Welke stappen verder nodig zijn, hangt af van wat er is gebeurd.

1. Meld het direct bij je IT-partner of de collega die je IT beheert, en vul verder niets in.
2. Bepaal wat er is gebeurd. Alleen geklikt, een wachtwoord ingevuld, een bijlage geopend of geld overgemaakt? Heb je alleen geklikt en geen rekeninggegevens ingevuld omdat je het niet vertrouwde, dan is er volgens de politie in principe niets aan de hand, maar blijf alert. Het NCSC waarschuwt wel dat links in nepmails schadelijke software kunnen installeren of naar een valse website leiden, dus meld ook een klik.
3. Heb je een bijlage geopend? Laat je computer, tablet of telefoon controleren op schadelijke software. Bij malware is het volgens het NCSC beter geen risico te nemen en het systeem opnieuw te installeren. Kijk ook of de malware zich verder heeft verspreid. De politie noemt als volgorde: eerst het apparaat laten controleren, daarna de wachtwoorden wijzigen, en met internetbankieren wachten tot het apparaat schoon is.
4. Wijzig het wachtwoord van het account en van elk ander account met hetzelfde wachtwoord. Log daarna overal uit en zet meervoudige verificatie aan, zoals het NCSC adviseert. In Microsoft 365 kan je beheerder alle actieve sessies intrekken en onbekende inlogmethoden verwijderen. Microsoft raadt aan een nieuw wachtwoord niet per mail te sturen, omdat de aanvaller dan toegang tot de mailbox kan hebben. Laat ook de mailbox nakijken op doorstuurregels: het NCSC noemt het instellen van een doorstuurregel een veelgebruikte tactiek van cybercriminelen.
5. Heb je betaald of bankgegevens ingevuld? Neem direct contact op met je bank. Volgens het NCSC kunnen betalingen in sommige gevallen worden tegengehouden of teruggedraaid en kan de bank waken voor verdachte betalingen. De politie noemt dat je de rekening desnoods kunt laten blokkeren.
6. Waarschuw je contacten en bewaar bewijs. Is een account overgenomen, laat je contacten, partners en leveranciers dan weten dat berichten van dat account met voorzichtigheid moeten worden behandeld. Bewaar de phishingmail als bewijs zonder er iets aan te veranderen, want de politie wil hem kunnen zien bij een aangifte. Verwijder hem daarna uit de inboxen van je collega’s, zodat niemand er per ongeluk op klikt.
7. Kijk of er persoonsgegevens zijn geraakt. Zijn persoonsgegevens van klanten of medewerkers buitgemaakt, veranderd of verwijderd, dan heb je volgens het NCSC een datalek en moet je dat mogelijk melden bij de Autoriteit Persoonsgegevens. Het NCSC schrijft dat je een geconstateerd datalek binnen 72 uur moet melden. Of en wanneer je moet melden, bespreek je met je jurist of adviseur.

Hoe meld je phishing als bedrijf?

Het NCSC schrijft dat medewerkers verdachte mails eenvoudig moeten kunnen melden en laten controleren. Het NCSC adviseert organisaties verder om één duidelijk aanspreekpunt te hebben, bijvoorbeeld een servicedesk of securityteam, en om in een incidentresponsplan vast te leggen wie een incident beoordeelt en wanneer accounts worden geblokkeerd of wachtwoorden worden gereset. Voor een klein bedrijf kan de servicedesk van je IT-partner dat aanspreekpunt zijn.

• Binnen je bedrijf. Bij Microsoft 365-organisaties met mailboxen in Exchange Online heeft Outlook in ondersteunde versies een ingebouwde meldknop (Report) met Report phishing en Report junk. Je beheerder zet gebruikersrapportage aan en bepaalt of de melding naar een eigen meldmailbox, naar Microsoft of naar beide gaat.
• De Fraudehelpdesk. Stuur een valse mail met een link of bijlage als bijlage door naar valse-email@fraudehelpdesk.nl en zet de bank of het bedrijf in cc als de mail daarvandaan lijkt te komen. WhatsApp-berichten, sms’jes en mails zonder link of bijlage meld je via het meldformulier op fraudehelpdesk.nl, waar ook een formulier voor ondernemers staat. Overige digitale meldingen doe je volgens de Fraudehelpdesk alleen via de formulieren op de website.
• De organisatie wiens naam is misbruikt. Het NCSC schrijft dat veel organisaties een speciaal e-mailadres hebben waar je phishing kunt melden.
• De politie. Het NCSC raadt aan altijd aangifte te doen van cybercriminaliteit en neemt zelf geen phishingmeldingen aan. Online aangifte van phishing kan volgens de politie alleen bij phishing van bankgegevens en betaalverzoekfraude. Voor andere vormen maak je een afspraak op het politiebureau via 0900-8844 (lokaal tarief). Ook namens een bedrijf of organisatie doe je aangifte op het politiebureau na een afspraak via dat nummer.

Wat kan je IT-partner technisch regelen?

Het NCSC schrijft dat maatregelen de kans van slagen van een phishingaanval verlagen en de schade beperken als het toch gebeurt. Het NCSC noemt onder meer:

• Phishingresistente authenticatie voor mail- en cloudaccounts (lees meer over meervoudige verificatie).
• Automatisch doorsturen van mail naar externe adressen blokkeren.
• Bijlagen en links filteren of in een afgeschermde omgeving (sandbox) testen, en een waarschuwing tonen bij mail van externe afzenders.
• Inlogpogingen vanaf ongebruikelijke locaties of apparaten blokkeren (conditional access).
• Beveiligingsupdates tijdig installeren en accounts met verhoogde rechten extra beschermen.
• E-mailauthenticatie met SPF, DKIM en DMARC, wat het NCSC een maatregel voor gevorderden noemt.

Over die laatste drie legt Microsoft uit: SPF bepaalt welke mailservers namens je domein mogen versturen, DKIM ondertekent berichten digitaal en DMARC bepaalt wat er gebeurt met mail die de controles niet doorstaat. Microsoft schrijft dat de drie samen werken en dat minder dan alle drie een zwakkere bescherming geeft. Ze richten zich op vervalste afzenders, dus opletten blijft nodig. Vraag je IT-partner of alle drie goed zijn ingesteld.