Hoe herken je phishing als bedrijf?

Een e-mail van een leverancier met een gewijzigde bankrekening. Een bericht van Microsoft waarin staat dat je zakelijke account verloopt. Een directeur die vraagt om met spoed een betaling uit te voeren. Of een QR-code die je moet scannen om een factuur te bekijken.

Het kunnen allemaal vormen van phishing zijn.

Phishing is een vorm van digitale fraude waarbij een aanvaller zich voordoet als een betrouwbare persoon of organisatie om je te verleiden tot een bepaalde handeling. Denk aan het invoeren van een wachtwoord op een nagemaakte website, het openen van een schadelijk bestand, het delen van bedrijfsinformatie of het overmaken van geld.

Voor bedrijven kan phishing bijzonder gevaarlijk zijn. Een geslaagde aanval kan leiden tot een overgenomen e-mailaccount, financiële fraude, een datalek of zelfs een grotere cyberaanval met bijvoorbeeld ransomware.

Maar hoe herken je phishing als bedrijf? In dit artikel bespreken we de belangrijkste signalen, verschillende vormen van zakelijke phishing én wat je moet doen wanneer een medewerker toch op een phishingbericht heeft gereageerd.

Wat is phishing?

Bij phishing probeert een cybercrimineel je vertrouwen te winnen door zich voor te doen als iemand anders.

Dat kan bijvoorbeeld zijn:

• je bank;
• een leverancier;
• een klant;
• Microsoft;
• Google;
• een pakketbezorger;
• een overheidsorganisatie;
• je IT-beheerder;
• een collega;
• een leidinggevende.

Vervolgens probeert de aanvaller je iets te laten doen.

Je moet bijvoorbeeld:

• op een link klikken;
• ergens inloggen;
• een bijlage openen;
• een QR-code scannen;
• persoonsgegevens invullen;
• een betaling uitvoeren;
• een wachtwoord doorgeven;
• software installeren.

Het doel kan verschillen. Soms willen criminelen rechtstreeks geld buitmaken. In andere gevallen proberen ze inloggegevens of bedrijfsinformatie te verkrijgen.

Een phishingaanval kan bovendien de eerste stap zijn van een grotere cyberaanval. Het NCSC waarschuwt dat via phishing verkregen toegang bijvoorbeeld gebruikt kan worden om verder een bedrijfsnetwerk binnen te dringen. NCSC

Waarom is phishing gevaarlijk voor bedrijven?

Zakelijke accounts kunnen voor aanvallers bijzonder interessant zijn.

Wanneer een cybercrimineel toegang krijgt tot een zakelijk e-mailaccount, kan hij mogelijk:

• vertrouwelijke correspondentie lezen;
• wachtwoordherstel aanvragen;
• klantgegevens bekijken;
• facturen onderscheppen;
• zich voordoen als de medewerker;
• andere medewerkers benaderen;
• klanten phishingberichten sturen;
• toegang proberen te krijgen tot andere systemen.

Een phishingmail is daarom niet altijd het einddoel.

Het kan simpelweg de manier zijn waarop een aanvaller probeert binnen te komen.

Daarom hoort bescherming tegen phishing thuis binnen de bredere cybersecurity van je bedrijf.

Hoe herken je een phishingmail?

Er bestaat helaas geen enkel kenmerk waarmee je iedere phishingmail onmiddellijk kunt herkennen.

Moderne phishingberichten kunnen er bijzonder professioneel uitzien. Logo’s, huisstijl, namen en zelfs complete websites kunnen worden nagebouwd.

Kijk daarom naar een combinatie van signalen.

1. Controleer het werkelijke e-mailadres van de afzender

Een bekende naam boven een e-mail zegt weinig.

Een aanvaller kan bijvoorbeeld als afzender tonen:

Microsoft Support

terwijl het werkelijke e-mailadres iets heel anders is.

Controleer daarom het gedeelte achter het @-teken.

Let daarbij op subtiele verschillen.

Bijvoorbeeld:

microsoft.com

kan worden nagebootst met een domeinnaam die er op het eerste gezicht sterk op lijkt.

Aanvallers kunnen letters vervangen, woorden toevoegen of een afwijkend domein gebruiken.

Het NCSC adviseert daarom nadrukkelijk niet alleen naar de weergegeven naam te kijken, maar ook de daadwerkelijke domeinnaam van het e-mailadres te controleren. NCSC

2. Let op onverwachte verzoeken

Stel jezelf bij een zakelijk bericht altijd de vraag:

Verwacht ik dit?

Je ontvangt bijvoorbeeld ineens:

• een factuur van een onbekende leverancier;
• een wachtwoordreset die je niet hebt aangevraagd;
• een gedeeld document van een onbekende persoon;
• een melding dat je Microsoft-account verloopt;
• een betalingsverzoek van je directeur;
• een verzoek om bankgegevens te wijzigen.

Dat hoeft niet automatisch phishing te zijn.

Maar een onverwacht verzoek is wel een goede reden om extra kritisch te kijken.

3. Pas op voor kunstmatige tijdsdruk

Phishingberichten proberen je regelmatig snel te laten handelen.

Bijvoorbeeld:

Je account wordt vandaag geblokkeerd.

Of:

Betaal deze factuur vóór 16.00 uur.

Of:

Je wachtwoord verloopt binnen twee uur.

Het doel van dergelijke urgentie is eenvoudig: je moet handelen voordat je goed nadenkt.

Het NCSC noemt verzoeken om snel te reageren en dreigende consequenties dan ook belangrijke signalen waarop je bij phishing moet letten. NCSC

Maak binnen je bedrijf daarom duidelijk dat een dringend verzoek juist aanleiding kan zijn om het bericht extra goed te controleren.

4. Controleer links voordat je erop klikt

De tekst van een hyperlink hoeft niet overeen te komen met de website waarnaar de link daadwerkelijk verwijst.

Een knop kan bijvoorbeeld zeggen:

Inloggen bij Microsoft 365

terwijl de daadwerkelijke link naar een compleet andere website leidt.

Op een computer kun je vaak met je muis over een link bewegen zonder erop te klikken. Vervolgens zie je het werkelijke webadres.

Controleer vooral de domeinnaam.

Bij twijfel kun je beter helemaal niet via de link in de e-mail gaan.

Open zelf je browser en ga rechtstreeks naar de officiële website of gebruik de normale app van de betreffende dienst. Dat is ook het advies van het NCSC. NCSC

5. Wees voorzichtig met bijlagen

Een onverwachte bijlage kan schadelijke software bevatten.

Denk bijvoorbeeld aan een zogenaamde:

• factuur;
• offerte;
• betalingsherinnering;
• sollicitatie;
• orderbevestiging;
• verzendbevestiging;
• contractwijziging.

Voor bedrijven zijn dit geloofwaardige onderwerpen omdat medewerkers dergelijke documenten dagelijks ontvangen.

Vraag jezelf daarom af:

Verwacht ik dit bestand van deze persoon?

Twijfel je? Neem dan via een andere, bekende contactmethode contact op met de afzender.

Gebruik daarvoor niet automatisch het telefoonnummer dat in de verdachte e-mail staat.

6. Vertrouw niet alleen op spelfouten

Een bekende tip luidt:

“Een phishingmail staat vol spelfouten.”

Dat is tegenwoordig geen betrouwbare vuistregel meer.

Cybercriminelen kunnen professioneel geschreven berichten versturen en bestaande communicatie kopiëren. Ook generatieve AI maakt het eenvoudiger om foutloze en overtuigende teksten te produceren.

Het NCSC waarschuwt expliciet dat duidelijke spelling- en grammaticafouten hierdoor minder vaak voorkomen en dat ook nagemaakte inlogpagina’s steeds authentieker kunnen ogen. NCSC

Een foutloos geschreven e-mail is dus niet automatisch betrouwbaar.

7. Let op afwijkend taalgebruik

Hoewel spelfouten geen goede hoofdindicator meer zijn, kan de manier waarop iemand communiceert wel iets verraden.

Stel dat je dagelijks contact hebt met een leverancier.

Normaal schrijft deze:

Hoi Peter, hierbij zoals afgesproken de factuur.

En ineens ontvang je:

Geachte klant, wegens administratieve wijzigingen verzoeken wij u per direct de betaling naar onze nieuwe bankrekening uit te voeren.

Dat verschil kan reden zijn om het verzoek te controleren.

Let dus niet alleen op grammatica, maar vooral op afwijkingen ten opzichte van eerdere communicatie.

8. Wees extra alert bij gewijzigde bankgegevens

Voor bedrijven is dit een belangrijke vorm van fraude.

Een crimineel kan proberen zich voor te doen als een bestaande leverancier en melden dat het bankrekeningnummer is gewijzigd.

Soms gebeurt dit nadat een e-mailaccount daadwerkelijk is gehackt. Daardoor kan het bericht zelfs onderdeel zijn van een bestaande conversatie.

Maak daarom binnen je onderneming een vaste regel:

Een wijziging van bankgegevens wordt altijd via een tweede, onafhankelijk kanaal gecontroleerd.

Bel bijvoorbeeld de leverancier via het telefoonnummer dat al in je administratie staat.

Gebruik niet het nummer uit de e-mail waarin de wijziging wordt aangekondigd.

9. Let op vreemde verzoeken van leidinggevenden

Een aanvaller kan zich voordoen als een directeur of andere leidinggevende.

Dit wordt vaak CEO-fraude genoemd.

Een medewerker van de financiële administratie krijgt bijvoorbeeld een bericht:

Ik zit momenteel in een vergadering en kan niet bellen. Kun je met spoed €14.750 overmaken? Dit is vertrouwelijk, dus bespreek het nog niet met collega’s.

Daarin zitten verschillende psychologische trucs:

• autoriteit;
• tijdsdruk;
• geheimhouding;
• verhinderen van controle.

Het NCSC noemt CEO-fraude als een voorbeeld van gerichte phishing, waarbij aanvallers specifieke personen of organisaties proberen te misleiden. NCSC

Maak daarom duidelijke betaalprocedures die óók gelden wanneer een directeur zegt dat iets haast heeft.

Wat is spearphishing?

Niet iedere phishingaanval wordt naar duizenden willekeurige e-mailadressen gestuurd.

Bij spearphishing richt een aanvaller zich bewust op een bepaalde persoon of organisatie.

De aanvaller kan vooraf informatie verzamelen via bijvoorbeeld:

• de bedrijfswebsite;
• LinkedIn;
• sociale media;
• openbare registers;
• persberichten;
• eerdere datalekken.

Daardoor kan een bericht zeer overtuigend worden.

Een aanvaller weet bijvoorbeeld:

• wie de directeur is;
• wie verantwoordelijk is voor financiën;
• met welke leveranciers je werkt;
• dat een medewerker net is begonnen;
• dat het bedrijf een bepaald softwarepakket gebruikt.

Vervolgens wordt het phishingbericht specifiek op die situatie afgestemd.

Juist daarom kan spearphishing moeilijker te herkennen zijn dan een algemene phishingmail. NCSC

Wat is whaling of whale phishing?

Whaling is een vorm van gerichte phishing waarbij criminelen zich richten op belangrijke personen binnen een organisatie.

Bijvoorbeeld:

• directeuren;
• bestuurders;
• financieel managers;
• systeembeheerders;
• medewerkers met uitgebreide toegangsrechten.

Deze personen zijn aantrekkelijk omdat hun accounts toegang kunnen geven tot gevoelige informatie, geld of belangrijke systemen.

Bescherm dergelijke accounts daarom extra goed met onder andere multifactorauthenticatie en strenge toegangsrechten.

Phishing gebeurt niet alleen via e-mail

De naam phishing wordt vaak gekoppeld aan e-mail, maar dezelfde technieken worden via andere kanalen gebruikt.

Smishing

Smishing is phishing via sms of andere tekstberichten.

Je krijgt bijvoorbeeld een bericht dat:

• een pakket niet kan worden bezorgd;
• je bankrekening geblokkeerd is;
• een betaling mislukt is;
• je ergens moet inloggen.

Daarbij staat meestal een link naar een nagemaakte website.

Vishing

Bij vishing vindt de aanval via de telefoon plaats.

Iemand belt bijvoorbeeld namens:

• je bank;
• Microsoft;
• je IT-leverancier;
• een overheidsorganisatie.

De beller probeert je vervolgens vertrouwelijke informatie te laten delen of software te laten installeren.

Het NCSC adviseert bij twijfel het gesprek te beëindigen en de organisatie zelf terug te bellen via contactgegevens die je onafhankelijk hebt opgezocht. NCSC

QR-phishing of quishing

Bij quishing wordt een QR-code gebruikt.

Na het scannen kom je bijvoorbeeld op een nagemaakte inlogpagina terecht.

Het gevaar is dat je bij een QR-code niet onmiddellijk kunt zien naar welke website je wordt gestuurd.

Een QR-code op een factuur, poster of e-mail is dus niet automatisch betrouwbaar.

Wat is spoofing?

Bij spoofing probeert een aanvaller iets anders te laten lijken dan het werkelijk is.

Zo kan een crimineel proberen:

• een e-mailadres na te bootsen;
• een website na te maken;
• een telefoonnummer te vervalsen;
• een sms van een betrouwbare afzender te laten lijken.

Daardoor kan bijvoorbeeld op je telefoon het telefoonnummer van een bank lijken te verschijnen terwijl je in werkelijkheid door een oplichter wordt gebeld.

Het NCSC onderscheidt onder andere website-, e-mail-, sms- en telefoonspoofing. NCSC

Vertrouw dus niet uitsluitend op de naam of het nummer dat je scherm toont.

Kan phishing leiden tot ransomware?

Ja.

Een phishingaanval kan een eerste stap zijn waarmee een aanvaller toegang probeert te krijgen tot je bedrijfsomgeving.

Een medewerker kan bijvoorbeeld:

1. een phishingmail ontvangen;
2. op een nagemaakte inlogpagina terechtkomen;
3. zijn zakelijke gebruikersnaam en wachtwoord invoeren;
4. onbewust zijn gegevens aan een aanvaller geven.

De aanvaller kan vervolgens proberen verder de organisatie binnen te dringen.

Daarom zijn phishingpreventie en ransomwarebeveiliging sterk met elkaar verbonden.

Lees ook onze uitgebreide handleiding: hoe bescherm je je bedrijf tegen ransomware?

Hoe bescherm je medewerkers tegen phishing?

Alleen zeggen dat medewerkers “goed moeten opletten” is onvoldoende.

Maak phishing onderdeel van je beveiligingsbeleid.

Train medewerkers regelmatig

Leg uit welke vormen van phishing bestaan en gebruik herkenbare voorbeelden uit de eigen werkomgeving.

Maak melden eenvoudig

Een medewerker die twijfelt over een bericht moet weten waar hij terechtkan.

Zorg bijvoorbeeld voor een centraal e-mailadres of een meldknop voor verdachte berichten.

Creëer geen angst om fouten te melden

Heeft iemand toch geklikt? Dan wil je dat onmiddellijk weten.

Wanneer medewerkers bang zijn om een fout toe te geven, kan kostbare tijd verloren gaan.

Maak belangrijke procedures phishingbestendig

Vooral processen rond betalingen en wijzigingen van rekeningnummers verdienen extra aandacht.

Gebruik bijvoorbeeld een vierogenprincipe voor grote betalingen.

Gebruik technische beveiliging

Combineer menselijk bewustzijn met technische maatregelen zoals:

• spam- en phishingfilters;
• multifactorauthenticatie;
• endpointbeveiliging;
• toegangsbeheer;
• veilige e-mailinstellingen;
• monitoring.

Zo hoeft één menselijke fout niet onmiddellijk tot een groot beveiligingsincident te leiden.

Waarom is MFA zo belangrijk tegen phishing?

Stel dat een medewerker toch zijn wachtwoord invoert op een nagemaakte website.

Zonder aanvullende beveiliging kan de aanvaller mogelijk direct proberen in te loggen.

Met multifactorauthenticatie (MFA) is naast het wachtwoord nog een aanvullende verificatiestap nodig.

Dat vormt een extra beveiligingslaag.

MFA is echter geen reden om phishing te negeren. Aanvallers ontwikkelen technieken om ook aanvullende authenticatie te misbruiken.

Medewerkers moeten daarom ook verdachte MFA-verzoeken herkennen.

Krijg je ineens meerdere verificatieverzoeken terwijl je zelf nergens probeert in te loggen? Keur die dan niet zomaar goed en meld het intern.

Vergeet de technische beveiliging van je e-maildomein niet

Bedrijven kunnen ook maatregelen nemen om misbruik van hun eigen domeinnaam moeilijker te maken.

Daarvoor bestaan e-mailstandaarden zoals:

• SPF;
• DKIM;
• DMARC.

Deze technieken helpen ontvangende mailservers controleren of berichten daadwerkelijk namens een bepaald domein mogen worden verzonden.

Ze maken phishing niet onmogelijk, maar kunnen wel helpen bij het bestrijden van bepaalde vormen van e-mailspoofing.

Het NCSC meldde in mei 2026 dat Nederlandse bedrijven moderne internetstandaarden voor websites en e-mail steeds vaker toepassen, terwijl er tegelijkertijd nog ruimte voor verbetering is. NCSC

Voor ondernemers die hun technische beveiliging laten beheren, is het daarom verstandig om bij de hosting- of IT-partij te controleren of deze e-mailbeveiliging goed is ingesteld.

Neem phishing mee in je cyberrisicoanalyse

Niet ieder bedrijf loopt precies hetzelfde phishingrisico.

Een financiële afdeling kan bijvoorbeeld extra aantrekkelijk zijn vanwege betalingen, terwijl systeembeheerders interessante doelwitten zijn vanwege hun uitgebreide toegangsrechten.

Breng daarom in kaart:

• welke medewerkers interessante doelwitten zijn;
• welke accounts kritiek zijn;
• welke informatie via e-mail wordt gedeeld;
• welke financiële processen kwetsbaar zijn;
• welke leveranciers regelmatig betalingsverzoeken sturen;
• welke maatregelen al bestaan.

Dat kun je onderdeel maken van een bredere cyberrisicoanalyse.

Wat moet je doen als een medewerker op een phishinglink heeft geklikt?

Dat hangt af van wat er precies is gebeurd.

Alleen op een link klikken is iets anders dan een wachtwoord invoeren, een bestand uitvoeren of een betaling goedkeuren.

Probeer daarom eerst vast te stellen:

• Welke link is geopend?
• Zijn inloggegevens ingevuld?
• Is een wachtwoord gedeeld?
• Is een bestand geopend?
• Is software geïnstalleerd?
• Is een betaling uitgevoerd?
• Zijn bedrijfsgegevens gedeeld?

Het NCSC adviseert eveneens eerst te bepalen welk soort phishingincident heeft plaatsgevonden voordat vervolgstappen worden genomen. NCSC

Wachtwoord ingevuld op een phishingwebsite: wat nu?

Heeft een medewerker zijn zakelijke wachtwoord ingevuld op een verdachte website? Handel dan snel.

Afhankelijk van de situatie kunnen maatregelen nodig zijn zoals:

• wachtwoord onmiddellijk wijzigen;
• actieve sessies beëindigen;
• account tijdelijk blokkeren;
• controleren of MFA-instellingen zijn aangepast;
• controleren op verdachte inlogpogingen;
• nagaan of doorstuurregels in e-mail zijn toegevoegd;
• andere accounts controleren wanneer hetzelfde wachtwoord elders werd gebruikt;
• IT- of securitybeheer inschakelen.

Kijk niet alleen naar het betreffende wachtwoord.

Onderzoek ook wat een aanvaller met het account heeft kunnen doen.

Verdachte bijlage geopend: wat nu?

Wanneer een medewerker een verdachte bijlage heeft geopend, kan er mogelijk malware zijn uitgevoerd.

Isoleer het apparaat indien nodig van het netwerk en schakel IT- of securityspecialisten in.

Ga niet gedachteloos allerlei bestanden verwijderen. Voor onderzoek kan het belangrijk zijn om digitale sporen te behouden.

De politie adviseert bij een verdachte geopende bijlage het apparaat op schadelijke software te laten controleren voordat bijvoorbeeld weer met internetbankieren wordt gewerkt. Politie

Is er geld overgemaakt?

Neem bij fraude waarbij bankgegevens of betalingen betrokken zijn zo snel mogelijk contact op met je bank.

Snel handelen kan belangrijk zijn om verdere transacties te stoppen of accounts te beveiligen.

Bewaar daarnaast bewijs zoals:

• e-mails;
• berichten;
• screenshots;
• rekeningnummers;
• telefoonnummers;
• webadressen;
• betaalgegevens.

Phishing kan bij de politie worden aangegeven. De wijze waarop dat kan, verschilt afhankelijk van de vorm van phishing en wat er precies is gebeurd. Politie

Kan phishing een datalek veroorzaken?

Ja.

Wanneer een aanvaller via phishing toegang krijgt tot persoonsgegevens kan sprake zijn van een datalek.

Denk bijvoorbeeld aan toegang tot:

• klantgegevens;
• personeelsdossiers;
• e-mail;
• CRM-systemen;
• cloudopslag.

Daarom moet na een geslaagde phishingaanval niet alleen worden gekeken naar het getroffen account, maar ook naar de gegevens waartoe de aanvaller toegang kan hebben gehad.

Checklist: zo herken je phishing binnen je bedrijf

Ontvang je een verdacht bericht? Loop dan deze punten langs:

• Ken je de afzender?
• Klopt het daadwerkelijke e-mailadres?
• Verwacht je dit bericht?
• Klopt het verzoek met eerdere communicatie?
• Wordt er ongebruikelijke haast gecreëerd?
• Dreigt men met blokkering of andere negatieve gevolgen?
• Wordt gevraagd om inloggegevens?
• Wordt gevraagd om vertrouwelijke bedrijfsinformatie?
• Moet je via een link inloggen?
• Klopt het domein achter de link?
• Bevat het bericht een onverwachte bijlage?
• Zijn bankgegevens plotseling gewijzigd?
• Wordt een ongebruikelijke betaling gevraagd?
• Moet het verzoek geheim blijven?
• Kun je het verzoek via een tweede kanaal controleren?

Eén afwijking betekent niet automatisch dat iets phishing is.

Een combinatie van verschillende signalen is wel reden om extra voorzichtig te zijn.

Veelgestelde vragen over phishing

Phishing herkennen is een gezamenlijke verantwoordelijkheid

Phishing wordt steeds moeilijker te herkennen. Een medewerker kan daarom niet verantwoordelijk worden gemaakt voor de complete verdediging van een bedrijf.

De sterkste aanpak combineert bewuste medewerkers, duidelijke procedures en technische beveiligingsmaatregelen.

Leer medewerkers verdachte berichten herkennen, maar zorg tegelijkertijd voor MFA, beperkte toegangsrechten, goede e-mailbeveiliging en een procedure waarmee verdachte berichten snel kunnen worden gemeld.

En bereid je ook voor op het moment waarop iemand tóch klikt.

Phishingpreventie is daarmee geen losstaand trucje, maar een belangrijk onderdeel van de cybersecurity van je onderneming.

Meer artikelen over phishing, ransomware, cyberrisico’s en digitale veiligheid vind je binnen onze categorie Cybersecurity.

Bronnen en meer informatie

Voor dit artikel is voornamelijk gebruikgemaakt van actuele informatie van het Nationaal Cyber Security Centrum en de politie.

• NCSC – Hoe herken ik een phishing-e-mail?
• NCSC – Aan de slag tegen phishing
• NCSC – Phishing uitgelegd
• NCSC – Hoe reageer ik op phishing?
• Politie – Phishing en smishing
• Politie – Aangifte doen van phishing