Zeven signalen die een phishingmail verraden

Je krijgt een mail dat je pakket niet kon worden bezorgd. Of een factuur van een leverancier waarvan je denkt: dit bedrag klopt toch niet? Of je bank meldt dat je rekening wordt geblokkeerd, tenzij je binnen een uur inlogt. Drie keer dezelfde truc, drie keer een andere verpakking.

Phishing herkennen is vooral een kwestie van weten waar je naar kijkt. Oplichters zijn niet altijd slim, maar ze rekenen op één ding: dat je het druk hebt en te snel klikt. Hieronder staan zeven signalen die je in een paar seconden kunt controleren, met voorbeelden van banken, pakketdiensten en leveranciers. Aan het eind lees je wat je doet als je al hebt geklikt.

Phishing herkennen: de 7 signalen

Eén signaal is zelden genoeg om zeker te weten dat een mail nep is. Twee of drie bij elkaar is een goede reden om te stoppen. En soms klopt alles op het oog en is het alleen het verzoek zelf dat vreemd is. Ook dan: stoppen.

1. Het afzenderadres klopt niet

Kijk niet naar de naam die bovenaan staat, maar naar het echte e-mailadres erachter. Een naam als “PostNL” kan iedereen invullen. Het adres is lastiger te vervalsen, dus oplichters gebruiken vaak een domein dat er sterk op lijkt.

• info@postnl-bezorging.info in plaats van een adres op het echte domein van PostNL
• service@rnijnbank.nl, waar “rn” op het eerste gezicht op een “m” lijkt
• Een willekeurig Gmail- of Outlook-adres bij een mail die van een bedrijf zou komen

Op een telefoon zie je het adres vaak pas als je op de afzendernaam tikt. Doe dat, elke keer.

2. Er is haast of een dreiging

“Uw account wordt binnen 24 uur geblokkeerd.” “Laatste aanmaning.” “Uw pakket wordt teruggestuurd.” Haast is het belangrijkste wapen van een phisher, want wie haast heeft, denkt niet na. Een echte bank, belastingdienst of leverancier heeft zelden een reden om je binnen een uur te laten handelen via een link in een mail.

3. De aanhef of de context past niet

“Beste klant” of “Geachte gebruiker” terwijl het bedrijf je naam kent. Dat is een waarschuwing, maar geen bewijs: goede nepmails gebruiken wel je naam, soms uit een gelekt adressenbestand. Kijk daarom ook naar de context. Verwacht je dit pakket? Heb je bij deze bank een rekening? Is dit het adres waarmee je normaal contact hebt met die leverancier?

4. De link gaat ergens anders heen

Beweeg met je muis over de link zonder te klikken. Onderin je scherm verschijnt dan het echte adres. Op een telefoon houd je de link ingedrukt. Staat er een rare reeks letters, een verkorte link of een domein dat niets met de afzender te maken heeft, dan is het genoeg geweest.

Let ook op de volgorde in een adres. In login.mijnbank.nl.beveiligd-portaal.com is het echte domein beveiligd-portaal.com. Het deel direct voor de laatste extensie bepaalt van wie de site is, de rest ervoor is opsmuk.

5. De bijlage is onverwacht of heeft een vreemd type

Een factuur komt meestal als pdf. Bijlagen als zip, html, iso of een bestand met twee extensies zoals factuur.pdf.exe horen daar niet bij. Een pdf kan ook gewoon een plaatje zijn met één grote knop die naar een nepsite leidt. Open niets van een afzender die je niet verwachtte, ook niet “even snel om te kijken”.

6. Er wordt om gegevens of een betaling gevraagd

Een bank vraagt je niet om je pincode, wachtwoord of inlogcode per mail of telefoon door te geven. Een pakketdienst vraagt geen kaartgegevens voor een paar euro “herleveringskosten”. Die kleine bedragen zijn precies de bedoeling: het gaat niet om de euro’s, maar om je kaartgegevens en de bevestiging in je bankapp.

Ook een verzoek om iets anders te doen dan normaal is verdacht. Een “nieuw rekeningnummer” van een leverancier is daarvan het bekendste voorbeeld. Daar komen we zo op terug.

7. Kleine fouten in taal, vormgeving of logica

Vreemde zinsbouw, een logo dat een beetje vaag is, een handtekening zonder echte contactgegevens, een datum die niet klopt. Let op: dit signaal wordt steeds minder betrouwbaar. Teksten van oplichters zijn tegenwoordig vaak foutloos. Een nette mail is dus geen bewijs dat hij echt is. Gebruik dit signaal als extra, niet als enige controle.

Nepfactuur van een leverancier: hier gaat het vaak mis

Bij privémail gaat het om een paar euro of een inlogcode. Bij zakelijke mail gaat het om echte bedragen. De klassieker is de mail van een bestaande leverancier, soms met een echt lijkende factuur, met de mededeling dat het rekeningnummer is veranderd. Het bedrijf bestaat, de factuur lijkt op de vorige, alleen het IBAN is anders.

Wat helpt:

1. Bel de leverancier op het telefoonnummer dat je al had, niet op het nummer uit de mail.
2. Vraag bij een gewijzigd rekeningnummer altijd om bevestiging, ook als de mail van een bekend adres lijkt te komen. Een gehackte mailbox van de leverancier ziet er van buiten precies zo uit.
3. Vergelijk het factuurbedrag en het factuurnummer met eerdere facturen en met je bestelling.
4. Spreek in je team af dat wijzigingen in rekeningnummers nooit alleen per mail worden doorgevoerd.

Maak je zelf facturen? Dan helpt het om klanten één vaste, herkenbare manier van factureren te geven. Met een eigen gratis factuurprogramma sturen je klanten steeds dezelfde opmaak en afzender te zien, en valt een afwijkende nepfactuur sneller op.

Wat doe je als je al hebt geklikt?

Eerst: rustig blijven. Alleen op een link klikken is vaak minder erg dan mensen denken. Wat je nu doet hangt af van wat er daarna gebeurde.

Je hebt alleen op de link geklikt

Sluit het tabblad. Vul niets in. Controleer of er iets is gedownload en verwijder dat zonder het te openen. Laat een virusscanner draaien om zeker te zijn. In de meeste gevallen is er dan niets aan de hand.

Je hebt gegevens ingevuld

1. Ga naar de echte website, door het adres zelf in te typen of de officiële app te openen, en wijzig direct je wachtwoord.
2. Wijzig het wachtwoord ook overal waar je hetzelfde wachtwoord gebruikte. Dat is geen leuke klus, maar wel de klus die het meeste schade voorkomt.
3. Zet tweestapsverificatie aan als dat nog niet zo was.
4. Controleer bij een mailaccount de instellingen op doorstuurregels en regels die mails automatisch verwijderen. Aanvallers zetten die vaak neer om onopgemerkt mee te lezen.

Je hebt bank- of kaartgegevens achtergelaten, of geld overgemaakt

Bel direct je bank, via het nummer op je bankpas of in de officiële app. Elke minuut telt, want hoe sneller een betaling wordt gemeld, hoe groter de kans dat er nog iets te stoppen valt. Blokkeer je pas en doe aangifte. Bewaar de mail en screenshots, want die heb je daarbij nodig.

Je hebt een bijlage geopend

Haal het apparaat van het netwerk en wifi, en schakel het niet uit voordat je iemand hebt gesproken die er verstand van heeft. Is het een werkcomputer, meld het meteen bij degene die je IT doet. Uit schaamte wachten maakt het alleen duurder. Gaat het om een bedrijfsincident dat je niet zelf kunt overzien, dan kan een cybersecuritypartner je helpen uitzoeken wat er is gebeurd.

Zo maak je phishing lastiger voor jezelf en je team

Je hoeft niet elke mail als een misdaadonderzoek te behandelen. Een paar vaste gewoonten doen veel:

• Open nooit een link uit een mail om in te loggen. Typ het adres zelf in of gebruik de app.
• Gebruik een wachtwoordmanager. Die vult je gegevens alleen in op het juiste domein, dus bij een nepsite blijft het veld leeg. Dat is al een signaal.
• Kies waar mogelijk voor inloggen zonder wachtwoord. Een passkey werkt alleen op de echte website, dus een nepsite kan er niets mee.
• Zorg dat je eigen domein niet gebruikt kan worden om in jouw naam te mailen. Met SPF, DKIM en DMARC wijs je ongeautoriseerde mail af. Hoe dat gaat lees je in DMARC instellen voor Microsoft 365 en Google.
• Bespreek met je team hoe jullie omgaan met verdachte mail. Wie meldt het, aan wie, en mag je gewoon vragen “klopt dit?”

Wil je weten of jouw eigen domein goed is ingesteld? De gratis website-check kijkt onder andere naar SPF en DMARC.

Wat je nu concreet doet

Pak de laatste mail waar je even over twijfelde en loop de zeven signalen langs: afzenderadres, haast, context, link, bijlage, het verzoek zelf en de details. Je merkt snel dat je het in tien seconden kunt doen. Twijfel je nog? Bel de afzender op een nummer dat je zelf kent, of ga naar de site door het adres zelf in te typen.

Heb je een team dat dagelijks facturen en pakketmeldingen krijgt, dan is oefenen met nepmails de snelste manier om te leren. Netslim doet phishing-simulaties waarmee je ziet wie er klikt, zonder dat het kwaad kan.

Veelgestelde vragen

Hoe herken ik een nep-e-mail van mijn bank?

Kijk naar het echte afzenderadres en naar wat er van je wordt gevraagd. Een bank wil niet dat je je pincode of inlogcode doorgeeft en dwingt je niet om via een mail te handelen. Twijfel je, open dan de bankapp zelf en kijk of daar dezelfde melding staat.

Kan ik besmet raken door alleen een phishingmail te openen?

Meestal niet. Het risico zit in de link, de bijlage of de gegevens die je invult. Moderne mailprogramma's laden bovendien niet zomaar alles in. Toch is het verstandig om de mail daarna te verwijderen en niets aan te klikken.

Wat is het verschil tussen phishing en spam?

Spam is ongewenste reclame, vaak irritant maar meestal niet gevaarlijk. Phishing wil iets van je hebben: je wachtwoord, je bankgegevens of een betaling. Daarom doet phishing zich voor als een bekende afzender, zoals je bank of een leverancier.

Wat doe ik met een phishingmail die ik heb gekregen?

Klik nergens op en beantwoord de mail niet. Waarschuw collega's als het een zakelijke mail is, en verwijder hem daarna. Zit hij toch in je inbox terwijl je mailprovider hem had moeten tegenhouden, markeer hem dan als phishing of spam zodat het filter ervan leert.

Hoe zie ik of een link veilig is zonder erop te klikken?

Beweeg met de muis over de link, of houd hem op je telefoon ingedrukt, en lees het adres dat verschijnt. Het deel direct voor de laatste extensie, zoals .nl of .com, bepaalt van wie de site is. Past dat niet bij de afzender, dan klik je niet.