Na deze training herkent u een fraudepoging in e-mail, sms, instant messenger en telefoongesprek – en als er iets misgaat, weet u in de eerste minuten wat u moet doen.
De aanvaller hoeft geen perfecte boodschap te creëren. Het enige dat nodig is, is een moment van haast, routine of nieuwsgierigheid. Het is niet jouw taak om detective te worden. U moet de machine onderbreken en het verzoek via een beveiligd kanaal controleren.
Phishing is geen spellingtest. Een goed oplichtingsbericht kan er foutloos uitzien, de context van het bedrijf kennen en afkomstig zijn van een gecompromitteerd, echt account.
"Tot 14.00 uur", "de rekening wordt gesloten", "de president wacht".
De baas, bank, personeelszaken, beheerder of bekende aannemer.
Angst, kansen, nieuwsgierigheid, iemand helpen of problemen willen vermijden.
“Probeert dit bericht mij ertoe aan te zetten sneller te handelen dan ik normaal gesproken deze beslissing zou nemen?”
De letter "l" in plaats van "i", de opmerking "support" of de echte naam vóór een buitenlands domein moeten er bekend uitzien.
In het adres telt het gedeelte direct vóór het einde, b.v. voorbeeld.com. Het hangslot betekent encryptie, niet de integriteit van de site.
Het factuurnummer, de naam van de baas en de voettekst van het bedrijf kunnen afkomstig zijn uit eerdere correspondentie.
Open in plaats van een link een bekende app, bladwijzer of handmatig ingevoerd adres.
Het korte formulier verbergt de details. Een onbekend nummer kan de naam van een supervisor en een foto van internet gebruiken.
Het nummer op het scherm kan worden nagebootst. Een echte IT-afdeling heeft uw wachtwoord of MFA-code niet nodig.
QR is een link die pas zichtbaar is als deze wordt gescand. De poster op kantoor kan ook worden gewijzigd.
Het account van je vriend is mogelijk overgenomen. Beoordeel een ongewoon verzoek op basis van de actie waar het toe leidt, en niet alleen op basis van de persoon op het scherm.
Het bericht belooft een document → een HTML-bijlage of link opent een inlogpagina → de pagina legt het wachtwoord vast → de oplichter vraagt om MFA-goedkeuring of gebruikt een gekaapte sessie.
.zip, .7z, .js, .exe, .iso en dubbele extensies vereisen speciale zorg. Probeer ze niet zelf te ‘controleren’.
Het kan lijken op een formulier of een inlogscherm. Het feit dat een bestand in een browser wordt geopend, betekent niet dat het veilig is.
Een document waarin wordt verzocht om 'inhoudsopname' moet het proces stoppen en worden beoordeeld.
Weiger het verzoek. Keur het voor de zekerheid niet goed. Rapporteer een reeks meldingen als mogelijk wachtwoordcompromis.
Bij Business Email Compromise doet de fraudeur zich voor als een contractant of beslisser. Het doel is het overdragen, wijzigen van het account, openbaar maken van gegevens of het omzeilen van de procedure.
Bel het nummer dat eerder in het systeem of contract is opgeslagen. Gebruik niet het nummer dat in het verdachte bericht staat.
Omzeil acceptatie, grenzen of de twee-ogenregel niet. Werkdruk is geen uitzondering.
In een door het Amerikaanse ministerie van Justitie onthulde zaak leidden valse e-mails, facturen en documenten ertoe dat twee grote technologiebedrijven meer dan 100 miljoen dollar overmaakten. Dit was geen ‘naïeve gebruiker’, maar een overtuigende imitatie van een normaal bedrijfsproces.
CERT Polska beschreef een campagne uit 2025 waarin de e-mail een HTML-bestand bevatte. Toen het werd geopend, werd een nep-inlogscherm voor e-mail weergegeven. Les: een officieel onderwerp en een bekend scherm bevestigen de authenticiteit niet.
In andere door CERT Polska waargenomen campagnes leidden eenvoudige kantooronderwerpen naar archieven en kwaadaardige bestanden. Les: een routinematige documentnaam kan effectiever zijn dan een sensationele belofte.
In 2024 beschreven Amerikaanse autoriteiten een bedrijf dat ongeveer $ 5,4 miljoen stuurde naar aanleiding van een bericht met een adres dat verwarrend leek op het adres van de aannemer. Snelle rapportage stelde de autoriteiten in staat de fondsen te traceren en veilig te stellen. Les: Onafhankelijke verificatie bespaart geld, en snel rapporteren heeft echte waarde.
Voor geen van deze aanvallen was magische technologie nodig. Iedereen voerde een bekende handeling uit: inloggen, een document openen of een betaling doen. Daarom is je beste verdediging een veilige manier om iets te doen, en niet een lijst met 'verdachte woorden'.
Sluit de pagina, vul niets in en meld de link direct. De klik zelf betekent niet dat het mislukt; stilte maakt het moeilijker om te reageren.
Neem direct contact op met IT/SOC via een bekend kanaal. Wijzig uw wachtwoord via een veilige route zoals aangegeven door het bedrijf; geen verdere MFB's goedkeuren.
Stop met werken en bel ondersteuning. Verwijder geen sporen en probeer de computer niet zelf "op te schonen". Ontkoppel het netwerk in overeenstemming met de procedure van het bedrijf.
Bel onmiddellijk uw manager, financiën, bank en beveiligingsteam volgens het incidentenplan. Minuten kunnen het verschil maken tussen het terugkrijgen van uw geld.
Om te slagen: minimaal 10/12 antwoorden en alle vier kritische vragen. Na controle ziet u uitleg.
De deelnemer heeft de training afgerond en blijk gegeven van kennis van de basisprincipes van het herkennen, verifiëren en melden van phishing-pogingen.
Dit is een bevestiging van de competentie die tijdens de training is gedemonstreerd, en geen garantie voor weerstand tegen toekomstige aanvallen.