Soorten phishing: van massamail tot maatwerk

Phishing is een familie, geen e-mailtruc

Phishing begon ooit als hengelen met nepmails: gooi tienduizenden berichten uit en kijk wie er bijt. Die klassieke vorm bestaat nog steeds, maar het vak is volwassen geworden. Aanvallers kiezen tegenwoordig per doelwit het kanaal en de mate van maatwerk die het meeste oplevert. Soms is dat nog steeds een slordige massamail; vaak is het een zorgvuldig opgebouwd bericht dat je naam, functie en lopende projecten noemt.

Daarom is het zinvoller om phishing als familie te zien dan als één truc. Alle familieleden delen hetzelfde DNA: een vervalste identiteit, een geloofwaardig verhaal en een verzoek dat haast of vertrouwen uitbuit. Wat verschilt, is de verpakking. Wie alleen op “verdachte e-mails” let, staat met de rug naar de telefoon, de sms en de browser — en precies daar wordt het gat in je aandacht opgezocht.

Spear phishing en whaling: gericht op jou

Bij spear phishing wisselt de aanvaller volume in voor precisie. Hij verdiept zich eerst in zijn doelwit: LinkedIn, de bedrijfswebsite, nieuwsberichten, soms eerder gelekte gegevens. Het resultaat is een bericht dat klopt — juiste naam, juiste collega’s, juist project — en daardoor moeiteloos door je interne alarmsysteem glijdt. Een mail die jouw werkelijkheid weerspiegelt, voelt nu eenmaal niet als een aanval.

Whaling is hetzelfde principe, maar dan gericht op de grootste vissen: bestuurders, directeuren, financieel verantwoordelijken. Hier gaat het zelden om een loterijwinst en bijna altijd om iets dat in hun wereld normaal is — een overname, een factuurgeschil, een juridisch verzoek. De beruchtste uitwerking is CEO-fraude, waarbij niet de bestuurder zelf het slachtoffer is, maar de medewerker die een betaling uitvoert omdat het verzoek van de baas líjkt te komen.

Smishing en vishing: via je telefoon

Je telefoon is voor een oplichter aantrekkelijker dan je inbox, om drie redenen. Een sms lees je vrijwel direct en vaak onderweg. Het scherm is klein, waardoor afwijkende afzenders en links minder opvallen. En een telefoongesprek dwingt je om nú te reageren, zonder bedenktijd. Smishing — phishing per sms of berichtenapp — leunt op dat eerste: korte berichten over een pakketje dat vastzit, een betaalachterstand of een zoon of dochter met een “nieuw nummer” dat dringend geld nodig heeft.

Vishing, de telefonische variant, is psychologisch de zwaarste categorie. Een goede beller bouwt in enkele minuten een band op, schakelt tussen vriendelijk en dringend, en speelt vaak een “bankmedewerker” die je rekening komt redden. Onthoud daarbij de vuistregel die banken zelf hanteren: een echte bank vraagt je nooit om geld over te maken naar een zogenaamd veilige rekening of om codes af te staan. Hoe dit telefoonspel precies werkt en hoe je het doorbreekt, lees je op de pagina over vishing.

Clone phishing, pharming en spoofing: de verfijnde varianten

Sommige varianten zijn zo geraffineerd dat oplettendheid alleen niet genoeg is. Clone phishing is daarvan een goed voorbeeld: de aanvaller kopieert een échte mail die je eerder ontving — een factuur, een vergaderuitnodiging, een nieuwsbrief — en stuurt hem opnieuw, met als enige wijziging de link of bijlage. Alles klopt, want bijna alles ís echt. Vaak komt er een smoes bij: “in de vorige versie zat een fout, hierbij de juiste.”

Nog een stap verder gaat pharming, waarbij je wordt omgeleid naar een nepsite terwijl je zelf het juiste adres intypt. Daar valt voor jou als gebruiker weinig te “herkennen”; de verdediging zit in techniek en in gedrag op de site zelf, zoals stoppen zodra iets afwijkt van wat je gewend bent.

Onder vrijwel al deze varianten ligt spoofing: het vervalsen van afzenders, telefoonnummers en domeinnamen. Spoofing is zelden het hele verhaal, maar bijna altijd het fundament — het is de reden dat een nepbericht van je bank, je baas of je pakketdienst lijkt te komen.

Welke variant je ook treft: dit gedrag redt je

Het heeft weinig zin om voor elke soort phishing een aparte checklist te onthouden; tegen de tijd dat je hem kent, is er een nieuwe variant. Wat alle varianten gemeen hebben, is dat ze ergens een mens nodig hebben die meewerkt. Daar ligt je verdediging, en die past in drie gewoontes:

1. Vertraag bij druk. Elke phishing-variant bevat ergens een reden tot haast. Beschouw urgentie zelf als het verdachte signaal en gun jezelf bewust een pauze voordat je iets doet.
2. Wissel van kanaal. Verzoek per mail? Bel. Verzoek per telefoon? Hang op en bel zelf terug via een nummer dat je opzoekt. Een oplichter beheerst het kanaal waarlangs hij binnenkomt — dus verlaat dat kanaal.
3. Gebruik je eigen route. Ga bij berichten over je bank, een pakket of een account nooit via de aangeboden link of het genoemde nummer, maar via de app of het adres dat je zelf al kent.

Die gewoontes staan niet op zichzelf: ze vormen de kern van wat een organisatie tot een human firewall maakt. Benieuwd hoe stevig jouw eigen reflexen zijn als de druk erop staat? Doe de human firewall test en zie waar een aanvaller bij jou ruimte zou vinden.

Veelgestelde vragen over soorten phishing