Door Sam · bijgewerkt 2 oktober 2026
- Spear phishing is phishing op maat: één doelwit, één zorgvuldig gebouwd bericht, met informatie uit openbare bronnen, sociale media of een datalek.
- Informatie kan komen uit LinkedIn, de bedrijfssite, social media of buitgemaakte data: functies, projecten, leveranciers, afwezigheid, toon.
- Persoonlijke details kunnen vertrouwen wekken. Ze bewijzen niet dat de afzender betrouwbaar is.
- De verdediging zit niet in minder delen maar in een vaste reflex: elk verzoek om geld, inloggegevens of vertrouwelijke info wordt geverifieerd via een tweede kanaal, hoe kloppend het verhaal ook is.
Gewone phishing is hagel: duizenden identieke mails, in de hoop dat ergens iemand hapt. Spear phishing is een enkel, gericht schot. De aanvaller kiest één persoon, doet zijn huiswerk en bouwt een bericht dat precies in diens werkdag past. Geen taalfouten, geen vage aanhef, geen opzichtige link, maar een verzoek dat klopt met alles wat het doelwit die week bezighoudt.
Om te laten zien hoe dat werkt, loop ik hieronder een aanval stap voor stap door. Dit voorbeeld is volledig verzonnen. Het illustreert de patronen die het NCSC bij spearphishing beschrijft; het is geen geanonimiseerde echte casus en geen eigen incidentonderzoek.
Stel: een officemanager bij een middelgroot bedrijf
Stel: een officemanager, noem haar Sandra, werkt bij een middelgroot installatiebedrijf. Ze regelt facturen, plant het jubileumfeest en is volgens haar LinkedIn-profiel “de spin in het web”. De aanvaller heeft haar niet uitgekozen omdat ze onoplettend is, maar omdat haar functie op het kruispunt ligt van geld, planning en toegang.
Wat vindt hij over haar, zonder ook maar één systeem te hoeven kraken?
| Bron | Wat erop staat | Wat de aanvaller ermee doet |
|---|---|---|
| Functie, dienstjaren, collega’s, “spin in het web” | Kiest haar als doelwit en kent de hiërarchie om haar heen | |
| Bedrijfswebsite | Nieuwsbericht over een nieuw project met een vaste leverancier | Heeft een geloofwaardige context voor een factuur of wijziging |
| Social media directeur | Foto’s van een vakbeurs in het buitenland, deze week | Weet dat de directeur lastig bereikbaar is: het perfecte moment |
| Vacaturetekst | “Wij werken met [boekhoudpakket X]” | Kan systeemspecifieke details in zijn verhaal verwerken |
| Eerdere mails of nieuwsbrieven | Schrijfstijl, ondertekening, huisstijl | Kopieert de toon waarmee intern gecommuniceerd wordt |
Deze voorbeelden zijn openbaar. Welke informatie een bedrijf wil delen, vraagt wel een bewuste afweging. Het wordt pas munitie als iemand het samenvoegt.
Het bericht dat overal doorheen komt
Op dinsdagochtend, terwijl de directeur op de beurs staat, krijgt Sandra een mail. Afzender: de naam van de directeur, met een adres dat er op een teken na hetzelfde uitziet als het echte. Onderwerp: het project dat vorige week op de bedrijfssite stond. De toon: kort en joviaal, precies zoals hij altijd mailt. De inhoud: of ze de aanbetaling aan de leverancier vandaag wil regelen, want hij heeft “het op de beurs net mondeling afgetikt”, en hij hangt de “aangepaste factuur” eraan, met een ander rekeningnummer dan anders.
Elk wantrouwen-anker dat Sandra normaal heeft, is hier doorgeknipt. Onbekende afzender? Nee, haar eigen directeur. Vreemd verzoek? Nee, ze betaalt deze leverancier vaker. Rare timing? Integendeel: het klopt exact met de beurs én met het project. Vragen stellen kan lastig: hij is in het buitenland, en hij schreef er al bij dat hij tussen afspraken door zit. Dit is het verschil met massale phishing, waar je onderbuik nog houvast heeft aan vaagheid en fouten. Een goed overzicht van waar dit type aanval zich bevindt tussen alle andere varianten vind je bij soorten phishing.
Een aanvaller kan echte context gebruiken om een vals verzoek aannemelijk te maken. Controleer daarom de handeling onafhankelijk, ook als naam, project en timing kloppen.
Waarom maatwerk werkt
Spear phishing kan ook beginnen met gegevens uit een inbraak
“Citrix is gepatcht, dus dit herstelverzoek is veilig” klopt niet als controle van de afzender. Een NetScaler-update bewijst volgens Citrix geen schone voorgeschiedenis, en zegt niets over wie jou nu belt. Zoek de servicedesk zelf op in het interne adresboek en vraag of dit specifieke verzoek bij hen vandaan komt.
Een aanvaller hoeft het verhaal niet alleen uit LinkedIn te bouwen. Het NCSC noemt ook datalekken als informatiebron. Denk aan interne namen, functies of contactgegevens, als die werkelijk zijn buitgemaakt. Een bekende naam maakt het verzoek dan overtuigender; niet veiliger.
Een bericht kan bijvoorbeeld luiden: “Ik regel het herstel van jullie Citrix-toegang. Je manager heeft akkoord gegeven; geef de code even door.” Dit is een fictief oefenvoorbeeld, geen aangetroffen campagne. De combinatie van productnaam, manager en spoed is geen bewijs dat de beller bevoegd is.
| De beller weet | Dat bewijst niet | Jouw onafhankelijke controle |
|---|---|---|
| Je naam en functie | Dat hij bij jouw bedrijf werkt | Zoek zelf de collega of servicedesk op in het adresboek. |
| Welke thuiswerksoftware je gebruikt | Dat hij een wijziging mag uitvoeren | Controleer de opdracht via het bestaande interne kanaal. |
| Wie je manager is | Dat die manager dit verzoek heeft goedgekeurd | Vraag je manager zelf; gebruik geen meegestuurd nummer. |
| Dat er een beveiligingsincident speelt | Dat jouw gegevens zijn gestolen of dat deze afzender echt is | Vraag IT wat is bevestigd en welke actie nodig is. |
Wij vinden “controleer of het verhaal klopt” te zwak als enige verdediging. Juist een oplichter kan een kloppend verhaal gebruiken. De controle moet aantonen dat de echte collega of organisatie het verzoek doet. Hoe een social engineering-verzoek druk op die controle zet, verdient een eigen teamafspraak.
Ook onze nadruk op terugbellen heeft een beperking: een zelf opgezocht nummer helpt alleen als je een werkelijk bekende, onafhankelijke bron gebruikt. Zoekresultaten, een handtekening in de verdachte mail en het nummer van de beller zijn daar geen vervanging voor. Gebruik het interne adresboek of een contact dat je al had.
Bij het Citrix-voorbeeld van een nephelpdesk staan de concrete rode vlaggen. Oefen als team vooral het antwoord: “Ik deel geen code. Ik controleer de opdracht via onze eigen servicedesk.”
Timing en toon: de onderschatte helft van de aanval
Veel aandacht gaat naar wát er in zo’n mail staat, maar de helft van het werk zit in wanneer en hoe. De aanvaller kiest een moment waarop verificatie moeilijk of ongemakkelijk is: de directeur op reis, de vrijdagmiddag, de week van de jaarafsluiting. En hij kiest een toon die het doelwit kent. Wie de openbare communicatie van een bedrijf een tijdje volgt, weet of er intern getutoyeerd wordt, of mails kort of uitgebreid zijn, of er grapjes in mogen.
Dat verklaart waarom de klassieke herkenningsadviezen hier tekortschieten. Er ís geen kromme zin om over te struikelen. De afwijking zit niet in het bericht, maar in het verzóék: er moet geld, een inlog of vertrouwelijke informatie ergens heen. Dat is het enige anker dat altijd blijft staan, hoe goed het voorwerk ook is.
De verdediging: niet minder delen, maar vaste reflexen
De eerste reactie van veel organisaties is: dan moeten medewerkers maar minder op LinkedIn zetten. Dat kan de beschikbare informatie beperken, maar lost de controle van een verdacht verzoek niet op. Zichtbaarheid hoort bij zakendoen, en een aanvaller heeft aan een handvol kruimels genoeg. De verdediging moet zitten in wat er gebeurt op het moment van het verzoek, niet in het droogleggen van bronnen.
- Definieer de triggers. Spreek als team af welke verzoeken áltijd verificatie krijgen, ongeacht afzender: betalingen naar nieuwe of gewijzigde rekeningnummers, het delen van inloggegevens, het versturen van persoonsgegevens of vertrouwelijke stukken.
- Verifieer via een kanaal dat jij kiest. Niet beantwoorden, maar zelf bellen op het nummer uit het interne adresboek, of langslopen. De regel geldt juist óók als het verhaal perfect klopt; perfect kloppen is bij spear phishing geen geruststelling maar een kenmerk.
- Geef rugdekking van bovenaf. De directie moet hardop zeggen: wie mijn verzoek ophoudt om te verifiëren, doet het goed, ook al kost het mij een uur. Zonder die zin wint de aangeleerde gehoorzaamheid het van de afspraak. Diezelfde rugdekking is de kern van elke verdediging tegen CEO-fraude, waar spear phishing vaak de opmaat voor is.
Doe de oefening uit dit artikel eens met je eigen team: laat iedereen in tien minuten opzoeken wat een buitenstaander over jullie afdeling te weten komt via LinkedIn, de bedrijfssite en vacatures. Bespreek daarna welke details een verzoek geloofwaardig maken en welk tweede kanaal de ontvanger gebruikt om het te controleren.
De vraag die Sandra had kunnen redden
Terug naar het hypothetische voorbeeld. Er was één moment waarop de aanval kon stranden: het moment vlak voor de betaling. Niet omdat Sandra iets verdachts had moeten zien, maar omdat het verzoek in een categorie viel die altijd een belletje verdient: ander rekeningnummer, spoed, opdrachtgever slecht bereikbaar. Eén telefoontje naar het mobiele nummer dat ze al jaren van haar directeur had, en het verhaal was ingestort.
Dat is de les die ik je wil meegeven: tegen maatwerk-aanvallen verdedig je je niet met scherpere ogen, maar met afspraken die geen uitzondering kennen. Maak die afspraken deze week, vóórdat iemand zijn huiswerk over jouw organisatie af heeft.
Verantwoordelijke uitgever: Humanfirewall.nl. Bron: NCSC over spearphishing en onafhankelijke verificatie. Meer uitleg bij human firewall.
Zelf een situatie die niet vertrouwd voelt?
Beschrijf je vraag zonder wachtwoorden of vertrouwelijke informatie.