De psychologie van phishing: zes knoppen waar oplichters op drukken

Urgentie en autoriteit: de twee zwaargewichten

Urgentie. “Je account wordt binnen 24 uur geblokkeerd.” “Reageer vóór 17.00 uur.” Tijdsdruk doet iets gemeens: het versmalt je aandacht tot de taak die voor je ligt en schuift de vraag “klopt dit eigenlijk wel?” naar achteren. Op de werkvloer ziet dat eruit als het mailtje dat binnenkomt om 16.40 uur, vlak voor je naar huis wilt, met een deadline van vandaag. De timing is geen toeval.

Autoriteit. Mensen zijn gewend te doen wat de baas, de bank of “IT” vraagt, en dat is meestal ook verstandig. Oplichters lenen die autoriteit: een mail uit naam van de directeur, een bericht dat oogt alsof het van de systeembeheerder komt, een brief met het logo van de Belastingdienst. Het werkvloer-voorbeeld: “Kun je dit even snel regelen? Ik zit in een vergadering en kan niet bellen.” Eén zin die autoriteit én onbereikbaarheid combineert, zodat verifiëren ongemakkelijk voelt. Op die combinatie draait vrijwel alle CEO-fraude.

Schaarste en wederkerigheid: de verleiders

Schaarste. Wat bijna op is, willen we hebben. “Nog drie plekken voor de personeelsuitje-loting.” “Laatste kans om je bonus te claimen.” Schaarste werkt subtieler dan urgentie: het voegt verlangen toe aan de tijdsdruk. Je bent niet alleen bang te laat te zijn, je wilt het ook echt niet missen.

Wederkerigheid. Wie iets krijgt, voelt de drang iets terug te doen. Oplichters geven daarom eerst: een “gratis rapport”, een cadeaubon “namens HR”, handige informatie van een zogenaamd behulpzame collega. Daarna komt het verzoek, en dat weigeren voelt onbeleefd. Het werkvloer-voorbeeld: de “nieuwe accountmanager” die eerst twee keer nuttige info stuurt en bij het derde contact vraagt om in te loggen op een portaal.

Sympathie en consistentie: de stille krachten

Sympathie. Van mensen die we aardig vinden of die op ons lijken, nemen we meer aan. Een aanvaller die je LinkedIn heeft bekeken weet waar je werkt, wat je leuk vindt en wie je collega’s zijn. Een berichtje dat begint over de hockeyclub of het congres waar je vorige week was, voelt als contact van een bekende. De kritische blik gaat uit voordat het verzoek binnenkomt.

Consistentie. We willen handelen in lijn met wat we eerder zeiden of deden. Daarom werken aanvallen in stapjes: eerst een onschuldige vraag (“klopt het dat jij over de inkoop gaat?”), dan een kleine gunst, dan het echte verzoek. Wie drie keer ja heeft gezegd, vindt het lastig om bij de vierde vraag opeens nee te zeggen. In gesprekken na incidenten hoor ik dat letterlijk terug: “Ik zat er al zo ver in, terugkrabbelen voelde raar.”

Waarom slimme mensen óók klikken

Dit is het punt waar ik in elke sessie het langst bij stilsta. Deze zes principes zijn geen zwaktes van domme mensen; het zijn snelkoppelingen die iedereen de hele dag gebruikt om sociaal te functioneren. Je dóét wat je leidinggevende vraagt, je helpt wie jou hielp, je vertrouwt mensen die je aardig vindt. Zonder die snelkoppelingen zou samenwerken onmogelijk zijn.

De aanvaller hoeft die snelkoppelingen alleen maar te activeren op een moment dat je druk, moe of afgeleid bent. Intelligentie helpt daar nauwelijks tegen, omdat de beslissing valt voordat je analytische denken wordt ingeschakeld. Sterker nog: drukbezette, plichtsgetrouwe mensen zijn vaak juist kwetsbaarder, omdat zij gewend zijn snel te reageren en dingen voor anderen te regelen. Wie zich schaamt na een klik, schaamt zich dus voor iets dat in de kern een goede eigenschap is.

De druk op de knop als alarmsignaal

Je kunt deze knoppen niet uitbouwen, maar je kunt wel leren ze te vóélen. Mijn advies aan elk team is hetzelfde: draai het om. Juist het gevoel dat een bericht oproept, is je detectiemiddel.

1. Benoem het gevoel. Haast, schrik, gestreeld gevoel, schuldgevoel: merk je dat een bericht emotie oproept én om een actie vraagt, dan is dat de trigger om te vertragen. Niet de afzender of de opmaak, maar het gevoel.
2. Stap uit het kanaal. Reageer niet in dezelfde mail of chat, maar verifieer via een route die jij zelf kiest: bel het nummer dat je al had, loop langs, gebruik het interne adresboek.
3. Koop tijd, hardop. “Ik kom hier binnen een uur op terug” is bijna altijd een acceptabel antwoord. Echte verzoeken overleven een uur wachten moeiteloos; bij neppe verzoeken voert de afzender de druk dan juist op, en dat is je bevestiging.