Phishing is de meest gebruikte manier waarop criminelen toegang krijgen tot wachtwoorden, bankgegevens en accounts. Ook adressen op @kveo.nl worden af en toe misbruikt of aangeschreven. Belangrijker nog: het beeld van phishing dat de meeste mensen hebben, klopt niet meer.
Eerst even: spam of phishing?
Die twee worden vaak door elkaar gehaald, en dat is meer dan een woordenkwestie. Spam is vervelend. Phishing is gevaarlijk. Wie het verschil ziet, weet ook meteen wat hij moet doen: spam weggooien, phishing melden.
Spam is ongevraagde reclame. Een afzender wil iets verkopen — een nieuwsbrief waar je nooit om vroeg, een aanbieding voor zonnepanelen, een casino. De afzender bestaat vaak echt, verdient aan volume en heeft geen belang bij jouw wachtwoord. Hinderlijk, niet meer dan dat.
Phishing is oplichting vermomd als een bericht van iemand die je vertrouwt: je bank, DigiD, PostNL, het ABP, je pensioenfonds, (iemand van) de KVEO. Het doel is niet dat je iets koopt, maar dat je iets *doet*: inloggen op een nepsite, een code doorgeven, een bijlage openen, geld overmaken.
De vier verschillen die ertoe doen
| Spam | Phishing | |
|---|---|---|
| Doel | Iets aan je verkopen | Inloggegevens, geld of toegang stelen |
| Afzender | Bestaat meestal echt | Doet zich vóór als een bekende organisatie |
| Wat er van je wordt gevraagd | Klik op de aanbieding | Log in, geef een code, betaal, open de bijlage |
| Toon | Verleidelijk ("nu 40% korting!") | Dringend of dreigend ("binnen 24 uur, anders…") |
| Wat jij doet | Weggooien, eventueel afmelden | Niet klikken, melden bij de Fraudehelpdesk |
Twee voorbeelden naast elkaar
SPAM
PHISHING
Van: Mijn Pensioen
Onderwerp: Actie vereist: uw pensioenoverzicht kan niet worden verwerkt
Geachte heer Jansen, door een wijziging in de verwerking van uw gegevens is uw pensioenoverzicht geblokkeerd. Bevestig uw identiteit binnen 24 uur om onderbreking van uw uitkering te voorkomen. [Identiteit bevestigen]
Foutloos Nederlands, je eigen naam, een bestaande organisatie, tijdsdruk en één knop. Dit is het patroon.
Let op: de grens is niet altijd scherp. Veel phishing komt binnen via dezelfde massale verzendlijsten als spam, en één ongelezen "afmelden"-klik in een phishingmail bevestigt alleen maar dat je adres actief is. Bij twijfel: niet klikken, ook niet op afmelden.
Vergeet drie oude vuistregels
"Je herkent het aan de taalfouten."
Niet meer. Criminelen gebruiken dezelfde AI-taalmodellen als iedereen. Een foutloze, professioneel geschreven mail zegt niets over echtheid.
"Ze weten mijn naam niet."
Vaak wel. Datalekken en openbare bronnen leveren naam, functie, oud-eenheid en soms recente activiteiten op. Een persoonlijke aanhef is geen bewijs.
"Ik zie het aan het telefoonnummer."
Telefoonnummers zijn te vervalsen. Ook als het echte nummer van je bank in beeld staat, kan de beller een oplichter zijn.
Waar je wél op let
- Wordt er gehandeld onder tijdsdruk? Elke variant van "binnen 24 uur, anders…" is een alarmsignaal. Echte organisaties geven je tijd.
- Wordt er iets van je gevraagd? Een code, een wachtwoord, een betaling, het installeren van software, het scannen van een QR-code. Geen enkele bank, verzekeraar, overheidsinstantie of de KVEO vraagt daar ooit om — niet per mail, niet aan de telefoon.
-
Klopt het domein achter de link? Op desktop: houd je muis stil boven de link. Op telefoon of tablet: druk lang op de link, dan verschijnt de URL. Let op het deel vlak vóór de eerste schuine streep — daar staat het echte domein.
Lees van de eerste schuine streep terug naar links. De laatste twee delen vóór die streep zijn het echte domein. Alles daarvóór — ook ing.nl — kan een oplichter zelf verzinnen.
Een paar echte varianten:Wat je ziet Echte domein Oordeel https://mijn.ing.nl/betalening.nlKlopt https://www.ing.nl.veilig-inloggen.co/veilig-inloggen.coNep https://ing-nl.secure-login.com/secure-login.comNep https://postnl.nl.track-pakket.info/track-pakket.infoNep https://kveo.nl.ledenportaal-login.net/ledenportaal-login.netNep Denk niet dat een slotje of "https" iets bewijst: ook nepsites hebben dat tegenwoordig gewoon.
- Vult je wachtwoordmanager automatisch in? Zo nee, dan is het domein niet het domein waar je account op staat. Dit is het betrouwbaarste signaal dat er is, en het werkt ook als de site er perfect uitziet. Jouw ogen kunnen ing.nl verwarren met ing-nl.com; je wachtwoordmanager niet.
- Onverwachte bijlage? Zeker bij .zip, .html of documenten die om "inhoud inschakelen" vragen: niet openen.
Eén maatregel weegt zwaarder dan alle tips hierboven
Zet tweestapsverificatie aan op je e-mail, je bank en je belangrijkste accounts, en gebruik een wachtwoordmanager. Je mailbox is de sleutel tot al je andere accounts — daar begin je.
