Je krijgt een mailtje binnen van je bank. Je account is in gevaar en je moet meteen in actie komen. Verander direct je wachtwoord via de volgende link. Je klikt nietsvermoedend op de link en komt op een landingspagina die er betrouwbaar uitziet. Je vult snel je gegevens en wachtwoord in en verandert je wachtwoord direct. Het probleem is alleen dat het mailtje niet van je bank was, maar van een cybercrimineel. Het was een phishing mail.
Wat is Phishing?
Iedere dag klikken miljoenen mensen op neplinkjes in e-mails of app berichten die zijn ontworpen om je wachtwoord te stelen of je gevaarlijke malware te laten downloaden. Je hoeft jezelf echt niet te schamen als het je overkomt, want het is vaak moeilijk een phishing e-mail te onderscheiden van een echte e-mail.
Bij phishing proberen cybercriminelen gebruikers ertoe te verleiden ‘het verkeerde’ te doen, bijvoorbeeld door op een ‘slechte’ link te klikken waarmee malware wordt gedownload, of door een gebruiker naar een onbetrouwbare website te leiden. Je kunt het dus met vissen vergelijken, want je verleidt een vis ook met nep-aas om te bijten.
Phishing kan worden uitgevoerd via een sms, sociale media of telefoon, maar de term ‘phishing’ wordt meestal gebruikt voor aanvallen die via e-mail binnenkomen. Phishing-e-mails kunnen miljoenen gebruikers rechtstreeks bereiken en zich verstoppen tussen het grote aantal goedaardige e-mails die drukbezette gebruikers ontvangen. Aanvallen kunnen malware installeren (zoals ransomware), systemen saboteren of intellectueel eigendom en geld stelen.
Hoe kun je een phishing mail herkennen?
- Er wordt gevraagd om op een link te klikken
Bij een phishing mail wil de aanvaller meestal dat je op een link klikt of een bijlage opent. Maar voordat je op een link klikt controleer je het mailtje beter op een paar punten die we hieronder zullen bespreken.
- De tekst bevat rare spelfouten
Tegenwoordig staan nepmails allang niet meer bol van de taal- en spelfouten. Want vertaalprogramma’s zoals Google Translate of deepl worden ook steeds beter. Toch kun je soms aan de grammatica, zoals kromme zinnen zien dat er iets niet klopt. Ook de gebruikte logo’s en foto’s zien er helaas steeds professioneler uit. Gebruik dus je onderbuikgevoel.
- Het e-mailadres klopt niet (helemaal)
Controleer altijd goed het adres van de afzender. De naam van de afzender mag dan precies hetzelfde lijken als die van je bank of webwinkel, maar vaak is het gebruikte e-mailadres ergens fout. Controleer de domeinnaam waarvan je de e-mail hebt ontvangen. De domeinnaam is te herkennen aan alles wat achter het @-teken in het e-mailadres staat. Als je niet goed oplet zou je kunnen missen dat de letter o in vervangen is door het cijfer 0. Een extra tip is om altijd een wachtwoordmanager te gebruiken. Een wachtwoordmanager zal nooit een wachtwoord automatisch invullen op een domein dat een letter of cijfer afwijkt. Wij raden Bitwarden aan.
- Controleer de link
Je kunt vaak met de muis op een link gaan staan (erboven hangen zonder aan te klikken!) om te zien naar welke pagina je wordt geleid. Als je de link niet vertrouwt klik er dan niet op.
- Kijk altijd uit met het openen van bijlagen
Een bijlage in een phishing mail kan ervoor zorgen dat er schadelijke software op je computer wordt geïnstalleerd. Open dus nooit zomaar een bijlage van een e-mail die je niet vertrouwt.
Een zip of rar-bestand is altijd verdacht, omdat bijvoorbeeld facturen en aanmaningen nooit op deze manier worden verstuurd. Maar ook een pdf bestand kan schade toebrengen aan je computer. Verwacht je toch een bestand? Neem dan contact op met de afzender om te vragen wat en hoe ze iets precies verstuurd hebben.
Gebruik hiervoor nooit de contactgegevens in de e-mail (want deze is van de cybercrimineel, maar zoek deze zelf (bijvoorbeeld via de website) op.
- In het mailtje staat dat je iets direct moet doen, anders…
Veel phishing mailtjes proberen je onder druk te zetten door gebruik te maken van laatste waarschuwingen of spoedmeldingen. “Uw creditcard verloopt, als u vandaag uw gegevens niet wijzigt zal uw creditcard worden geblokkeerd”. Ga hier niet via de e-mail op in maar neem bij twijfel telefonisch contact op met de kaartverstrekker.
- Er wordt gevraagd om gevoelige informatie
Meestal wordt er gevraagd om je persoonlijke of betaalgegevens te controleren of aan te vullen. De afzender doet zich hierbij meestal voor als een vertrouwde instantie, zoals je bank, verzekering of de overheid. Klik niet op de link en zoek zelf de contactgegevens van de afzender om de echtheid te controleren. Als je echt je gegevens wil controleren ga dan zelf naar de betreffende website en log daar in op je account
Soorten Phishing
Clone Phishing
Bij deze aanval maken criminelen een kopie — of kloon — van eerdere bezorgde en legitieme e-mails die een koppeling of een bijlage bevatten.
De Nigeriaanse prins
Een langdradige phishing-e-mail van iemand die beweert dat hij een Nigeriaanse prins is. Dit is een van de eerste en langstlopende zwendels op internet. Vaak moet je eerst wat geld overmaken om aanspraak te maken op een erfenis of fortuin.
Spear Phishing
De meeste phishing mailtjes worden in bulk verstuurd naar duizenden emailadressen in de hoop dat een paar mensen “bijten”. Spear phishing gaat heel gericht te werk en valt een specifieke persoon of organisatie aan, vaak met inhoud die zorgvuldig is aangepast op het slachtoffer of de slachtoffers. Voorafgaand aan de aanval is verkenningswerk gedaan om namen, functietitels, e-mailadressen en dergelijke te verzamelen. De cybercriminelen speuren internet af om deze informatie te koppelen aan andere gegevens over de collega’s van het doelwit, samen met de namen en werkrelaties van belangrijke medewerkers in de organisatie. Hiermee construeert de phisher een geloofwaardige e-mail.
Vishing of Phone phishing
Bij phishing-pogingen per telefoon, belt de cybercrimineel je op en beweert namens je bank, de politie of zelfs de belastingdienst te bellen. Vervolgens maken ze je bang met een of ander probleem en dringen aan om dit direct op te lossen door je rekeninggegevens te delen of anders een boete te betalen. Ook bij dit soort telefoontjes kun je beter de verbinding verbreken en zelf terug te bellen via een betrouwbare telefoonnummer.
Voorbeelden Phishing mail
Een bezorger van Post NL laat meestal via een kaartje in de bus weten waar een pakketje af te halen is, nooit met een mail.
Hier zie je duidelijk dat de link “klik hier” naar een onbetrouwbaar domein “condoclima.com” leidt. Je moet altijd kijken naar wat er voor de laatste .nl of .com staat.
Doe dit altijd om phishing te voorkomen
In bijna alle gevallen kun je beter zelf inloggen op een vertrouwde website zonder vanuit een e-mail op een link te klikken. Als je een mail krijgt van je bank om je gegevens te controleren ga dan uit je mailprogramma, open je browser en typ zelf de domeinnaam van je bank in waarvan je weet dat het betrouwbaar is. En gebruik altijd een betrouwbare wachtwoordmanager zoals Bitwarden.