Phishing voorbij firewalls: de menselijke factor in je beveiliging

Je kunt je IT-omgeving nog zo goed beveiligen met firewalls, monitoring en antivirussoftware, maar één klik van een medewerker op een verkeerde link kan alles onderuit halen. Medewerkers vormen nog steeds de grootste kwetsbaarheid binnen je cybersecuritystrategie, en dat weten cybercriminelen maar al te goed. Een van de meest gebruikte aanvalstechnieken is phishing: misleidende e-mails die eruitzien alsof ze van een betrouwbare bron komen, maar in werkelijkheid ontworpen zijn om je te laten klikken op schadelijke links of bijlagen.

E-mail blijft de favoriete aanvalsvector

Uit het Barracuda 2025 Email Threats Report blijkt dat e-mail nog altijd de meest gebruikte ingang is voor cybercriminelen. Maar liefst één op de vier e-mails is kwaadaardig of ongewenste spam. Aanvallers gebruiken social engineering, automatisering en geavanceerde malware om beveiligingssystemen te omzeilen en gebruikers te verleiden tot het openen van schadelijke links of geïnfecteerde bijlagen.

De gevolgen? Denk aan:

• Financiële schade
• Datalekken
• Reputatieverlies
• Juridische complicaties

Twee veelvoorkomende phishingvoorbeelden

1. CEO-fraude via e-mail
Een medewerker van de financiële administratie ontvangt een e-mail van een directeur:
“Beste Maarten, deze factuur kwam bij mij binnen en moet met spoed betaald worden. Ik had net de leverancier aan de telefoon. Kun jij voor de lunch €4.950 overmaken? Factuur staat in de bijlage.”

De e-mail lijkt van de directeur te komen, maar is vervalst. De bijlage bevat een nepfactuur en malware.

2. IT-helpdesk phishing
Een medewerker krijgt een e-mail van IT Support:
“Je wachtwoord verloopt vandaag. Klik hier om je account te vernieuwen.”

De link leidt naar een nagemaakte Microsoft 365-inlogpagina. Ingevoerde gegevens worden gestolen.

Pas op voor uitschrijf-linkjes

Je inbox staat waarschijnlijk vol met nieuwsbrieven en promotionele e-mails. Uitschrijven lijkt eenvoudig: één klik op de ‘uitschrijven’-knop en je bent klaar. Maar die knop is niet altijd zo onschuldig als hij lijkt.

De gevaren van uitschrijf-links

• Je bevestigt dat je e-mailadres actief is, waardevolle info voor spammers.
• 1 op de 644 uitschrijf-links leidt naar een kwaadaardige website (DNSFilter).
• Sommige links installeren ongemerkt malware, zoals spyware of keyloggers.
• Andere activeren trackingcodes die je surfgedrag volgen of gevoelige data verzamelen.

Wat kun je doen?

• Gebruik de uitschrijffunctie van je e-mailprovider (zoals Gmail), zodat je binnen je inbox blijft.
• Voer nooit je wachtwoord of inloggegevens in via een uitschrijf-link.
• Gebruik een apart e-mailadres voor nieuwsbrieven en webshops.

Conclusie

Een integrale security-aanpak gaat verder dan techniek. Ook het bewust maken en trainen van medewerkers hoort een gedegen cybersecurity strategie. Het is daarom essentieel om niet alleen technische maatregelen te treffen, maar ook structureel te investeren in het vergroten van kennis en alertheid binnen de organisatie. Door medewerkers bewust te maken van de gevaren van ogenschijnlijk onschuldige handelingen, zoals klikken op linkjes in phishing mails, wordt de kans op incidenten aanzienlijk verkleind. Training en duidelijke communicatie zorgen ervoor dat iedereen weet welke signalen te herkennen zijn en hoe adequaat te reageren bij twijfel.