Maandagochtend, 08.43 uur. De financieel medewerker van een groeiend handelsbedrijf krijgt een e-mail die afkomstig lijkt van Microsoft 365. Het wachtwoord verloopt die dag en de medewerker moet via een knop opnieuw inloggen. De mail is netjes vormgegeven, gebruikt het bedrijfslogo en komt op een moment dat het druk is. Dit phishing aanval praktijkvoorbeeld laat zien waarom technische beveiliging alleen niet genoeg is: aanvallers richten zich op normale werkprocessen, tijdsdruk en vertrouwen.
De medewerker klikt, vult gebruikersnaam en wachtwoord in en gaat verder met de werkzaamheden. Binnen enkele minuten logt een aanvaller vanuit het buitenland in op de mailbox. Die leest niet direct alle e-mails, maar observeert eerst. Welke leveranciers zijn actief? Wie accordeert betalingen? Welke facturen lopen bijna af? Twee dagen later volgt een verzoek dat past bij een bestaande leverancierrelatie. Het bankrekeningnummer zou zijn gewijzigd.
Dit scenario is herkenbaar voor veel mkb-organisaties. Niet omdat medewerkers onzorgvuldig zijn, maar omdat phishing steeds overtuigender wordt. De aanvaller hoeft geen systeem te kraken als één goed getimede e-mail toegang geeft tot een zakelijke mailbox.
Phishing aanval praktijkvoorbeeld: zo bouwt de fraude zich op
In dit voorbeeld werkt de aanvaller in drie fases. Eerst worden inloggegevens buitgemaakt via een nagemaakte inlogpagina. Daarna wordt de mailbox gebruikt om informatie te verzamelen en communicatie geloofwaardig na te bootsen. Tot slot probeert de aanvaller geld, gegevens of aanvullende toegangsrechten te verkrijgen.
De oorspronkelijke phishingmail had enkele signalen die achteraf opvallen. Het afzenderadres leek op dat van Microsoft, maar gebruikte een afwijkende domeinnaam. De knop verwees niet naar de bekende Microsoft-omgeving. Ook de urgente formulering – actie vereist voor 17.00 uur – was bedoeld om controle te omzeilen. Los van elkaar zijn zulke signalen soms subtiel. Samen hadden ze reden moeten zijn om niet te klikken.
De aanvaller had bovendien een zwakke plek in de bestaande beveiliging benut: multifactor-authenticatie was niet overal verplicht. Met alleen een wachtwoord kon de aanvaller dus inloggen. In sommige omgevingen proberen criminelen de tweede factor alsnog te omzeilen met een nagemaakte inlogpagina die ook een verificatiecode vraagt, of met herhaaldelijke meldingen totdat iemand uit haast op ‘goedkeuren’ drukt. Daarom maakt niet alleen de aanwezigheid van multifactor-authenticatie verschil, maar ook de gekozen methode en inrichting.
Eenmaal in de mailbox stelde de aanvaller een onopvallende regel in. Berichten van de echte leverancier werden automatisch verplaatst naar een verborgen map. Daardoor zag de financieel medewerker geen waarschuwing van de leverancier dat er géén rekeningnummerwijziging was aangevraagd. De fraudeur kon de correspondentie vervolgens voortzetten vanuit de echte mailbox, met de juiste handtekening, taal en eerdere e-mailgeschiedenis.
Waarom deze aanval zo lastig te herkennen is
Veel mensen denken bij phishing aan slecht Nederlands, opvallende bijlagen of een onbekende afzender. Die varianten bestaan nog steeds, maar gerichte aanvallen zijn professioneler. Ze maken gebruik van openbare informatie, gestolen e-mailhandtekeningen en bestaande gesprekken. Soms wordt zelfs een legitiem account van een leverancier misbruikt. Een controle op spelling is dan onvoldoende.
De grootste risicofactor is context. Een verzoek om een factuur te betalen voelt logisch wanneer de afzender een bekende contactpersoon is en de factuur aansluit op lopend werk. Zeker in organisaties waar één persoon betalingen voorbereidt en accordeert, kan een aanvaller misbruikmaken van snelheid en beperkte tegencontrole.
Ook werkwijzen die ooit praktisch waren, worden dan een risico. Denk aan bankrekeningnummers die per e-mail mogen wijzigen, gedeelde accounts of toegang die oud-medewerkers nog hebben. Het gaat niet om medewerkers wantrouwen, maar om processen zo inrichten dat één fout niet direct tot schade leidt.
Het moment waarop ingrijpen het verschil maakt
In het voorbeeld ontdekt een collega de fraude wanneer een leverancier belt over een openstaande factuur. De betaling is al uitgevoerd, maar het geld staat op een buitenlandse rekening. Direct handelen is dan bepalend. Hoe eerder de bank, IT-partner en betrokken leveranciers worden geïnformeerd, hoe groter de kans dat een betaling nog kan worden tegengehouden of onderzocht.
De eerste stap is de getroffen account direct beveiligen: sessies intrekken, het wachtwoord wijzigen en multifactor-authenticatie opnieuw registreren. Daarna moet worden onderzocht of de aanvaller toegang had tot andere accounts, mailboxregels heeft ingesteld, bestanden heeft gedownload of e-mails namens medewerkers heeft verstuurd. Alleen het wachtwoord aanpassen is onvoldoende als er nog een actieve sessie, doorgestuurde mail of extra herstelmethode aanwezig is.
Ook communicatie verdient aandacht. Informeer collega’s dat er mogelijk verdachte e-mails vanuit een intern adres zijn verstuurd. Waarschuw leveranciers en klanten die mogelijk zijn benaderd. Wees daarbij feitelijk: welke mailbox is geraakt, welke periode betreft het en welk verzoek moeten ontvangers negeren? Heldere communicatie voorkomt vervolgschade en beschermt de vertrouwensrelatie.
Bij mogelijke persoonsgegevens of vertrouwelijke bedrijfsinformatie hoort daarnaast een beoordeling van de meldplicht en de contractuele afspraken met klanten. Dat is afhankelijk van wat er toegankelijk was en of gegevens daadwerkelijk zijn ingezien of geëxporteerd. Leg bevindingen en genomen maatregelen daarom vanaf het begin vast.
Welke maatregelen hadden de schade beperkt?
Geen enkele maatregel maakt phishing onmogelijk. De beste bescherming bestaat uit lagen die elkaar aanvullen. De juiste combinatie hangt af van de omvang van de organisatie, de gebruikte systemen en de gevoeligheid van de informatie.
Sterke multifactor-authenticatie is een belangrijke basis. Bij voorkeur gebruikt de organisatie een methode die beter bestand is tegen phishing dan een sms-code of een simpele goedkeuringsmelding. Daarnaast helpt voorwaardelijke toegang: een inlogpoging vanaf een onbekende locatie of onbeheerd apparaat kan extra verificatie vragen of worden geblokkeerd. Dit vraagt wel om een zorgvuldige inrichting. Te strenge regels frustreren medewerkers die reizen of thuiswerken, terwijl te ruime uitzonderingen het effect verminderen.
E-mailbeveiliging kan verdachte afzenders, schadelijke links en ongebruikelijke berichten tegenhouden voordat ze de inbox bereiken. Maar filters vangen niet alles af. Daarom is het verstandig om externe e-mails herkenbaar te markeren, domeinen die namens het bedrijf mogen mailen goed te beheren en afwijkend mailgedrag te monitoren. Denk aan een nieuwe regel voor automatisch doorsturen, massaal verwijderen van berichten of een onverwachte inloglocatie.
Minstens zo belangrijk is een betaalproces met onafhankelijke controle. Een rekeningnummerwijziging van een leverancier wordt bijvoorbeeld niet alleen per e-mail verwerkt, maar telefonisch geverifieerd via een eerder bekend nummer. Betalingen boven een afgesproken bedrag krijgen een tweede akkoord. Gebruik daarbij nooit het telefoonnummer uit de verdachte e-mail zelf.
Bewustwording werkt het best wanneer die aansluit op de dagelijkse praktijk. Een eenmalige presentatie over phishing verdwijnt snel naar de achtergrond. Korte, terugkerende oefeningen met herkenbare situaties helpen medewerkers om twijfel normaal te maken. De gewenste reflex is niet: ik moet elke e-mail zelf technisch beoordelen. De gewenste reflex is: dit verzoek wijkt af, ik controleer het via een andere weg.
Van incident naar een beter ingericht proces
Na een phishingincident ligt de nadruk vaak op de persoon die klikte. Dat is begrijpelijk, maar zelden productief. De betere vraag is welke combinatie van techniek, proces en begeleiding ervoor zorgde dat één klik zo veel impact kon krijgen. Was multifactor-authenticatie overal actief? Waren meldingen over afwijkende inlogpogingen zichtbaar en opgevolgd? Kon één medewerker een rekeningnummer wijzigen én een betaling klaarzetten?
Een korte evaluatie levert vaak concrete verbeteringen op. Maak duidelijk wie bij een vermoeden van phishing moet worden gebeld, ook buiten kantooruren. Spreek af wie bevoegd is om accounts te blokkeren en welke informatie nodig is voor de bank of een externe onderzoeker. Test vervolgens of die werkwijze ook werkt wanneer de vaste contactpersoon afwezig is.
Voor organisaties zonder eigen IT-team is dit precies waar een betrokken beheerpartner waarde toevoegt. Nexer kan helpen om beveiligingsmaatregelen, Microsoft 365-beheer, monitoring en werkprocessen op elkaar aan te laten sluiten. Niet met een standaardlijst die in een la verdwijnt, maar met keuzes die passen bij de manier waarop uw medewerkers werken en uw bedrijf wil groeien.
Een phishingmail zal vroeg of laat in vrijwel iedere organisatie landen. De vraag is niet of iedereen elk bericht perfect herkent, maar of uw organisatie zo is ingericht dat een twijfelachtig klikmoment geen bedrijfscontinuïteit, klantvertrouwen of liquiditeit in gevaar brengt. Dat begint met een gesprek over wat er morgen moet gebeuren als die ene e-mail overtuigender is dan verwacht.
