Phishing is een bericht dat zich voordoet als iemand die je vertrouwt, zoals een bank, een bezorgdienst, je werkgever of een vriend, zodat je op een link klikt, een bestand opent of een wachtwoord afgeeft. Het komt binnen via e-mail, sms, berichtenapps en telefoongesprekken. De berichten zijn vaak overtuigend, maar ze hebben een paar gewoonten gemeen.
Wat wil een phishingbericht meestal?
Bijna elk phishingbericht wil een van drie dingen: dat je inlogt op een pagina die de afzender beheert, dat je een bijlage opent die iets schadelijks installeert, of dat je geld of informatie stuurt vanwege een verzonnen probleem. Het verhaal rond het verzoek verandert, maar het doel blijft hetzelfde.
Veelvoorkomende verhalen zijn een geblokkeerd account, een gemiste bezorging, een onbetaalde factuur, een onverwachte terugbetaling, een prijs of een familielid in nood dat meteen hulp nodig heeft. Controleer elk bericht dat om een wachtwoord, verificatiecode, betaling of kopie van een identiteitsbewijs vraagt, voordat je iets doet.
Welke signalen verraden een phishingbericht?
Geen enkel signaal bewijst op zichzelf dat een bericht nep is, en goede vervalsingen kunnen ze allemaal vermijden. Toch is het goed om dit elke keer te controleren:
Druk. Het bericht zegt dat je maar een paar uur hebt, dat je account wordt gesloten of dat er iets ergs gebeurt als je wacht.
Een afzenderadres dat er bijna goed uitziet maar niet klopt, met een verwisselde letter of een extra woord in het domein.
Een link waarvan de zichtbare tekst niet overeenkomt met de bestemming. Op een computer kun je er met de muis overheen gaan, op een telefoon kun je hem ingedrukt houden om het adres te zien.
Een onverwachte bijlage, vooral een zipbestand, een factuur die je niet hebt aangevraagd of een bestand dat vraagt om macro’s in te schakelen.
Een verzoek om te betalen met cadeaubonnen, cryptovaluta of een overboeking naar een nieuwe rekening.
Wat moet je doen voordat je klikt?
Stop en ga langzamer. Druk is het middel waar de afzender van afhankelijk is, dus een paar minuten nemen haalt veel van zijn voordeel weg. Reageer niet, bel geen nummer uit het bericht en open de link of bijlage niet.
Controleer de bewering daarna via een route die je al vertrouwt. Open de app van het bedrijf of typ het adres zelf in de browser, en zoek dezelfde melding in je account. Bel het nummer dat op je pas of op de officiële website van het bedrijf staat. Lijkt het bericht van een collega of familielid te komen, neem dan op een andere manier contact op, bijvoorbeeld telefonisch, en vraag of die het heeft gestuurd.
Waarom horen sms’jes en telefoontjes ook bij phishing?
Phishing is niet beperkt tot e-mail. Sms’jes over pakketten, tolheffing of bankmeldingen komen veel voor, net als telefoontjes van iemand die zegt voor je bank of een helpdesk te werken. Een beller kan het nummer op je scherm bijna alles laten lijken, dus het getoonde nummer bewijst niets.
Een echte bank vraagt je niet om geld over te maken naar een “veilige rekening”, en een echte helpdesk vraagt niet om een code die net naar je telefoon is gestuurd. Zet een beller je onder druk, hang dan op en bel terug op een nummer dat je zelf hebt opgezocht. Hetzelfde geldt voor voicemails en voor berichten van het gehackte account van een vriend die om geld vragen.
Wat als je al hebt geklikt of een wachtwoord hebt ingevoerd?
Het overkomt ook zorgvuldige mensen, en snel handelen maakt echt verschil. Doorloop deze stappen in volgorde:
Koppel je los van het probleem. Heb je een bestand geopend en denk je dat het iets heeft uitgevoerd, zet dan de netwerkverbinding van dat apparaat uit en laat die uit tot het is gecontroleerd.
Wijzig het wachtwoord van het betrokken account, het liefst op een ander apparaat. Gebruikte je dat wachtwoord ook elders, wijzig het daar dan ook.
Schakel tweestapsverificatie in, bij voorkeur met een passkey of een authenticator-app, en log in de accountinstellingen uit op andere sessies.
Neem direct contact op met je bank als je kaart- of bankgegevens hebt gedeeld. Vraag om de kaart te blokkeren of op ongebruikelijke activiteit te letten.
Zoek naar wijzigingen die je niet zelf hebt gemaakt, zoals nieuwe doorstuurregels in je e-mail, nieuwe hersteladressen of onbekende aanmeldingen.
Meld het bericht bij de dienst waar het zich als voordeed, en waarschuw je contacten als het account berichten in jouw naam heeft verstuurd.
Hoe maak je phishing vooraf minder schadelijk?
Je kunt niet voorkomen dat elk bericht je bereikt, dus het doel is de schade te beperken als er een doorheen komt. Gebruik voor elk account een ander wachtwoord en bewaar ze in een wachtwoordmanager, die ook helpt omdat hij geen wachtwoord invult op een site met het verkeerde adres. Passkeys gaan verder, omdat ze helemaal niet in een nepsite kunnen worden getypt.
Houd je telefoon en apps up-to-date en wees voorzichtig met apps en bestanden van buiten de officiële winkels. Beperk wat je bewaart op plekken die één gestolen wachtwoord kan openen. Kopieën van je paspoort, belastingpapieren of contracten hoeven niet in je e-mailinbox te staan, waar één geslaagd phishingbericht ze allemaal bloot zou kunnen leggen.
Hier kan Revault helpen. Het bewaart foto’s, documenten en bestanden in een versleutelde kluis op je apparaat, zonder Revault-account dat gephisht kan worden. Dat voorkomt niet dat je een nepbericht ontvangt, maar het houdt je gevoeligste bestanden buiten je inbox en cloudaccounts. Geen enkel hulpmiddel vervangt je oordeel, dus de gewoonte die je het meest beschermt is de eenvoudige: vraagt een bericht om iets dringends, controleer het dan eerst op een andere manier.