Pas op voor reply-chain phishing: de nepmail in je eigen gesprek

Phishing. Je kunt geen artikel over cyberveiligheid lezen zonder dat het langskomt. Dat heeft een reden: phishing is nog altijd de nummer één manier waarop aanvallers binnenkomen. Of het nu gaat om het buitmaken van inloggegevens, het plaatsen van gijzelsoftware of het stelen van gevoelige informatie — een phishingmail is vaak de eerste stap.

Je zou denken dat we er inmiddels wel op getraind zijn. En dat klopt deels: mensen herkennen een klassieke nepmail sneller dan tien jaar geleden. Maar de aanvallers evolueren mee. Hun mails worden overtuigender, en één van de lastigste varianten om te herkennen is de reply-chain phishing-aanval.

Deze aanval is zo gevaarlijk omdat hij misbruikt maakt van iets wat je juist vertrouwt: een lopende e-mailconversatie met collega’s of relaties. Hieronder leggen we uit hoe het werkt en wat je ertegen doet.

Wat is een reply-chain phishing-aanval?

Iedereen kent e-mailketens. Iemand stuurt een mail naar een paar mensen, er komt een reactie, die reactie blijft onderaan het bericht staan. Vervolgens haakt een volgende persoon aan, en zo groeit er een keten van antwoorden over één onderwerp, netjes onder elkaar.

Je verwacht geen phishing binnen zo’n lopend gesprek. De meeste mensen rekenen erop dat phishing als een nieuw, los bericht binnenkomt — niet als antwoord in een keten waar ze zelf in zitten. En precies dat maakt deze aanval zo sluw: er wordt een overtuigende nepmail tussen de bestaande antwoorden geschoven.

Hoe komt een aanvaller in de keten?

Door het e-mailaccount te hacken van iemand die in de keten zit. Vanaf dat gekaapte account kan de aanvaller mailen vanaf een adres dat de anderen kennen en vertrouwen. Bovendien kan hij de hele conversatie teruglezen, en daardoor een antwoord opstellen dat naadloos aansluit.

Stel: het team praat al een tijdje over een nieuw project. De aanvaller leest mee en stuurt een reactie: “Ik heb mijn ideeën voor het project uitgewerkt, hier is de link.” Die link leidt naar een nepsite die malware plaatst of om nog meer inloggegevens vraagt.

De mail voelt niet als phishing, want:

• Hij komt van het adres van een collega dat al in het gesprek zat.
• Hij klinkt natuurlijk en verwijst naar dingen uit de discussie.
• Hij noemt mensen bij naam, precies zoals de aanvaller ze in de keten heeft zien staan.

Waarom dit steeds vaker gebeurt

Achter deze aanval zit een groeiend probleem: business email compromise, oftewel het kapen van zakelijke e-mailaccounts. Zwakke of hergebruikte wachtwoorden en grote datalekken vol inloggegevens zorgen ervoor dat aanvallers steeds vaker toegang krijgen tot een account. Diefstal van inloggegevens is inmiddels een van de belangrijkste oorzaken van datalekken wereldwijd.

Zodra een aanvaller een zakelijk account beheert, is reply-chain phishing een van de manieren om daar geld aan te verdienen — door gijzelsoftware te plaatsen of gevoelige gegevens te stelen en door te verkopen. Dit sluit aan bij wat we eerder schreven over e-mailspoofing voorkomen en de phishingtrends om op te letten.

Een klein praktijkscenario

Een medewerker van de administratie zit in een mailwissel met een leverancier over openstaande facturen. Het account van de leverancier is gehackt. Er komt een “antwoord” binnen: “Onze bankgegevens zijn gewijzigd, gebruik voortaan het rekeningnummer in de bijgevoegde brief.” Alles klopt: het adres, de toon, de context. Zonder een tweede controle wordt er zomaar naar de verkeerde rekening overgemaakt. Eén telefoontje ter verificatie had dat voorkomen.

Zo bescherm je je bedrijf

Reply-chain phishing is lastig te herkennen, maar je kunt het risico flink verkleinen:

• Gebruik een wachtwoordmanager. Die voorkomt hergebruik van wachtwoorden en zwakke wachtwoorden, precies de zwakke plekken waarmee accounts gekaapt worden.
• Zet MFA op e-mailaccounts. Een extra verificatiestap stopt de meeste accountovernames, ook als een wachtwoord is uitgelekt. Zie welke MFA is het veiligst.
• Maak je team alert. Bewustwording vangt veel op. Leer mensen om iets wat “net even niet klopt” serieus te nemen — een vreemde link, een onverwacht verzoek, een wijziging van betaalgegevens.
• Verifieer bij twijfel via een ander kanaal. Gaat het om geld of gevoelige gegevens? Bel de afzender even, in plaats van op de mail te reageren.

Wil je je team structureel weerbaarder maken, lees dan ook hoe vaak je securitytraining moet geven en de SLAM-methode om phishing te herkennen.

Veelgestelde vragen

Waarom is reply-chain phishing zo moeilijk te herkennen?

Omdat de nepmail binnenkomt in een bestaande, vertrouwde e-mailketen — vanaf het adres van iemand die je kent. Er is geen vreemde afzender die alarmbellen doet rinkelen, en de inhoud sluit aan op een gesprek dat je zelf voert.

Hoe krijgen aanvallers toegang tot zo’n mailketen?

Meestal door een e-mailaccount van een deelnemer te hacken, vaak via een gestolen of hergebruikt wachtwoord. Daarna lezen ze de conversatie terug en schrijven ze een passend antwoord.

Wat is de beste bescherming?

De combinatie van MFA op e-mailaccounts, een wachtwoordmanager en een alert team. MFA voorkomt de meeste accountovernames, en bewuste medewerkers vangen op wat de techniek mist.

Wat doe ik bij een verzoek om geld of gewijzigde betaalgegevens?

Verifieer het altijd via een ander kanaal, bijvoorbeeld telefonisch, voordat je iets overmaakt. Reageer niet zomaar op de mail zelf, want die kan van een gekaapt account komen.

Hoe goed zijn de e-mailaccounts van je bedrijf beschermd? We helpen je met MFA, e-mailbeveiliging en bewustwording, zodat een gekaapt account geen ramp wordt. Neem contact op voor een vrijblijvende check.