Phishing mail herkennen: let op het verzoek, niet op de taal

Jarenlang was het advies om nepmail te herkennen lekker simpel: let op taalfouten. Een echte bank of leverancier schrijft foutloos, dus een bericht vol kromme zinnen was verdacht. Dat was makkelijk uit te leggen en het werkte lang. Een phishing mail herkennen vraagt daarom om een andere blik dan een paar jaar geleden.

Die vuistregel is inmiddels waardeloos. Criminelen laten hun berichten door AI schrijven, en AI schrijft netjes. De spelfouten en houterige zinnen zijn verdwenen. De mail die vandaag in de inbox van je collega belandt, leest net zo vlot als een bericht van een echte klant of leverancier. En hij kan geschreven zijn in de stijl van iemand die je kent.

Dat betekent niet dat je niets meer kunt doen. Het betekent dat je op iets anders moet letten: niet op hoe een bericht geschreven is, maar op wat het van je vraagt. In Phishing 2.0 lieten we zien hoe AI phishing sterker maakt. Dit artikel gaat over de praktische consequentie daarvan: welke regel je je team nu meegeeft.

Waarom de oude regel niet meer werkt

De spelfouten-regel werkte om een toevallige reden. Veel aanvallers schreven in een taal die niet de hunne was, en dat zag je terug in het bericht. Nederlands was daarbij een extra drempel: een fout vertaalde phishingmail viel meteen op tussen normale zakelijke post.

Die drempel is weg. Een taalmodel schrijft in seconden foutloos Nederlands, in elke toon die de aanvaller vraagt: formeel, joviaal, kortaf. Ook de Nederlandse en Europese cybersecurity-autoriteiten waarschuwen hiervoor: generatieve AI haalt precies die vertaal- en spelfouten weg waaraan phishing vroeger te herkennen was.

Het gevolg is ongemakkelijk. Het enige waarop de meeste mensen ooit getraind zijn, zegt nu bijna niets meer.

Waarom deze berichten zo overtuigend zijn

De tekst klopt gewoon

Een scam-mail leest als een normale zakelijke mail, want een machine heeft hem geschreven met dat doel. Geen rare aanhef, geen vreemde zinsbouw, geen dubbele spaties.

Het is persoonlijk

Aanvallers voeren openbare informatie over jouw bedrijf in een AI-tool: je website, de LinkedIn-profielen van je team, een nieuwsbericht over een opdracht. Wat eruit komt is een bericht met de juiste namen, de juiste functies en een geloofwaardige aanleiding. Het lijkt te gaan over een project dat echt loopt.

Er komt veel meer van

Waar een overtuigende, op maat gemaakte mail vroeger handwerk was, kost hij nu seconden. Aanvallers versturen daardoor veel meer van dit soort berichten, en de kans dat er eentje op het juiste moment bij de juiste persoon binnenkomt wordt navenant groter.

De typische scam-mail is dus niet meer de “Geachte klant, uw account is geblokkeerd”-variant. Het is een bericht aan je administratie dat lijkt te komen van een leverancier waar je echt zaken mee doet, dat een lopend project noemt, en dat vraagt om het rekeningnummer voor de volgende factuur aan te passen. Alles klopt. Alleen heeft die leverancier het nooit verstuurd. Dat patroon kennen we als CEO- en factuurfraude.

Je spamfilter vangt dit niet allemaal

Het is verleidelijk om te denken dat je e-mailbeveiliging dit wel afvangt. Die vangt inderdaad veel, en je moet hem zeker aan laten staan. Maar een goed geschreven, persoonlijk bericht met een normaal klinkende vraag ziet er voor een filter niet gevaarlijk uit, zeker niet als er geen verdachte link of bijlage in zit. Techniek zoals SPF, DKIM en DMARC helpt tegen misbruik van jouw domeinnaam, maar niet tegen een mail die van een echt, gekaapt account van je leverancier komt.

De laatste horde is dus een mens die weet waar hij op moet letten.

Het blijft niet bij e-mail

Dezelfde techniek werkt op andere kanalen. Een stem klonen kan tegenwoordig met een kort audiofragment; genoeg voor een voicemail of telefoontje dat klinkt als je directeur die met spoed een betaling wil. Hetzelfde geldt voor video in een online vergadering en voor appjes die op naam van een collega binnenkomen.

De reactie is telkens dezelfde: gaat het over geld of inloggegevens, hang op en bel zelf terug op een nummer dat je al had. Niet op het nummer uit het bericht.

Waar je nu wél op let: het verzoek

Als je de schrijfstijl niet meer kunt vertrouwen, kijk dan naar wat er gevraagd wordt. Dáár zitten de signalen, en die zijn niet veranderd:

• Er wordt om geld gevraagd, om een betaling naar een nieuwe rekening, of om cadeaubonnen.
• Er wordt gevraagd om een inlog, een verificatiecode of persoonlijke gegevens.
• Er wordt druk gezet: een deadline, een dreigement, “dit moet vandaag nog”.
• Er wordt gevraagd het rekeningnummer van een leverancier of factuur te wijzigen.
• Er zit een link of bijlage in die je niet verwachtte.
• De weergavenaam klopt, maar het echte e-mailadres erachter wijkt af.
• Het verzoek loopt buiten de normale route om: niet via het systeem, maar “even snel per mail”.

Alle zeven gaan over wat het bericht van je wil. Daarmee wordt de regel voor je team kort genoeg om te onthouden: gaat een bericht over geld, inloggegevens of hoe je iemand betaalt, vertraag dan voordat je iets doet. De SLAM-methode blijft daarbij een prima geheugensteun voor de technische checks eromheen.

Zo pak je het aan

1. Controleer geld- en inlogverzoeken via een ander kanaal. Vraagt een mail om een betaling naar een nieuw rekeningnummer? Bel de contactpersoon op het nummer dat je al in je administratie hebt staan. Niet terugmailen, niet het nummer uit de mail gebruiken.
2. Stop met “let op spelfouten”. Vervang die instructie letterlijk in je interne uitleg door “let op wat er gevraagd wordt”.
3. Maak één harde regel voor rekeningnummers. Elke wijziging van bankgegevens wordt telefonisch bevestigd. Ook bij spoed. Juist bij spoed.
4. Zet phishingbestendige inlog aan. Met sterke MFA of passkeys heeft een afgekeken wachtwoord veel minder waarde. Zie ook zakelijke e-mail beveiligen in 6 stappen.
5. Maak melden makkelijk en veilig. Eén knop of één adres, en niemand die zich dom voelt omdat hij het even navroeg. Een gemelde valse alarm is goedkoper dan een niet-gemelde echte.
6. Herhaal het kort en vaak. Vijf minuten in het werkoverleg werkt beter dan een poster of een jaarlijkse cursus. Wat een realistisch trainingsritme is, zetten we hier op een rij.

Een praktijkscenario

Een installatiebedrijf met 24 medewerkers krijgt op donderdagmiddag een mail bij de administratie. Afzender: de vaste groothandel. Onderwerp verwijst naar een lopende opdracht, met het juiste ordernummer. De tekst is foutloos, vriendelijk en kort: door een bankwissel graag de volgende factuur naar een nieuw rekeningnummer.

De administratief medewerker vindt het niet raar; die groothandel mailt vaker. Wat haar tegenhoudt is de afspraak: rekeningnummer wijzigen betekent altijd even bellen. Ze belt het nummer uit haar eigen contactenlijst. De groothandel weet van niets. Het echte mailaccount van hun verkoper bleek gekaapt, inclusief toegang tot de lopende correspondentie — vandaar het kloppende ordernummer.

Aan de tekst was niets te zien. Aan het verzoek wel.

Veelgestelde vragen

Kun je phishing nog herkennen aan taalfouten?

Niet betrouwbaar. Aanvallers laten hun berichten door AI schrijven, dus een foutloze mail kan prima nep zijn. Beoordeel een bericht op wat het van je vraagt, niet op hoe het geschreven is.

Welke signalen werken dan nog wel?

Het verzoek zelf: geld overmaken, een rekeningnummer wijzigen, een inlogcode of wachtwoord delen, of druk om nú te handelen. Die signalen zijn onafhankelijk van de schrijfstijl.

Houdt ons spamfilter dit niet tegen?

Deels. Een filter vangt veel weg en moet aan blijven staan, maar een persoonlijk geschreven bericht zonder verdachte link ziet er voor een filter legitiem uit. Zeker als het van een echt, overgenomen account van een relatie komt. Reken er niet op als enige maatregel.

Wat moet iemand doen die twijfelt over een bericht?

Niets doen en het via een kanaal checken dat hij vertrouwt: bellen op een bekend nummer, of het de collega in kwestie persoonlijk vragen. En melden, ook als het achteraf echt blijkt. Wat je doet als er tóch geklikt is, staat in ons artikel over CEO-fraude.

Hoe controleer je het e-mailadres van de afzender?

Kijk naar wat er achter het @-teken staat, niet naar de naam die je ziet. Die naam kan iedereen invullen. Klap het adres uit en lees de domeinnaam letterlijk: valse e-mails gebruiken vaak een adres dat er bijna goed uitziet, met een letter meer of een extra woord erin. Controleer het e-mailadres vooral bij een e-mail die je niet verwacht had, en vergelijk het met een eerdere e-mail die je van dezelfde partij hebt ontvangen.

Kun je een link controleren zonder erop te klikken?

Ja, en dat is de belangrijkste gewoonte om aan te leren: eerst kijken, dan pas op een link klikken. Houd je muis boven de link en je ziet linksonder in je scherm waar hij echt heen gaat; op een telefoon houd je de link even ingedrukt. Klopt het domein niet met de afzender, dan kom je op een valse website uit. Klik niet zomaar op links in berichten die om haast vragen, en open zeker geen bijlage die je niet verwachtte. Een bijlage blijft een van de eenvoudigste manieren voor criminelen om malware binnen te krijgen.

Zegt een onpersoonlijke aanhef nog iets?

Steeds minder. Beste klant was jarenlang een bruikbaar signaal, maar criminelen schrijven steeds professioneler en weten vaak precies hoe je heet en bij welk bedrijf je werkt. Een onpersoonlijke aanhef blijft het controleren waard, alleen kun je vals en echt onderscheiden er niet meer aan. Belangrijk is wat er gevraagd wordt: gegevens, een betaling of een wijziging die je niet had verwacht. Dat verzoek is bij een valse mail bijna altijd de zwakke plek.

Twijfel je of je team dit nu herkent? Wij helpen MKB-bedrijven in Utrecht en omgeving met e-mailbeveiliging, sterke inlog en korte, praktische uitleg voor medewerkers. Even sparren over hoe je dit bij jullie regelt? Bel 030-7115791 of mail info@okayict.nl.