Security awareness: gemeenten, overheidsdiensten en ziekenhuizen

Security awareness bij overheden en ziekenhuizen moet gericht zijn op de mensen die de telefoon opnemen, niet alleen op de IT'ers. Telefooncentrale, receptie, boekhouding, medisch secretariaat en technische diensten krijgen elke dag telefoontjes van onbekenden. Fraudeurs weten dat: ze zoeken de minst bewaakte deur, en dat is vaak een receptiebalie.

Dit artikel presenteert de drie meest voorkomende telefoonscenario's bij de overheid en in de zorg. Het stelt een methode voor om te herhalen en een manier om de training te organiseren. De cijfers en voorbeelden komen uit Frankrijk. Het artikel vervolgt onze gids over security awareness en vishing.

Waarom overheden en ziekenhuizen telefonisch kwetsbaar zijn

Deze organisaties hebben gemeenschappelijke kenmerken. Ze ontvangen veel externe telefoontjes, hebben verspreide diensten en hun medewerkers hebben als opdracht te helpen. Een medewerker die weigert van dienst te zijn, voelt zich snel in gebreke, en dat speelt in het voordeel van de beller.

De nationale cijfers laten de richting zien. Volgens het jaarverslag 2025 van het Franse Cybermalveillance.gouv.fr, gepubliceerd op 26 maart 2026, nam de fraude met overboekingen met 170 % toe. Ze treft nu ook de elektronische facturatie en het salarisbeheer. Het vervalsen van telefoonnummers nam met 517 % toe.

Deze cijfers gelden voor alle doelgroepen. Ze herinneren er vooral aan dat het getoonde nummer niets bewijst. Een verzoek om bankgegevens te wijzigen verdient een controle, ongeacht de dienst.

Scenario 1: de nepleverancier die het rekeningnummer wijzigt

Stel je een telefoontje voor aan de boekhouding van een gemeente. De gesprekspartner zegt het bedrijf te vertegenwoordigen dat de gemeentelijke gebouwen onderhoudt. Hij vraagt: ‘We zijn van bank veranderd, kunt u ons rekeningnummer bijwerken vóór de volgende betaling?’ Enkele minuten later komt een bevestigingsmail binnen, met een correct logo.

De valkuil rust op routine. De leverancier bestaat, de factuur is echt en alleen de bestemming van de betaling verandert. De verdediging is een eenvoudige regel. Elke wijziging van bankgegevens wordt bevestigd met een terugbelronde op het al bekende nummer van de leverancier, uitgevoerd door een andere persoon dan degene die het verzoek ontving.

Dit scenario lijkt op dat uit CEO-fraude en nepleveranciers, met een bijzonderheid: bij de overheid zorgen aanbestedingen en betaaltermijnen voor een legitieme extra druk.

Scenario 2: de nepmonteur die toegang wil

In een ziekenhuis stelt een beller zich voor als de leverancier van de software voor het patiëntendossier. Hij zegt een incident te hebben vastgesteld. Hij vraagt een medewerker een code voor te lezen, een hulpmiddel voor beheer op afstand te installeren of een wachtwoord te geven.

De druk komt uit wat er op het spel staat: ‘Als we nu niet ingrijpen, verliest de afdeling de toegang tot de dossiers.’ De medewerker wil de zorg beschermen, en precies dat verlangen buit de beller uit.

Het antwoord past in één zin: ‘Ik geef geen enkele toegang per telefoon. Ik geef uw verzoek door aan de directie informatiesystemen, die u terugbelt.’ Het onderwerp ligt dicht bij dat van verzoeken om een wachtwoordreset bij de servicedesk.

Scenario 3: het telefoontje naar de telefooncentrale of de receptie

De telefooncentrale is een discreet toegangspunt. Een fraudeur kan er namen, organigrammen, toestelnummers of de afwezigheidsdatum van een leidinggevende zoeken. Die informatie dient daarna om een geloofwaardiger telefoontje naar een andere dienst voor te bereiden.

Een ogenschijnlijk onschuldig telefoontje kan een tussenstap zijn. ‘Kunt u me doorverbinden met de financieel directeur? Is ze met verlof? Tot wanneer?’ Elk antwoord is beleefd, en elk geeft de beller een element méér.

De telefonist hoeft niet iedereen te verdenken. Hij heeft een duidelijke regel nodig over wat hij mag zeggen. Hij heeft ook zinnen nodig om het te zeggen zonder te kwetsen: ‘Ik deel niet telefonisch mee wie aanwezig is, maar ik kan wel een bericht doorgeven.’

Een eenvoudige methode voor alle medewerkers

In een ziekenhuis of gemeente hebben medewerkers niet hetzelfde beroep, maar dezelfde methode kan voor iedereen dienen. Ze moet in een paar onthoudbare handelingen passen.

1. Luisteren zonder iets te beloven. De gesprekspartner laten uitpraten en dan zeggen: ‘Ik noteer uw verzoek.’
2. De hefboom herkennen. Urgentie, autoriteit, schuldgevoel, een verzoek dat als klein wordt voorgesteld. De hefboom benoemen helpt om te weerstaan, zoals het artikel over de technieken van social engineering uitlegt.
3. Terugbellen via een bekend kanaal. Zie de procedure voor onafhankelijk terugbellen.
4. Melden. De securitycontactpersoon waarschuwen, ook als het telefoontje geen vervolg lijkt te hebben.

Voor het laatste punt staat een notitieoverzicht om tijdens het gesprek in te vullen in het artikel over het melden van een beveiligingsincident.

De zinnen om paraat te hebben

• ‘Ik begrijp dat het dringend is. Ik moet de procedure volgen, ik bel u terug.’
• ‘Ik kan bankgegevens niet wijzigen op grond van alleen een telefoontje.’
• ‘Ik mag deze informatie niet telefonisch geven.’
• ‘Geef me uw naam en nummer, ik geef het door aan de bevoegde dienst.’
• ‘Ik controleer liever, en als het klopt, heeft u daar geen last van.’

Een goede weigeringszin verantwoordt zich niet uitgebreid. Hoe meer de medewerker uitlegt, hoe meer houvast de beller heeft om te onderhandelen. Dat idee wordt uitgewerkt in het artikel over hoe je onder druk nee zegt aan de telefoon.

Waarom mondelinge oefening telt in deze beroepen

Overheidsmedewerkers en zorgverleners hebben al veel modules te volgen. Een extra module, tussen twee taken aangeklikt, laat weinig sporen na. Wat blijft, is het gebaar dat je al eens hebt gemaakt.

Een medewerker die heeft geoefend met ‘ik kan dat niet, ik bel u terug’ tegenover een aandringende stem, zegt het op de dag zelf natuurlijker. Hij heeft het ongemak beleefd, de stilte die valt, de verleiding om toe te geven. Niet de kennis verandert, maar het gemak om te handelen.

De oefensituatie heeft ook een voordeel voor zorgteams: ze respecteert ieders tijd. Een korte sessie, gesproken, aan de werkplek, is beter dan een zware opleiding die moeilijk te plannen is.

De training organiseren met rollenspellen

Met Face Up kunnen trainers hun eigen rollenspellen maken, op basis van de echte gevallen van hun instelling. De trainer beschrijft de persona: een nepleverancier die aandringt, een nepmonteur die kwaad wordt. De medewerker antwoordt hem met zijn stem. Daarna krijgt hij een debriefing met zijn sterke punten, zijn verbeterpunten en citaten van wat hij heeft gezegd.

De inhoud blijft die van de praktijk: een rekeningnummer dat gewijzigd moet worden, een toegang op afstand die wordt gevraagd, een telefoontje naar de telefooncentrale. De trainer kiest het niveau van druk en het verwachte doel. De medewerker kan zo vaak opnieuw spelen als nodig. Voor het algemene kader, zie de rollenspellen van Face Up.

Veelgemaakte fouten

Opleidingen van dit type mislukken zelden door gebrek aan goede wil. Ze mislukken omdat de regels abstract blijven. Dit zijn de fouten die je het vaakst tegenkomt.

• Awareness voorbehouden aan IT'ers en leidinggevenden.
• De receptie, de telefooncentrale en het secretariaat vergeten, die toegangspoorten zijn.
• Regels geven zonder zinnen om ze toe te passen.
• Niet duidelijk zeggen aan wie en hoe je meldt.
• Een mislukt telefoontje behandelen als een fout in plaats van als informatie.

Regelmaat telt even zwaar als inhoud. Een korte, herhaalde sessie in kleine groepen is makkelijker te organiseren dan een lange opleiding. Ze laat de securitycontactpersoon ook echte telefoontjes verzamelen en er nieuwe scenario's van maken.

Die lus tussen de praktijk en de opleiding is het nuttigst. Elke gemelde belpoging wordt een geval om opnieuw te spelen, met de exacte woorden van de beller, en het team vordert op wat het echt tegenkomt.

Veelgestelde vragen

Wie train je het eerst in een gemeente?

De medewerkers die met geld, toegang of informatie werken: boekhouding, salarisadministratie, telefooncentrale, receptie en IT-support. Eén slecht voorbereide persoon volstaat om de deur open te zetten.

Moet je zorgverleners trainen in vishing?

Ja, zeker degenen die de telefoon opnemen en toegang hebben tot systemen. De opleiding moet kort zijn en aansluiten bij hun situaties, niet bij technisch jargon.

Hoe benader je de kwestie van deontologie?

Waakzaamheid bij telefoontjes hoort bij de integriteit van de dienst. Het verband wordt behandeld in ons artikel over de deontologieopleiding in de Franse overheidsdienst.

Om een telefoonscenario te bouwen dat past bij jouw gemeente of ziekenhuis, vraag een demo aan.