Security awareness training: teams trainen tegen vishing

Een doeltreffende security awareness training leert teams reageren op een telefoontje, niet alleen een valse e-mail herkennen. Vishing, phishing per telefoon, omzeilt de technische hulpmiddelen: de aanvaller krijgt een code, een goedkeuring of een overschrijving van het slachtoffer zelf. De reflex die hem stopt, verifiëren via een ander kanaal, bouwt u op door mondelinge oefening onder druk.

Deze gids legt de basis van een bewustmakingsprogramma dat de stem meeneemt. Hij behandelt de gebaren die u moet installeren, de beroepen waarop u zich richt, het melden en het meten. Hij dient ook als toegangspoort tot de uitgebreide artikelen van ons dossier.

Waarom de stem de vergeten schakel van security awareness is

De meeste bewustmakingsprogramma's zijn ontstaan rond e-mail: een verdachte link herkennen, een afzender controleren, een bericht melden. Dat leerproces is nuttig. Toch laat het een kanaal buiten beeld waar de aanvaller alle voordelen heeft.

Aan de telefoon is er geen link om boven te zweven, geen header om te onderzoeken, geen bedenktijd. Er is een stem, een verzonnen context en een verzoek. De aanvaller kan zich aan elk antwoord aanpassen. Hij dringt aan, raakt geïrriteerd, stelt gerust, vleit.

Ons artikel over de definitie van vishing en voorbeelden werkt deze gesprekken uit. Wat hier telt: vishing is een gesprek, en een gesprek bereidt u voor door te converseren. Voor e-mail, zie ook wat phishing is, met voorbeelden.

Wat de cijfers over de dreiging zeggen

In zijn activiteitenverslag 2025, gepubliceerd op 26 maart 2026, meldt het Franse Cybermalveillance.gouv.fr dat het meer dan 500 000 slachtoffers heeft bijgestaan. Dat is 20 % meer dan in 2024. Het merkt op dat phishing op de eerste plaats staat van de dreigingen, alle doelgroepen samen, met een stijging van 70 %. Het persbericht preciseert dat phishinggolven plaatsvinden via sms, e-mail of zelfs audiogesprekken.

Hetzelfde document noemt meerdere stijgingen die rechtstreeks de telefoon betreffen:

• de fraude met de nepbankadviseur, met een stijging van 159 %;
• de overschrijvingsfraude, met een stijging van 170 %;
• het vervalsen van telefoonnummers, met een stijging van 517 %.

Het beschrijft ook een inmiddels gestructureerde markt van gestolen gegevens, met callcenters van nepmedewerkers die gespecialiseerd zijn in manipulatie. De aanvallers beschikken over verse gegevens om hun gesprekken te personaliseren. Tegenover die industrialisering weegt een bewustmaking die zich beperkt tot een jaarlijkse module niet op.

Wat de aanval op Crédit Mutuel Arkéa in herinnering brengt

Op 4 november 2026 maakte de Franse bankgroep Crédit Mutuel Arkéa bekend slachtoffer te zijn van een cyberaanval en diende dezelfde dag klacht in. Volgens de informatie die AFP en franceinfo verspreidden, spreekt de bank van een geraffineerde aanval van buitenaf. Ze liep via het platform van een van haar dienstverleners. De bank sluit menselijke fout uit. De bedragen worden nog geraamd, en het parket van Parijs heeft een onderzoek geopend.

Deze episode is geen geval van vishing, en mag niet als zodanig worden gebruikt. Ze herinnert aan iets anders: bewustmaking is slechts één verdedigingslaag, naast de beveiliging van dienstverleners en hulpmiddelen. Geen enkele opleiding vervangt een solide architectuur.

De bank waarschuwde haar klanten wel voor phishingpogingen die haar identiteit misbruiken. Dat is een bekend patroon: na een gemediatiseerde gebeurtenis profiteren de oplichtingen met nepadviseurs en neppe beveiligingsdiensten van de verwarring. We werken dat mechanisme uit in ons artikel over de oplichtingsgolf na een cyberaanval.

De vijf gebaren die redden bij een verdacht telefoontje

Een doeltreffend programma kiest weinig regels en maakt ze automatisch. Hier vijf gebaren om te installeren.

1. De hefbomen van de aanvaller begrijpen

Urgentie, gezag, schuldgevoel, isolatie: bellers zetten dezelfde drijfveren in werking. Wie ze kent, herkent ze met het oor. Ze worden beschreven in ons artikel over social engineering.

2. Niet vertrouwen op de stem of het getoonde nummer

Een nummer kan worden vervalst, en een stem kan worden nagebootst. Ons artikel over stemklonen met AI laat zien waarom een gesprekspartner herkennen niet meer volstaat. Een vooraf afgesproken codewoord en terugbellen worden vangrails.

3. De identiteit controleren met betrouwbare middelen

Vragen stellen waarvan het antwoord openbaar is, bewijst niets. U hebt controles nodig die de aanvaller niet online kan verkrijgen, uitgewerkt in de vragen om de identiteit van een beller te controleren.

4. Terugbellen via een onafhankelijk kanaal

Dit is het doeltreffendste gebaar: ophangen, en dan een nummer bellen dat de organisatie kent, nooit het nummer dat de beller opgaf. De terugbelprocedure breekt de meeste vishingscenario's.

5. Nee kunnen zeggen zonder zich te verantwoorden

De weigering is een sociaal gebaar, geen technisch. U leert haar door haar uit te spreken. Zie hoe u een weigering vasthoudt tegenover een beller die aandringt.

De beroepen die u het eerst traint

Niet alle medewerkers krijgen dezelfde telefoontjes. Een doeltreffend programma stemt zijn scenario's af op de meest blootgestelde functies.

• Boekhouding en treasury: valse overschrijvingsopdracht, wijziging van rekeningnummer. Zie CEO-fraude per telefoon.
• Servicedesk: verzoek om reset van een wachtwoord of authenticatiefactor. Zie social engineering bij de IT-support.
• Klantenadviseurs: gesprekken van valse klanten en van klanten die slachtoffer zijn van nepadviseurs. Zie de werkwijze van de nepbankadviseur en vishingtraining in de banksector.
• Lokale overheden en ziekenhuizen: telefooncentrales, onthaal, technische diensten. Zie bewustmaking in de openbare sector en ziekenhuizen.

Deze lijst is niet uitputtend. Het juiste vertrekpunt blijft de analyse van de gesprekken die de organisatie echt ontvangt. Trainers kennen de situaties van hun teams beter dan welke catalogus ook.

Een programma opbouwen in vier stappen

Een bewustmakingsprogramma over vishing vraagt geen volledige herziening. Het wordt stap voor stap opgebouwd, vertrekkend van wat er al is.

1. De echte gesprekken in kaart brengen. Welke verdachte telefoontjes hebben de teams ontvangen? Welke functies werden aangesproken? De beveiligingsdienst, de support en de managers hebben die informatie.
2. Korte regels vastleggen. Drie of vier regels, in eenvoudige zinnen. Telefonisch geeft u nooit een code. U belt altijd terug via een bekend kanaal. U meldt elke poging.
3. Mondeling trainen. Elke regel wordt in situatie gespeeld, met een gesprekspartner die aandringt. De lerende zegt de zin, hij leest haar niet alleen.
4. Meten en bijsturen. De meldingen, de vooruitgang van sessie tot sessie en de nieuwe pogingen die men tegenkomt, voeden de volgende scenario's.

Het belangrijke punt is de lus: echte gevallen voeden de scenario's, en de scenario's bereiden voor op de volgende echte gevallen.

De veelgemaakte fouten van bewustmakingsprogramma's

• Alles op e-mail inzetten. De telefoon en de berichtendiensten blijven buiten de training.
• De regels vermenigvuldigen. Iemand onder druk past drie regels toe, geen vijftien.
• Slachtoffers een schuldgevoel aanpraten. Een organisatie die bestraft, krijgt minder meldingen, dus meer schade.
• Vertrouwen op het herkennen van de stem. Het bewijst niets meer, zoals het artikel over stemklonen laat zien.
• De voltooiing meten. Een afgeronde module zegt niets over het gedrag tegenover een beller.
• Slechts één keer per jaar opleiden. Een reflex die niet wordt onderhouden, vervaagt.

Deze fouten vermijden kost weinig. Het vraagt vooral te beslissen dat de telefoon deel uitmaakt van de perimeter van de bewustmaking, net als e-mail.

De zinnen die u teams laat zeggen

Een regel wordt een reflex wanneer ze een precieze verbale vorm heeft. Hier zinnen die trainers kunnen laten herhalen en daarna aanpassen aan het vocabulaire van hun organisatie.

‘Ik bel u terug op het officiële nummer, een ogenblik geduld alstublieft.’

‘Ik geef telefonisch geen enkele code, ook niet aan de beveiligingsdienst.’

‘Dit verzoek volgt een procedure, ik laat het eerst valideren.’

‘Ik noteer uw naam en uw afdeling, en geef ze door aan de beveiliging.’

Deze zinnen hebben drie kwaliteiten. Ze zijn kort, ze beschuldigen niemand en ze vragen geen verantwoording. De medewerker hoeft niet te beslissen of de beller eerlijk is. Hij past een regel toe die iedereen kent.

De laatste zin heeft een bijzondere rol: ze toont de beller dat het gesprek wordt vastgelegd. Een fraudeur wil niet genoteerd worden, een oprechte gesprekspartner ziet er geen probleem in.

Checklist voor de lancering door de verantwoordelijke bewustmaking

Voordat u een programma lanceert, voorkomen enkele controles onaangename verrassingen.

• De drie of vier regels zijn opgeschreven, goedgekeurd door de directie en bekend bij de managers.
• Er bestaat één meldkanaal, en iedereen weet hoe het te gebruiken.
• De meest blootgestelde functies zijn geïdentificeerd, met minstens één scenario per functie.
• De directie heeft bevestigd dat geen enkele bestuurder ooit om een handeling buiten de procedure zal vragen.
• De volgindicatoren zijn gekozen vóór de lancering: meldingen, kwaliteit van de meldingen, vooruitgang.
• Er is een evaluatiemoment gepland na elke gemelde echte poging.

Deze lijst past op één pagina. Ze wint aan kracht als u haar met de directie herleest, want het gezag om te weigeren moet van boven komen om geloofwaardig te zijn.

Melden, ook wanneer u hebt toegegeven

Een programma dat leert weigeren zonder te leren melden, blijft onvolledig. Elke poging, geslaagd of niet, is informatie: ze maakt het mogelijk collega's te waarschuwen, een overschrijving te blokkeren, een campagne op te sporen.

Om het melden snel te laten gaan, zijn twee voorwaarden nodig. Het kanaal moet eenvoudig zijn, een nummer of adres dat iedereen kent. En niemand mag een verwijt vrezen, want schaamte vertraagt de alarmering.

De kwaliteit van de melding telt ook: opgegeven naam, getoond nummer, tijdstip, geformuleerde verzoeken, gebruikte hefbomen, wat er is meegedeeld. Een herbruikbaar overzicht staat in ons artikel over het melden van een beveiligingsincident.

Waarom weten niet volstaat om te reageren

Een online module brengt kennis over: u leert dat een bank nooit om een code vraagt. Maar tijdens een gesprek moet de persoon die kennis op het juiste moment inzetten, onder stress, tegenover iemand die aandringt. Tussen weten en doen zit een kloof die lezen niet overbrugt.

Dat is het verschil tussen kennis en reflex. Een reflex verwerft u door herhaling in omstandigheden die dicht bij de werkelijkheid liggen, met onmiddellijke terugkoppeling. We analyseren dit punt in ons artikel over de grenzen van e-learning in cybersecurity.

Campagnes met nepphishing stellen een verwant probleem. Ze meten een klik, geen gesprek. Ze hebben hun nut. Ze bereiden niet voor op het antwoorden aan een beller die aandringt, zoals ons artikel over de grenzen van phishingsimulaties uitlegt.

Oefenen met mondelinge oefensituaties

Wat de reflex opbouwt, is oefening: de weigerzin hardop zeggen, tegenover iemand die blijft aandringen. Het rollenspel maakt dat mogelijk. Een trainer kan het in duo doen, maar hij kan niet dezelfde scène met elke lerende herspelen, zo vaak als nodig is.

Face Up beantwoordt die behoefte. Trainers maken hun eigen scenario's, op basis van de echte gevallen van hun organisatie, met de hulp van een ontwerpassistent. De lerende spreekt, met stem of video, met een persona die door een AI wordt gespeeld: nepadviseur, nepleverancier, gehaaste collega. Aan het eind krijgt hij een debriefing. Die geeft de al dan niet bereikte doelen, de sterke punten, de verbeterpunten, een actieplan en citaten van wat hij heeft gezegd. Hij kan opnieuw spelen.

De ontwerpstappen van zo'n scenario staan in ons artikel over vishingsimulatie met rollenspel. Voor een overzicht van de methode, zie de rollenspellen voor trainers.

Meten wat echt telt

Het voltooiingspercentage geeft aan wie de module heeft geopend. Het klikpercentage meet een reactie op een e-mail. Geen van beide zegt of iemand een telefoontje zou kunnen weigeren.

Er bestaan sprekender indicatoren. U kunt het meldingspercentage volgen, de snelheid en de kwaliteit ervan. U kunt ook de vooruitgang van de ene rollenspelsessie naar de andere volgen en de naleving van de terugbelprocedure. Ons artikel over het meten van de doeltreffendheid van security awareness werkt ze uit.

Het principe is een waarneembaar gedrag te meten, geen aanwezigheid. Een team dat meer pogingen meldt, boekt vooruitgang, ook als het aantal gemelde incidenten aanvankelijk stijgt.

Cyberbewustmaking en verplichte opleidingen

Bewustmaking over cybersecurity maakt vaak deel uit van een ruimer geheel van verplichte opleidingen: strijd tegen witwassen, gegevensbescherming, ethiek, intimidatie. Die opleidingen delen hetzelfde gebrek: men valideert ze, men oefent ze niet. Ons dossier over verplichte compliancetrainingen via rollenspel past dezelfde logica toe op die onderwerpen.

De twee benaderingen versterken elkaar. Iemand die heeft geoefend om een beller te controleren, past dezelfde reflex toe wanneer een klant om informatie vraagt die hij niet mag geven.

Veelgestelde vragen

Waar begint u met bewustmaking over vishing?

Begin bij de meest blootgestelde functies: boekhouding, servicedesk en klantrelatie. Leg één regel vast: ophangen en terugbellen via een onafhankelijk kanaal. Voeg een eenvoudig meldkanaal toe. Breid daarna uit naar andere beroepen.

Hoe vaak moet u oefenen?

Een eenmalige training wordt vergeten. Korte, gespreide sessies, met nieuwe scenario's, onderhouden de reflex. De juiste frequentie hangt af van de teams en het blootstellingsniveau, en bepaalt u samen met de trainer.

Volstaat bewustmaking om u te beschermen?

Nee. Ze vermindert het risico van gesprekken en berichten. Ze vervangt noch de technische beveiliging, noch de controle op dienstverleners, noch de validatieprocedures. Ze is er één laag van.

Vervangt een rollenspel e-learning?

Ze vullen elkaar aan. E-learning brengt kennis over, het rollenspel installeert de reflex. Het doeltreffendst is beide te combineren, en de mondelinge oefening te bewaren voor situaties waarin u live moet reageren.

Om te zien hoe een trainer een vishingscenario opbouwt en zijn teams laat oefenen, vraag een demo aan.