Phishingsimulatie: grenzen en wat u voor de stem moet toevoegen

Een phishingsimulatie meet een klik op een nep-e-mail, niet hoe een medewerker een gesprek voert met een valse gesprekspartner. Ze blijft nuttig, maar bereidt niet voor op vishing, phishing per telefoon. Om de stem te dekken, moet u mondelinge oefening toevoegen, met eenvoudige verificatieregels en een debriefing.

Dit artikel legt uit wat campagnes met nep-e-mails werkelijk meten, waar ze ophouden, en hoe u de aanpak kunt aanvullen zonder hem af te breken.

Wat meet een phishingsimulatie eigenlijk?

Een campagne stuurt een nepbericht naar medewerkers. De tool noteert vervolgens wie heeft geklikt, wie een inloggegeven heeft ingevoerd en, afhankelijk van de opzet, wie het bericht heeft gemeld. Zo ontstaat een klikpercentage, per team en in de tijd.

Dat is een waardevolle indicator voor één specifiek kanaal: e-mail. Hij laat zien welke groepen het meest blootstaan en maakt het mogelijk een nieuwe waarschuwingsboodschap te testen. Hij geeft de directie ook een cijfermatig vertrekpunt.

Maar de klik is een enkel, snel en eenzaam gebaar. De medewerker zit alleen voor zijn scherm, kan stoppen, het adres van de afzender bekijken, een collega vragen. Niets jaagt hem op, behalve het bericht zelf.

Waarom de telefoon de aard van het probleem verandert

Aan de telefoon spreekt de aanvaller live. Hij reageert op uw aarzelingen, beantwoordt uw bezwaren, dringt aan wanneer u twijfelt. De urgentie staat niet meer geschreven, ze zit in de stem.

De situatie lijkt meer op een gesprek dan op het sorteren van post. Drie dingen onderscheiden haar van een e-mail:

• Het tempo wordt opgelegd: de beller bepaalt wanneer u moet antwoorden, en stilte wordt pijnlijk.
• De relatie is sociaal: een persoon weigeren die vriendelijk of in nood lijkt, kost meer dan een bericht verwijderen.
• Er blijft niets over: geen link om boven te zweven, geen header om te onderzoeken, alleen wat u hebt onthouden.

Theoretische kennis (‘ik geef nooit mijn code’) volstaat dus niet. U moet het hardop uitspreken, tegenover iemand die aandringt. Dat werkt ons artikel over de psychologische hefbomen van social engineering uit.

De vijf beperkingen van campagnes met nep-e-mails

1. Ze testen alleen het geschreven woord

Een medewerker die zeer voorzichtig is met zijn e-mails, kan toegeven aan een goed gevoerd telefoontje. De twee vaardigheden overlappen slechts gedeeltelijk. Slagen voor de ene zegt niets over de andere.

2. Ze meten een klik, geen verificatiereflex

Niet klikken kan voortkomen uit echte waakzaamheid, maar ook uit een slecht geschreven bericht of een dag zonder tijd. Het klikpercentage zegt niet of de persoon een beller zou weten te controleren, noch welke zin hij zou gebruiken.

3. Ze kunnen vermoeidheid of wantrouwen veroorzaken

Wanneer medewerkers zich in de val gelokt voelen, stoppen sommigen met melden uit angst voor een oordeel. De aanpak moet leerzaam blijven: een fout moet tot uitleg leiden, niet tot een ranglijst.

4. Ze beperken zich tot aanvallen in één richting

In een nep-e-mail kan de medewerker niet onderhandelen, geen vraag stellen en de aanvaller niet van tactiek horen veranderen. Precies dat gebeurt bij echte vishing.

5. Ze laten de groepen die opnemen buiten beschouwing

Telefooncentrale, receptie, servicedesk, crediteurenadministratie, adviseurs: veel beroepen krijgen van nature inkomende gesprekken. Hun blootstelling komt van de telefoon, niet van de mailbox.

Wat de cijfers zeggen over de menselijke factor

Het rapport 2025 van Verizon over datalekken (DBIR) geeft aan dat het menselijke element een rol speelt in ongeveer 60 % van de geanalyseerde inbreuken. Dat cijfer slaat niet alleen op phishing. Het zegt niets over het kanaal. Het herinnert er vooral aan dat techniek alleen niet volstaat.

Voor de stem mag geen statistiek uit één rapport als bewijs dienen. Waar het om gaat, ligt elders: de werkwijzen per telefoon, zoals de nepbankadviseur of CEO-fraude, berusten op spreken en timing. Een test op een scherm bootst ze niet na.

Wat moet u aan een phishingcampagne toevoegen?

Schaf uw campagnes niet af. Vul ze op drie punten aan.

1. Mondelinge verificatieregels, kort en voor iedereen dezelfde. Bijvoorbeeld: ophangen en terugbellen via een officieel nummer, nooit het nummer dat de beller opgeeft. Ons artikel over de terugbelprocedure via een onafhankelijk kanaal werkt de formule uit.
2. Oefening in het gesprek. De medewerker herhaalt de weigerzin tegenover iemand die aandringt, tot ze moeiteloos komt.
3. Melden meten, net zoals de klik. U telt hoeveel mensen melden en met welke kwaliteit van informatie.

Deze drie elementen komen terug in het pijlerartikel over security awareness training en vishing.

Hoe train je de stem: het rollenspel

Een mondelinge reflex ontstaat door hem te zeggen. Het rollenspel plaatst de medewerker tegenover een gesprekspartner die aandringt, vleit of dreigt, en laat hem het woord. Hij mag zich zonder gevolgen vergissen en daarna opnieuw beginnen.

Met Face Up schrijft de trainer het scenario op basis van zijn echte gevallen. De medewerker spreekt met een persona die door een AI wordt gespeeld, bijvoorbeeld een nepleverancier. Daarna krijgt hij een debriefing met wat hij heeft gezegd en wat hij anders had kunnen doen. Voor de volledige methode, zie hoe u een vishingsimulatie opbouwt als AI-rollenspel.

Zo'n oefening vervangt e-learning en e-mailcampagnes niet. Ze dekt wat die niet dekken: spreken onder druk.

Stel een gesprek voor: wat een e-mailtest niet ziet

Een crediteurenadministrateur, laten we hem Jeroen noemen, slaagt al twee jaar voor alle campagnes met nep-e-mails. Op een ochtend stelt een man zich voor als verantwoordelijke van een vaste leverancier. Hij zegt dat zijn IBAN is gewijzigd en dat de betaling van vandaag vóór de middag moet vertrekken.

Jeroen kent de naam van de leverancier, de toon is hoffelijk, en de beller noemt een echte factuur. Hij voegt toe dat zijn financieel directeur op de bevestiging wacht. De tijd dringt, de stem raakt een beetje geïrriteerd, en Jeroens stilte duurt voort.

Geen enkele e-mailcampagne heeft Jeroen de zin geleerd die op dat moment nodig is. Degene die werkt, is eenvoudig: ‘Ik wijzig nooit een IBAN per telefoon. Ik bel u terug op het nummer van uw leveranciersdossier.’ Ze wordt in twee seconden gezegd, maar alleen als ze al eerder hardop is gezegd.

Hoe leest u een klikpercentage zonder u te vergissen

Een goed klikpercentage is goed nieuws voor e-mail, meer niet. Drie voorzorgen voorkomen verkeerde conclusies.

• Vergelijk wat vergelijkbaar is. Een grof nepbericht en een zeer gericht nepbericht geven niet hetzelfde percentage. Noteer de moeilijkheid van elke campagne.
• Kijk naar de trend, niet naar de losse waarde. Een regelmatige daling over meerdere campagnes zegt meer dan een enkel cijfer.
• Combineer met het melden. Weinig kliks zonder enige melding kan betekenen dat niemand het bericht heeft gezien, of dat niemand het durft te zeggen.

Deze beperkingen sluiten aan bij wat we zien bij e-learning in het algemeen, beschreven in ons artikel over e-learning over cybersecurity en reflexen.

Een schema om uw aanpak aan te vullen

Stel uzelf vier vragen voordat u uw volgende campagne lanceert. Als twee antwoorden ‘nee’ zijn, heeft de aanpak een blinde vlek voor de stem.

1. Kent elke medewerker die via de telefoon wordt blootgesteld één mondelinge verificatieregel?
2. Heeft iedereen de weigerzin al eens tegenover iemand uitgesproken vóór de echte dag?
3. Weet hij aan wie hij een verdacht gesprek moet melden, en welke informatie hij moet noteren?
4. Meet u iets anders dan de klik, bijvoorbeeld het melden of het slagen voor een mondelinge oefening?

Veelgestelde vragen

Moet u stoppen met phishingsimulaties?

Nee. Ze meten een echt risico via e-mail goed en maken op grote schaal bewust. Het punt is om uit een laag klikpercentage niet te concluderen dat de teams klaar zijn voor de telefoon.

Kunt u onverwachte nepgesprekken organiseren?

Dat kan in sommige organisaties, maar het vraagt een stevig juridisch en sociaal kader (informatie aan de personeelsvertegenwoordigers, anonimiteit, geen sancties). Een aangekondigde en nabesproken oefening is eenvoudiger op te zetten en leerzamer.

Welke indicator volgt u in plaats van het klikpercentage?

Volg er meerdere: meldingspercentage, meldingstermijn, kwaliteit van de melding en slagen voor mondelinge verificatieoefeningen. Ons artikel over het meten van de doeltreffendheid van security awareness biedt een schema.

Wie moet het eerst de stem oefenen?

De beroepen die inkomende gesprekken krijgen of handelingen valideren: receptie, servicedesk, treasury, crediteurenadministratie, klantenadviseurs. Begin met hen, met scenario's uit hun echte gevallen.

Wilt u zien hoe een oefening voor het controleren van een beller eruitziet, geschreven door uw trainers? Reserveer een demo van Face Up.