Security awareness training bank: medewerkers trainen op vishing

Security awareness training bij een bank moet medewerkers leren een telefoongesprek onder druk vol te houden, niet alleen de regels te kennen. Adviseurs, backoffice en treasury worden elke dag gebeld door onbekenden die zich voordoen als klant, collega of leverancier. Weten dat je moet controleren volstaat niet. Je moet al eens hardop “ik bel u terug” hebben gezegd, tegenover iemand die aandringt.

Dit artikel beschrijft de drie situaties waarin vishing een bank treft. Het stelt een methode in vier stappen voor, zinnen om te herhalen en het DORA-kader. Het vult onze gids aan over security awareness training en vishingtraining.

Waarom een bank een telefonisch doelwit is

Een bank verenigt drie dingen waar een fraudeur naar zoekt: geld, persoonsgegevens en medewerkers die gewend zijn op verzoeken in te gaan. De telefoon blijft een normaal kanaal in het vak. Een inkomend telefoontje is op zich dus niet verdacht.

De algemene context is gespannen. Volgens het activiteitenverslag 2025 van Cybermalveillance.gouv.fr, gepubliceerd op 26 maart 2026, kregen meer dan 500.000 slachtoffers hulp, 20 % meer dan in 2024. Het verslag meldt ook een stijging van 159 % van de fraude met valse bankmedewerkers en van 170 % van de overschrijvingsfraude.

Hetzelfde persbericht vermeldt een toename van 517 % van het vervalsen van telefoonnummers. Dat betekent dat een nummer dat als intern of bekend verschijnt, niets meer bewijst.

De drie vishingsituaties bij een bank

1. De valse adviseur die de klant belt

Hier wordt de identiteit van de bank gestolen. De fraudeur belt een klant en doet zich voor als zijn adviseur of als de frauredienst, en vraagt hem dan een transactie goed te keuren. We beschrijven het verloop in het artikel over de werkwijze van de valse bankmedewerker.

Voor de bank is de inzet tweeledig: klanten informeren, en adviseurs voorbereiden op wantrouwige of al gedupeerde klanten. Een klant die in paniek terugbelt, verwacht een duidelijk en snel antwoord.

2. De valse klant die de adviseur belt

Hier speelt de fraudeur de klant. Hij kent enkele openbare of gestolen gegevens en vraagt een wijziging van contactgegevens, een nieuw betaalmiddel of een dringende overschrijving. Zijn doel is de identiteitscontrole te omzeilen.

Stel je een telefoontje voor waarin de gesprekspartner zegt: “Ik ben onderweg, ik heb mijn telefoon niet meer, kunt u de code naar een ander nummer sturen?” Het verzoek is plausibel, de toon is beleefd en de druk is zacht. Net dat maakt het doeltreffend.

3. De valse collega of valse leverancier die de backoffice belt

De fraudeur stelt zich voor als leidinggevende, dienstverlener of IT-support. Hij mikt op de betalings- en treasuryteams, of probeert toegang te krijgen. De logica sluit aan bij die van CEO-fraude per telefoon.

Urgentie is de gebruikelijke hefboom: “De overschrijving moet vóór 16 uur vertrekken, anders verliezen we het contract.” Tegen die zin is de procedure van dubbele goedkeuring de beste verdediging, op voorwaarde dat niemand haar durft te omzeilen.

Een methode in vier stappen voor elk gevoelig telefoontje

Een nuttige methode telt weinig stappen, anders vind je ze onder stress niet terug. Hier is een reeks die de trainer aan elk beroep kan aanpassen.

1. Vertragen. De druk erkennen zonder ze te volgen: “Ik begrijp de urgentie, ik doe het volgens de regels.”
2. Controleren. Naar de elementen van de interne procedure vragen, zonder vragen te improviseren waarvan het antwoord openbaar is.
3. Terugbellen via een onafhankelijk kanaal. Het nummer uit het interne telefoonboek of uit het klantdossier gebruiken, nooit het nummer dat de beller geeft.
4. Noteren en melden. Opschrijven wat er gevraagd en gezegd is, en dan de beveiliging waarschuwen, ook als er niets is gegeven.

De tegenbel wordt beschreven in de terugbelprocedure via een onafhankelijk kanaal. De identiteitscontrole komt aan bod in de vragen om een beller te controleren.

De exacte zinnen die je uit het hoofd moet kennen

Onder druk stelt niemand een elegant antwoord samen. Je grijpt terug naar een zin die je al eerder zei. De trainer kan er een korte lijst van maken, om hardop te herhalen.

• “Voor uw veiligheid en de mijne bel ik u terug op het nummer dat in het dossier staat.”
• “Ik kan deze transactie niet telefonisch goedkeuren, ik nodig u uit de app te gebruiken.”
• “De procedure staat het mij niet toe, ook niet voor u. Ik kan geen uitzondering maken.”
• “Ik noteer uw verzoek en geef het door aan de betrokken dienst.”
• “Ik geef nooit een code uit een sms door, wie het ook vraagt.”

Deze zinnen hebben iets gemeen: ze beschuldigen de beller niet. Een echte klant neemt een controle die als huisregel wordt voorgesteld bijna nooit kwalijk. Een fraudeur dringt aan of hangt op. Die reactie is op zich informatie.

Waarom e-learning niet volstaat voor deze situaties

Een online module legt uit wat vishing is en herhaalt de richtlijnen. Dat is nuttig om te weten. Maar de echte situatie bevat een stem, een ritme, aandringen, soms woede of vriendelijkheid. Niets daarvan komt voor in een quiz.

De reflex ontstaat door een handeling te herhalen in omstandigheden die dicht bij de realiteit liggen. Een adviseur die al tien keer hardop heeft geweigerd, zegt gemakkelijker nee op de dag dat het telefoontje echt is. We werken dit mechanisme uit in het artikel over de grenzen van e-learning in cybersecurity.

Voor adviseurs komt de moeilijkheid van de klantrelatie erbovenop. Je moet weigeren zonder te kwetsen. Het onderwerp sluit aan bij de opleiding van bankadviseurs in klantrelatie.

Het DORA-kader: een opleidingsverplichting voor al het personeel

Voor financiële entiteiten is Verordening (EU) 2022/2554, DORA genoemd, van toepassing sinds 17 januari 2025. Artikel 13, lid 6, voorziet in bewustmakingsprogramma’s over ICT-beveiliging. Het voorziet ook in opleidingen over digitale operationele veerkracht, voor al het personeel en de directie. De Franse toezichthouder ACPR citeert dit artikel in de ICT-bijlage van het verslag over interne controle.

De tekst vraagt om bewustmakings- en opleidingsprogramma’s. Hij zegt niet in welke vorm. Een bank kan dus een online module aanvullen met mondelinge oefensituaties. Die laten een spoor na van wat iedereen heeft kunnen doen. We beschrijven de verplichting in het artikel over DORA en de opleiding in ICT-beveiliging, en het overzicht van de andere verplichtingen in de pagina over verplichte compliance-opleidingen.

Oefenen via rollenspel, scenario per scenario

Met Face Up maken trainers hun eigen rollenspellen op basis van hun echte casussen. De deelnemer spreekt met de stem van een persona die door een AI wordt gespeeld. Dat kan een gehaaste valse klant zijn, een valse leidinggevende of een klant die zich ergert aan een vraag over waakzaamheid. Na de sessie krijgt hij een debriefing met zijn sterke punten, zijn verbeterpunten en citaten van wat hij heeft gezegd.

De trainer van de bank houdt de regie. Hij schrijft het scenario met de echte valstrikken van zijn instelling. Hij kiest de hefbomen (urgentie, autoriteit, schuldgevoel) en bepaalt het verwachte gedrag: controleren, terugbellen, weigeren, melden. De deelnemer kan opnieuw spelen tot het gebaar vanzelf gaat. Meer voorbeelden op de pagina over rollenspellen.

Veelgemaakte fouten in vishingopleidingen bij banken

Een paar fouten keren bijna altijd terug wanneer een bank deze bewustmaking organiseert. Ze vooraf herkennen voorkomt dat je bij de tweede campagne opnieuw begint.

• Enkel de gedupeerde klant behandelen en de geviseerde adviseur vergeten.
• Eisen dat er gecontroleerd wordt zonder een zin te geven om het beleefd te doen.
• Vertrouwen op de weergave van het nummer van de beller.
• Vinden dat een mislukt telefoontje niet gemeld hoeft te worden.
• Alleen het voltooiingspercentage van de module meten.

Een laatste punt betreft de frequentie. Een eenmalige training vervaagt snel, terwijl een korte en regelmatige oefening het gebaar verankert. Vijftien minuten per kwartaal is beter dan een halve dag per jaar, vooral voor teams die elke dag telefoontjes ontvangen.

Veelgestelde vragen

Welke bankteams train je in de eerste plaats?

Die welke een geldstroom kunnen starten of toegang kunnen geven: adviseurs, backoffice, treasury, IT-support en telefonische ontvangst. Begin met de functies waar één persoon kan goedkeuren.

Moeten ook klanten worden opgeleid?

Klanten informeren is nuttig, maar het is een andere oefening. Adviseurs moeten vooral kunnen antwoorden aan een gealarmeerde of al gedupeerde klant, met eenvoudige woorden en een duidelijk gebaar.

Hoe weet ik of de opleiding werkt?

Kijk naar gedrag: teruggebelde telefoontjes, meldingen, nageleefde dubbele goedkeuringen. Ons artikel over het meten van de doeltreffendheid van een bewustmakingstraject stelt concrete indicatoren voor.

Vervangt een mondelinge oefening de DORA-verplichting?

Ze kan er deel van uitmaken. DORA vraagt om bewustmakings- en opleidingsprogramma’s, en het is aan de entiteit om haar formats te kiezen en het bewijs ervan te bewaren.

Wilt u zien hoe een trainer een vishingscenario op maat van zijn bank opbouwt? Boek een demo.