Phishing: definitie, soorten, voorbeelden en herkennen

Phishing is een vorm van fraude waarbij de aanvaller zich voordoet als een vertrouwde partij, zoals een bank, een leverancier, een overheidsdienst of een collega, om wachtwoorden, persoonsgegevens, bankgegevens of een betaling los te krijgen. Het bericht komt meestal per e-mail, maar ook per sms, telefoontje of QR-code.

Dit artikel geeft de definitie van phishing, de belangrijkste soorten (spear phishing, whaling, smishing, vishing, quishing), typische voorbeelden, de signalen om het te herkennen en wat je doet na een klik. Het legt ook uit waarom de training de telefoon moet omvatten.

Wat is phishing?

Het woord komt van het Engelse “fishing” (vissen), met een “ph” uit het jargon van hackers. De aanvaller gooit een aas uit en wacht tot iemand toehapt. In het Frans heet dezelfde techniek “hameçonnage”.

De Franse overheidsdienst Cybermalveillance.gouv.fr omschrijft phishing als een frauduleuze techniek die gebruikers misleidt om persoonlijke of bankgegevens te delen, door zich voor te doen als een vertrouwde derde. De dienst noemt valse e-mails, valse sms-berichten en valse telefoontjes van banken, providers, overheidsdiensten en webwinkels.

Phishing is een vorm van social engineering. De aanvaller hoeft geen systeem te kraken, want het slachtoffer geeft zelf wat een technische beveiliging zou weigeren. Wil je weten waarom deze berichten werken, lees dan de psychologische hefbomen van social engineering.

De belangrijkste soorten phishing

Het principe is altijd hetzelfde: een lokmiddel, een geloofwaardig voorwendsel, een gevraagde handeling. Wat verschilt, is het kanaal en de mate van personalisatie.

• E-mailphishing: een massabericht bootst een bank, een pakketdienst of een softwareleverancier na, met een link naar een nepsite of een besmette bijlage.
• Spear phishing (gerichte phishing): het bericht richt zich op één persoon of team. Het gebruikt echte namen, functies en projecten, vaak gevonden op professionele netwerken.
• Whaling: spear phishing gericht op directieleden of op mensen die een grote betaling mogen goedkeuren.
• Smishing: het lokmiddel komt via sms of een berichtenapp, met een link naar een nepsite.
• Vishing: het lokmiddel is een telefoongesprek of een voicemail. De details staan in ons artikel over de definitie van vishing.
• Quishing: de link zit verstopt in een QR-code, bijvoorbeeld in een e-mail, op een poster of op een valse sticker. Een mailfilter ziet een afbeelding, geen adres.
• Clone phishing: de aanvaller kopieert een echt bericht dat je al ontving en stuurt het opnieuw, met de link of bijlage vervangen door een kwaadaardige versie.

Deze vormen worden vaak gecombineerd. Een e-mail kan vragen een nummer te bellen, of een telefoontje kondigt een sms met een code aan. Het persbericht van Cybermalveillance.gouv.fr van 26 maart 2026 spreekt van phishinggolven “via sms, e-mail of zelfs audiogesprekken”.

Voorbeelden van phishing

De drie scenario's hieronder zijn bedacht om het mechanisme te laten zien. Ze beschrijven geen echt geval.

De valse waarschuwing over de mailbox

Stel je een e-mail voor met de tekst: “Uw mailbox is vol, activeer uw account binnen 24 uur opnieuw.” De knop leidt naar een pagina die identiek is aan de inlogpagina van het bedrijf. Een medewerker vult gebruikersnaam en wachtwoord in, en de aanvaller ontvangt ze meteen.

Spear phishing gericht op de boekhouding

Stel je een bericht voor aan een boekhouder, met de naam van haar leidinggevende en een factuur als bijlage: “Kun je deze vanavond nog betalen? De leverancier dreigt de levering stop te zetten.” De toon is vertrouwd, het verzoek is aannemelijk en de haast beperkt de controle. Voor de telefonische versie van dit patroon, zie CEO-fraude per telefoon.

De valse bezorg-sms gevolgd door een telefoontje

Stel je een sms voor: “Uw pakket ligt vast, betaal 1,99 euro kosten.” De nepsite verzamelt kaartgegevens. Enkele uren later belt een valse bankmedewerker om de rekening te “beveiligen”. Het eerste bericht bereidde het tweede voor.

Hoe herken je een phishingbericht?

Geen enkel signaal is op zichzelf voldoende. Het is de optelsom die je aan het twijfelen moet brengen. Cybermalveillance.gouv.fr noemt onder meer een verleidelijk aanbod, een verdacht uiterlijk, een onverwachte bijlage en een bizar afzenderadres.

• De afzender: het adres bootst een bekende naam na, met een gewijzigd teken of een ongebruikelijk domein. De weergegeven naam bewijst niets.
• De link: het echte adres, zichtbaar als je erover beweegt zonder te klikken, wijkt af van de getoonde tekst.
• De haast: een korte termijn, een dreigende blokkade, een boete of een aanbieding die verdwijnt.
• Het verzoek: een wachtwoord, een code, bankgegevens of een betaling. Volgens Cybermalveillance.gouv.fr vraagt geen serieuze overheidsdienst of onderneming op deze manier om je bankgegevens of wachtwoorden.
• De onverwachte bijlage, vooral van iemand die je nooit mailt.
• De context: een verzoek buiten het gebruikelijke proces, zoals een nieuw rekeningnummer dat via een gewone e-mail wordt doorgegeven.

Spelfouten zijn een aanwijzing, maar recente berichten zijn vaak goed geschreven. De juiste reflex is dus niet zoeken naar een fout. Het is het verzoek controleren via een kanaal dat je al kent.

Wat doe je als je hebt geklikt?

Blijf er niet alleen mee zitten en handel snel. Dit is een verstandige volgorde, op basis van de factsheet van Cybermalveillance.gouv.fr en de aanbevelingen van de Franse toezichthouder CNIL.

1. Waarschuw je ICT- of beveiligingsteam als een werkapparaat of werkaccount betrokken is. Elke minuut telt, en niemand heeft baat bij het verbergen van een klik.
2. Wijzig het wachtwoord van het getroffen account en van alle accounts waar je het hergebruikte.
3. Neem contact op met je bank als je bankgegevens hebt ingevoerd of een frauduleuze afschrijving ziet. Gebruik het nummer op je pas of in je app, niet dat uit het bericht.
4. Bewaar het bewijs: het bericht, het afzenderadres, schermafbeeldingen, het tijdstip.
5. Doe aangifte bij de politie als je schade hebt geleden.
6. In Frankrijk meldt men verdachte e-mails bij Signal Spam, stuurt men verdachte sms-berichten door naar 33700 en meldt men frauduleuze sites bij het platform PHAROS. Controleer die adressen en nummers altijd op de officiële sites voordat je ze gebruikt.

Wat je moet noteren bij een melding, lees je in onze checklist voor het melden van een incident.

Waarom phishingtraining ook de telefoon moet omvatten

Veel organisaties beperken zich tot campagnes met nepmails, met het klikpercentage als indicator. Dat is nuttig, maar het meet maar één handeling: klikken of niet klikken. Echte aanvallers wisselen van kanaal als de e-mail mislukt.

Aan de telefoon is de situatie anders. Een e-mail kun je herlezen, doorsturen en melden. Een telefoontje vraagt een direct antwoord, van iemand die aandringt, vleit of dreigt. Weten dat je moet controleren is niet genoeg om het ook te doen als de stem aandringt.

De grenzen van campagnes met nepmails staan in ons artikel over de grenzen van phishingsimulatie wanneer de aanval een stem is. Het principe om te onthouden: de controlereflex bouw je op door hem hardop te oefenen, niet door erover te lezen.

Hoe train je teams tegen phishing?

Een degelijke aanpak combineert vier elementen.

1. Eén eenvoudige regel die iedereen kent: bij elk gevoelig verzoek controleer je via een onafhankelijk kanaal, nooit via de contactgegevens in het bericht.
2. Een meldkanaal zonder verwijten, ook na een klik. Wie straf vreest, meldt te laat.
3. Korte, regelmatige herinneringen over soorten aanvallen, in plaats van één jaarlijkse module.
4. Oefening in het gesprek: weigeren, terugbellen en schriftelijke goedkeuring vragen aan iemand die blijft aandringen.

Voor dat laatste punt laat Face Up trainers met een auteurstool hun eigen rollenspellen maken op basis van hun echte cases. De deelnemer spreekt, met stem of op video, met een persona dat door een AI wordt gespeeld: een valse bankmedewerker, een valse leverancier of een collega met haast. Daarna ontvangt de deelnemer een debriefing met citaten van wat hij of zij zei, en kan de scène opnieuw spelen.

De volledige aanpak staat in onze gids over security awareness training tegen vishing.

Veelgestelde vragen

Wat is het verschil tussen phishing en spear phishing?

Klassieke phishing wordt in bulk verstuurd, met een algemeen bericht. Spear phishing is voorbereid voor één persoon of team, met echte details over functie of contacten. Het is moeilijker te herkennen.

Bestaat phishing ook per telefoon?

Ja, en dat heet vishing. Het kanaal verandert, het principe niet: de beller doet zich voor als een vertrouwd persoon om informatie, een code of een overboeking te krijgen.

Zijn een virusscanner en een spamfilter genoeg?

Nee. Filters blokkeren een deel van de berichten, niet alles, en ze zien geen telefoontjes en niet altijd QR-codes. De handeling van de persoon blijft de laatste barrière.

Wat is het verschil tussen phishing en smishing?

Phishing verwijst meestal naar e-mail. Smishing is dezelfde truc per sms. Beide steunen op een link of verzoek dat legitiem lijkt.

Om je teams te trainen in het weigeren van een verdacht verzoek, per e-mail of telefoon, vraag je een demo van Face Up aan.