Vishing uitgelegd: definitie, voorbeeldgesprekken en alarmsignalen

Vishing (van “voice phishing”, hengelen via de stem) is oplichting via de telefoon. De beller doet zich voor als iemand die je vertrouwt, om een gegeven, een code of een overschrijving los te krijgen. Het verschil met phishing zit in het kanaal. Hier praat de aanvaller, en hij kan live inspelen op elke aarzeling.

Dit artikel geeft de definitie van vishing, typische voorbeelden van gesprekken en de alarmsignalen die je kunt horen. Het laat ook zien hoe je een team erop voorbereidt.

Wat betekent vishing?

Het woord combineert “voice” (stem) en “phishing” (hengelen naar gegevens). Vishing is dus een vorm van phishing waarbij het lokaas een gesproken gesprek is. De Franse organisatie Cybermalveillance.gouv.fr omschrijft phishing als een frauduleuze techniek om het slachtoffer te misleiden, onder meer via een “nepbericht, sms of telefoontje van een bank”.

De beller hoeft geen systeem te hacken. Hij krijgt van het slachtoffer zelf wat een technisch hulpmiddel hem zou weigeren. Bijvoorbeeld een code uit een sms, een wachtwoord of een goedkeuring in een app. Dat heet social engineering, want het doelwit van de aanval is de vertrouwensrelatie, niet de machine.

Vishing, phishing, smishing: wat is het verschil?

De drie termen beschrijven hetzelfde principe (misleiden om iets te krijgen) via verschillende kanalen.

• Phishing: het lokaas komt via e-mail, met een besmette link of bijlage.
• Smishing: het lokaas komt via sms of een berichtendienst, vaak met een link naar een nepsite.
• Vishing: het lokaas komt via een telefoongesprek of een voicemail.

Vishing onderscheidt zich door de druk. Een e-mail kun je herlezen, doorsturen en melden. Een telefoontje eist meteen een antwoord, zonder schriftelijk spoor en zonder ruimte om even na te denken.

De kanalen worden bovendien vaak gecombineerd. Een nep-sms zet het slachtoffer aan tot terugbellen, of een telefoontje kondigt aan dat er een code per sms komt. Huidige campagnes mengen alle drie. Het persbericht van Cybermalveillance.gouv.fr van 26 maart 2026 spreekt van phishinggolven “via sms, e-mail of zelfs audiogesprekken”.

Voorbeelden van vishinggesprekken

Hieronder drie typische scenario’s, opgebouwd om het mechanisme te illustreren. Ze beschrijven geen echte zaak.

De nepmedewerker van de bank

Stel je een telefoontje voor dat in naam van de bank op het scherm verschijnt. De stem is kalm en professioneel en meldt verdachte transacties op de rekening. Ze vraagt om de rekening te “beveiligen” door een melding in de app goed te keuren. In werkelijkheid autoriseert die goedkeuring een overschrijving naar de oplichter. De werkwijze staat uitgebreid in ons artikel over oplichting door een valse bankmedewerker.

De valse leverancier of de valse directeur

Stel dat een boekhouder wordt gebeld door een zogenaamde leverancier: “We zijn van bank veranderd, de volgende betaling moet naar deze nieuwe rekening.” Of dat een stem zich voorstelt als de directie en een dringende, vertrouwelijke overschrijving eist. Dit scenario wordt besproken in CEO-fraude per telefoon.

De valse IT-support

Stel je een telefoontje naar de servicedesk voor: “Ik ben onderweg, ik ben mijn telefoon kwijt, kunt u mijn toegang resetten?” De beller kent de naam van de leidinggevende en de afdeling, gegevens die online te vinden zijn. Zonder verificatieprocedure helpt de medewerker hem gewoon. De aanvaller krijgt dan toegang tot het informatiesysteem.

De alarmsignalen die je kunt horen

Geen enkel signaal volstaat op zichzelf. Het is de combinatie die je aan het twijfelen moet brengen. Een vishingtelefoontje vertoont vaak meerdere van deze kenmerken.

• Urgentie: “Er moet binnen tien minuten gehandeld worden.”
• Autoriteit: de bank, de directie, de politie, een beveiligingsdienst.
• Een ongewoon verzoek: een code, een wijziging van bankgegevens, een goedkeuring.
• Isolatie: “Vertel het niet aan je collega’s, dit is vertrouwelijk.”
• Weigering van een terugbelverzoek: de beller wil niet dat u hem via een ander kanaal contacteert.
• Een betrouwbaar lijkend nummer: het getoonde nummer bewijst niets, want nummers kunnen worden vervalst.

Cybermalveillance.gouv.fr meldt dat het vervalsen van telefoonnummers (spoofing) in 2025 met 517 % is toegenomen, ondanks regelgevende maatregelen zoals de Franse wet “Naegelen”. Een bekend nummer op het scherm is dus geen bewijs van identiteit.

Meer over deze drijfveren lees je in de psychologische hefbomen van social engineering.

Waarom vishing werkt, ook bij alerte mensen

Weten dat oplichting bestaat, is niet genoeg om het live te herkennen. Tijdens het gesprek moet iemand luisteren, antwoorden, met emoties omgaan en zich een regel herinneren, alles binnen enkele seconden. De regel uit een online module verliest het vaak van sociale druk.

De aanvallers weten dat. Het persbericht van Cybermalveillance.gouv.fr noemt callcenters met valse telefonisten die gespecialiseerd zijn in manipulatie, gevoed met gestolen gegevens. Die bellers herhalen hun verhaal honderden keren. De medewerker maakt de situatie maar één keer mee.

Die onbalans corrigeer je met oefening. Een reflex ontstaat door het juiste antwoord hardop te herhalen, tegenover iemand die aandringt. Dat is de logica van rollenspel, uitgewerkt in onze analyse van de grenzen van e-learning in cybersecurity.

Hoe bereid je een team voor op vishing?

De voorbereiding rust op drie eenvoudige elementen.

1. Één regel die iedereen kent: bij elk gevoelig verzoek per telefoon hang je op en bel je terug via een onafhankelijk kanaal. Zie de terugbelprocedure.
2. Een duidelijke toestemming om te weigeren, ook tegenover een beller die zich directeur noemt.
3. Een eenvoudig meldkanaal, dat zonder angst voor verwijten wordt gebruikt, ook als iemand toch heeft toegegeven.

Die handelingen moeten dan nog automatisch worden. Trainers kunnen dat doen met een mondelinge oefensituatie. De deelnemer krijgt het telefoontje van een persona die door een AI wordt gespeeld, moet verifiëren en weigeren. Daarna krijgt hij een debriefing met citaten van wat hij heeft gezegd. Met Face Up schrijven trainers deze scenario’s op basis van hun eigen casussen. Het hele onderwerp komt aan bod in onze gids over security awareness training en vishing.

Wat zeg je tijdens het gesprek?

Bij twijfel is het beste antwoord kort, beleefd en zonder uitleg. Hier zijn zinnen om bij de hand te houden.

• “Ik bel u terug op het officiële nummer van uw dienst.”
• “Ik geef geen codes door per telefoon, wat de reden ook is.”
• “Voor een verzoek als dit schrijft de procedure een schriftelijke bevestiging voor.”
• “Als het dringend is, begrijpt u dat ik eerst controleer.”

Deze zinnen hebben iets gemeen: ze trekken de oprechtheid van de beller niet in twijfel. Ze passen een regel toe. De medewerker beschuldigt niemand en hoeft niet te bewijzen dat het gesprek frauduleus is.

Een echte gesprekspartner accepteert deze controle. Een aanvaller dringt aan, wordt geïrriteerd of hangt op. Die reactie is al nuttige informatie, om te noteren voor de melding.

Wie wordt in een organisatie geviseerd?

Alle functies met beslissingsbevoegdheid, toegang of informatie zijn doelwit. Cybermalveillance.gouv.fr wijst erop dat fraude met valse betalingsopdrachten elk type organisatie treft. Ze wordt meestal gepleegd per telefoon, per e-mail of via beide.

• De boekhouding en treasury, die overschrijvingen uitvoeren.
• Directiesecretariaten, die agenda’s en goedkeuringscircuits kennen.
• De servicedesk, die een toegang kan resetten.
• Klantadviseurs, die over klantgegevens beschikken.
• Receptie en telefooncentrale, het eerste aanspreekpunt voor een onbekende beller.

Elk beroep vraagt dus om een eigen oefenscenario. Een boekhouder krijgt andere telefoontjes dan een supportmedewerker.

Veelgestelde vragen

Is vishing hetzelfde als een valse bankmedewerker?

De valse bankmedewerker is één vorm van vishing. Vishing omvat alle frauduleuze telefoontjes, of ze nu een bank, een leverancier, een directeur of een IT-helpdesk nabootsen.

Wat moet ik doen als ik tijdens het gesprek een code heb doorgegeven?

Verwittig onmiddellijk uw bank of beveiligingsdienst via een officieel kanaal en vraag om de transacties te blokkeren. Noteer daarna het verloop van het gesprek voor de melding. Ons artikel over het melden van een incident biedt een rooster.

Is een nummer dat in naam van mijn bank verschijnt betrouwbaar?

Nee. Het getoonde nummer kan worden vervalst, wat Cybermalveillance.gouv.fr bevestigt met een stijging van 517 % van de in 2025 vastgestelde gevallen. Hang op en bel het officiële nummer van de bank.

Is vishing strafbaar?

Ja. Volgens het Franse informatieblad van Cybermalveillance.gouv.fr over valse betalingsopdrachten is oplichting (artikel 313-1 van het Franse Wetboek van Strafrecht) strafbaar met vijf jaar gevangenisstraf. De boete kan oplopen tot 375.000 euro. Ook de poging wordt met dezelfde straffen bestraft. Identiteitsfraude is bovendien een afzonderlijk misdrijf.

Zijn medewerkers verantwoordelijk als ze erin trappen?

Het nuttigst is de logica van het verwijt te vermijden. Wie sancties vreest, meldt laat of helemaal niet. Organisaties die snel melden aanmoedigen, beperken de schade, want elke minuut telt om een overschrijving te blokkeren.

Wilt u uw teams trainen om een vishingtelefoontje te herkennen en te weigeren? Vraag een demo van Face Up aan.