Phishing wordt steeds beter: zes signalen om te kennen

AI maakt nep-e-mails geloofwaardiger dan ooit. Deze zes signalen helpen je phishing in 2026 herkennen, ook als de taal foutloos is.

Leestijd: 6 minuten

In het kort

In 2021 herkende je phishing vaak aan de spelfouten. "Beste Klant, u rekeningnummer is bevroren." De kwaliteit van die taal was ronduit amusant. Vandaag is dat voorbij.

Phishing-berichten worden in 2026 geschreven met behulp van AI-modellen die foutloos Nederlands produceren, inclusief correcte aanspreektitels, de juiste naam van je bank en soms zelfs een referentie naar een recente transactie.

De spelfouten zijn verdwenen. Wat overblijft zijn subtielere signalen, en die worden te weinig besproken.

Hieronder vind je zes concrete dingen om op te letten, van meest voor de hand liggend tot het lastigst te herkennen.

1. Het afzenderadres klopt net niet

Het gevaarlijkste signaal is tegelijk het makkelijkst te checken, maar de meeste mensen doen het niet. Klik nooit alleen op de naam van de afzender, maar kijk naar het eigenlijke e-mailadres.

Voorbeelden van hoe dat er in de praktijk uitziet:

• De naam staat als "ING België", maar het adres is noreply@ing-belgie-service.com.

• Belfius stuurt nooit van klantenservice@belfius-alert.net.

• Een Belgisch overheidsdomein eindigt altijd op .be of belgium.be, niet op .gov-service.com.

Let op: phishers gebruiken soms look-alike domeinen. rn kan lijken op m, en een kleine l lijkt in sommige lettertypen op een hoofdletter I. Zoom in als je twijfelt.

2. De urgentie is altijd opvallend

"U heeft 24 uur om te reageren."
"Uw account wordt geblokkeerd."
"Actie vereist voor middernacht."

Legitieme bedrijven zetten geen 24-uur-aftelling op je bankrekening of je Microsoft-account. Die tijdsdruk heeft een duidelijk doel: voorkomen dat je even nadenkt of iemand belt.

Als een e-mail je uitlokt tot haastig handelen, is dat een signaal om net iets langzamer te worden.

3. De link gaat niet waar je denkt

Beweeg je muis over een link zonder erop te klikken. Onderaan je scherm verschijnt het echte adres.

Op mobiel is dit lastiger. Houd je vinger op de link en kies "kopieer link". Plak hem vervolgens in een notitie of in de adresbalk zonder op Enter te drukken.

Let ook op URL-verkorters zoals bit.ly of tinyurl.com in officiële communicatie. Banken en overheidsdiensten gebruiken die niet in transactionele e-mails.

4. De taal is foutloos, maar de toon klopt niet

Dit is de subtiele kant van AI-gegenereerde phishing. De zin is grammaticaal correct, maar voelt iets te formeel, iets te uniform. Geen persoonlijk detail, geen context die alleen de echte afzender zou weten.

Vergelijk dit eens:

De phishing-variant is vaag. Geen bedrag, geen datum, geen tegenpartij. Dat is bewust: hoe vager, hoe breder inzetbaar.

5. Ze vragen naar iets wat ze al zouden weten

Je bank weet al je rekeningnummer. De overheid kent al je rijksregisternummer. Een legitieme dienst die je al kent, vraagt je nooit om dat soort gegevens te "bevestigen" via een e-maillink.

Hetzelfde geldt voor wachtwoorden: geen enkele serieuze dienst vraagt je wachtwoord via e-mail of via een formulier dat niet van zijn eigen domein is.

Vuistregel: als een bericht vraagt naar informatie die de afzender al zou moeten hebben, stop dan.

6. AI-gegenereerde stem- en videoboodschappen

Dit is nieuwer en geldt al voor KMO's in Limburg. In 2025 en 2026 circuleren gevallen waarbij een zaakvoerder een voicemail krijgt van een stem die klinkt als zijn accountant of als een bankkantoor. De stem vraagt dringend om een overschrijving of om inloggegevens.

Die stemmen worden gegenereerd met publiek beschikbaar audiomateriaal: een interview, een bedrijfsvideo, een webinar. Drie minuten audio is genoeg om een overtuigende kloon te maken.

Wat je doet bij twijfel:

1. Hang op.

2. Zoek het officiële telefoonnummer zelf op.

3. Bel terug via dat officiële nummer.

Bel niet terug op het nummer dat je werd gegeven.

Wat als iemand in je bedrijf toch klikt?

De eerste tien minuten tellen. Als een medewerker op een phishing-link heeft geklikt en gegevens heeft ingevuld:

1. Ontkoppel het toestel onmiddellijk van het netwerk: wifi uit, netwerkkabel eruit.

2. Verander meteen het wachtwoord van het account dat mogelijk gecompromitteerd is, op een ander toestel.

3. Activeer tweefactorauthenticatie als dat nog niet het geval is.

4. Bel je IT-ondersteuning of, als je die niet hebt, je bank of de betrokken dienst.

Geen enkele stap is optioneel. Phishing-aanvallen zijn vaak de voordeur voor ransomware die pas uren of dagen later wordt geactiveerd.

Heb je geen IT-partner om op te bellen in zo'n moment? Vraag ons naar IT-ondersteuning voor je KMO. We helpen bij incidentrespons en leggen preventieve maatregelen uit die je nu al kunt nemen.

Phishing-simulaties voor je team

De meest effectieve manier om medewerkers phishing-proof te maken, is ze gecontroleerd laten falen. Een nep-phishing-test waarbij niemand z'n loon verliest, is veruit de beste leerschool.

Er bestaan betaalbare tools voor KMO's, zoals KnowBe4 of Microsoft's Attack Simulator, inbegrepen bij bepaalde Microsoft 365-licenties. Een simulatie van tien e-mails over een maand geeft al een goed beeld van wie in je team het meest risico loopt.

Wil je weten welke licentie je Microsoft 365-pakket je al geeft? Boek een IT-checkup via onze afspraakpagina en we kijken het samen na.

Veelgestelde vragen

Hoe weet ik of een link veilig is zonder erop te klikken?

Beweeg je muis over de link op desktop en check de URL die onderaan je scherm verschijnt. Op mobiel: houd je vinger op de link en kies "link kopiëren". Plak de URL in de adresbalk van je browser zonder op Enter te drukken om het domein te lezen.

Onze medewerkers zijn voorzichtig. Hebben we toch phishing-training nodig?

Het meest succesvolle bedrijfsbrede phishing-incident begint altijd bij de medewerker die zelf zegt voorzichtig te zijn. Phishing-simulaties zijn niet bedoeld als wantrouwen, maar als oefening, net zoals brandoefeningen niet betekenen dat je het gebouw wantrouwt.

Wat kost phishing-training voor een KMO?

KnowBe4 rekent vanaf ongeveer 15 tot 25 euro per gebruiker per jaar voor het basisplan. Microsoft's Attack Simulator is inbegrepen bij Microsoft 365 Business Premium, ongeveer 22 euro per gebruiker per maand in 2026. Wij begeleiden een simulatie ook manueel als optioneel onderdeel van een IT-onderhoudscontract.

Herken je phishing ook aan het design van de e-mail?

Niet altijd. Templates worden gekopieerd van echte e-mails, inclusief logo's en kleuren. Het design van een phishing-e-mail verschilt soms niet van het echte. Vertrouw op afzenderadres, link-URL en de inhoud, niet op hoe de e-mail eruitziet.

Wat doe ik als ik een verdachte e-mail ontvang?

Klik niet, klik niet op "uitschrijven" omdat dat bevestigt dat je adres actief is, en stuur hem door naar verdacht@safeonweb.be. De Belgische overheid houdt zo phishing-campagnes bij en kan soms providers snel inlichten.

Slot

Phishing-aanvallen kosten Belgische bedrijven jaarlijks miljoenen euro, niet door spectaculaire hacks maar door één verkeerde klik. De tools en kennis om je te wapenen zijn beschikbaar en goedkoper dan je denkt.