Een goed gemaakte phishing-mail kost een aanvaller een uur werk. Een excellente kost een dag. Het verschil zit in details die u alleen ziet als u systematisch kijkt. Hieronder zes signalen waar u meestal mee uitkomt, en daarna wat moderne aanvallers slim verbergen.

Zes signalen

Afzenderdomein. Niet de naam, maar het deel achter @. "Microsoft Beveiliging <noreply@microsoft-secure-login.com>" is geen Microsoft. Hover op de afzender of klap de mail-headers uit. Op gmail klikt u op het pijltje naast de naam, in Outlook op "Bron weergeven".

Taal en grammatica. Vroeger zaten phishing-mails vol fouten. Sinds AI-tooling zoals ChatGPT toegankelijk is, is dit signaal zwakker geworden. Maar onnatuurlijke formuleringen, verkeerde aanhef ("Geachte klant" terwijl uw bank u bij naam kent) en typografische kleinigheden blijven verraden.

Urgentie. "Reageer binnen 24 uur of uw account wordt geblokkeerd". Echte organisaties geven zelden zulke korte termijnen voor handelingen die u online moet uitvoeren.

Link-hover. Houd uw muis boven een link zonder te klikken. Onderin uw mailclient verschijnt de echte URL. Een link met tekst "https://www.ing.nl" maar bestemming "https://ing-secure-login.tk" is direct verdacht.

Bijlagen. Onverwachte.zip,.iso,.htm of.docm bestanden. Office-documenten met macro's. PDF's met aanmaaningen voor diensten waar u niets van weet.

Betaalverzoek. Wijziging van bankgegevens van een leverancier of declarant via mail, zonder dat u dit telefonisch kunt verifieren.

Wat u niet ziet

DKIM-bypass via gecompromitteerde toeleveranciers. Als de mailbox van uw advocaat is gekraakt, krijgt u een phishing-mail vanaf zijn echte adres, met geldige DKIM-handtekening en SPF-pas. Hier slaat technische verificatie geen alarm. Het enige signaal is inhoudelijk: een betaalverzoek of bestandswissel die niet past in uw lopende dossier.

Ook: homograph-aanvallen waarbij een Cyrillische "a" wordt gebruikt in een domein dat op het oog identiek is. En reply-chain-injection, waarbij een aanvaller in een echte mailthread tussen u en een collega een nieuwe mail tussenvoegt.

Wat te doen bij twijfel

Klik niet, antwoord niet en stuur de mail door naar uw security-team of naar de phishing-knop in uw mailclient. Microsoft Defender heeft een "Report message" knop, gmail een "Phishing melden" optie. Bij twijfel over een betaalverzoek belt u de afzender op een nummer dat u uit een andere bron heeft, niet uit de mail zelf.

Verwant: Cybersecurity consultant, Freelance Microsoft 365 consultant.