Wat is phishing?

Dinsdagochtend, kwart over acht. Op je telefoon staat een bericht van je bank dat je pas vandaag wordt geblokkeerd. Er staat een link bij om dat te voorkomen, en je moet zo de deur uit. De naam boven het bericht klopt, het logo ook. Dit is het moment waar phishing voor gemaakt is: je hebt haast, het bericht ook, en de link staat klaar.

Dit artikel legt uit wat phishing is, in welke vormen het komt en waar je in een bericht naar kijkt. Het tweede deel gaat over wat je doet als je twijfelt, en als je al geklikt hebt. Alle voorbeeldadressen eindigen op .example, een uitgang die voor voorbeelden is gereserveerd en nergens echt bestaat.

Wat phishing is

Phishing is een vorm van oplichting waarbij iemand zich in een bericht voordoet als een ander. Het NCSC omschrijft het als 'een aanvalstechniek waarbij een aanvaller zich voordoet als een betrouwbare organisatie of persoon om vertrouwelijke gegevens te verkrijgen'. Het woord komt van het Engelse fishing: de afzender hengelt naar iets van jou.

Wat hij wil hebben, verschilt. Soms is het je wachtwoord of de code waarmee je inlogt, soms je pasgegevens of een kopie van je paspoort, soms een betaling. Op het werk gaat het vaak om toegang: met één account kan een aanvaller de mail meelezen en zich daarna voordoen als een collega.

Phishing is iets anders dan spam. Spam wil je iets verkopen en zegt dat ook. Een phishingbericht leent de naam van een organisatie die je vertrouwt, en dat lenen is het hele middel.

Hoe het werkt, in drie stappen

Bijna elk phishingbericht volgt hetzelfde pad. Eerst komt er een bericht dat je tot een handeling moet brengen. Het NCSC noemt er drie: 'iemand verleiden om op een link te klikken, een bijlage te openen of gegevens (zoals inloggegevens of betaalinformatie) achter te laten'.

Dan kom je op een nagemaakte pagina. Die ziet eruit als de inlogpagina van je bank, je mail of je werk, met logo en al. Wat je daar invult, heeft de maker meteen. Bij een bijlage gaat het anders: die kan software bevatten die start zodra je hem opent.

In de derde stap gebruikt de afzender wat hij heeft. Hij logt in, zet een betaling klaar, of stuurt vanuit jouw account berichten naar de mensen die jou vertrouwen. Daarom komt phishing zo vaak van een bekende.

De vormen van phishing

Phishing begon met mail en komt nu langs elke weg waarlangs je berichten krijgt. Veilig Internetten schrijft dat de vormen ook worden gecombineerd, bijvoorbeeld een beller die tijdens het gesprek een mail stuurt: 'Zo hopen ze dat het betrouwbaarder lijkt.' De tabel zet de vormen naast elkaar.

Waaraan je een phishingbericht herkent

Vroeger stonden valse mails vol taalfouten. Dat is voorbij. Het NCSC schrijft: 'Duidelijke spelling- en grammaticafouten worden zeldzamer en inlogpagina's zien er steeds authentieker uit.' Wie nog op spelfouten let, kijkt naar het enige wat een afzender tegenwoordig goed doet. Er zijn drie dingen die wel blijven werken.

De afzender

Boven een mail staat een naam, en daarachter een adres. De naam mag de afzender zelf invullen. Het adres is lastiger, want het stuk na het apenstaartje, het domein, moet iemand hebben vastgelegd. Veilig Internetten zegt het zo: 'Let vooral goed op de domeinnaam. Dat is het deel achter het @-teken.' Op een telefoon zie je vaak alleen de naam; tik erop en het adres komt erbij.

Lees het domein letter voor letter. Een nul op de plek van een o, een streepje met een woord erachter of een punt midden in de naam geeft een domein van een ander. En een adres dat wel klopt, is nog geen bewijs: Veilig Internetten waarschuwt dat criminelen ook het echte adres van een organisatie kunnen gebruiken. 'Ga dus nooit alleen af op het e-mailadres van de afzender.'

De link

Wat je in een bericht als link ziet, is tekst of een knop. Waar hij heen gaat, zie je door de muis erboven te houden, of op een telefoon je vinger erop te laten rusten. In het adres dat verschijnt zoek je de eerste schuine streep na https. Het stuk vlak daarvoor is het domein, en dus de eigenaar van de pagina.

Wij lezen van links naar rechts en stoppen bij de eerste naam die we kennen. Een nagemaakt adres maakt daar gebruik van door de naam van je bank vooraan te zetten, met een punt erachter. Een computer leest het eind. Het slotje in de adresbalk helpt je hier niet: Veilig Internetten schrijft dat 'een website met een groen slotje en https in de adresbalk' niet altijd legitiem is. Het slotje gaat over de verbinding en zegt niets over de eigenaar.

De druk

Het derde kenmerk zit in de tekst. Een phishingbericht wil dat je iets doet voordat je het adres hebt gelezen, en gebruikt daar haast, angst, een beloning of gezag voor. Veilig Internetten noemt de combinatie die het vaakst voorkomt: 'Spoed in combinatie met het klikken op een link is een belangrijk signaal dat het om een valse e-mail zou kunnen gaan.'

Lastiger is het bericht dat past bij je situatie. Je verwacht een pakket, of de mail noemt je naam en je adres. Dat voelt als bewijs en is het niet. Berichten over pakketten gaan naar heel veel mensen tegelijk, en persoonlijke gegevens komen uit datalekken. Veilig Bankieren schrijft dat phishing steeds vaker persoonlijk aan je gericht is, met je echte naam en andere gegevens erbij. Meer over berichten na een lek lees je in Je gegevens zijn gelekt. Wat nu?

Wat je doet als je twijfelt

Je hoeft niet te weten of een bericht echt is. Je hoeft alleen de link niet te gebruiken. Het NCSC geeft de regel in één zin: 'Bij twijfel: gebruik niet de link in de e-mail, maar ga zelf via de normale website of app naar de organisatie.' Is er echt iets met je pas of je pakket, dan zie je het daar ook.

Navragen mag, als het via een eigen weg gaat. Antwoorden op het bericht of het nummer eronder bellen brengt je bij de afzender. Zoek het nummer zelf op, of gebruik het nummer dat je al had. Bij een beller geldt hetzelfde: ophangen en zelf bellen. Hoe dat gaat bij een telefoontje uit naam van je bank, staat in Iemand belt en zegt dat hij van de bank is.

Als je al geklikt hebt

Het kan iedereen overkomen, ook mensen die dit artikel hebben gelezen. Veilig Internetten begint zijn uitleg met een geruststelling: een klik betekent 'niet automatisch dat je bankrekening is leeggehaald of je persoonsgegevens zijn misbruikt'. Wat je doet, hangt af van hoe ver je bent gegaan.

• Alleen geklikt. Sluit de pagina en vul niets in. Meestal is er dan nog niets gebeurd.
• Een wachtwoord ingevuld. Wijzig het direct, via de site die je zelf opent, en ook overal waar je hetzelfde wachtwoord gebruikt. Zet daarna tweestapsverificatie aan.
• Een bijlage geopend. Haal het apparaat van het internet en doe een virusscan. Wachtwoorden wijzig je daarna, op een apparaat dat schoon is.
• Betaald of een code afgegeven. Bel meteen je bank, op het nummer dat je zelf kent. Een betaling is soms nog tegen te houden. Doe daarna aangifte bij de politie.

Melden

Een vals bericht meld je bij de organisatie die wordt nagedaan; die kan de nagemaakte pagina laten blokkeren en anderen waarschuwen. Veilig Internetten noemt daarnaast de Fraudehelpdesk, voor als je geen geld kwijt bent, en de politie voor als dat wel zo is. Op je werk gaat het naar de servicedesk of het meldpunt van je organisatie. Daar hoef je niet zeker voor te zijn: Veilig Internetten raadt aan te melden 'ook als je niet zeker weet of het phishing is'.

Phishing op het werk

Op het werk heeft phishing twee vaste vormen. De eerste is het verzoek om geld: een mail uit naam van de directeur met spoed en geheimhouding, of een leverancier die een nieuw rekeningnummer doorgeeft. De tweede is het verzoek om toegang, zoals een gedeeld document dat om je werkwachtwoord vraagt. Nieuwer is het scherm waarop een onbekende app toestemming vraagt om je mail te lezen. Het NCSC waarschuwt dat tweefactorauthenticatie daar niet tegen helpt, omdat je de toestemming zelf hebt gegeven.

De regel is dezelfde als thuis, met één ding erbij. Een gewijzigd rekeningnummer of een betaling buiten de gewone weg om controleer je telefonisch, via een nummer uit je eigen administratie, en met een collega erbij.

Oefenen met lezen

De regels hierboven zijn kort. Ze toepassen op een bericht dat op je telefoon binnenkomt terwijl je haast hebt, is iets anders dan ze lezen. In de gratis phishing test van Skillido speel je vijf rondes van een minuut met verzonnen mails, links en sms'jes. De training Phishing herkennen heeft 240 opgaven in 5 onderdelen, van de afzender tot wat je daarna doet. Over trucs buiten het bericht om, zoals een webwinkel of een betaalverzoek, gaat de training Oplichting herkennen.