Wat is spearphishing?
Spearphishing is phishing die op één persoon of functie is gericht. De afzender zoekt eerst uit wie je bent, wat je doet en met wie je werkt, en schrijft daarna een bericht dat bij jouw werk past, met je naam, een lopend project of de naam van je leidinggevende erin. Daardoor is het moeilijker te herkennen dan een bericht dat naar duizenden mensen tegelijk gaat. Wat helpt, is een verzoek om geld, gegevens of toegang nagaan langs een eigen weg.
Bijgewerkt op door De redactie van Skillido
Het is donderdagmiddag, kwart voor drie. Je werkt op de financiële administratie en er komt een mail van je directeur binnen. Hij zit bij de notaris, schrijft hij, en de aanbetaling voor het nieuwe pand moet vandaag nog weg. Hij noemt het adres van het pand. Hij noemt jou bij je voornaam, zoals altijd. En hij vraagt of je het even stil wilt houden.
Alles in die mail klopt met wat je weet, en dat is het probleem. Dit artikel legt uit wat spearphishing is, waarin het verschilt van gewone phishing en waar de afzender zijn kennis vandaan haalt. Daarna ontleden we de mail hierboven, detail voor detail. Alle adressen in dit artikel eindigen op .example, een uitgang die voor voorbeelden is gereserveerd.
Wat spearphishing is
Spearphishing is phishing met een doelwit. Veilig Internetten zegt het in een zin: 'Spear phishing is gericht op één iemand.' Het NCSC maakt het iets ruimer: 'De aanvaller richt zich op één specifieke persoon of functie binnen een organisatie, zoals een medewerker van de financiële administratie, een inkoper of een bestuurder.'
Het woord komt uit het Engels. Phishing is hengelen, en een spear is een speer. Gewone phishing gooit een net uit en kijkt wie erin zwemt. De speervisser kiest eerst een vis. Je ziet het woord ook met een spatie geschreven, als spear phishing.
Wie het doelwit wordt, hangt af van wat iemand kan. Mensen die betalingen doen, toegang geven tot systemen of veel van de organisatie weten, zijn het meest waard. Veilig Internetten schrijft dat het vaak gaat om iemand met toegang tot veel informatie binnen een organisatie. Dat hoeft geen directeur te zijn. Een secretaresse met de agenda en het postvak van de directie is net zo interessant.
Het verschil met gewone phishing
Een gewoon phishingbericht is in een paar minuten gemaakt en gaat naar iedereen. Een gericht bericht kost de afzender dagen. Het NCSC legt daar het zwaartepunt: 'Het grootste verschil met reguliere phishing is vooral de mate van voorbereiding.' De tabel zet de twee naast elkaar.
| Punt | Gewone phishing | Spearphishing |
|---|---|---|
| Aan wie | Duizenden adressen tegelijk. | Eén persoon of functie, zoals de financiële administratie of een bestuurder. |
| Voorbereiding | Weinig: een lijst met adressen en een nagemaakte pagina. | Veel: wie je bent, wat je doet, met wie je werkt en wat er nu speelt. |
| Uit wiens naam | Een bekende organisatie, zoals een bank of een pakketdienst. | Iemand die je kent: je directeur, een collega, een leverancier. |
| Wat erin staat | Een algemene tekst over een pas, een pakket of een boete. | Jouw naam, je functie, een lopend project of een echte factuur. |
| Wat het wil | Inloggegevens of een kleine betaling. | Een grote overboeking, een gewijzigd rekeningnummer of toegang tot het netwerk. |
| Waar je het aan ziet | Het domein van de afzender en van de link. | Vaak alleen aan het verzoek zelf: het wijkt af van hoe het anders gaat. |
De vergelijking is door de redactie samengesteld uit de pagina's van het NCSC en Veilig Internetten die onderaan staan. Hij is geen meting, en de grens is vloeiend: een bericht aan vijftig medewerkers van één bedrijf zit ertussenin.
Waar de afzender zijn kennis vandaan haalt
Het lijkt alsof de afzender je kent. Dat komt doordat hij heeft opgezocht wat er te vinden is. Het NCSC noemt drie bronnen: 'Een spearphishingaanval maakt gebruik van vooraf verzamelde informatie uit bijvoorbeeld openbare bronnen, een datalek of sociale media.'
Openbare bronnen zijn er meer dan je denkt. Op de site van je werkgever staat wie de directeur is en vaak ook wie de administratie doet. In een nieuwsbericht staat dat het bedrijf een pand koopt of een nieuwe leverancier heeft. Op een netwerkprofiel staan je functie, je vorige werkgever en de collega's met wie je verbonden bent. Een automatisch antwoord bij afwezigheid vertelt tot wanneer iemand weg is en wie hem vervangt.
Bij een datalek komt daar bij wat nooit openbaar was, zoals je mailadres, je telefoonnummer of een oud wachtwoord. Veilig Internetten schrijft over online oplichters: 'ze lijken je te kennen omdat ze je wachtwoord weten via een datalek of omdat ze gegevens over je hebben opgezocht via social media'. Wat je doet als je gegevens in een lek zaten, staat in je gegevens zijn gelekt, wat nu.
De zwaarste bron is een postvak dat al is overgenomen. Wie de mail van een leverancier kan lezen, kent de lopende facturen, de bedragen en de toon waarin jullie schrijven. Hij kan dan antwoorden in een bestaande draad, vanaf het echte adres. Aan het adres zie je in dat geval niets.
Een gericht bericht, detail voor detail
Terug naar de mail van donderdagmiddag. Hieronder staat hij voluit, voor een verzonnen houthandel. Daaronder staat per detail waar een afzender het vandaan kan hebben, en wat het dus bewijst.
Van: Henk Vermeer <h.vermeer@lindehout-groep.example> Aan: Mila de Graaf Onderwerp: Aanbetaling Kadeweg, vandaag nog Hoi Mila, ik zit tot vier uur bij de notaris en kan niet bellen. De aanbetaling voor het pand aan de Kadeweg moet vandaag de deur uit, anders vervalt de optie. Wil jij 38.500 euro overmaken naar de rekening in de bijlage? Houd het nog even tussen ons tot de koop rond is. Groet, Henk
| Detail | Waar het vandaan kan komen | Wat het bewijst |
|---|---|---|
| De naam van de directeur en zijn manier van groeten | De site van het bedrijf, of een eerdere mail die is buitgemaakt. | Niets. Een naam boven een mail vult de afzender zelf in. |
| Dat Mila de betalingen doet | Haar profiel op een netwerksite, of de pagina "ons team". | Niets. Het verklaart alleen waarom zij de mail kreeg. |
| Het pand aan de Kadeweg | Een nieuwsbericht over de uitbreiding, of een gelekte mailwisseling. | Niets. Het project is echt, het verzoek hoeft dat niet te zijn. |
| Het domein lindehout-groep.example | Zelf vastgelegd door de afzender. Het bedrijf mailt vanaf lindehout.example. | Dat de mail niet van het bedrijf komt. Dit is het enige detail dat je kunt controleren. |
| Niet kunnen bellen, vandaag nog, tussen ons | Dit komt in bijna elk bericht van dit soort voor. | Dat iemand wil dat je de gewone controle overslaat. |
De mail, de namen, de houthandel, het pand en het bedrag zijn door de redactie verzonnen. De adressen eindigen op .example en bestaan niet.
Vier van de vijf details kloppen met de werkelijkheid, en geen van die vier bewijst iets. Ze laten zien dat de afzender zijn huiswerk deed. Het enige wat je kunt controleren is het domein, en dat wijkt hier af met een woord erachter. Had de afzender het postvak van de directeur overgenomen, dan was ook dat detail goed geweest. Dan blijft er nog een ding over, het verzoek zelf. Een aanbetaling van tienduizenden euro's gaat bij dit bedrijf nooit per mail en nooit in het geheim.
CEO-fraude en factuurfraude
De mail hierboven is een voorbeeld van wat CEO-fraude of directeursfraude heet. Het NCSC rekent die tot een bredere groep, Business Email Compromise, waarbij criminelen zich voordoen als iemand die binnen de organisatie wordt vertrouwd, vaak een directeur of leidinggevende. Het patroon is steeds hetzelfde. Er is haast, de afzender is niet bereikbaar, en het moet vertrouwelijk blijven.
Factuurfraude is de variant zonder directeur. Een leverancier laat weten dat zijn rekeningnummer is gewijzigd, of er komt een factuur die lijkt op de vorige, met een ander nummer onderaan. De mail past in een bestaande relatie, soms zelfs in een bestaande draad. Ook hier beslist het verzoek. Een gewijzigd rekeningnummer controleer je door te bellen naar het nummer uit je eigen administratie.
Waarom het werkt
Wij gebruiken details als bewijs. Als iemand je naam kent, je project en de naam van je baas, gaan we ervan uit dat hij erbij hoort. In een kantoor is dat een redelijke aanname. In een mail is ze dat niet, omdat al die details op te zoeken zijn. Het NCSC schrijft dat een gericht bericht daardoor moeilijker te herkennen is en dat de kans groter is dat je reageert.
Daar komt gezag bij. Een verzoek van de directeur stel je minder snel ter discussie dan een bericht van een onbekende, zeker als er haast bij is. En een klik heeft op het werk grotere gevolgen dan thuis. Het NCSC zegt daarover: 'Omdat medewerkers vaak toegang hebben tot meerdere systemen, kan één succesvolle phishingactie voldoende zijn om verdere toegang binnen de organisatie te verkrijgen.'
Wat je doet bij een bericht dat te goed klopt
- Kijk naar het verzoek. Vraagt iemand om geld, een gewijzigd rekeningnummer, een wachtwoord of een code, dan ga je het na, hoe goed de rest ook klopt.
- Ga het na langs een eigen weg. Bel de afzender op een nummer dat je al had, of loop langs. Antwoord niet op de mail en bel niet het nummer dat erin staat.
- Lees het domein. Het stuk na het apenstaartje, letter voor letter. Een woord erachter, een streepje of een andere uitgang maakt er een ander adres van.
- Laat geheimhouding een signaal zijn. "Houd het tussen ons" haalt de collega weg die het had kunnen zien.
- Meld het. Veilig Internetten raadt aan dat te doen bij de ICT-afdeling of servicedesk, 'ook als je niet zeker weet of het phishing is'. Was het echt, dan heb je vijf minuten verloren.
Hoe je de afzender en de link van een bericht leest, staat stap voor stap in wat is phishing. Waar je per situatie meldt, lees je in phishing melden.
Wat een organisatie kan doen
Een medewerker kan een goed gemaakt bericht niet altijd herkennen, en dat hoeft ook niet als de afspraken kloppen. De belangrijkste is dat een betaling boven een bepaald bedrag, en elk gewijzigd rekeningnummer, door twee mensen wordt gezien en telefonisch wordt nagegaan. Geldt die regel ook voor de directeur, dan is een mail uit zijn naam met de vraag om hem over te slaan meteen verdacht.
De tweede maatregel gaat over wat er te vinden is. Het NCSC raadt organisaties aan veilig gedrag te stimuleren en zegt: 'wees terughoudend met het delen van (persoonlijke) informatie op sociale media en openbare platformen'. Wie de administratie doet, hoeft niet met naam en functie op de site te staan.
De derde is dat melden makkelijk is en zonder verwijt blijft. Het NCSC sluit zijn pagina af met een zin voor bestuurders: 'Het zijn niet alleen medewerkers die in phishing trappen.' Oefen het samen, zodat de regel bekend is voordat de mail komt. Dat kan in vijf minuten met de quiz phishing herkennen voor je team.
Oefenen met berichten die kloppen
Een bericht met een fout erin wijs je makkelijk aan. Lastiger is het bericht waarin je naam, je bedrijf en je project goed staan. In de gratis phishing test van Skillido speel je vijf rondes van een minuut met verzonnen mails, links en sms'jes. De training Phishing herkennen heeft opgaven over de directeur die vanaf een onbekend adres mailt, de leverancier met een nieuw rekeningnummer en de collega van wie het adres klopt en het verzoek niet.
Probeer er een uit de training
E-mail in je privémail Van: Gemeente Wolderveen <belastingen@wolderveen-gemeenteloket.example> "Geachte mevrouw Van Dijk, uw aanslag staat klaar. Betaal via de link." De gemeente mailt vanaf wolderveen.example.
Kies wat klopt over de afzender.
- Je naam klopt, terwijl het domein een toevoeging heeft gekregen.
- Je naam klopt, dus de afzender heeft je gegevens van de gemeente.
- Je naam klopt, en een nepmail begint altijd met Beste klant.
- Je naam klopt, dus het afwijkende domein is een ander, nieuw loket.
Bekijk het antwoord
Je naam klopt, terwijl het domein een toevoeging heeft gekregen. Een persoonlijke aanhef bewijst niets meer, want namen en mailadressen liggen na datalekken samen op straat. Het domein beslist, en dat is hier een naam met een toevoeging. De oude regel dat nepmail onpersoonlijk is, klopt steeds minder vaak.
Bronnen
- NCSC, Aan de slag tegen phishing! De omschrijving van spearphishing, het verschil met gewone phishing en wat een organisatie kan doen.
- Veilig Internetten over spear phishing. Gericht op één iemand, na onderzoek naar die persoon.
- Veilig Internetten over het herkennen van een nepmail of nepbericht. Persoonlijke details uit een datalek of van sociale media.
- Veilig Internetten over phishing melden op je werk.
De citaten zijn letterlijk overgenomen van de pagina's zoals ze op 12 november 2026 online stonden. Klopt er iets niet, mail dan naar hallo@skillido.com.