Phishing Risk Score: Meet de Phishing-weerbaarheid van je Organisatie

Phishing is een vorm van social engineering waarbij cybercriminelen zich voordoen als een betrouwbare partij -- een bank, leverancier, collega of overheidsinstantie -- om slachtoffers te verleiden gevoelige informatie te delen, op een kwaadaardige link te klikken of geld over te maken. Het woord is afgeleid van "fishing" (vissen): de aanvaller gooit een hengel uit en hoopt dat iemand bijt. Phishing is al meer dan twee decennia de meest voorkomende aanvalsvector en is verantwoordelijk voor meer dan 90% van alle geslaagde cyberaanvallen.

Klassieke signalen zijn afwijkende afzenderadressen (let op subtiele spellingsverschillen), urgente of dreigende taal ("uw account wordt binnen 24 uur geblokkeerd"), onverwachte bijlagen, verdachte links (hover over de link om het werkelijke adres te zien), taalfouten en verzoeken om gevoelige informatie die de legitieme organisatie nooit per e-mail zou vragen. Moderne phishing wordt echter steeds moeilijker te herkennen. AI-gegenereerde e-mails bevatten geen taalfouten meer en gepersonaliseerde spear phishing gebruikt informatie van LinkedIn en bedrijfswebsites. Daarom is structurele training met regelmatige simulaties effectiever dan alleen kennis van herkenningspunten.

Volgens de KnowBe4 Phishing Industry Benchmarks klikt gemiddeld 34% van ongetrainde medewerkers op een phishing-link. Na 90 dagen security awareness training daalt dit naar gemiddeld 18%. Na een jaar doorlopende training met regelmatige simulaties daalt het klikpercentage naar gemiddeld 5%. Het exacte percentage varieert sterk per sector: de gezondheidszorg en het onderwijs scoren doorgaans hoger, terwijl de financiele sector en technologiebedrijven lager scoren door strengere compliance-eisen en hogere security-awareness.

De best practice is minimaal per kwartaal phishing-simulaties uit te voeren, bij voorkeur maandelijks. Onderzoek toont aan dat het effect van een eenmalige training binnen drie maanden wegebt. Regelmatige simulaties houden medewerkers alert en creeren een meetbare trend waarmee je de effectiviteit van je awareness-programma kunt aantonen. Belangrijk is variatie: wissel tussen standaard phishing, spear phishing, smishing (SMS) en vishing (telefonisch), en varieer in moeilijkheidsgraad. Een goed simulatieprogramma is niet bedoeld om medewerkers te straffen, maar om te leren en de organisatie continu weerbaarder te maken.

DMARC (Domain-based Message Authentication, Reporting and Conformance) is een e-mailauthenticatieprotocol dat samenwerkt met SPF en DKIM om te voorkomen dat aanvallers e-mails versturen die afkomstig lijken van jouw domein. Zonder DMARC kan een aanvaller een e-mail sturen die in de inbox van je klant verschijnt alsof deze van jouw organisatie komt. Met DMARC op "reject" worden dergelijke vervalste e-mails geblokkeerd. Bovendien levert DMARC rapportages op waarmee je ziet wie e-mails verstuurt namens jouw domein. Ondanks het belang heeft volgens onderzoek slechts 30% van de Nederlandse organisaties DMARC correct geconfigureerd op enforcement-niveau.

MFA (Multi-Factor Authenticatie) is een van de effectiefste verdedigingslagen tegen phishing. Als een medewerker per ongeluk inloggegevens invult op een phishing-pagina, kan de aanvaller zonder de tweede factor (SMS-code, authenticator-app of hardware key) niet inloggen. Microsoft schat dat MFA meer dan 99% van de credential-based aanvallen blokkeert. Let echter op: geavanceerde aanvallers gebruiken real-time phishing proxies (zoals EvilGinx) die ook MFA-tokens kunnen onderscheppen. De sterkste bescherming bieden phishing-resistente methoden zoals FIDO2-keys en passkeys, die cryptografisch gebonden zijn aan het legitieme domein en niet overdraagbaar zijn naar een phishing-site.

Reguliere phishing is massaal en onpersoonlijk: dezelfde generieke e-mail gaat naar duizenden of miljoenen ontvangers. De klikratio is laag, maar door het volume is het toch rendabel voor aanvallers. Spear phishing is gericht op een specifieke persoon of kleine groep, met gepersonaliseerde inhoud die gebaseerd is op openbare informatie. Een spear phishing-e-mail kan verwijzen naar een recent project, een collega bij naam noemen of inspelen op een actuele bedrijfsgebeurtenis. Door deze personalisatie is de klikratio bij spear phishing tot tien keer hoger dan bij reguliere phishing. Business Email Compromise (BEC) is de meest geavanceerde vorm: de aanvaller doet zich voor als de CEO of CFO en vraagt een financiele transactie.

De kosten zijn sterk afhankelijk van het type aanval en de gevolgen. Een succesvolle Business Email Compromise kost gemiddeld 125.000 euro per incident, volgens FBI IC3 data. Als een phishing-aanval leidt tot een datalek, lopen de kosten op tot gemiddeld 4,76 miljoen dollar wereldwijd (IBM Cost of a Data Breach 2024). Voor Nederlandse mkb-organisaties liggen de gemiddelde kosten van een cyberincident veroorzaakt door phishing tussen 50.000 en 200.000 euro, inclusief directe schade, herstelkosten, productiviteitsverlies en juridische kosten. Daarnaast zijn er indirecte kosten zoals reputatieschade en klantverlies die lastig te kwantificeren maar vaak aanzienlijk zijn.