Phishing herkennen: zo bescherm je je bedrijf

De meeste aanvallen op mkb-bedrijven beginnen niet met een geniale hacker, maar met een mail. Een factuur die net iets anders is dan normaal, een melding dat je wachtwoord verloopt, een zending die niet kon worden bezorgd. Eén klik en één ingevuld wachtwoord zijn genoeg om iemand toegang te geven tot je mailbox, en via je mailbox tot bijna alles.

In dit artikel lees je hoe je phishing herkent, wat je direct doet als het toch misgaat en welke instellingen de schade beperken.

De vormen die we het vaakst zien

• Valse inlogpagina’s. Een mail over een gedeeld document, een volle mailbox of een verlopen wachtwoord, met een link naar een pagina die eruitziet als de inlogpagina van Microsoft. Wie daar inlogt, geeft zijn wachtwoord weg.
• Nepfacturen en betaalverzoeken. Een “leverancier” meldt een nieuw rekeningnummer, of de “directeur” vraagt met spoed een betaling te doen. Dit heet ook wel CEO-fraude of factuurfraude.
• Bekende afzenders nagedaan. Mails die zich voordoen als een bezorgdienst, de Belastingdienst, het CJIB of je bank.
• QR-codes in een mail of bijlage. Een code scannen met je telefoon brengt je buiten de beveiliging van je werkcomputer om naar een valse pagina. Meer daarover in quishing: phishing via een QR-code.
• MFA-moeheid. Een aanvaller met je wachtwoord stuurt tientallen goedkeuringsverzoeken naar je telefoon, in de hoop dat je er één uit gewoonte goedkeurt.

Zo herken je een phishingmail

Geen enkel kenmerk is een garantie, maar deze signalen samen zeggen veel:

1. Haast of dreiging. “Binnen 24 uur”, “laatste herinnering”, “je account wordt geblokkeerd”. Echte organisaties werken zelden zo.
2. Een afzender die net niet klopt. Kijk naar het echte adres, niet alleen naar de naam. Een extra letter, een ander domein of een gratis maildienst.
3. Links die ergens anders heen gaan. Beweeg met je muis over een link zonder te klikken en kijk welk adres er verschijnt. Op een telefoon: houd de link ingedrukt.
4. Een verzoek om in te loggen of te betalen. Zeker als dat via een link in de mail moet.
5. Onverwachte bijlagen. Vooral bestanden die je moet “inschakelen” of die vragen om in te loggen om ze te bekijken.
6. Iets wat afwijkt van normaal. Een leverancier die ineens een ander rekeningnummer heeft, of een collega die in een vreemde toon schrijft.

De gouden regel: twijfel je, klik dan niet. Ga zelf naar de website die je kent, of bel de afzender op een nummer dat je al had, niet op het nummer in de mail.

Heeft iemand geklikt? Dit doe je direct

Schaam je niet en wacht niet: hoe sneller je meldt, hoe kleiner de schade.

Alleen geklikt, niets ingevuld: sluit de pagina, verwijder de mail en meld het bij je IT-beheerder. Meestal is er niets gebeurd, maar je beheerder kan de mail bij collega’s weghalen.

Wachtwoord ingevuld:

1. Wijzig direct je wachtwoord, bij voorkeur vanaf een ander apparaat. Hoe, lees je in wachtwoord van Microsoft 365 wijzigen.
2. Laat alle actieve sessies afmelden. Een beheerder kan dat in één keer doen.
3. Controleer je mailbox op doorstuurregels en regels die mail automatisch verplaatsen of verwijderen. Aanvallers maken die aan om ongezien mee te lezen.
4. Controleer of er nieuwe MFA-methoden aan je account zijn toegevoegd.
5. Waarschuw collega’s en, als er vanuit jouw mailbox mails zijn verstuurd, je klanten.

Betaalgegevens ingevuld of betaald: bel direct je bank. Hoe sneller, hoe groter de kans dat een betaling kan worden tegengehouden.

Instellingen die de schade beperken

Mensen blijven klikken, hoe goed je ook oplet. Daarom zijn de instellingen minstens zo belangrijk als de training.

• MFA voor iedereen. Met alleen een gestolen wachtwoord komt een aanvaller dan meestal niet binnen. Lees MFA en Conditional Access voor het mkb.
• Conditional Access. Regels die bijvoorbeeld inloggen vanaf onbekende landen of onbeheerde apparaten blokkeren.
• Phishingbestendige inlogmethoden, zoals passkeys, voor beheerders en wie met geld werkt.
• Linkcontrole en bijlagescans. Microsoft 365 Business Premium bevat Defender for Office 365, dat links bij het klikken controleert en bijlagen scant.
• Je eigen domein beveiligen met SPF, DKIM en DMARC, zodat oplichters niet makkelijk mailen vanaf je eigen domein. Lees SPF, DKIM en DMARC in gewone taal, en wat je doet als het al gebeurt in iemand mailt uit jouw naam.
• Een vaste betaalprocedure. Een nieuw rekeningnummer van een leverancier wordt altijd telefonisch gecontroleerd op een bekend nummer, en grote betalingen gaan nooit alleen op basis van één mail.

Wie deze instellingen zelf wil beheren, heeft er kennis en tijd voor nodig; zie Microsoft 365 zelf beheren of uitbesteden.

Phishing is ook de meest gebruikte ingang voor ransomware. Wat je doet als je bestanden ineens versleuteld zijn, lees je in ransomware: wat is het en wat doe je dan.

Bewust­wording zonder angstcultuur

Train je team regelmatig, kort en concreet, met voorbeelden die lijken op wat je echt binnenkrijgt. Belangrijker nog: maak melden makkelijk en veilig. Een medewerker die bang is om te zeggen dat hij heeft geklikt, wacht met melden, en dat is precies de tijd die een aanvaller nodig heeft.

Hoe SEBA Connect hierbij helpt

Met Microsoft 365-beheer beheren we MFA, Conditional Access, securitybaselines en Microsoft Defender, en houden we proactief in de gaten wat er in je omgeving gebeurt. Klikt er iemand, dan helpen we met afmelden, controleren en opruimen. Lees ook over de moderne werkplek, of neem contact op.