Wat is phishing en hoe voorkom ik het?

 

Wat is phishing en hoe voorkom ik het? Dat is de vraag die we in deze video gaan beantwoorden! Bij phishing probeert een aanvaller veelal via de mail te communiceren met een mogelijk slachtoffer. De aanvaller wil hiermee het slachtoffer overhalen tot het afgeven van persoonlijke informatie, die hij vervolgens kan gebruiken voor eigen doeleinden. 

Denk aan onder andere identiteitsfraude, afpersing of financieel gewin. Waar komt de term ‘phishing’ vandaan? Phishing is afkomstig van de Engelse term voor de vissport, fishing, waarbij met een vishaak wordt geprobeerd een vis uit het water te halen. Bij de digitale variant worden internetgebruikers gezien als het water waarin een aanvaller met zijn haak gaat vissen. Verreweg de meeste internetgebruikers zullen, net als bij echte vissen, niet aan de haak worden geslagen. Een klein percentage zal wel ‘bijten’ en slachtoffer worden van phishing. Dit kleine percentage is voor een hacker vaak voldoende omdat de gestolen hoeveelheden geld vaak groot zijn of de gestolen gegevens van hoge waarde zijn. Bij de digitale variant is de ‘f’ vervangen door ‘ph’, als verwijzing naar een andere vorm van hacken dat via de telefoon plaatsvond genaamd: phone phreaking.  

Waar maken aanvallers gebruik van? 

Om potentiële slachtoffers te overtuigen, maken internet criminelen gebruik van veel verschillende methodes. Zo maken ze mailtjes na die bijvoorbeeld vanuit banken of bekende bedrijven lijken te komen, maken zij websites na van banken of bedrijven, of doen ze zich voor als een collega van de ontvanger. 

Een aanvaller kan ervoor kiezen om een algemene aanval op te zetten of zich specifiek op een persoon of organisatie te richten. Bij dit laatste spreken we ook wel over spear phishing. Een veel voorkomende vorm van spear phishing is CEO-fraude, waarbij een aanvaller zich veelal voordoet als de directeur van het bedrijf . De aanvaller vraagt dan bijvoorbeeld aan een medewerker van de financiële afdeling een geldbedrag over te maken naar een meestal buitenlandse rekening.  

Over het algemeen hebben de aanvallers vooraf op het internet gezocht  wie welke functie vervult. Dit om de e-mail zo overtuigend mogelijk te maken en gericht te kunnen versturen. Door het gebruiken van de naam van de directeur, hopen aanvallers dat een medewerker snel geneigd is om te luisteren en eventuele procedures die dergelijke transacties onmogelijk maken te omzeilen. Ook maken internet criminelen steeds vaker gebruik van SMS of chat-apps om potentiele slachtoffers te benaderen. Voorbeelden hiervan zijn een nep-SMS van uw bank versturen om inloggegevens buit te maken of het op Whatsapp imiteren van een dierbare om geld afhandig te maken.  

Hoe voorkom ik dat ik slachtoffer word? 

De kenmerken die zijn opgesteld door het Centrum voor Criminaliteitspreventie en Veiligheid geven aan dat een phishingmail opvalt door vier kenmerken: 

1. Aanhef. Het merendeel van de phishingmails wordt in grote aantallen verstuurd, waardoor een aanvaller niet bij elk mailtje de naam van de ontvanger zal neerzetten in de aanhef. Hierdoor bevatten veel phishingmails een algemene aanhef, zoals ‘beste heer/mevrouw’ of ‘beste klant’. Als een mail echter wel een persoonlijke aanhef heeft, betekent het niet dat de mail geen phishing is. Bij het eerder genoemde spear phishing wordt vaak wel de naam gebruikt in de aanhef.  
2. Tekst: In phishingmails komen vaak taal- en spelfouten voor. Vooral vroeger waren de mails heel slecht opgesteld qua taal en vielen ze echt op. Tegenwoordig maken de aanvallers gebruik van Nederlanders om de tekst zo goed mogelijk te maken. Maar ook nu bevatten phishingmails vaak nog taal- of spelfouten. Bedenk altijd goed dat een bank naar zijn klanten geen mail zal sturen met daarin een taal- of typefout.  
3. Inhoud: daarnaast valt een phishingmailop door de inhoud. Als u een mail ontvangt over een pakketje wat bezorgd zal worden maar u heeft niets  besteld, is dat natuurlijk vreemd. Hetzelfde geldt voor een geldbedrag dat u gewonnen zou hebben zonder dat u zich ergens voor heeft ingeschreven, een openstaande rekening van een niet bij u bekend bedrijf of de belofte van een groot geldbedrag als u de notariskosten betaalt. Kijk dan ook goed of het verhaal wat in de mail staat wel logisch is. Als het te mooi lijkt om waar te zijn is dat meestal ook zo. 
4. Afzender: Het vierde punt van het CCV is dat je goed naar de afzender moet kijken. Bij de afzender staat vanaf welk e-mailadres u de mail heeft ontvangen. Zo mailt PostNL met een e-mailadres dat eindigt op ‘@postnl.nl’. Een aanvaller kan ervoor kiezen om een mail te sturen vanaf een adres dat eindigt op ‘@nlpost.nl’. Dit lijkt er sterk op, maar is in werkelijkheid een hele andere afzender. 

Aanvallers maken vaak gebruik van dergelijke spelfout domeinen, waarbij ze een domeinnaam kiezen die sterk op de naam van het bedrijf lijkt of die gelinkt is aan de inhoud van de mail. Een aanvaller kan dan doen alsof hij vanuit een energiemaatschappij mailt, door gebruik te maken van het domein “energie.ru”. Maar let op! Tegenwoordig zijn aanvallers slim genoeg om het te laten doen lijken dat de e-mail toch echt van de juiste instantie afkomstig is. Daarom hebben wij zelf nog een vijfde punt toegevoegd en dat is de link in de mail zelf: 

5. Link: Het doel van aanvallers is om u op de link in de e-mail te laten klikken, zodat u naar een website wordt geleidt waar u uw gegevens kunt invullen. De aanvallers maken bijvoorbeeld de website van uw bank na en vragen vervolgens de inloggegevens voor uw bank. Een nagemaakte website is bijna niet meer van echt te onderscheiden. Alleen de domeinnaam kunnen de aanvallers niet namaken. Kijk daarom voordat u op de link in de e-mail klikt, altijd goed waar deze naartoe gaat. Dit kunt u doen door uw muis op de link te plaatsen zonder te klikken. Er verschijnt dan een tekstvlak waarin de URL staat van de website waar u naartoe zou worden geleid. Als deze afwijkt van het domein dat bij u bekend is, moet u nooit op de link klikken. 

Voor de zekerheid kunt u altijd  zelf in uw browser naar de website van uw bank gaan om vervolgens in te loggen en uw berichten te controleren. Wat belangrijk is om te onthouden is dat u bij het ontvangen van mails altijd scherp dient te blijven, een foutje is zo gemaakt. Als u een e-mail niet vertrouwt, heeft u het vaak bij het rechte eind. Het is beter om een keer te veel na te vragen of de e-mail wel echt van de afzender is dan te weinig. Lijkt een mail afkomstig van een collega of een vriend van u, bel deze persoon dan even op als het mailtje toch een beetje vreemd lijkt.  

Dit was een video over wat phishing is, en hoe u er geen slachtoffer van wordt.

Wil je nog beter beveiligd zijn? Bekijk dan een van onze andere video’s!

"Wat is phishing en hoe voorkom ik het?" is een video die in opdracht van Platform Veilig Ondernemen Oost-Nederland is geproduceerd door Nederlands Forensisch Incident Response (NFIR)