Wat is AI-phishing en hoe herkent u het?

Een medewerker van de financiële administratie krijgt een e-mail: “Goedemiddag, bijgaand de gecorrigeerde factuur voor maart. Wilt u deze vandaag nog voldoen, zodat we de levering niet hoeven op te schorten?” Het bericht is beleefd, bevat geen enkele taalfout, noemt een leverancier waarmee het bedrijf echt zakendoet en heeft zelfs de juiste ondertekening. Niets schreeuwt “oplichting”.

Vroeger was phishing vaak eenvoudig te herkennen. Kromme zinnen, rare opmaak, een onbekende afzender en een onprofessionele uitstraling. Tegenwoordig ligt dat anders. Kunstmatige intelligentie helpt aanvallers berichten te schrijven die natuurlijk, overtuigend en persoonlijk overkomen.

AI-phishing is phishing die door kunstmatige intelligentie is versterkt. Het betekent niet dat een robot de hele e-mail heeft geschreven. Het betekent dat een aanvaller AI kan inzetten om tekst te schrijven, te vertalen, te personaliseren, een geloofwaardig verhaal te bedenken, een communicatiestijl na te bootsen of een complete phishingcampagne voor te bereiden.

Phishing staat zelden op zichzelf. Het is de meest gebruikte vorm van social engineering: technieken waarbij niet een systeem maar een mens het doelwit is. Dezelfde aanvaller die vandaag een e-mail stuurt, belt morgen met een nagebootste stem of stuurt overmorgen een sms over een pakket.

Hoe phishing werkt

Phishing berust op een eenvoudig principe: de aanvaller doet zich voor als iemand die u vertrouwt.

Dat kan een bank zijn, een pakketbezorger, een telecomaanbieder, een overheidsinstantie, een bekend merk, een collega, een leidinggevende of een klant. Het bericht zet u vrijwel altijd aan tot snel handelen.

De gebruikelijke doelen van phishing zijn:

• u op een link laten klikken,
• u naar een nagemaakte inlogpagina sturen,
• u een bijlage laten openen,
• betaalgegevens buitmaken,
• een verificatiecode ontfutselen,
• u een betaling laten doen,
• toegang krijgen tot een bedrijfssysteem.

Het grootste probleem is dat phishing er zelden dramatisch uitziet. Soms lijkt het op een volstrekt gewoon werkbericht.

De meest voorkomende vormen van phishing

E-mailphishing

De bekendste vorm. U ontvangt een e-mail die afkomstig lijkt van een bank, een bezorgdienst, Microsoft, Google, een leverancier of een collega. Er staat een link in, een bijlage of een verzoek om snel iets te doen.

Voorbeeld: “Uw wachtwoord verloopt binnenkort. Log in en bevestig uw account.” Of, in de Nederlandse variant die veel mensen kennen: “U heeft nog recht op een teruggaaf van de Belastingdienst. Vul uw gegevens in om het bedrag te ontvangen.” De Belastingdienst mailt nooit over teruggaven met een inlogverzoek, maar het bericht komt op het juiste moment in het jaar wel geloofwaardig over.

Smishing

Smishing is phishing via sms of chatapps. Het gaat vaak over pakketten, betalingen, boetes of bankrekeningen.

Voorbeeld: “Uw pakket kan niet worden bezorgd. Betaal € 1,95 aan verzendkosten via onderstaande link.” Ook populair zijn nagebootste berichten van het CJIB over een openstaande boete en het klassieke WhatsApp-bericht van een “zoon of dochter met een nieuw nummer” dat om een spoedbetaling vraagt.

Vishing

Vishing is phishing per telefoon. De aanvaller belt en probeert u ergens toe te bewegen. Hij doet zich voor als bankmedewerker, helpdesk, politieagent, bezorger of leidinggevende. De bekendste Nederlandse variant is de valse bankmedewerker die zegt dat uw rekening wordt misbruikt en dat u uw geld moet overmaken naar een “kluisrekening”.

Door AI is vishing gevaarlijker geworden, omdat aanvallers een synthetische of gekloonde stem kunnen gebruiken. Een paar seconden opgenomen spraak uit een webinar, een podcast of een voicemail kan al genoeg zijn.

Spear phishing

Spear phishing is gerichte phishing. Het is geen willekeurig bericht aan duizenden ontvangers, maar een bericht dat voor één persoon of één organisatie is voorbereid.

De aanvaller zoekt uit hoe u heet, wat uw functie is, aan welke projecten u werkt en wie uw collega’s, klanten en leveranciers zijn. Vervolgens schrijft hij een bericht dat naadloos in uw werkdag past.

Hier speelt openbare informatie een hoofdrol. LinkedIn-profielen, het smoelenboek op de bedrijfswebsite, persberichten, vacatureteksten en openbare aanbestedingsstukken maken van een algemeen phishingbericht een geloofwaardig voorwendsel. Dezelfde bronnen gebruiken wij bij red teaming, zoals beschreven in red teaming in de praktijk.

Business e-mailcompromittering

Deze aanval richt zich vrijwel altijd op organisaties. De aanvaller doet zich voor als directeur, manager, leverancier of zakenpartner en probeert een medewerker een factuur te laten betalen of een bankrekeningnummer te laten wijzigen. In Nederland is deze vorm bekend als CEO-fraude en factuurfraude.

Het is lang niet altijd een technische aanval. Heel vaak is het goed voorbereide manipulatie, waarbij geen enkel systeem wordt gehackt en geen enkele virusscanner aanslaat.

Hoe AI phishing verandert

AI maakt phishing beter, en dat is precies het probleem.

Foutloze taal

Oplichtingsberichten hoeven geen slechte vertalingen meer te bevatten. AI schrijft natuurlijk Nederlands en past de toon aan, zodat het bericht klinkt als een bank, een bezorger, een overheidsinstantie of een collega. Ook het onderscheid tussen u en jij, dat vertaalmachines vroeger verraadde, gaat nu meestal goed.

Dat heeft één belangrijk gevolg: het advies “let op taalfouten” is verouderd. Wie daarop blijft varen, kijkt naar het verkeerde signaal.

Meer persoonlijke details

Een aanvaller kan openbare informatie over een organisatie en haar mensen verzamelen en die door AI laten omzetten in een bericht met concrete context.

Bijvoorbeeld: “Hoi Martine, hierbij de bijgewerkte stukken voor de aanbesteding waar je deze week aan werkt.” Dat is aanzienlijk gevaarlijker dan algemene spam, omdat het klopt met wat de ontvanger op dat moment daadwerkelijk doet.

Snellere campagnevoorbereiding

AI maakt in korte tijd tientallen varianten van een bericht voor verschillende afdelingen: finance, HR, sales, inkoop of IT. Elke variant gebruikt de woorden en de systemen van die afdeling, waardoor de kans dat één ervan raak is aanzienlijk toeneemt.

Betere stijlimitatie

Beschikt een aanvaller over openbare teksten van een specifieke persoon, dan kan hij de schrijfstijl nabootsen. Het bericht klinkt dan als gewone communicatie van een leidinggevende of collega, inclusief de gebruikelijke afkortingen, aanhef en ondertekening.

Wat AI niet verandert

Het onderliggende doel blijft hetzelfde: u laten klikken, inloggen, betalen of een code doorgeven. Daarom werken de verificatiestappen in de volgende paragraaf nog steeds. Ze toetsen het verzoek, niet de verpakking, en de verpakking is nu juist het enige wat AI werkelijk beter maakt.

Checklist: zo herkent u phishing

Vertraag zodra u een verdacht bericht ontvangt. U hoeft geen IT-specialist te zijn. Een paar eenvoudige vragen volstaan.

1. Zet het bericht mij aan tot snel handelen?

Phishing gebruikt vrijwel altijd tijdsdruk: “direct”, “binnen 24 uur”, “laatste aanmaning”, “spoed” of “uw account wordt geblokkeerd”. Hoe sterker de druk, hoe meer reden om te verifiëren.

2. Wordt om een wachtwoord, code of betaling gevraagd?

Stuur nooit wachtwoorden of verificatiecodes per e-mail, sms of chat. Vraagt iemand om een sms-code of om een goedkeuring in uw bankapp, beschouw dat dan als een groot alarmsignaal. Geen enkele bank, geen enkele overheidsinstantie en geen enkele helpdesk vraagt daarom.

3. Klopt het afzenderadres?

Kijk niet alleen naar de weergegeven naam, maar ook naar het werkelijke e-mailadres. Een aanvaller kan de naam van een bekend merk tonen terwijl het adres iets heel anders is. Let op kleine domeinwijzigingen, verwisselde letters, extra streepjes of vreemde uitgangen: belastingdienst-nl.com is niet belastingdienst.nl.

4. Leidt de link naar de plek die wordt beloofd?

Klik niet automatisch. Beweeg op een computer de muis over de link om te zien waar die heen gaat. Op een mobiel toestel is dat lastiger, dus wees daar extra voorzichtig. Veiliger is het om de officiële website zelf in te typen of uw eigen bladwijzer te gebruiken.

5. Verwachtte ik deze bijlage?

Open geen bijlagen die u niet verwachtte, zeker geen facturen, documenten, archiefbestanden of bestanden die u vragen macro’s in te schakelen of opnieuw in te loggen.

6. Klopt de context?

Vraag uzelf af: verwachtte ik dit bericht? Is het logisch dat deze persoon mij schrijft? Is het normaal dat hij dit verzoek doet, op dit tijdstip, via dit kanaal? Zo niet, verifieer dan.

7. Kan ik het verzoek via een ander kanaal controleren?

Controleer betalingen, rekeningwijzigingen, toegangsverzoeken en verzoeken om gevoelige gegevens altijd via een tweede kanaal. Bel een nummer dat u zelf opzoekt, gebruik de interne chat of loop even langs. Bel nooit het nummer dat in het verdachte bericht staat.

Wat u doet als u op een phishinglink hebt geklikt

Iedereen kan klikken. Wat telt, is dat u niet in paniek raakt en snel handelt.

Hebt u alleen geklikt zonder iets in te vullen, sluit dan de pagina en meld het bericht bij uw IT-afdeling of beheerder. Hebt u een wachtwoord ingevuld, wijzig dat dan direct, en ook op alle andere plekken waar u hetzelfde wachtwoord gebruikt. Hebt u kaartgegevens ingevoerd, neem dan contact op met uw bank. Ging het om een zakelijk account, informeer dan onmiddellijk uw organisatie.

De slechtste optie is zwijgen uit angst of schaamte. Aanvallers rekenen erop dat mensen incidenten verzwijgen; die stilte geeft hun de uren die ze nodig hebben. Snel melden redt een account, geld en bedrijfsgegevens.

Voor organisaties komt daar een verplichting bij. Zijn er persoonsgegevens gelekt, dan moet het datalek in beginsel binnen 72 uur worden gemeld bij de Autoriteit Persoonsgegevens (AVG art. 33). Zorg dus dat medewerkers weten waar zij een verdacht bericht melden en dat die melding automatisch bij de juiste persoon terechtkomt.

Wat de Nederlandse regels van u vragen

Phishing is geen losstaand IT-probleem; het raakt rechtstreeks aan verplichtingen die al voor uw organisatie gelden.

AVG art. 32 lid 1 sub d is de enige Europese bepaling die periodiek testen met zoveel woorden noemt. Passende beveiliging omvat, waar passend, “een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid” van technische en organisatorische maatregelen. Een phishingsimulatie en een pentest zijn twee manieren om die doeltreffendheid daadwerkelijk te toetsen in plaats van te veronderstellen.

De Cyberbeveiligingswet, de Nederlandse omzetting van NIS2, treedt op 15 augustus 2026 in werking en gaat naar schatting 8.000 organisaties raken. De wet kent een registratieplicht, een zorgplicht, een meldplicht binnen 24 uur en een uitdrukkelijke bestuurlijke verantwoordelijkheid, inclusief scholing van bestuurders. De zorgplicht vraagt om een risicoanalyse en om “passende en evenredige maatregelen”: de wet schrijft dus geen pentest voor. Wie phishing als een reëel risico identificeert, komt via die risicoanalyse wel vanzelf uit bij bewustwording, meldprocedures en het testen daarvan. Meer daarover leest u in is ISO 27001 genoeg voor NIS2?

Voor financiële entiteiten geldt een eigen regime: art. 7 van de Cyberbeveiligingswet zondert hen uit, omdat DORA op hen van toepassing is. Daar is periodiek testen van de digitale weerbaarheid geen kwestie van interpretatie maar een uitdrukkelijke verplichting. Leveranciers van de rijksoverheid krijgen langs een andere weg met dezelfde eis te maken, via de BIO.

Ten slotte is er de strafrechtelijke kant. Het benaderen van systemen zonder toestemming is computervredebreuk (Wetboek van Strafrecht art. 138ab). Wat een geautoriseerde test rechtmatig maakt, is een schriftelijke opdracht met een duidelijk afgebakende scope, en niets anders: er bestaat in Nederland geen register of vergunning voor pentesters. Diezelfde schriftelijke toestemming hoort bij elke phishingsimulatie, ook als er alleen op een nagebootste inlogpagina wordt geklikt.

Hoe u zich langdurig beschermt

Persoonlijke maatregelen zijn eenvoudig en effectief. Gebruik multifactorauthenticatie (MFA), liefst met een authenticator-app of een hardwaresleutel in plaats van sms. Houd uw apparaten bijgewerkt. Gebruik niet overal hetzelfde wachtwoord en neem een wachtwoordmanager, die als bijvangst weigert in te loggen op een nagemaakt domein. Wees voorzichtig op openbare wifi. En vooral: verifieer verdachte verzoeken.

In organisaties helpt vooral wat níét op oplettendheid steunt:

• regelmatige security awareness training met concrete, herkenbare voorbeelden,
• een meldknop of vast meldadres waarmee een verdacht bericht in één handeling bij IT ligt,
• een vaste procedure voor betalingen en rekeningwijzigingen, met verificatie via een tweede kanaal en vier ogen boven een afgesproken bedrag,
• technische maatregelen op de mailstroom, zoals SPF, DKIM en DMARC, plus een duidelijke markering van externe afzenders,
• MFA op alle zakelijke accounts, met bewuste aandacht voor MFA-moeheid: eindeloos herhaalde push-verzoeken zijn zelf een aanvalstechniek,
• periodieke phishingsimulaties die meten of de meldprocedure in de praktijk werkt.

Die laatste maatregel verdient een kanttekening. Een phishingsimulatie is een test van organisatorische maatregelen, niet van personen. Resultaten worden uitsluitend geaggregeerd gerapporteerd; individuele medewerkers worden niet beoordeeld of geïdentificeerd. De bruikbare uitkomst is niet wie klikte, maar hoe snel het eerste bericht werd gemeld, of de meldroute werkte en of MFA de gestolen inloggegevens tegenhield.

Conclusie

AI-phishing is gevaarlijk omdat het er gewoon uitziet. Het hoeft technisch niets spectaculairs te doen. Het gebruikt gewone communicatie, gewone werkdruk en gewoon vertrouwen.

De beste verdediging is eenvoudig: vertraag, verifieer, klik niet automatisch en geef niet toe aan druk. Zodra een bericht paniek of urgentie oproept of om gevoelige gegevens vraagt, is dat het moment om op te letten. En zorg ervoor dat de organisatie eromheen zo is ingericht dat één klik niet meteen een incident wordt.

Gerelateerde diensten van Haxoris: social engineering en phishingsimulaties · security awareness training voor medewerkers