Wat is social engineering en hoe verdedigt u zich ertegen

Social engineering is een verzameling technieken waarmee een aanvaller een mens manipuleert om vrijwillig een handeling te verrichten of informatie prijs te geven die hij anders niet zou geven. Het gaat niet om het doorbreken van technologie. Het gaat om het misbruiken van de manier waarop mensen beslissen onder druk, bij autoriteit en in tijdnood.

Het is de effectiefste aanvalstechniek die we in de praktijk zien - en tegelijk de enige waar een betere firewall niet tegen helpt.

Waarom het werkt

De technische beveiliging is de afgelopen jaren flink verbeterd. Een goed geconfigureerde infrastructuur van buitenaf openbreken is duur en tijdrovend. Duizend e-mails versturen en wachten tot één iemand klikt, kost bijna niets.

Een aanvaller misbruikt geen domheid. Hij misbruikt mechanismen die in het dagelijks leven juist goed werken:

• Autoriteit. Een verzoek van “de directeur” of “de IT-afdeling” wordt niet in twijfel getrokken.
• Urgentie. Tijdsdruk schakelt het kritisch denken uit. “Voor het einde van de dag” is de effectiefste zin in phishing.
• Wederkerigheid. Wie ons heeft geholpen, helpen wij terug.
• Sociale bewijskracht. Als collega’s het ook deden, zal het wel in orde zijn.
• Angst. De dreiging van een sanctie, een geblokkeerd account of gedoe met de directie.
• Nieuwsgierigheid. Een bijlage met de naam “Salarissen 2026” opent zichzelf.

Deze principes zijn ouder dan het internet. Nieuw is alleen hoe goedkoop ze te schalen zijn.

De vier fasen van een aanval

Social engineering is in de praktijk niet één e-mail. Het is een proces.

1. Informatie verzamelen (OSINT). De aanvaller brengt in kaart wie er bij het bedrijf werkt, welke positie die persoon heeft, met wie hij communiceert en welke tools het bedrijf gebruikt. De bronnen zijn openbaar: LinkedIn, jaarverslagen, het handelsregister, foto’s van bedrijfsevenementen en metadata van documenten op de website. Verrassend veel valt af te leiden uit een e-mailhandtekening en een conferentiefoto.

2. Vertrouwen opbouwen. De aanvaller bedenkt een aanleiding - een pretext. Dat is niet meteen een verzoek om een wachtwoord. Meestal is het een vrijblijvend contact dat legitiem oogt: een vraag over facturatie, een offerteaanvraag of een aankondiging van een wijziging in een systeem.

3. Misbruik. Pas nu komt het eigenlijke verzoek. Een klik op een link, het openen van een bijlage, het bevestigen van een inlogpoging, het wijzigen van het rekeningnummer op een factuur of het binnenlaten in het pand.

4. Sporen wissen. Een goede aanvaller beëindigt het contact zo dat het slachtoffer geen reden ziet om iets te melden. Daarom worden veel incidenten pas weken later ontdekt.

De meest voorkomende technieken

Factuurfraude - oftewel business email compromise - is uit dit lijstje financieel het pijnlijkst. Er komt geen malware aan te pas, alleen een overtuigende e-mail op het juiste moment en een gewijzigd rekeningnummer.

Wat kunstmatige intelligentie heeft veranderd

Tot voor kort was phishing te herkennen aan de grammatica. Slecht Nederlands was de betrouwbaarste indicator. Dat hulpmiddel is niet langer bruikbaar.

Generatieve modellen schrijven vandaag foutloos Nederlands in de stijl van een specifiek bedrijf, op basis van openbaar beschikbare teksten. Spraakmodellen kunnen een stem nabootsen op basis van een korte opname - en een opname van een directeur is vaak gewoon openbaar, uit een podcast of een video.

Het praktische gevolg: adviezen van het type “let op typefouten” zijn achterhaald. De verdediging moet verschuiven van het herkennen van de vorm naar het verifiëren van de inhoud.

Wat er wel tegen werkt

Een verificatiekanaal, geen waakzaamheid

De effectiefste maatregel is procesmatig, niet menselijk: geen wijziging van betaalgegevens en geen uitzonderlijke overboeking wordt uitgevoerd zonder bevestiging via een tweede kanaal. Een e-mail wordt geverifieerd met een telefoontje naar een bekend nummer - niet naar het nummer dat in de e-mail staat. Deze regel stopt de meeste BEC-aanvallen, hoe overtuigend de e-mail ook was.

Phishingbestendig inloggen

Klassieke tweefactorauthenticatie via sms of een code uit een app is te omzeilen - de aanvaller vraagt die code gewoon op. Beveiligingssleutels en passkeys zijn aan het domein gebonden, waardoor ze op een nagemaakte pagina niet werken. Dat is het verschil tussen een aanval bemoeilijken en hem onmogelijk maken.

Een cultuur waarin een fout toegeven kan

Als een medewerker weet dat hij voor een toegegeven klik gestraft wordt, meldt hij het incident niet. Het bedrijf hoort een maand later van de compromittering. Security awareness staat of valt met de vraag of het veilig is om een vergissing te melden.

Training die aan meting is gekoppeld

Een jaarlijkse sessie waarin iemand een presentatie wegklikt, verandert geen gedrag. Wat gedrag wél verandert, is een concrete ervaring: een medewerker klikt op een gesimuleerde phishingmail, krijgt meteen uitleg over wat hij had moeten opmerken, en ziet een maand later dat hij het inmiddels herkent. Wij lossen dat op met een combinatie van social engineering-simulaties en security awareness training.

Hoe de weerbaarheid wordt getest

Een social engineering-simulatie werkt vergelijkbaar met een pentest - alleen is het doelwit niet een systeem, maar een proces en een mens. Wilt u eerst weten wat zo’n test op techniek inhoudt, lees dan wat een pentest is. In de praktijk gaat het zo:

1. We spreken scope en spelregels af. Wat mag wel en wat niet, wie het betreft en wie er vooraf van weet. Die schriftelijke opdracht is meteen de juridische basis van de test.
2. We doen OSINT - precies wat een aanvaller ook zou doen.
3. We bouwen scenario’s op maat van uw organisatie, geen generieke sjablonen.
4. We meten de reactie. Niet alleen wie klikte, maar ook wie het meldde en hoe snel.
5. We leveren de resultaten zonder namenlijst op. Het doel is het proces verbeteren, niet een schuldige vinden.

Juist dat vijfde punt bepaalt of de test effect heeft. Resultaten worden uitsluitend geaggregeerd gerapporteerd; individuele medewerkers worden niet beoordeeld of geïdentificeerd. Een lijst met namen leidt tot verdediging. Een geaggregeerd cijfer met uitleg leidt tot verandering. Een simulatie toetst dus de organisatorische maatregelen - de meldroutes, de verificatieprocedure, de reactietijd - en nadrukkelijk niet het functioneren van personen.

Een interessant detail uit de praktijk: de metriek die het volgen waard is, is niet het klikpercentage, maar het meldingspercentage. Een bedrijf waar tien procent van de mensen klikt en de helft het meldt, staat er beter voor dan een bedrijf waar vijf procent klikt en niemand iets zegt.

Als u dit vanwege regelgeving aanpakt

Training en het opbouwen van bewustzijn bij medewerkers vallen onder de maatregelen die zowel de Nederlandse cyberbeveiligingswetgeving als ISO 27001 verwacht. Het is alleen belangrijk om te weten wat er precies wordt geëist, want dat verschilt per kader.

AVG artikel 32 lid 1 sub d is de enige Europese bepaling die periodiek testen met zoveel woorden noemt: “een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid” van de beveiligingsmaatregelen - waar passend. Omdat een phishingsimulatie persoonsgegevens raakt, hoort daar een verwerkersovereenkomst en een duidelijke bewaartermijn bij. Loopt het toch mis en lekken er persoonsgegevens, dan geldt de melding aan de Autoriteit Persoonsgegevens binnen 72 uur (AVG artikel 33).

De Cyberbeveiligingswet, de Nederlandse omzetting van NIS2, treedt in werking op 15 augustus 2026 en raakt naar schatting 8.000 organisaties. De plichten zijn een registratieplicht via mijn.ncsc.nl, een zorgplicht, een meldplicht binnen 24 uur en bestuurlijke verantwoordelijkheid, inclusief training van bestuurders (artikel 24 lid 5 - er bestaat geen accreditatie voor aanbieders van die training). De RDI houdt toezicht op digitale infrastructuur, het NCSC is het CSIRT. De wet schrijft geen pentest en geen phishingsimulatie voor. De zorgplicht vraagt om “een risicoanalyse … passende en evenredige maatregelen”; testen is een van de manieren om aan te tonen dat die maatregelen werken, geen wettelijk voorgeschreven product. Artikel 7 zondert financiële entiteiten uit: voor hen geldt DORA, en daar is testen wél effectief verplicht - net als in de BIO voor leveranciers van de overheid.

Wilt u weten hoe uw ISO 27001-certificering zich tot deze verplichtingen verhoudt, lees dan of ISO 27001 genoeg is voor NIS2.

De juridische basis van een test

Zonder toestemming is toegang tot een systeem in Nederland strafbaar als computervredebreuk, artikel 138ab van het Wetboek van Strafrecht. Wat een geautoriseerde test rechtmatig maakt, is dus de schriftelijke opdracht: de scope, de periode, de toegestane technieken en de contactpersonen, vastgelegd voordat er iets gebeurt. Voor pentesters bestaat in Nederland geen register en geen vergunning - dat betekent dat u zelf op referenties, methodiek en afspraken moet selecteren. Meer over wat u van zo’n specialist mag verwachten, leest u in het artikel over de ethische hacker.

Wilt u weten hoe uw organisatie er vandaag voor zou staan? Neem contact met ons op - we stellen een scope voor een simulatie voor die bruikbare cijfers oplevert en niemand onderuithaalt.

Social engineering - veelgestelde vragen

Gerelateerde diensten van Haxoris: social engineering en phishingsimulaties · security awareness training voor medewerkers · red teaming – een realistische aanvalssimulatie