Jarenlang leerden medewerkers phishing herkennen aan spelfouten en rare zinnen. Deze signalen zijn er nog steeds, maar ze zijn minder betrouwbaar. Want met AI kunnen aanvallers overtuigende, persoonlijke berichten maken die helemaal aansluiten bij het taalgebruik van een persoon of organisatie. De belangrijkste vraag is daarom niet langer: ‘Ziet dit bericht er professioneel uit?’ maar: ‘Klopt dit verzoek en weet ik zeker wie het heeft verstuurd?’ Derek Manky, chief security strategist bij Fortinet, legt uit waarom het controleren van identiteit en context steeds belangrijker wordt.
Het bericht is slechts het begin
Met phishing proberen aanvallers toegang te krijgen tot accounts en systemen. Via een nagemaakte inlogpagina kunnen ze wachtwoorden stelen. Een schadelijke bijlage kan malware installeren en een vals betaalverzoek kan geld naar criminelen leiden. Een gehackt account kan vervolgens worden gebruikt om nieuwe aanvallen uit te voeren, bijvoorbeeld vanuit een vertrouwd e-mailadres.
AI verandert deze werkwijze niet fundamenteel, maar maakt de manier waarop het gedaan wordt overtuigender en persoonlijker. Bovendien kunnen aanvallers dit veel eenvoudiger op grote schaal inzetten. Daardoor wordt de kans groter dat iemand in de val trapt.
Criminelen spelen ook in op actuele gebeurtenissen. FortiGuard Labs ontdekte tussen januari en mei meer dan 13.000 domeinnamen die verband hielden met het WK voetbal van 2026. Ongeveer 8,8 procent daarvan werd als kwaadaardig of verdacht aangemerkt. Het ging onder meer om neptickets, valse vacatures, streaminglinks en accounts die zich voordeden als anderen. Omdat deze lokmiddelen aansluiten bij wat mensen op dat moment bezighoudt, komen ze geloofwaardig over. AI helpt bovendien om websites te maken die er professioneel uitzien en waarop bekende waarschuwingssignalen ontbreken.
AI maakt gerichte aanvallen eenvoudiger
Ook bij spearphishing, waarbij aanvallers zich op specifieke personen of organisaties richten, speelt AI een belangrijke rol. Voorheen kostte het tijd om een doelwit te onderzoeken, diens functie en contacten in kaart te brengen en een passend bericht op te stellen. AI kan een groot deel van dat werk versnellen.
Daarnaast kunnen aanvallers met AI overtuigende beelden, geluidsfragmenten en video’s maken waarin ze iemand anders nabootsen. Een foutloze tekst, een passende toon of een herkenbare stem is daardoor niet langer voldoende om vast te stellen dat een bericht echt is. Medewerkers moeten dus verder kijken dan de kwaliteit van een bericht. Het is belangrijker om na te gaan wie het verzoek doet, waarom het wordt gedaan en of het past bij de situatie.
Controleer het verzoek, niet alleen de afzender
-Wees extra alert wanneer een bericht onverwacht vraagt om geld, inloggegevens, gevoelige informatie of goedkeuring via multifactorauthenticatie (MFA). Dat geldt zeker als er druk wordt uitgeoefend om snel te handelen of als iemand vraagt om de gebruikelijke procedures over te slaan.
-Controleer het verzoek altijd via een ander, vertrouwd kanaal. Gebruik daarvoor niet het telefoonnummer of de link uit het verdachte bericht, maar bijvoorbeeld een bekend telefoonnummer, de bedrijfsadreslijst of een officieel intern communicatiekanaal.
-Volg bij betalingen en wijzigingen van accounts altijd de geldende goedkeuringsprocedures. Ook als het verzoek afkomstig lijkt van een bestuurder of een vertrouwde leverancier, is extra controle verstandig.
-Stel jezelf daarnaast een paar vragen. Verwachtte ik dit bericht? Doet deze persoon normaal gesproken zulke verzoeken? Klopt het webadres met de organisatie waarvoor de afzender zich uitgeeft? Wordt gevraagd om de normale controles over te slaan of iets geheim te houden?
Let op: geen enkel antwoord op zich bewijst dat er sprake is van phishing. Maar samen kunnen deze vragen wel aanwijzingen opleveren dat er iets niet klopt.
Train medewerkers om de juiste keuzes te maken
Organisaties moeten medewerkers leren hoe ze op manipulatiepogingen reageren, ongeacht het gebruikte kanaal. De training moet daarom niet alleen over e-mail gaan, maar ook over sms, samenwerkingstools, QR-codes, telefoongesprekken en AI-gegenereerde beelden en audio. Daarbij verdienen functies en bedrijfsprocessen die extra kwetsbaar zijn voor gerichte aanvallen bijzondere aandacht.
Phishingsimulaties helpen organisaties om te zien hoe medewerkers op realistische situaties reageren. Zo wordt duidelijk waar extra training of aanvullende beveiligingsmaatregelen nodig zijn. Fortinet biedt hiervoor FortiSAT, een platform voor security awareness en phishingsimulaties. Met realistische campagnes en gegevens over gebruikersrisico’s kunnen organisaties risicovol gedrag herkennen en medewerkers gericht helpen dit te verbeteren. Het platform bevat ook functionaliteiten die eerder via FortiPhish werden aangeboden. Het doel is niet om medewerkers op fouten te betrappen, maar om ze te leren verdachte verzoeken tijdig te herkennen en te weten wat ze vervolgens moeten doen.
De basis van goede bescherming blijft eenvoudig: pauzeer, controleer en meld. Ga voorzichtig om met onverwachte verzoeken om geld, inloggegevens of gevoelige informatie. En bedenkt dat je altijd eerst kan controleren of het verzoek echt is, voordat je actie onderneemt. Neem die tijd.
Dit bericht is geplaatst op ons open Business channel en valt buiten de verantwoordelijkheid van de redactie.
