Phishing

Wat is phishing?

Phishing is een vorm van social engineering waarbij een aanvaller zich via e-mail, sms, telefoon of een nagemaakte website voordoet als een betrouwbare partij om mensen inloggegevens, betaalgegevens of andere gevoelige informatie te laten afgeven, of om ze een schadelijke handeling te laten uitvoeren. Die handeling kan het openen van een bijlage met malware zijn, het goedkeuren van een inlogverzoek of het overmaken van geld naar een vals rekeningnummer. Phishing is al decennia een van de meest gebruikte manieren om een organisatie binnen te komen, ook bij aanvallen die uiteindelijk de OT-omgeving raken. De gevolgen lopen uiteen van datalekken en identiteitsfraude tot financiële schade, reputatieverlies en stilstand van de productie.

Het doel van phishing is vrijwel altijd een eerste voet tussen de deur: ongeautoriseerde toegang tot accounts of systemen, of het infecteren van een werkplek met malware zoals ransomware of spyware.

🧠 Hoe werkt een phishingaanval?

Een phishingaanval volgt meestal hetzelfde patroon, ongeacht het kanaal:

1. Voorbereiding - de aanvaller verzamelt namen, functies, leveranciers en e-mailformaten uit openbare bronnen zoals LinkedIn, vacatures en persberichten.
2. Het lokaas - een bericht dat urgent, vertrouwd of aantrekkelijk lijkt: een factuur van een bekende leverancier, een melding van de IT-afdeling, een gedeeld document of een pakketbezorging.
3. De handeling - het slachtoffer klikt op een link naar een nagemaakte inlogpagina, opent een bijlage, scant een QR-code of belt een opgegeven nummer.
4. De buit - de aanvaller krijgt een wachtwoord, een sessiecookie of een draaiende backdoor op de werkplek, en gebruikt die voor verdere stappen in de cyber kill chain.

Het woord phishing is een verbastering van fishing (vissen naar gegevens), gespeld naar het oudere phreaking. De techniek werd halverwege de jaren negentig voor het eerst gedocumenteerd bij AOL, waar aanvallers zich voordeden als medewerkers om wachtwoorden te ontfutselen.

In het kennismodel MITRE ATT&CK staat phishing als techniek T1566 onder Initial Access, met vier subtechnieken: via een bijlage, via een link, via een dienst (zoals sociale media of chat) en via spraak. MITRE ATT&CK for ICS kent een eigen techniek voor industriële omgevingen: T0865 Spearphishing Attachment.

🔄 Welke soorten phishing zijn er?

De laatste vorm is een variant van een man-in-the-middle-aanval en verklaart waarom niet elke vorm van MFA tegen phishing beschermt. Generatieve AI maakt phishing bovendien foutloos, overtuigend en goedkoop te personaliseren, zodat taalfouten steeds minder als waarschuwingssignaal werken.

🏭 Waarom is phishing een risico voor OT?

OT-systemen ontvangen zelf zelden e-mail, maar de mensen en werkplekken eromheen wel. Een geslaagde phishingaanval op het kantoornetwerk is daarom vaak de eerste stap naar de procesbesturing, zeker waar IT en OT door OT-convergentie met elkaar verbonden zijn.

De zwaarste gevolgen zitten bovendien niet altijd in de besturing zelf. Als ransomware na een phishingmail de planning, Active Directory of het MES versleutelt, ligt de productie net zo goed stil. Het jaarlijkse Data Breach Investigations Report van Verizon laat steeds hetzelfde beeld zien: in de editie van 2025 was misbruik van gestolen inloggegevens met 22% het vaakste beginpunt van een datalek, en phishing is een belangrijke bron van die gegevens.

Kwetsbare groepen in een productieomgeving zijn vooral:

• Engineers en beheerders - hun accounts geven toegang tot het engineering station, de jump server en toegang op afstand
• Inkoop en financiën - doelwit van BEC en valse leveranciersfacturen
• Leveranciers en integrators - een gecompromitteerde mailbox van een vertrouwde partij is een ideaal lokaas; zie leveranciersbeveiliging

🚨 Hoe herkent u een phishingpoging?

🔐 Hoe beschermt u zich tegen phishing?

Geen enkele maatregel houdt alle phishing tegen. Effectieve bescherming combineert techniek, proces en gedrag in lagen:

• E-mailauthenticatie - publiceer SPF, DKIM en DMARC voor al uw domeinen. DMARC staat op de lijst ‘pas toe of leg uit’ van het Forum Standaardisatie, waardoor overheidsorganisaties het in principe moeten toepassen, ook op domeinen die niet mailen.
• E-mailfiltering en URL-filtering - blokkeer bekende phishingsites, scan bijlagen in een sandbox en markeer externe afzenders
• DNS-monitoring - detecteer verbindingen met nieuw geregistreerde of verdachte domeinen
• Phishingbestendige MFA (meerfactor-authenticatie) - FIDO2/WebAuthn (passkeys, security keys) of PKI-smartcards, omdat sms-codes en pushmeldingen via een nepsite kunnen worden doorgezet
• EDR op werkplekken - signaleert en stopt malware die toch wordt geopend
• Least Privilege en PAM - gebruik beheerdersaccounts nooit voor e-mail en internet; een gestolen gewoon account geeft dan weinig toegang
• Netwerksegmentatie - geen e-mail en internet op systemen in het procesnetwerk, zodat een besmette kantoorwerkplek de besturing niet direct bereikt
• Security Awareness en melden - korte trainingen, realistische phishing-simulaties en een meldknop in de mailclient; beloon melden in plaats van klikfouten te bestraffen
• Procesmaatregelen tegen BEC - verifieer wijzigingen van rekeningnummers altijd telefonisch via een bekend nummer, met een tweede paar ogen bij grote betalingen

🛠️ Hoe pakt u phishing aan in een industriële organisatie?

Een praktische aanpak in vijf stappen, passend bij IEC 62443-2-1 en ISO 27001:

1. Breng de blootstelling in kaart - wie heeft e-mail en internet, en welke van die accounts hebben ook toegang tot OT, VPN of remote access?
2. Scheid rollen - aparte accounts voor kantoorwerk en OT-beheer; geen mailclient op HMI’s, engineering stations of servers in het procesnetwerk
3. Versterk het inloggen - phishingbestendige MFA eerst op remote access, beheeraccounts en cloudportalen van leveranciers
4. Oefen en meet - meet niet alleen de klikratio, maar vooral hoeveel en hoe snel medewerkers verdachte berichten melden
5. Leg de opvolging vast - een draaiboek in het incident response plan: wachtwoord resetten, sessies intrekken, de mailbox controleren op doorstuurregels en de werkplek onderzoeken

In Nederland kunnen burgers valse e-mails melden bij de Fraudehelpdesk; medewerkers melden verdachte berichten bij het eigen SOC of CSIRT. Voor organisaties die onder de Cyberbeveiligingswet vallen (van kracht sinds 15 augustus 2026), de Nederlandse uitvoering van NIS2, zijn cyberhygiëne, training en MFA expliciete zorgplichtmaatregelen. Leidt phishing tot een significant incident, dan geldt de meldplicht met een vroegtijdige waarschuwing binnen 24 uur.

❓ Veelgestelde vragen

Wat is het verschil tussen phishing en spear phishing?

Phishing is de verzamelnaam voor misleidende berichten die mensen tot een schadelijke handeling verleiden, vaak in grote aantallen verstuurd. Spear phishing is een gerichte variant voor één persoon of een kleine groep, met details die het bericht geloofwaardig maken. Bij aanvallen op industriële organisaties is spear phishing de gebruikelijke vorm.

Beschermt MFA tegen phishing?

MFA maakt een gestolen wachtwoord veel minder waardevol, maar niet elke vorm van MFA houdt phishing tegen. Sms-codes, codes uit een app en pushmeldingen kunnen via een adversary-in-the-middle-nepsite worden onderschept. Alleen phishingbestendige MFA, zoals FIDO2-security keys, passkeys en PKI-smartcards, is aan het echte domein gebonden en daardoor niet door te sturen.

Wat moet u doen als u op een phishinglink heeft geklikt?

Meld het direct bij de IT-afdeling, het SOC of het CSIRT van uw organisatie en wijzig het wachtwoord als u dat heeft ingevuld. Snel melden geeft beheerders de kans om sessies in te trekken, de werkplek te controleren en andere ontvangers te waarschuwen. Bij phishing is schaamte of uitstel vaak schadelijker dan de klik zelf.

Kan phishing een OT-omgeving stilleggen?

Phishing kan een OT-omgeving stilleggen wanneer de aanvaller via een kantoorwerkplek doorstoot naar de procesbesturing of naar systemen waar de productie van afhangt. De aanval op een Duitse staalfabriek in 2014 en de stroomuitval in Oekraïne in 2015 begonnen allebei met spear phishing. Segmentatie, aparte beheeraccounts en geen e-mail in het procesnetwerk beperken dat risico sterk.

Hoe herkent u phishing als taalfouten verdwijnen?

Met generatieve AI zijn phishingberichten vaak foutloos, dus taal is geen betrouwbaar signaal meer. Let op de context: een onverwacht verzoek, tijdsdruk, een afwijkende link of afzender, een gewijzigd rekeningnummer of een MFA-melding die u niet zelf heeft veroorzaakt. Twijfelt u, verifieer het verzoek dan via een kanaal dat u zelf kiest, zoals een bekend telefoonnummer.

Is een phishingmail een meldplichtig incident onder NIS2?

Een ontvangen phishingmail op zich is geen meldplichtig incident onder NIS2 of de Cyberbeveiligingswet. De meldplicht geldt voor significante incidenten, bijvoorbeeld wanneer phishing leidt tot een overgenomen account, een datalek of verstoring van de dienstverlening. Bij een datalek met persoonsgegevens kan daarnaast de meldplicht uit de AVG gelden.

📌 Samengevat

Phishing is een misleidende aanvalsmethode die mensen via e-mail, sms, telefoon of nepsites verleidt tot het afgeven van gegevens of het uitvoeren van een schadelijke handeling. Het is vaak de eerste stap in grotere cyberincidenten, ook in OT; bescherming vraagt om lagen van e-mailauthenticatie, phishingbestendige MFA, segmentatie en medewerkers die verdachte berichten snel melden.