Phishing is een vorm van digitale oplichting waarbij criminelen via nep-e-mails, sms-berichten of valse websites proberen inloggegevens, bankgegevens of andere gevoelige informatie te stelen. Je herkent het aan afzenderadressen die net niet kloppen, overdreven urgentie in de tekst, en links die bij nadere inspectie naar een ander domein leiden dan verwacht. Elke medewerker — van receptioniste tot directeur — kan doelwit zijn, en dat maakt phishing tot de meest voorkomende digitale dreiging voor Nederlandse organisaties.
Hoe ernstig is het probleem in Nederland?
Wie denkt dat phishing een probleem is voor grote multinationals of naïeve particulieren, kijkt te smal. Uit de Cybersecuritymonitor 2025 van het CBS/NCSC blijkt dat 23% van alle Nederlandse bedrijven in 2024 te maken had met phishing- of spoofing-aanvallen — de meest voorkomende aanvalsvorm met grote voorsprong. Ter vergelijking: DDoS-aanvallen troffen slechts 1% van de bedrijven, ransomware ook 1%.
Dat phishing domineert, heeft een logische verklaring: het is goedkoop te schalen, steeds moeilijker te detecteren en loont. De drempel voor digitale transformatie is laag, maar de digitale dreiging groeit mee: hoe meer bedrijfsprocessen online lopen, hoe meer aanvalsoppervlak er ontstaat voor oplichters die precies dat weten te benutten.
Wat verder opvalt: grote organisaties (250+ medewerkers) ervoeren in 2024 in 16% van de gevallen een cyberaanval — maar kleinere bedrijven worden juist kwetsbaarder geacht door de zogenoemde weerbaarheidskloof. Ze worden minder aangevallen, maar zijn slechter beschermd als het toch gebeurt.
Phishing herkennen: concrete signalen per aanvalsvorm
Phishing is niet één techniek — het is een parapluterm voor een familie van aanvallen. De meeste treffen medewerkers via e-mail, maar de Fraudehelpdesk signaleert in 2025 een sterke opmars van smishing (via sms/WhatsApp) en vishing (telefonisch). Elke variant heeft zijn eigen herkenningstekens.
| Aanvalsvorm | Kanaal | Typische signalen | Doelwit |
|---|---|---|---|
| E-mail phishing | Afzenderdomein net anders, urgente actie vereist, link naar extern domein | Alle medewerkers | |
| Spear phishing | Gepersonaliseerd, naam/functie/collega's correct, intern ogende opmaak | Directie, finance, HR | |
| Smishing | Sms / WhatsApp | Pakketbezorging, bank-alert, nep-overheidsmelding | Breed publiek, medewerkers |
| Vishing | Telefoon | Beller doet zich voor als bank, IT-helpdesk of overheid, vraagt om toegang | Finance, IT-teams |
| CEO-fraude (BEC) | Lijkt van directeur, vraagt om spoedoverboeking of toegangsgegevens | CFO, boekhouding |
CEO-fraude — ook wel Business Email Compromise (BEC) — verdient aparte aandacht voor IT-managers. Aanvallers vervalsen niet alleen het afzenderadres maar nemen soms daadwerkelijk e-mailaccounts over via een eerdere phishing-aanval. Dan is het afzenderadres correct, de schrijfstijl herkend, en toch is er iets mis. De enige manier om dit te ondervangen is een verificatieprotocol buiten de e-mail om bij betalingsopdrachten boven een bepaalde drempel.
Checklist: dit controleer je bij een verdachte e-mail
- Hover over de link (niet klikken) en vergelijk het zichtbare domein met het werkelijke URL — let op subtiele varianten zoals 'ing-betalen.com' of 'abn-amr0.nl'
- Bekijk het volledige afzenderadres, niet alleen de weergegeven naam — 'Klantenservice ING' kan komen van '[email protected]'
- Controleer of er om inloggegevens, betaalgegevens of een 'bevestiging' wordt gevraagd — legitieme instanties doen dit zelden per e-mail
- Let op overdreven urgentie: 'Uw account wordt binnen 24 uur geblokkeerd' is een klassiek drukmiddel
- Verifieer bij twijfel telefonisch via het bekende nummer van de afzender — nooit via het nummer in de verdachte mail
Wat er mis gaat als het toch raak is: de juridische realiteit
Een succesvolle phishing-aanval is zelden alleen een technisch incident. Zodra er persoonsgegevens bij betrokken zijn — wat bij de meeste bedrijfsomgevingen het geval is — treedt de AVG-meldplicht van de Autoriteit Persoonsgegevens (AP) in werking. Organisaties hebben dan 72 uur de tijd om het datalek te melden bij de AP, gerekend vanaf het moment dat ze redelijkerwijs weet hadden van het incident.
Uit de AP-rapportage datalekken 2024 blijkt dat er dat jaar 37.839 datalekken werden gemeld — bijna 50% meer dan de 25.694 meldingen in 2023. Van de cyberaanvallen waarbij een datalek ontstond, was in 12% van de onderzochte gevallen de toegang verkregen via menselijke misleiding zoals phishing. Dat klinkt bescheiden, maar het gaat om honderden concrete incidenten waarbij medewerkers op een phishinglink klikten en daarna inloggegevens invulden op een valse pagina.
Wil je weten welke boetes de AP kan opleggen bij een datalek na phishing, dan is het antwoord: aanzienlijk. De AP heeft in recente jaren haar handhaving fors aangescherpt, en de introductie van NIS2-wetgeving voegt daar een extra laag meldverplichtingen aan toe voor organisaties in kritieke sectoren.
NIS2 en de nieuwe meldtermijnen
Voor bedrijven die onder de NIS2-richtlijn vallen — middelgrote en grote organisaties in sectoren als energie, transport, gezondheidszorg en digitale infrastructuur — gelden aanvullende verplichtingen. Bij een ernstig incident, waaronder een succesvolle phishing-aanval die de bedrijfsvoering raakt, gelden drie termijnen: een vroege waarschuwing binnen 24 uur, een gedetailleerde incidentmelding binnen 72 uur, en een eindrapportage binnen één maand. Bestuurders riskeren bij non-compliance persoonlijke aansprakelijkheid en boetes tot 10 miljoen euro.
De NIS2-verplichtingen voor MKB gelden ook indirect voor kleinere toeleveranciers van organisaties in kritieke sectoren — een aspect dat in de praktijk nog weinig bekendheid geniet. Het is zeker de moeite waard om te laten toetsen of jouw organisatie in scope valt.
Voorkomen: maatregelen die daadwerkelijk werken
Beveiligingstraining blijft het meest effectief — maar alleen als die training de realiteit van 2026 weerspiegelt. Een dia met 'let op spelfouten in e-mails' is al jaren achterhaald. Wat wél werkt, is medewerkers confronteren met gesimuleerde phishing-aanvallen die zijn afgestemd op hun functie en werkomgeving. Organisaties die dit structureel inzetten, zien de klikratio op phishing-simulaties jaar op jaar dalen.
Op technisch vlak zijn drie maatregelen onmisbaar. Ten eerste e-mailauthenticatie: SPF, DKIM en DMARC voorkomen dat criminelen jouw domeinnaam kunnen vervalsen. Uit NCSC-onderzoek blijkt dat steeds meer Nederlandse bedrijven deze standaarden hebben geïmplementeerd, maar adoptie blijft onvolledig. Ten tweede meervoudige authenticatie (MFA): zelfs als inloggegevens worden gestolen via phishing, blokkeert MFA de toegang. Ten derde DNS-filtering, die automatisch verbindingen naar bekende phishingdomeinen blokkeert — een maatregel die bij een NCSC-pilot meer dan twee miljoen bezoeken aan kwaadaardige websites voorkwam.
| Maatregel | Beschermt tegen | Complexiteit | Prioriteit |
|---|---|---|---|
| SPF + DKIM + DMARC | Domeinspoofing, e-mail phishing | Middel | Hoog |
| Meervoudige authenticatie (MFA) | Gestolen inloggegevens | Laag | Hoog |
| DNS-filtering | Toegang tot phishingsites | Laag-Middel | Hoog |
| Phishing-simulaties | Menselijke fout | Middel | Hoog |
| Endpoint Detection & Response (EDR) | Post-klik malware | Hoog | Middel |
| Zero Trust netwerksegmentatie | Laterale beweging na inbraak | Hoog | Middel voor MKB |
Wanneer bel je de politie, wanneer de AP?
Dit is een vraag die in de praktijk tot verwarring leidt. De vuistregel: meld bij de Autoriteit Persoonsgegevens als er persoonsgegevens zijn gelekt of mogelijk gelekt (de AVG-meldplicht, binnen 72 uur). Meld bij de politie als er sprake is van een strafbaar feit — en phishing is dat altijd. Aangifte doen bij de politie heeft in de meeste gevallen weinig directe opsporingswaarde voor de individuele organisatie, maar helpt wel bij het verzamelen van landelijke dreigingsdata door de Politie en het NCSC.
Schakel daarnaast het NCSC in als je organisatie behoort tot een vitale sector of als je vermoedt dat de aanval groter is dan één phishingmail — denk aan een geördineerde campagne gericht op jouw branche. Het NCSC heeft specifieke meldkanalen voor bedrijven en deelt dreigingsinformatie terug naar de sector.