Phishing gericht op ondernemers: zo herken je de trucs

“Uw domeinnaam verloopt vandaag — betaal nu om uitschakeling te voorkomen.” Of: “Er staat een pakket voor uw bedrijf klaar, bevestig de verzendkosten.” Phishing is allang niet meer de kromme mail van een buitenlandse prins. Ondernemers krijgen gerichte berichten die precies inspelen op hun dagelijkse praktijk — en de kwaliteit ervan is de laatste jaren, mede door AI, flink gestegen. Zo herken je de trucs die specifiek op bedrijven zijn gericht.

Waarom ondernemers een geliefd doelwit zijn

Bedrijven betalen facturen. Dat maakt ze interessanter dan consumenten: één geslaagde nepfactuur levert meer op dan honderd gestolen streamingaccounts. Bovendien staat je bedrijfsinformatie openbaar — KvK-nummer, domeinnaam, wie de eigenaar is — waardoor een phishingmail griezelig persoonlijk kan worden. Bekende varianten: de nep-verlengingsmail voor je domeinnaam, de “gewijzigde rekeningnummer”-mail van een leverancier, en de mail van “de directeur” aan de boekhouding met een spoedbetaling.

De signalen die vrijwel altijd kloppen

• Druk en haast. “Vandaag nog”, “binnen 24 uur”, “anders wordt uw site uitgeschakeld” — echte dienstverleners werken met termijnen van weken, niet uren.
• De afzender klopt nét niet. Kijk naar het echte mailadres achter de weergavenaam. “SIDN” dat mailt vanaf een willekeurig domein is geen SIDN.
• De link wijst ergens anders heen. Houd (zonder klikken) de muis op de link of houd hem op je telefoon ingedrukt: wijkt het domein af van de echte dienst, dan weet je genoeg.
• Afwijkend betaalverzoek. Een leverancier die ineens een ander rekeningnummer heeft? Altijd even bellen via het nummer dat je al had — niet via het nummer in de mail.
• Inloggen gevraagd via een mail-link. Echte diensten kun je altijd bereiken door zelf het adres in te typen. Doe dat dan ook.

Toch geklikt? Dit doe je dan

Paniek is niet nodig, snelheid wel. Heb je ergens ingelogd via een verdachte link: verander direct dat wachtwoord (en overal waar je hetzelfde gebruikte), en zet tweefactorauthenticatie aan als dat nog niet gebeurd was. Is er betaald: bel meteen je bank — binnen enkele uren valt een overboeking soms nog terug te halen. En meld het intern, zonder schaamtecultuur: de collega die durft te zeggen “ik heb misschien iets doms geklikt” is je beste alarmsysteem.

Onze conclusie

Phishing herkennen is geen technische vaardigheid maar een gewoonte: haast wantrouwen, afzenders controleren en betaalwijzigingen altijd via een tweede kanaal checken. Deel dit soort voorbeelden met je team — de mens is de eerste verdedigingslinie, en die kun je trainen.

Wil je de beveiliging van je website en mail eens laten doorlichten? Neem contact met ons op.