Trainen op spelfouten en rare afzenders is achterhaald; moderne nepberichten zijn foutloos en persoonlijk. Wat wel werkt: twee harde afspraken (bij twijfel bellen, en een rekeningnummer wijzigt nooit op basis van een e-mail) plus tweestapsverificatie, zodat een gestolen wachtwoord op zichzelf niets waard is.
Waarom oude adviezen niet meer werken
Jarenlang was het advies: let op spelfouten, rare aanhef en vreemde afzenderadressen. Dat advies is verouderd. Berichten worden tegenwoordig in foutloos Nederlands opgesteld, met uw voornaam erin, verwijzend naar een lopende bestelling.
Belangrijker nog: veel nepberichten komen uit een echte mailbox. Als een leverancier gehackt is, komt het bericht werkelijk van hun adres, in een bestaande e-mailwisseling. Geen enkele controle op de afzender helpt dan.
Daarom verschuift de aandacht van "herken de nepmail" naar "herken het verzoek". Niet de vorm is verdacht, maar wat er gevraagd wordt.
Zes voorbeelden die echt gebruikt worden
1. De gewijzigde bankrekening
Een factuur van een bekende leverancier, met de mededeling dat het rekeningnummer is gewijzigd. Bedrag en opmaak kloppen. Dit is in het MKB de schadepost nummer één, omdat het om grote bedragen kan gaan en omdat het volstrekt normaal oogt.
Herkenning: elke wijziging van betaalgegevens is per definitie verdacht, ook als alles verder klopt.
2. Het spoedverzoek van de directeur
Een kort bericht, schijnbaar van de eigenaar: "Ben in een vergadering, kun jij deze betaling snel regelen? Bel me even niet." De haast en het ontmoedigen van contact zijn de kern van de truc.
Herkenning: haast, geheimhouding en een reden om níet te bellen. Die combinatie is altijd fout.
3. De inlogpagina die er precies zo uitziet
Een bericht dat u een gedeeld document moet bekijken of dat uw wachtwoord verloopt. De pagina waarop u uitkomt is een perfecte kopie. U logt in, en uw wachtwoord ligt op straat.
Herkenning: u wordt vanuit een e-mail naar een inlogpagina geleid. Ga in dat geval altijd zelf naar de dienst toe, via uw eigen bladwijzer.
4. De bevestiging van iets dat u niet heeft gekocht
Een factuur voor een dure aankoop of abonnement, met een telefoonnummer om te annuleren. Belt u, dan krijgt u iemand die u vraagt software te installeren of gegevens te bevestigen.
Herkenning: elk bericht dat u aanzet tot bellen naar een nummer dat in dat bericht staat.
5. Het verzoek om extra goed te keuren
U krijgt herhaaldelijk een melding op uw telefoon om een aanmelding goed te keuren, terwijl u niets doet. Iemand heeft uw wachtwoord en hoopt dat u uit ergernis of gewoonte op "goedkeuren" tikt.
Herkenning: een goedkeuringsverzoek dat u niet zelf heeft veroorzaakt betekent dat uw wachtwoord bekend is. Nooit goedkeuren, altijd melden.
6. Het berichtje via WhatsApp of sms
Steeds vaker verloopt het eerste contact niet via mail maar via een appje, zogenaamd van een collega of van de bank. Dat omzeilt alle e-mailfilters die u heeft ingericht.
Herkenning: onbekend nummer, bekende naam, en een verzoek met haast.
De twee afspraken die het meeste schelen
Techniek houdt veel tegen, maar deze twee afspraken voorkomen de duurste incidenten. Ze kosten niets en werken direct.
- Betaalgegevens wijzigen we nooit op basis van een bericht. Altijd telefonisch verifiëren, via een nummer uit uw eigen administratie, nooit via het nummer in het bericht.
- Bij twijfel bellen is altijd goed. Ook als het achteraf onzin blijkt. Maak expliciet dat niemand zich hoeft te schamen voor een onterechte melding; dat is de enige manier om te horen wat er speelt.
Voeg daar een derde aan toe voor na een incident: meld het meteen. De meeste schade ontstaat in de uren nadat iemand heeft geklikt en het uit schaamte niet durft te zeggen. Maak duidelijk dat er nooit gedoe komt van een melding, alleen van stilte.
Wat u technisch regelt
- Tweestapsverificatie voor iedereen. Hiermee is een gestolen wachtwoord op zichzelf onvoldoende. Dit is veruit de belangrijkste maatregel.
- E-mailbeveiliging op uw domein. Instellingen die voorkomen dat iemand mail verstuurt die van uw bedrijf lijkt te komen. Dat beschermt uw klanten en leveranciers.
- Waarschuwing bij externe afzenders. Een duidelijke melding boven mail van buiten de organisatie. Simpel, en het werkt vooral bij directeurfraude.
- Controle op doorstuurregels. Aanvallers stellen vaak in dat mail stilletjes wordt doorgestuurd. Periodiek controleren hoort bij goed beheer.
Hoe u het bespreekbaar maakt
Een uur theorie beklijft niet. Wat wel werkt is een korte sessie met echte voorbeelden uit uw eigen branche, bij voorkeur met berichten die uw bedrijf daadwerkelijk heeft ontvangen. Herhaal het na een halfjaar; het effect zakt weg.
Wees voorzichtig met neptest-mails die u zelf rondstuurt. Ze kunnen nuttig zijn, maar als ze worden gebruikt om mensen af te rekenen, krijgt u precies het tegenovergestelde: mensen die incidenten verzwijgen.