Phishing via e-mail krijgt de meeste aandacht, maar social engineering is een veel bredere categorie manipulatietechnieken. De kern is steeds hetzelfde: een aanvaller bespeelt het vertrouwen, de haast of het plichtsgevoel van een medewerker, zodat die iets doet wat normaal niet zou gebeuren, zoals een betaling goedkeuren, een wachtwoord doorgeven of iemand toegang geven tot een systeem. Waar phishing zich tot de mailbox beperkt, verplaatst social engineering zich ook naar de telefoon, sms en soms de balie bij de voordeur.
Vishing, smishing en pretexting
Bij vishing, voice phishing, belt iemand op die zich voordoet als de bank, de IT-helpdesk of een leverancier. De toon is vaak vriendelijk en geduldig, tot het moment dat er gevraagd wordt om een inlogcode voor te lezen of tijdelijk op afstand toegang te geven tot een computer. Smishing is de sms-variant: een bericht dat lijkt te komen van een pakketdienst, de Belastingdienst of een bank, met een link naar een nepsite voor inlog- of betaalgegevens. Mensen lezen een sms vaak met minder argwaan dan een e-mail, en juist dat maakt smishing effectief.
Pretexting gaat een stap verder: een aanvaller bouwt eerst een geloofwaardig verhaal of een valse identiteit op, soms over meerdere contactmomenten, voordat het eigenlijke verzoek volgt. Denk aan iemand die zich voordoet als nieuwe contactpersoon bij een leverancier, een paar keer onschuldig contact legt, en pas later vraagt om een factuur aan te passen of een toegangspas te regelen.
CEO-fraude en deepfake-audio
Bij CEO-fraude krijgt een medewerker, vaak van de financiële administratie, een dringend verzoek dat zogenaamd van de directeur komt: maak snel een bedrag over, koop cadeaubonnen, of wijzig een rekeningnummer voor een lopende betaling. Zo’n verzoek komt via e-mail of een appje vanaf een onbekend nummer, meestal buiten kantoortijd of net voor een deadline, zodat er weinig tijd lijkt te zijn om het rustig te checken.
Nieuwer en lastiger te herkennen is een telefoontje waarbij de stem van de directeur is nagemaakt met deepfake-audio. Een stem overtuigend klonen op basis van een paar minuten opgenomen spraak, bijvoorbeeld uit een interview of video, is inmiddels toegankelijk genoeg om ook kleinere bedrijven te raken. Zo’n telefoontje klinkt echt, inclusief intonatie, en dat maakt het des te overtuigender onder tijdsdruk.
Een verificatieprotocol als vangnet
De beste bescherming tegen al deze varianten is geen technische maatregel maar een vaste afspraak: een ongewoon verzoek om geld, toegang of gevoelige gegevens wordt altijd via een tweede, onafhankelijk kanaal bevestigd voordat iemand het uitvoert. Bel de directeur terug op het nummer dat al in de contactenlijst stond, niet op het nummer waarmee net gebeld werd. Loop naar het kantoor van de collega die het verzoek zou hebben gedaan, of stuur een nieuw bericht in plaats van te reageren op het binnenkomende appje.
Leg vast voor welke situaties dit verplicht is, bijvoorbeeld elke betaling boven een bepaald bedrag, en zorg dat iedereen weet dat navragen geen onvertrouwen is maar de afspraak. Diezelfde urgentie en autoriteit zie je ook terug bij phishingmail: zie de signalen om phishing te herkennen voor concrete voorbeelden.
Wat betekent dit voor jouw bedrijf?
Stel een vast verificatieprotocol in voor elk ongewoon verzoek om geld, toegang of gevoelige gegevens, en verplicht een tweede kanaal ter bevestiging voordat iemand het uitvoert. Neem social engineering mee in bewustzijnstraining naast phishing, want vishing en CEO-fraude via telefoon spelen in op dezelfde menselijke triggers maar worden door medewerkers nog vaak over het hoofd gezien.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.