{"id":2971,"date":"2025-09-18T15:26:55","date_gmt":"2025-09-18T13:26:55","guid":{"rendered":"https:\/\/masero.nl\/?p=2971"},"modified":"2025-09-18T15:34:13","modified_gmt":"2025-09-18T13:34:13","slug":"security-awareness-gaat-verder-dan-phishingmails-herkennen","status":"publish","type":"post","link":"https:\/\/masero.nl\/en\/security-awareness-gaat-verder-dan-phishingmails-herkennen\/","title":{"rendered":"Security awareness gaat verder dan phishingmails herkennen\u00a0"},"content":{"rendered":"

Denken we aan security awareness training dan denken we al gauw aan doorzichtige phishing simulaties. Begrijpelijk, want phishing is nog altijd de meest voorkomende aanvalsvorm van cybercriminelen. Maar cybersecurity anno 2025 gaat veel verder dan het herkennen van verdachte e-mails. Criminelen benutten alle mogelijkheden om je organisatie aan te vallen en deze ontwikkelen zich elke dag.\u00a0In deze blog vertellen we je waarom security awareness zich niet moet beperken tot het vermijden van verdachte links.\u00a0\u00a0<\/strong><\/p>\n

\u00a0<\/span><\/p>\n

De bekende methodes<\/span><\/b>\u00a0<\/span><\/h2>\n

Hoewel phishingmails nog altijd de populairste methode en vaak de eerste stap zijn voor aanvallers om een voet tussen de deur te krijgen, zijn het niet alleen de verdachte links die we in de gaten moeten houden. Ondertussen heeft phishing verschillende gedaantes aangenomen in een steeds breder wordend dreigingslandschap.\u00a0<\/span>\u00a0<\/span><\/p>\n

We ontvangen ze ondertussen allemaal met enige regelmaat: sms-berichten die zogenaamd van pakketdiensten, banken of verzekeraars afkomstig zijn. Of de telefoontjes van, ogenschijnlijk normale, 06-nummers die een AI-gegenereerd spraakbericht laten horen. Deze vormen van phishing worden <\/span>smishing <\/span><\/b>en <\/span>vishing <\/span><\/b>genoemd en zijn meestal redelijk doorzichtig. Toch gebeurt het nog steeds vaak dat iemand er op in gaat. Want stel je eens voor: je zit al langere tijd op een pakketje te wachten en krijgt dan ineens een sms\u2019je die daar mee te maken lijkt te hebben. Ook een oplettende internetgebruiker kan er een keertje intrappen. Als er van de 1000 berichtjes slechts \u00e9\u00e9n succesvol is, dan heeft de aanvaller zijn doel al bereikt. <\/span>\u00a0<\/span><\/p>\n

Iets wat ons SOC in de praktijk ook al vaker is tegengekomen, is het fenomeen <\/span>Business Email Compromise (BEC). <\/span><\/b>Kortgezegd houdt dit in dat een aanvaller via een phishing mailtje toegang probeert te krijgen tot je e-mailaccount om van binnenuit aan te vallen. Denk daarbij aan een dringend betaalverzoek van de CEO, of het wijzigen van facturatiegegevens bij klanten of partners. Als je meer wilt weten over hoe een BEC aanval in zijn werk gaat, bekijk dan zeker onze video: Business Email Compromise (BEC) in de praktijk – Masero<\/a>.<\/span><\/p>\n

Daarnaast vindt er via verschillende kanalen <\/span>social engineering <\/span><\/b>plaats. Denk bijvoorbeeld aan een connectieverzoek op LinkedIn of Instagram van een nep-profiel, om zo je vertrouwen te winnen en vertrouwelijke informatie te ontfutselen.<\/span>\u00a0<\/span><\/p>\n

\u00a0<\/span><\/p>\n

Kwetsbaarheden<\/span><\/b>\u00a0<\/span><\/h2>\n

Dan zijn er ook nog de technische kwetsbaarheden binnen je digitale infrastructuur. Dit zijn<\/span> de onopgemerkte gaten in je beveiliging, veroorzaakt door bijvoorbeeld achterlopende updates en patches. Ook gebeurt het vaak dat er onzorgvuldig wordt omgegaan met toegangsrechten van medewerkers<\/span>,<\/span> en is er bij veel bedrijven sprake van Shadow IT. Zo kunnen er zelfgekozen apps, (AI) tools of cloudoplossingen worden gebruikt buiten het offici\u00eble IT-beleid waardoor er geen zicht en grip op is. Onbeveiligde apps kunnen gevoelige data blootstellen aan hackers en soms kan \u00e9\u00e9n gemiste update al verregaande gevolgen hebben. Ook kunnen AI<\/span>–<\/span> tools onbedoeld vertrouwelijke informatie opslaan of verwerken in een omgeving die niet voldoet aan wet- en regelgeving.<\/span>\u00a0<\/span><\/p>\n

\u00a0<\/span><\/p>\n

Cultuurverandering<\/span><\/b>\u00a0<\/span><\/h2>\n

Ook al is het belangrijk om je kennis in het kader van cyberdreigingen regelmatig te voeden, security awareness draait niet alleen om deze kennis. Cybersecurity moet verweven zijn in de bedrijfscultuur, wat inhoudt dat medewerkers zich bewust zijn van de gevaren, vragen hierover durven te stellen, fouten durven toe te geven en dat ze weten hoe er moet worden gehandeld in verdachte situaties. Fouten 100% voorkomen is niet haalbaar, fouten zo snel mogelijk opmerken en oplossen kan wel.\u00a0<\/span>\u00a0<\/span><\/p>\n

Daarnaast hoort awareness een vast onderdeel te zijn van de hele bedrijfsvoering. Dit betekent dat er duidelijke keuzes moeten worden gemaakt (en worden vastgelegd) met betrekking tot:<\/span>\u00a0<\/span><\/p>\n