Phishing
Phishing (naar analogie van phreaking, afgeleid van fishing: "vissen", "hengelen") is een vorm van internetfraude. Het bestaat uit het oplichten van mensen door ze te lokken naar een valse website, die lijkt op een officiële website van een organisatie, om ze daar – nietsvermoedend – te laten inloggen met hun inlognaam en wachtwoord of bijvoorbeeld hun creditcardnummer. Bij bankpassen wordt hierbij ook vaak naar de bijbehorende pincode gevraagd. Hierdoor krijgt de fraudeur de beschikking over deze gegevens, met alle gevolgen van dien. De fraudeur doet zich hierbij voor als een vertrouwde instantie, zoals een bank. De meeste vormen van phishing gebeuren via e-mail. De slachtoffers worden hierbij met een e-mail naar deze valse website gelokt. De mail bevat een link naar de (valse) website met het verzoek om bijvoorbeeld zogenaamd "de inloggegevens te controleren".
Een andere vorm van phishing is spear phishing, waarbij de persoonlijke gegevens (naam, e-mailadres, telefoonnummer) van het doelwit worden gebruikt om diegene een gevoel van vertrouwen te geven. Er wordt vaak ingespeeld op diens persoonlijke voorkeuren en hobby's die de daders via sociale media hebben achterhaald. Een voetbalfan wordt bijvoorbeeld benaderd met een nep-aanbieding voor gratis seizoenskaarten van zijn favoriete voetbalclub, iemand die van mooie dure kleding houdt met een kortingsactie van haar favoriete kledingmerk, en een fan van een bepaalde artiest krijgt via e-mail goedkope kaarten aangeboden voor een concert. Deze blijken dan echter niet te werken bij de toegangspoorten.
Methode
Bij phishing wordt dikwijls gebruikgemaakt van URL-spoofing. Dit is het nabootsen van de URL van bijvoorbeeld een bank, zodat de gebruiker denkt de echte site te bezoeken, terwijl de URL die van de bedrieger is. Ook wordt de valse site vaak voorzien van het logo van het bedrijf of de bank in kwestie, zodat het voor de gebruiker net lijkt alsof hij op de echte site zit.
Sinds het gebruik van het IDN-systeem (Internationalized domain name), waarbij niet-ASCII-tekens kunnen worden gebruikt in domeinnamen, kan phishing hiervan gebruikmaken door een echte domeinnaam na te bootsen met gelijkwaardige buitenlandse tekens, zodat de gebruiker niet merkt dat het adres niet klopt.
Ook met een ASCII-URL kan gepland bedrog gepleegd worden: zo lijkt het adres www.googIe.com, waarin de kleine letter l vervangen is door een hoofdletter i (I), erg op www.google.com, en kan het er, afhankelijk van het lettertype, zelfs exact hetzelfde uitzien.
De meeste banken maken gebruik van een uitgebreid gevalideerd SSL-certificaat: in moderne internetbrowsers wordt het eerste gedeelte van de adresbalk weergegeven met een groene achtergrond of staat in de adresbalk voor het adres een groen slotje, zodat de gebruiker zeker weet dat hij op de echte pagina zit. Ook begint het adres van de sites van banken altijd met https:// in plaats van met http://, zodat ook hieraan is te zien dat de gebruiker op de echte site zit. Criminelen kunnen ook een certificaat installeren op hun website, waardoor zelfs een groen slotje geen zekerheid biedt.
Meestal ontvangt het slachtoffer een mail waarin hem gevraagd wordt zijn account bij bijvoorbeeld een bank na te kijken en te bevestigen. Ook wordt er wel gebruikgemaakt van instant messaging, soms wordt er telefonisch contact opgenomen. Vaak worden er smoezen bedacht om het slachtoffer onder druk te zetten of in paniek te brengen en zo tot medewerking aan te zetten. Het mailtje gaat bijvoorbeeld over een groot bedrag dat op het punt staat afgeschreven te worden en met de gegeven link naar de (nep)site van de bank kan dit tegengehouden worden. Een ander vaak voorkomend verhaal is dat er fraude is gepleegd met het rekeningnummer en dat het slachtoffer meteen moet inloggen via de link om de rekening te beveiligen dan wel te bevestigen, zo niet dan wordt de rekening bevroren en de politie ingelicht. Ook kan een slachtoffer een mail krijgen waarin staat dat er onlangs een belangrijke update is gedaan en het slachtoffer via de link in de mail moet controleren of diens inloggegevens nog werken of om door via deze link in te loggen medewerking dient te verlenen aan deze update of kan het slachtoffer een mail krijgen dat zijn/haar account bij de instelling in kwestie geblokkeerd dreigt te worden en er via de link in de mail moet worden ingelogd om dit te voorkomen. Verder kan een slachtoffer een mail krijgen van een pakketbezorger dat er een pakket voor hem/haar staat te wachten en hij/zij de levering via een link in de mail moet bevestigen om het pakket in ontvangst te kunnen nemen voordat het teruggestuurd wordt naar de afzender. Dit moet dan vaak op korte termijn gebeuren.
Fraudeurs maken veelvuldig gebruik van nepsites van financiële instellingen, eBay, PayPal of pakketbezorgers. Phishing is moeilijk te achterhalen. Internetgebruikers wordt erop gewezen zelf op te letten en niet in te gaan op een mailverzoek waarin - meestal dringend - gevraagd wordt persoonlijke (financiële) gegevens te geven; zoals bankrekeningnummer, pincode, inloggegevens, burgerservicenummer of creditcardgegevens. Banken vragen nooit via e-mail om dergelijke gegevens. Pakketbezorgers bezorgen alleen pakketten die mensen zelf hebben besteld. Via de echte sites van banken en pakketbezorgers kunnen gevallen van phishing meestal worden gemeld door de mail door te sturen naar een specifiek e-mailadres. Op deze manier weet de bank dat haar bedrijfsgegevens worden misbruikt en kan deze direct actie ondernemen, bijvoorbeeld door de site in kwestie uit de lucht te laten halen. Hierbij krijgt men een mail terug waarin staat of het inderdaad om een phishingmail gaat. Ook als men een telefoontje krijgt van een bank met het verzoek om gegevens door te geven of geld over te maken dient men alert te zijn, banken bellen niet zomaar om gegevens op te vragen of geld over te maken.
Het eerste geval van phishing dateert uit 1996.
Vormen van phishing
In een phishing-bericht zijn vaak de volgende elementen te vinden:
- De mail is niet aan de klant persoonlijk gericht, maar begint met een algemene opening als "geachte klant".
- De mail kan taal- en stijlfouten bevatten. Door het gebruik van AI zijn de berichten beter geformuleerd dan voorheen en daardoor minder verdacht.
- Er wordt gesuggereerd dat het account "geverifieerd" (op juistheid onderzocht en bevestigd) moet worden met de inloggegevens van de klant.
- Er wordt gedreigd met gevolgen als niet onmiddellijk gehoor gegeven wordt aan de mail.
- De link waarnaar wordt verwezen bevat subtiele verschillen met de originele link, zoals een andere extensie of andere schrijfwijze.
- De afzender correspondeert niet met de naam van het bedrijf.
Een veelgebruikte methode is dat de fraudeur een e-mail stuurt met een bijlage waarin een keylogger of andere malware zit verborgen. De mail functioneert dan als een Trojaans paard. Zodra de gebruiker de bijlage heeft geopend, wordt – op de achtergrond – de keylogger geactiveerd. Hierdoor kan de fraudeur via internet zien welke wachtwoorden de gebruiker gebruikt bij het inloggen bij zijn of haar bank.
Sms
Zie Sms-phishing voor het hoofdartikel over dit onderwerp.Als phishingberichten via sms worden verstuurd, wordt dit ook wel smishing genoemd. Net zoals per e-mail moet vaak een bepaalde URL bezocht worden die in het sms-bericht staat. Slachtoffers worden aangemoedigd om snel te reageren omdat er anders grote gevolgen kunnen zijn. Een variant hierop is WhatsAppfraude, ook wel WhatsApp-phishing genoemd. Hierbij wordt een phishingbericht via WhatsApp verstuurd. Hierbij kan zelfs een WhatsApp-account worden overgenomen.[bron?]
Telefoon
Slachtoffers kunnen ook een neptelefoontje ontvangen. Dit wordt vishing genoemd. Hierbij worden slachtoffers gebeld door zogenaamde medewerkers van grote bedrijven of banken. Ze krijgen te horen dat er een probleem is met hun computer of bankrekening en zouden snel moeten handelen.
QR-code
Phishing door middel van QR-codes wordt ook quishing genoemd. Hierbij wordt een URL verhuld door een QR-code die bijvoorbeeld in een brief staat die per post ontvangen is of op een sticker staat die stiekem ergens is geplakt. Slachtoffers worden aangemoedigd om de QR-code met behulp van hun telefoon te bezoeken en daar hun gegevens in te voeren of om software te installeren.
Voorkomen van phishing
Men kan door voorzichtigheid te betrachten voorkomen een slachtoffer van een phishing-aanval te worden.
- Voorlichting door bedrijven aan werknemers ter voorkoming dat het bedrijf slachtoffer wordt.
- Voorzichtig zijn met social media, de toegankelijkheid van profielen zoveel mogelijk beperken, zo min mogelijk persoonlijke informatie online plaatsen. Hiermee verkleint men het risico op een aanval van spear phishing.
- Als men een goedkope aanbieding krijgt via e-mail is het raadzaam om te controleren of deze afkomstig is van een betrouwbare bron, zoals een winkel of webshop, alvorens hierop in te gaan. Dit is vaak te controleren via de site van de instelling waarvan het gebruikte logo afkomstig is. Als de aanbieding hierop niet is terug te vinden dient men hier niet op in te gaan. Het is wel aan te raden direct de site te bezoeken via de browser en niet op een eventuele link in de mail te klikken (zie ook het volgende punt).
- Analyseer een e-mail en zoek naar de eerdergenoemde kenmerken. Bekijk de link om de URL te zien en te analyseren alvorens die te openen. Gebruik indien inloggen echt nodig is de website van de bank of instantie in plaats van een link in een bericht.
- Het is raadzaam ook andere mensen die men kent, bijvoorbeeld familieleden, collega's of leden van de club te waarschuwen wanneer men een phishingbericht heeft ontvangen, bijvoorbeeld door ze een waarschuwingsmail of een appje te sturen waarin men vermeldt wat voor bericht men heeft ontvangen. Zo weten ook zij dat ze alert moeten zijn als zij mogelijk hetzelfde bericht ontvangen. Ze kunnen het bericht dan herkennen en het dan gelijk verwijderen. Op deze manier helpt men ook deze mensen om te voorkomen dat ze slachtoffer worden.
- Sommige bedrijven hebben een "phishing button" in hun e-mailprogramma. Wanneer men een mailt opent of aanklikt en deze knop aanklikt, wordt het IT-departement gewaarschuwd en de mail verwijderd.
- Gebruikmaken van spamfilters in mailboxen en mailprogramma's.
- Logisch nadenken. Het is niet mogelijk dat men een prijsvraag wint zonder eerst te hebben meegedaan, wanneer men op een e-mailadres of telefoonnummer wordt benaderd door een bank of instantie die men niet van tevoren aan die bank of instantie heeft opgegeven of wanneer men wordt benadert voor een pakket dat men niet zelf heeft besteld. Overheden en banken bedienen zich van speciale telefoonlijnen, gewone of aangetekende post, en beveiligde e-mail, en zullen nooit zomaar iemand opbellen of mailen. Ook zullen ze nooit zomaar via de mail om inloggegevens vragen. Hetzelfde geldt voor pakketbezorgers. Ook zij zullen nooit iemand benaderen als diegene geen bestelling heeft gedaan.
- Indien men zomaar via een nummer van de bank wordt gebeld, vragen om een gesprekscheck. Degene die belt, stuurt dan een bericht in de app van de bank, waarin staat of hij/zij echt een medewerker van de bank is of niet. Om dit bericht te lezen, dient te worden ingelogd in de app van de bank. Als hierin staat dat het echt een medewerker van de bank is, kan het gesprek worden vervolgd. Anders dient gelijk te worden opgehangen.
- Bij het scannen van QR-codes kan een QR-codescanner gebruikt worden die na het scannen van een QR-code de link toont waarnaar deze verwijst. Op deze manier kan ingeschat worden of deze site betrouwbaar is. Ook moet men niet zomaar QR-codes scannen waarvan men niet 100% zeker weet of deze betrouwbaar zijn.
Simulaties
Organisaties kunnen een simulatie uitvoeren met een nep-e-mailbericht dat verzonden wordt aan hun eigen organisatie. Deze phishingsimulaties zorgen voor inzicht in het kennisniveau van de organisatie. Tijdens een simulatie kiest de organisatie een sjabloon dat bij de organisatie past. Na het kiezen van de juiste phishingmail wordt deze mail verzonden naar het personeelsbestand. De phishingmails bevatten volgdata waardoor bijvoorbeeld het aantal aangeklikte links en gephishte werknemers in kaart gebracht kan worden. Wanneer de phishingmail wordt aangemeld bij IT of de phishingbutton wordt aangeklikt, volgt de melding dat dit een gesimuleerde phishing was. Wanneer de werknemer wel op de link klikt, is het mogelijk dat hij verplicht wordt een training over phishing te volgen.
Slachtoffers
Wie slachtoffer is van phishing, wordt aanbevolen:
- om de bank op de hoogte te brengen van het ontvangen bericht en van de phishingactie;
- om codes van de online bankaccount te veranderen of deze te blokkeren;
- indien nodig de rekening te blokkeren;
- indien nodig de pincode van de bankpas wijzigen;
- om alle gegevens die bewijs kunnen leveren van de feiten en de geleden schade te verzamelen;
- om onmiddellijk aangifte te doen bij de politie.
Incidenten
- In maart 2007 kreeg een groot aantal klanten van ABN AMRO te maken met een phishing-mail. Deze bevatte een Trojaans paard waarmee de inloggegevens van de klant achterhaald konden worden.
- In oktober 2009 werd phishing gebruikt om de wachtwoorden van enkele duizenden gebruikers van maildiensten zoals Hotmail en Gmail te achterhalen.
- De Nederlandse Vereniging van Banken heeft op 13 oktober 2010 een mediacampagne gelanceerd. Die helpt onder het motto: "als je weet hoe ze werken, kun je je ertegen wapenen". De mediacampagne geeft inzicht in hoe internetcriminelen te werk gaan en wat je eraan kunt doen.
- Begin 2015 berichtte de Belgische Federatie van de Financiële sector dat er 85% minder fraudegevallen waren in 2014 (277 gevallen) ten opzichte van 2013 (1772 gevallen).
- In december 2019 werd door het Openbaar Ministerie melding gemaakt van "een man uit Noord-Nederland" die bijna een miljoen euro zou zijn kwijtgeraakt door phishing, de grootste zaak in zijn soort tot nu toe.
- Op 19 januari 2020 trapte een Nederlandse jeu-de-boules-vereniging in een phishingbericht, waardoor hun hele bankrekening werd leeggeroofd. Er werd € 78.000 buitgemaakt. Dit geld kregen ze later weer terug van de bank.
Tegenmaatregelen
Europese Unie
In november 2015 kwam Richtlijn (EU) 2015/2366 tot stand, later gewijzigd door Gedelegeerde Verordening (EU) 2018/389. Deze is sedert 14 september 2019 van toepassing in alle landen van de eurozone, verplicht banken ertoe om betalingen zo veilig mogelijk te laten verlopen. Ze moeten bovendien elke betaling actief monitoren en continu zoeken naar nieuwe fraudevormen en anomalieën.
Op 15 oktober 2026 bevestigde het Hof van Justitie van de Europese Unie dat banken in geval van phishing verplicht zijn de gestolen bedragen onmiddellijk terug te betalen, zelfs bij grove nalatigheid. Alleen wanneer de bank een ernstig vermoeden heeft dat de klant fraude heeft gepleegd, en dat ook schriftelijk heeft laten weten aan de bevoegde instanties, hoeft ze dat niet te doen. Consumentenorganisaties reageerden opgelucht.
België
In principe moeten banken phishingslachtoffers meteen terugbetalen, maar deden dat bijna nooit, wat soms leidde tot jarenlange procedures. Op 29 juni 2026 velde het Hof van Cassatie in de zaak-Gansemans een arrest waarbij de bank in het ongelijk werd gesteld, en de definitie van 'grove nalatigheid' aangescherpt werd.
In afwachting van een uitgebreider actieplan tegen phishing pakten de Belgische banken in 2026 uit met een centraal noodnummer waar klanten fraude kunnen melden. Fraudstop is het centrale Belgische noodnummer (078 170 170) voor consumenten die vermoeden dat ze slachtoffer zijn van online fraude of phishing. Het nummer is 24/7 bereikbaar en gebruikt hetzelfde centraal noodnummer van CARD STOP waar klanten hun bankkaart kunnen blokkeren.
In 2026 richtte de federale politie een nationale phishingcel op "om informatie uit het hele land samen te brengen en te analyseren".
In een reactie op een arrest van het Hof van Cassatie stelde minister van Consumentenbescherming Rob Beenders: "(...) de wettelijke bescherming van phishingslachtoffers is geen vrijblijvende aanbeveling, maar een verplichting."
Gedupeerden worden geholpen door consumentenverdedigers als Testaankoop en Boomerang.
Zie ook
Externe link
- ↑ Cranor, Lorrie Faith. 2008. "Can Phishing Be Foiled? Understanding the human factors that make people vulnerable to online criminals can improve both security training and technology". Scientific American, jg. 2008, vol. 299, issue 6, p. 104-110.
- ↑ Phishing: identiteitsdiefstal, SpamSquad.
- ↑ Herken phishing emails, VPNgids.
- 1 2 Phishing? Laat je niet vangen!. Federale Overheidsdienst Economie, K.M.O., Middenstand en Energie. Geraadpleegd op 30 augustus 2024.
- ↑ Quishing: opgelet voor deze nieuwe vorm van phishing. Federale Overheidsdienst Economie, K.M.O., Middenstand en Energie. Geraadpleegd op 30 augustus 2024.
- ↑ "Oplichting via de telefoon: wat doen oplichters vaak?". Gearchiveerd op 25 augustus 2025. Geraadpleegd op 26 november 2025.
- ↑ Politie waarschuwt voor oplichting met gevaarlijke QR-codes - Kassa - BNNVARA. Kassa. Geraadpleegd op 24 april 2025.
- ↑ Phishing en vishing, lokalepolitie.be, 2014.
- ↑ Hackers bemachtigen duizenden wachtwoorden, De Standaard, 7 oktober 2009.
- ↑ Fraudegevallen internetbankieren dalen sterk, Febelfin, 30 januari 2015.
- ↑ Man uit Noord-Nederland is miljoen euro kwijt in grootste 'smishing-zaak' ooit, RTV Noord, 4 december 2019.
- ↑ Enorme phishingzaak: slachtoffer bijna miljoen euro kwijtgeraakt, NOS, 4 december 2019.
- ↑ 78.000 euro weg na phishing, bankrekening Rijswijkse jeu-de-boulesclub leeggetrokken, Omroep West, 19 januari 2020.
- ↑ Bestolen jeu-de-boulesvereniging krijgt 78.000 euro terug van Rabobank, Omroep West, 20 januari 2020.
- ↑ (meertalig)Richtlijn (EU) 2015/2366 van het Europees Parlement en de Raad van 25 november 2015 betreffende betalingsdiensten in de interne markt, houdende wijziging van de Richtlijnen 2002/65/EG, 2009/110/EG en 2013/36/EU en Verordening (EU) nr. 1093/2010 en houdende intrekking van Richtlijn 2007/64/EG 25 november 2015 (Voor de EER relevante tekst). Europese Unie (25 november 2015). Gearchiveerd op 25 november 2015.
- ↑ (meertalig)Gedelegeerde Verordening (EU) 2018/389 van de Commissie van 27 november 2017 tot aanvulling van Richtlijn (EU) 2015/2366 van het Europees Parlement en de Raad wat betreft technische reguleringsnormen voor sterke cliëntauthenticatie en gemeenschappelijke en veilige open communicatiestandaarden (Voor de EER relevante tekst. ). Europese Unie (27 november 2017). Gearchiveerd op 10 augustus 2026.
- ↑ Testaankoop is blij met het arrest van het Hof van Justitie van de Europese Unie over phishing, dat zegt dat banken onmiddellijk moeten terugbetalen, zelfs bij grove nalatigheid. Testaankoop (15 oktober 2026).
- ↑ Verbergt, Matthias, "Voor het eerst staat bank voor strafrechter in phishingzaak", De Tijd, 5 september 2026.
- 1 2 Na 6 jaar juridische strijd krijgt phishingslachtoffer Stijn (57) een uitspraak die ook andere slachtoffers helpt. vrtnws.be (18 juli 2026).
- ↑ Suy, Pieter, "Phishing melden kan voortaan ook via Card Stop-nummer", De Tijd, 22 juni 2026.
- ↑ Verlee, Pieter, "Federale politie voert via nieuwe phishing-cel strijd tegen online oplichting op", De Tijd, 27 juni 2026.
- ↑ Verbergt, Matthias, "Hoogste rechters dwingen banken om vaker terug te betalen bij phishing", De tijd, 11 juli 2026.
