Vishing: oplichting via de telefoon bij bedrijven

Hoe een vishing-aanval er in de praktijk uitziet

Een typisch scenario: iemand belt uw receptie of een medewerker op en stelt zich voor als 'Microsoft Support' of 'de IT-helpdesk van [naam van uw leverancier]'. Hij meldt dat er een probleem is gevonden op uw systeem — een virus, een poging tot inbraak — en dat hij direct toegang nodig heeft om dit op te lossen. Hij vraagt om een wachtwoord, een verificatiecode of om remote-access-software te installeren.

Geavanceerder: de crimineel heeft van tevoren onderzoek gedaan op LinkedIn. Hij weet de namen van uw IT-medewerkers, uw directeur en uw softwareleveranciers. Hij noemt deze namen tijdens het gesprek om vertrouwen te wekken. Soms is zijn telefoonnummer zelfs gespoofed: het lijkt alsof hij belt vanuit een bekende organisatie.

Vishing in combinatie met ransomware

Vishing wordt steeds vaker ingezet als onderdeel van een ransomware-aanval. Nadat criminelen al toegang hebben verkregen via een phishing-mail, bellen ze het slachtoffer op om hen te overtuigen de beveiliging uit te schakelen, een update te annuleren of een tweede factor te omzeilen. Ze claimen dan vaak dat de beveiligingssoftware 'zelf het probleem veroorzaakt'.

Een andere variant: na een succesvolle ransomware-aanval belt de crimineel opnieuw — nu als 'dataherstelbedrijf' of 'cybersecurity-expert' — en biedt hulp aan. Ze sturen een factuur voor 'herstelwerkzaamheden' of proberen via deze weg aanvullende toegang te krijgen.

Signalen dat u te maken heeft met vishing

Uw medewerkers kunnen vishing herkennen aan de volgende kenmerken:

• Onverwacht telefoontje over een probleem dat u niet kende
• Beller vraagt om een wachtwoord, verificatiecode of toegang tot uw computer
• Druk of urgentie: 'als u nu niet meewerkt, verliest u alle data'
• Beller noemt namen van medewerkers of leveranciers om vertrouwen te wekken
• Telefoonnummer klopt niet of is afgeschermd (anoniem)
• Verzoek om remote-access-software te installeren (TeamViewer, AnyDesk, etc.)

Hoe beschermt u uw organisatie?

De verdediging tegen vishing is grotendeels organisatorisch: duidelijke procedures en getrainde medewerkers. Leg vast dat niemand ooit telefonisch een wachtwoord of verificatiecode geeft, en dat verzoeken om remote access altijd via een ticket of werkorder verlopen.

Introduceer een 'verificatieprotocol': bij twijfel belt de medewerker terug via een bekend nummer uit de interne telefoonlijst — nooit via het nummer dat de beller opgaf. Zorg dat dit ook voor managers geldt; CEO-vishing (waarbij de directeur gebeld wordt) is een groeiend probleem.

• Nooit wachtwoorden of codes geven via de telefoon — ook niet aan 'IT'
• Remote access alleen na officieel ticketverzoek
• Bij twijfel: ophangen en terugbellen via een verifieerd nummer
• Medewerkers trainen met realistische vishing-scenario's
• Beleid vastleggen in een schriftelijke procedure