Nederlanders herkennen phishing, maar beveiligen zich te weinig

Nederlanders denken dat ze phishing prima herkennen. Toch passen ze gemiddeld maar een derde van de veilige handelingen consequent toe. Dat blijkt uit het nationale cybersecurityonderzoek van Alert Online, dat op 1 oktober verscheen bij de start van de Europese Cybersecuritymaand. Met AI-gegenereerde nepmails wordt die zelfoverschatting een serieus risico.

Controleren gebeurt, beveiligen niet

De goedkope handelingen doen we wel. Negen op de tien Nederlanders controleren vaak of altijd de inhoud van een verdachte mail. Ruim acht op de tien kijken naar de afzender. Maar zodra beveiliging meer moeite kost, haakt men af:

• slechts 16% van de consumenten gebruikt altijd tweefactorauthenticatie (2FA), tegenover 32% van de werknemers;
• 17% vindt 2FA overbodig, omdat ze zichzelf voorzichtig genoeg vinden;
• maar 20% gebruikt altijd een wachtwoordmanager;
• slechts drie op de tien gaan altijd zelf naar de officiële website, in plaats van op een link in een bericht te klikken.

Juist wie denkt zelf phishing te kunnen herkennen, slaat de stappen over die echt beschermen. Mensen weten wel wat 2FA is, maar niet waar ze moeten beginnen. Daardoor voelt het als een grote klus en blijft het liggen.

AI haalt de oude waarschuwingssignalen weg

Taalfouten, een vreemde aanhef of een slordig logo waren lang de beste verklikkers van een nepmail. Die signalen verdwijnen. AI schrijft foutloze phishingmails, kopieert websites één op één en manipuleert zelfs stemmen en video. Aan de afzender of de inhoud zie je dus niet meer of een bericht klopt.

Daar komt bij dat door de reeks grote datalekken van vrijwel iedere Nederlander gegevens op straat liggen. Criminelen gebruiken die om berichten persoonlijk en geloofwaardig te maken: je naam, je adres, soms zelfs je klantnummer. Volgens het CBS werden in 2025 zo’n 2,5 miljoen Nederlanders slachtoffer van online criminaliteit.

Eén klik kan een heel bedrijf stilleggen

Voor organisaties is het risico groter dan voor consumenten. Eén medewerker die op een verkeerde link klikt, kan het hele netwerk openzetten. Een ransomware-aanval begint vaak met één gestolen inlog. Het onderzoek laat ook zien dat 77% van de werknemers zegt dat melden van fouten gewaardeerd wordt, maar slechts een derde meldt een foute klik ook altijd direct. Angst voor gevolgen houdt mensen tegen, terwijl een snelle melding het verschil maakt tussen een incident en een bedrijf dat dagen stilligt.

Ook AI-gebruik op de werkvloer brengt risico’s mee. Bijna de helft van de werknemers (49%) gebruikt weleens een privé AI-account voor werk. Ruim een derde legt werkproblemen voor aan een AI-tool, waardoor bedrijfs- en klantgegevens buiten het zicht van de organisatie belanden.

Wat werkt wel?

De conclusie van de onderzoekers is helder: informeren alleen verandert geen gedrag. Veilig gedrag moet een automatisme worden. Concreet betekent dat:

1. Zet 2FA aan op alle belangrijke accounts, te beginnen met e-mail. Wie je mailbox heeft, kan van vrijwel elk ander account het wachtwoord resetten.
2. Klik niet, maar navigeer zelf. Ga bij twijfel via de app of door het adres zelf in te typen naar de website van de bank, PostNL of de Belastingdienst.
3. Gebruik een wachtwoordmanager. Die vult bovendien niets in op een nagemaakte website, wat een extra vangnet tegen phishing is.
4. Meld een foute klik direct, thuis bij je bank en op het werk bij je IT-beheerder. Hoe sneller, hoe kleiner de schade.
5. Laat techniek het eerste werk doen. Hoe minder phishingmails de inbox bereiken, hoe minder het aankomt op menselijk oordeel. Een extern spamfilter vangt nepmails af voordat een medewerker de kans krijgt erop te klikken.

Ook op netwerkniveau wordt er hard gewerkt. Het anti-phishingschild van het NCSC blokkeerde eerder al miljoenen bezoeken aan nepsites. Maar geen enkele maatregel is waterdicht. Het gaat om lagen: filtering, 2FA en alerte gebruikers die durven te melden.

Bescherm je mailbox bij de bron

Het onderzoek bevestigt wat wij dagelijks zien: de mens is niet de zwakste schakel omdat hij dom is, maar omdat de aanvallen steeds beter worden. Daarom moet beveiliging zo min mogelijk afhangen van één beoordeling op één moment. Lees hoe het spamfilter van Maq2 phishing, spam en malware tegenhoudt voordat het je inbox bereikt.

Het volledige persbericht over het onderzoek lees je bij ECP | Platform voor de InformatieSamenleving, initiatiefnemer van Alert Online.