Phishing training voor medewerkers: herkennen en voorkomen

Phishing training voor medewerkers werkt het best als je kort en vaak oefent, techniek het meeste laat afvangen en melden zo makkelijk maakt dat niemand twijfelt. Leer je team letten op tijdsdruk, afwijkende afzenders en links die niet kloppen. Zet daarnaast een goed mailfilter, SPF, DKIM, DMARC en MFA aan, zodat een klik minder schade doet. Hieronder lees je hoe je phishing herkent, welke techniek helpt, hoe een simulatie werkt en wat je doet als iemand toch heeft geklikt.

Waarom werkt phishing zo goed bij MKB-bedrijven?

Phishing werkt goed omdat het inspeelt op gewone, drukke werkdagen. Phishing is een nepbericht dat je probeert te laten klikken, inloggen of betalen. Een mail over een openstaande factuur, een gedeeld document of een pakket dat niet bezorgd kan worden, past in de dagelijkse routine van bijna elke medewerker.

In een MKB-bedrijf komen daar een paar dingen bij:

• Korte lijnen. Iedereen kent de directeur, dus een mail "van de directeur" met een dringend verzoek wordt snel opgevolgd.
• Veel externe contacten. Leveranciers, klanten en vervoerders sturen dagelijks facturen en documenten.
• Geen eigen securityteam. Er is niemand die de hele dag verdachte mail bekijkt.
• Brede rechten. Eén account heeft vaak toegang tot veel mappen en systemen.

Het NCSC noemt een verzoek om snel te handelen een belangrijk signaal. Aanvallers creëren tijdsdruk, zodat de ontvanger minder kritisch leest.

Hoe herken je een phishingmail?

Je herkent een phishingmail meestal aan een combinatie van signalen, niet aan één kenmerk. Gebruik deze checklist:

1. Tijdsdruk. "Vandaag nog", "je account wordt geblokkeerd", "laatste herinnering".
2. Afwijkend afzenderadres. Het domein lijkt op het echte, maar wijkt net af: een extra letter, een ander achtervoegsel.
3. Algemene aanhef. "Beste klant" of "Beste gebruiker" van een organisatie die je normaal bij naam aanspreekt.
4. Link naar een ander domein. Ga met de muis over de link zonder te klikken en kijk waar hij echt heen gaat.
5. Onverwachte bijlage. Een factuur van een leverancier waar je niets hebt besteld, of een zip-bestand.
6. Vraag om in te loggen of te betalen. Zeker als het gaat om een gewijzigd rekeningnummer.
7. Organisatie waar je geen relatie mee hebt. Een bank of bezorger die je niet gebruikt.

Tip: twijfel je over een mail van een bekende, bel die persoon dan via een nummer dat je al had. Gebruik nooit het nummer uit de mail zelf.

Phishing komt ook via sms, WhatsApp en telefoon. Een beller die zegt van de helpdesk te zijn en om een code vraagt, is dezelfde truc via een ander kanaal.

Welke technische maatregelen houden phishing tegen?

Technische maatregelen houden het grootste deel van de phishing tegen voordat een medewerker de mail ziet. Training is de laatste laag, niet de eerste. Het NCSC noemt onder meer mailfilters, e-mailstandaarden, MFA en het blokkeren van automatisch doorsturen naar buiten. De tabel laat zien wat elke maatregel doet.

Volgens Microsoft Learn werken SPF, DKIM en DMARC als bouwstenen die elkaar nodig hebben. Met minder dan alle drie is de bescherming tegen vervalste afzenders onvolledig. Ze beschermen vooral anderen tegen mail die zich voordoet als jouw bedrijf, en dus ook je klanten en leveranciers.

MFA is de belangrijkste vangrail. Vult een medewerker zijn wachtwoord toch in op een nepsite, dan kan de aanvaller er zonder tweede factor niets mee. Welke vorm het beste werkt, lees je in MFA voor het MKB. Bij ICT Productions zit MFA-implementatie in pakket Sterk.

Hoe werkt een phishing-simulatie en wat levert het op?

Een phishing-simulatie is een nepphishingmail die je bewust naar je eigen team stuurt om te meten wie klikt en wie meldt. Wie klikt, ziet direct een korte uitleg over de signalen die hij had kunnen zien. Het NCSC noemt periodieke voorlichting, korte herhaaltrainingen en gesimuleerde phishingcampagnes als maatregelen voor organisaties.

Een goede aanpak ziet er zo uit:

• Nulmeting. Een eerste simulatie laat zien waar je staat, zonder vooraf aan te kondigen wanneer.
• Korte training. Een paar minuten per keer, met voorbeelden die lijken op wat jouw bedrijf echt binnenkrijgt.
• Herhalen. Elke paar maanden een nieuwe simulatie, steeds iets lastiger.
• Meten op melden. Het aantal meldingen is minstens zo belangrijk als het aantal klikken.

Wat het oplevert, zie je vooral aan dat laatste punt. Een team dat verdachte mail meldt, geeft je de kans om dezelfde mail bij alle collega's te verwijderen voordat de volgende klikt.

Tip: maak melden makkelijk en straf niet. Het NCSC adviseert een laagdrempelige meldcultuur, waarin leidinggevenden zelf het goede voorbeeld geven.

Wat doe je als iemand toch heeft geklikt?

Als iemand toch heeft geklikt, moet het direct gemeld worden, zodat je binnen minuten kunt handelen in plaats van dagen later. Het NCSC onderscheidt per situatie wat je doet:

1. Wachtwoord ingevuld? Verander het meteen, ook op andere plekken waar hetzelfde wachtwoord werd gebruikt, en controleer of MFA aanstaat.
2. Bijlage geopend of software geïnstalleerd? Haal het apparaat van het netwerk. Het NCSC adviseert om een besmet systeem volledig opnieuw in te richten in plaats van alleen op te schonen.
3. Betaling gedaan? Bel direct je bank, zodat die de transactie mogelijk kan tegenhouden.
4. Persoonsgegevens gelekt? Dan kan een melding bij de Autoriteit Persoonsgegevens nodig zijn.

Meld de phishingmail daarnaast bij de Fraudehelpdesk en bij de organisatie uit wiens naam de mail kwam. Leg vooraf vast wie in je bedrijf het aanspreekpunt is, zodat niemand eerst hoeft uit te zoeken wie hij moet bellen.

Phishing is ook een veelgebruikte ingang voor ransomware. Hoe je die kant afdekt, lees je in ransomware voorkomen in het MKB.

Wat kost phishing-training voor medewerkers?

Bij ICT Productions zit security-awarenesstraining in pakket IJzersterk, voor €119 per werkplek per maand, exclusief btw. Daarin zitten ook 24/7-monitoring, EDR (software die verdacht gedrag op een apparaat herkent en blokkeert) en NIS2-ondersteuning. Voor 10 werkplekken is dat €1.190 per maand.

Wil je alleen een losse phishing-simulatie, zonder over te stappen naar IJzersterk? Die bieden we aan als extra security-module, per werkplek of als vast bedrag per organisatie. De prijs hangt af van het aantal medewerkers en staat in de offerte.

De technische basis tegen phishing, zoals MFA en beheer van Microsoft 365, zit al in pakket Sterk voor €54 per werkplek per maand. Alle pakketten vergelijk je op de prijzenpagina. Hoe we de training aanpakken, lees je op de pagina security-awarenesstraining. Wil je eerst weten hoe je mailbeveiliging er nu voor staat? Vraag een gratis ICT-scan aan. Meer over ons als IT-partner voor het MKB lees je op de homepage van ICT Productions.

---

Prijzen in dit artikel zijn vanaf-prijzen van oktober 2026, exclusief btw. Je werkelijke prijs hangt af van je situatie en staat in de offerte na een gratis ICT-scan.