Vrijwel elk groot incident dat wij bij MKB-bedrijven zien, begint op dezelfde manier: iemand klikt op een link of opent een bijlage. Niet omdat die persoon dom is, maar omdat het bericht op dat moment logisch leek en er haast bij was.
Techniek vangt het overgrote deel af. Maar wat doorkomt, komt precies door omdat het overtuigend is. De vraag is dus niet of er ooit iemand klikt, maar hoe snel u het weet als het gebeurt.
Waarom mensen erin trappen
Phishing werkt op emotie en tijdsdruk, niet op onwetendheid. Een factuur die vandaag betaald moet worden, een pakket dat niet bezorgd kan worden, een collega die vanuit een vergadering vraagt om snel iets te regelen. Onder druk vallen mensen terug op automatisch gedrag.
Dat verklaart ook waarom juist ervaren, drukke medewerkers geraakt worden. Wie tweehonderd mails per dag verwerkt, kijkt niet bij elk bericht kritisch naar het afzenderadres.
De grootste fout die werkgevers maken
Een afrekencultuur. Zodra medewerkers vrezen dat een klik gevolgen heeft voor hun beoordeling, gaan ze het verbergen. En een incident dat vier uur verzwegen wordt, is vele malen duurder dan een incident dat binnen vier minuten gemeld wordt.
Ons advies aan elke klant: spreek expliciet uit dat melden nooit tot verwijten leidt. Bedank iemand die meldt, ook als het loos alarm was. Dat is de goedkoopste beveiligingsmaatregel die er bestaat.
Wat een goede meldprocedure inhoudt
Het moet lachwekkend eenvoudig zijn. Eén knop in de mailclient, of één telefoonnummer. Als iemand eerst moet uitzoeken bij wie hij moet zijn, gebeurt het niet.
Wat uw medewerkers moeten weten
- Hoe ze een verdacht bericht met één handeling melden.
- Dat ze bij twijfel altijd mogen melden, ook zonder zekerheid.
- Dat ze bij een klik meteen moeten melden en niet zelf gaan proberen te herstellen.
- Dat een verzoek om betaling of een rekeningnummerwijziging altijd telefonisch geverifieerd wordt.
- Dat er nooit consequenties zijn voor het melden van een fout.
Simulaties: nuttig, mits goed gebruikt
Phishingsimulaties, waarbij u zelf testberichten stuurt, houden het onderwerp levend en maken zichtbaar waar de risico's zitten. Maar gebruik de uitkomsten nooit als afrekeninstrument of ranglijst.
Wat wel werkt: kort en concreet nabespreken wat dit specifieke bericht verraadde, en dat een paar keer per jaar herhalen. Eén jaarlijkse presentatie van een uur beklijft aantoonbaar minder dan vier keer vijf minuten.
Uw menselijke verdedigingslinie
- Er is één simpele manier om een verdacht bericht te melden.
- Melden leidt nooit tot verwijten; dit is expliciet uitgesproken.
- Externe e-mail wordt automatisch zichtbaar gemarkeerd.
- Betalingsverzoeken worden altijd via een bekend nummer geverifieerd.
- Het onderwerp komt meerdere keren per jaar kort terug, niet één keer lang.