Praktische anti phishing maatregelen voor mkb

Een e-mail van een bekende leverancier, een betaalverzoek van de directeur of een melding van Microsoft dat een wachtwoord verloopt: phishing ziet er allang niet meer uit als een slordige e-mail uit het buitenland. Juist daarom zijn praktische anti phishing maatregelen nodig. Niet om medewerkers bang te maken, maar om te voorkomen dat één haastige klik leidt tot een lege rekening, een overgenomen mailbox of stilstand in uw bedrijf.

Voor mkb-bedrijven is phishing extra vervelend. U werkt met korte lijnen, mensen regelen veel zelf en er is niet altijd een interne ICT-afdeling die direct meekijkt. De oplossing is geen dik handboek dat niemand leest. Het gaat om een paar duidelijke afspraken, goed ingerichte e-mail en snelle hulp als iets niet klopt.

Waarom phishing nog steeds werkt

Phishing draait niet in de eerste plaats om techniek, maar om druk. Een bericht vraagt om directe actie: een factuur moet vandaag betaald worden, een pakket kan niet worden bezorgd of een account wordt binnen een uur geblokkeerd. Wie tussen klanten, personeel en leveranciers door werkt, kijkt sneller naar de afzendernaam dan naar het werkelijke e-mailadres.

Criminelen maken daarbij slim gebruik van informatie die openbaar beschikbaar is. Namen van directieleden staan op de website, leveranciers zijn zichtbaar op sociale media en e-mailhandtekeningen verraden vaak welke software een organisatie gebruikt. Met die gegevens schrijven ze berichten die geloofwaardig voelen.

Een spamfilter alleen is daarom niet genoeg. Goede filtering houdt veel tegen, maar geen enkele oplossing vangt ieder bericht af. U heeft ook mensen nodig die afwijkingen herkennen, plus technische instellingen die schade beperken als iemand toch inloggegevens invult.

Praktische anti phishing maatregelen die direct verschil maken

Begin bij de momenten waarop een fout grote gevolgen heeft: inloggen, betalingen doen, facturen verwerken en e-mail doorsturen. Daar wilt u niet afhankelijk zijn van één persoon, één wachtwoord of één snelle beslissing.

Maak multifactor-authenticatie standaard

Multifactor-authenticatie, vaak MFA genoemd, vraagt naast een wachtwoord om een extra bevestiging via een app, beveiligingssleutel of sms. Een gestolen wachtwoord is dan meestal niet voldoende om in een mailbox of cloudomgeving te komen.

Zet MFA in elk geval aan voor e-mail, Microsoft 365 of Google Workspace, boekhoudsoftware, bankieren, externe toegang en beheerdersaccounts. Begin met accounts die veel rechten hebben of financiële gegevens bevatten. Een authenticator-app is veiliger dan sms, omdat simkaarten kunnen worden misbruikt. Voor medewerkers die veel met gevoelige systemen werken, is een fysieke beveiligingssleutel een logische volgende stap.

Er is wel een aandachtspunt: MFA-vermoeidheid bestaat. Medewerkers die onverwacht meerdere goedkeuringsmeldingen ontvangen, moeten nooit op ‘goedkeuren’ drukken om ervan af te zijn. Zo’n melding kan juist betekenen dat iemand met hun wachtwoord probeert in te loggen.

Spreek een vaste betaalcontrole af

De duurste phishingaanvallen gaan vaak niet over een schadelijke bijlage, maar over een gewijzigd rekeningnummer. Een fraudeur doet zich voor als leverancier, directeur of collega en vraagt om haast. Soms onderscheppen zij eerst een mailbox en lezen zij wekenlang mee, zodat de factuur en toon van het bericht volledig geloofwaardig zijn.

Maak daarom één regel niet onderhandelbaar: een nieuw rekeningnummer of een spoedbetaling wordt altijd gecontroleerd via een bekend telefoonnummer. Niet via het nummer in de e-mail, niet via een antwoord op hetzelfde bericht. Laat daarnaast boven een afgesproken bedrag altijd een tweede persoon akkoord geven.

Dit kost soms een paar minuten extra. Die minuten zijn goedkoper dan een betaling die niet meer terug te halen is. Communiceer deze werkwijze ook naar leveranciers, zodat een extra belletje niet als wantrouwen voelt maar als normale bedrijfszorgvuldigheid.

Leer medewerkers kijken naar het hele bericht

Een korte, gerichte instructie werkt beter dan één verplichte training per jaar met twintig dia’s. Laat medewerkers weten waarop zij moeten letten: het volledige afzenderadres, een onverwachte link, een afwijkend verzoek, taalgebruik dat niet bij de afzender past en druk om snel te handelen.

De beste controlevraag is eenvoudig: verwachtte ik dit bericht? Een pdf-factuur van een vaste leverancier kan normaal zijn. Dezelfde factuur in een zipbestand, met een betaalverzoek naar een nieuw rekeningnummer, verdient controle. Ook een e-mail van een collega kan vals zijn als het verzoek ongebruikelijk is.

Zorg vooral dat melden makkelijk is. Een medewerker die twijfelt, moet zonder gêne kunnen bellen of het bericht kunnen doorsturen naar de verantwoordelijke persoon. Maak van een vals alarm geen probleem. Liever tien keer samen kijken dan één keer te laat reageren.

Richt e-mail technisch goed in

Goede e-mailbeveiliging werkt op de achtergrond en haalt veel rommel weg voordat medewerkers die zien. Denk aan spam- en malwarefiltering, bescherming tegen verdachte links en blokkades op gevaarlijke bijlagen. Niet iedere bijlage hoeft standaard geblokkeerd te worden, maar bestanden die nauwelijks zakelijk nodig zijn, zoals uitvoerbare programma’s, horen niet zomaar in een mailbox terecht te komen.

Ook de domeininstellingen SPF, DKIM en DMARC verdienen aandacht. Deze instellingen helpen ontvangende mailservers controleren of een e-mail daadwerkelijk namens uw domein verzonden mag worden. Dat beperkt misbruik van uw bedrijfsnaam en vergroot de kans dat legitieme e-mail goed wordt afgeleverd.

De juiste DMARC-instelling hangt af van uw situatie. Versturen nieuwsbrieven, een boekhoudpakket, scanners of een externe partij e-mail namens uw domein? Dan moeten die systemen eerst correct worden opgenomen. Te streng instellen zonder controle kan ervoor zorgen dat echte e-mail niet aankomt. Eerst inzicht krijgen, daarna aanscherpen: dat is de nuchtere route.

Beperk de schade als er toch wordt geklikt

Geen enkele organisatie kan beloven dat niemand ooit op een verkeerde link klikt. De vraag is daarom ook: wat gebeurt er daarna? Met beperkte rechten, goede back-ups en duidelijke procedures blijft een incident beheersbaar in plaats van ontwrichtend.

Geef medewerkers alleen toegang tot wat zij voor hun werk nodig hebben. Iemand die facturen invoert, hoeft niet automatisch beheerder van alle cloudaccounts te zijn. Gebruik aparte beheeraccounts voor technische werkzaamheden en deel geen algemene inloggegevens in een team. Gedeelde mailboxen zijn prima, gedeelde wachtwoorden niet.

Maak daarnaast back-ups die losstaan van de dagelijkse werkomgeving en test regelmatig of bestanden daadwerkelijk teruggezet kunnen worden. Back-ups helpen niet tegen een frauduleuze betaling, maar wel tegen versleutelde bestanden of verwijderde data na een overgenomen account.

Wat doet u bij een verdachte e-mail?

Handel rustig, maar wacht niet af. Laat de medewerker niet verder klikken en laat het bericht staan. Als er alleen een verdachte e-mail is ontvangen, kan uw ICT-partner controleren of het bericht ook bij anderen is binnengekomen en aanvullende blokkades instellen.

Zijn er wachtwoorden ingevuld of is een MFA-melding onterecht goedgekeurd? Wijzig het wachtwoord direct, trek actieve sessies in en controleer of er doorstuurregels in de mailbox zijn geplaatst. Criminelen maken zulke regels vaak aan om e-mail onzichtbaar mee te lezen. Controleer ook verzonden berichten, gedeelde bestanden en recente inloglocaties.

Bij een mogelijke betaalfraude moet de bank onmiddellijk worden gebeld. Wacht niet tot de volgende werkdag en probeer het niet eerst intern helemaal uit te zoeken. Snel melden vergroot de kans dat een betaling wordt tegengehouden.

Maak phishingbestrijding onderdeel van normaal werk

Phishingpreventie hoeft geen los ICT-project te zijn. Verwerk de afspraken in het inwerkproces, bespreek opvallende berichten kort in een werkoverleg en herhaal de betaalcontrole wanneer iemand nieuw bij finance begint. Na een incident bespreekt u zonder schuldvraag wat er gebeurde en welke stap beter kan. Dat levert meer op dan een medewerker publiekelijk aanspreken op een fout.

Voor veel mkb-bedrijven is het verstandig om e-mail, domeinbeheer, beveiliging en dagelijkse support bij één partij te beleggen. Dan is duidelijk wie kan ingrijpen als een account verdacht gedrag vertoont en wie de technische instellingen beheert. NLXS helpt bedrijven daarbij met beheer dat begrijpelijk blijft: geen ingewikkelde verhalen, wel snel handelen wanneer er iets speelt.

De meest bruikbare stap voor deze week? Kies één betaalcontrole, zet MFA aan op accounts waar dat nog ontbreekt en vertel medewerkers precies wie zij moeten bellen bij twijfel. Daarmee maakt u phishing niet onmogelijk, maar wel een stuk minder kansrijk.