Je opent je inbox en ziet een e-mail van je bank. Nette opmaak, jouw volledige naam erboven, geen spelfouten, en een toon die precies klinkt zoals je van ABN AMRO of ING gewend bent. Toch is er iets wat niet helemaal klopt. Maar wat precies? Phishing herkennen is in 2026 een stuk lastiger dan een paar jaar geleden, toen een berichtje van ‘uw bankk’ met een kromme zin al genoeg was om argwaan te wekken. AI schrijft tegenwoordig vlekkeloos Nederlands, deepfake-stemmen imiteren je collega of accountmanager, en nep-PDF’s zien er uit alsof ze zo uit het kantoor van je notaris komen. Wij van Techguide.nl leggen uit welke nieuwe trucs phishers gebruiken en, belangrijker, hoe je ze doorziet voordat het te laat is.
Waarom je buikgevoel het steeds vaker mis heeft
De klassieke phishingmail was makkelijk te herkennen: vreemde afzender, gebrekkig Nederlands, een link die eruitzag als een aaneenschakeling van willekeurige letters. Die tijd is voorbij. Criminelen gebruiken nu AI-tools om berichten te schrijven die grammaticaal perfect zijn, de juiste aanspreekvorm hanteren en zelfs verwijzen naar je recente aankopen of werkgever. Dat laatste is geen toeval: ze scrapen LinkedIn, sociale media en datalekken om berichten op maat te maken.
Daarnaast zijn er deepfake-voicemails opgedoken waarbij de stem van een leidinggevende of bankmedewerker nauwkeurig wordt nagebootst. En dan zijn er de nep-PDF’s: bestanden met het logo van de Belastingdienst of een pakketbezorger, inclusief correcte huisstijl en een QR-code die je naar een valse inlogpagina stuurt.
Wat er in 2026 veranderd is: drie nieuwe aanvallen
Een paar methoden die de oude vuistregels echt onbruikbaar maken:
- QR-phishing via pakketpost. Een papieren briefje in je brievenbus met een QR-code: ‘Scan om uw pakket te herplannen.’ Geen e-mail, geen link, geen digitale vingerafdruk vooraf. Je telefoon scant en voor je het weet, sta je op een nagemaakte PostNL-pagina.
- AI-gepersonaliseerde e-mails. Op basis van je LinkedIn-profiel weet een aanvaller waar je werkt, wie je leidinggevende is en aan welk project je werkt, een vorm van gerichte cyberaanvallen. Het bericht klopt in elk detail, inclusief de naam van je collega en een verwijzing naar een recente vergadering.
- Clone-phishing. Een legitiem bericht dat je eerder ontving, wordt gekopieerd en opnieuw verstuurd, maar met een aangepaste link. Dezelfde afzender (nep), dezelfde opmaak, dezelfde bijlage, maar de inhoud is vervangen.
De checklist: zo doe je het stap voor stap
Wij van Techguide.nl hebben deze checklist samengesteld zodat je bij elk verdacht bericht precies weet wat je controleert en wat je doet als je iets vindt. Bewaar hem, want je hebt hem nodig op het moment dat je het minst verwacht.
Stap 1: Controleer de afzender op drie niveaus
De weergavenaam (‘ING Bank’) zegt niets. Kijk naar het echte e-mailadres erachter. Klik op de naam in je mailprogramma om het adres zichtbaar te maken. Staat daar iets als noreply@ing-beveiliging.net in plaats van een officieel @ing.nl-adres? Rood vlag. Ga dan nog een stap verder en controleer het domein: een adres als ing-klantenservice.com klinkt vertrouwd maar is niet het officiële domein. Zoek het echte domein op via de website van de organisatie, niet via de link in het bericht.
Stap 2: Scan de urgentie en het verzoek
Tijdsdruk is het sterkste manipulatiemiddel in de phishing-gereedschapskist. ‘Reageer binnen 24 uur’, ‘Uw account wordt geblokkeerd’, ‘Bevestig nu uw gegevens.’ Zodra je die woorden leest, is het moment om juist te vertragen. Stel jezelf de vraag: zou een echte bank of overheidsinstantie dit via e-mail eisen, met zo weinig tijd? Bijna nooit. Urgentie in een bericht is een teken om extra te checken, niet om te klikken.
Stap 3: Onderzoek elke link vóór je klikt
Op een computer kun je met je muis over een link hoveren zonder te klikken: de echte URL verschijnt dan linksonder in je scherm. Op telefoon houd je de link ingedrukt. Zie je een URL die afwijkt van de verwachte domeinnaam, of een onleesbare reeks tekens? Niet klikken. Wil je verder controleren? Kopieer de URL (zonder te openen) en plak hem in URLscan.io of VirusTotal.com. Die tools analyseren de link zonder dat jij er naartoe hoeft te gaan.
Stap 4: Verifieer bijlagen zonder ze te openen
Kijk eerst naar de bestandsextensie. In 2026 worden onder andere.pdf,.docm,.html en.svg misbruikt om malware te verbergen. Een ‘beveiligde PDF’ die je vraagt om macro’s in te schakelen of je gegevens in te voeren, is een klassieke val. Twijfel je? Upload de bijlage naar VirusTotal.com of gebruik een gratis online sandbox zoals any.run. Die openen het bestand in een beveiligde omgeving, zodat jij het niet hoeft te doen.
Stap 5: Toets de context aan wat je zelf weet
Verwachtte je dit bericht? Heb je recent een pakket besteld, een factuur aangevraagd, of contact gehad met deze organisatie? Als het antwoord nee is, is dat op zichzelf al een signaal. Klopt het tijdstip? Een ‘urgent bericht van de Belastingdienst’ dat op zaterdagnacht om 02.00 uur binnenkomt, past niet bij hoe overheidsinstanties communiceren. Gebruik je eigen kennis als filter.
Stap 6: Bel of typ, nooit klik
Wil je controleren of een bericht echt is? Zoek zelf het telefoonnummer of websiteadres op, via Google of de officiële app. Typ het adres zelf in je browser. Bel nooit het nummer dat in het verdachte bericht staat: dat nummer kan ook nep zijn en je rechtstreeks verbinden met de oplichter. Dit klinkt omslachtig, maar het is de enige manier om zeker te zijn.
Stap 7: Herken deepfake-signalen in audio en video
Ontvang je een voicemail van je ‘bank’ of een videobericht van een ‘collega’? Let op microvervormingen in de stem, onnatuurlijke pauzes midden in een zin en lippen die iets te laat of te vroeg bewegen ten opzichte van het geluid. Bij video kun je vragen om een live reactie: iets onverwachts zeggen of doen wat een vooraf gemaakt deepfake-filmpje niet kan bevatten. Twijfel je nog? Verifieer via een ander kanaal, zoals een directe terugbelactie via een zelfgezocht nummer.
De QR-code-val apart uitgelicht
QR-phishing is gevaarlijk omdat het de meeste stappen hierboven omzeilt: er is geen e-mailadres om te checken, geen link om te hoveren en geen bijlage om te scannen. Wat je wél kunt doen: lees de URL die je QR-scanner toont voordat je hem opent. Veel apps tonen de link eerst als preview. Staat er een onbekend of vreemd domein? Niet doorgaan. Vertrouw QR-codes in fysieke post van onbekende afzenders extra weinig: echte pakketbezorgers sturen je naar hun eigen, bekende app of website.
Als je twijfelt na de checklist
Kom je er niet uit? Dan is dit je actieplan:
- Maak een screenshot van het bericht.
- Stuur het bericht niet door, ook niet om het te tonen aan anderen.
- Meld het bij het NCSC-meldpunt (ncsc.nl) of bij de Fraudehelpdesk (fraudehelpdesk.nl).
- Informeer je IT-beheerder als het op je werkadres binnenkwam, zeker in een remote werkomgeving.
- Reset je wachtwoord via de officiële website van de dienst, niet via een link in het bericht.
Bewaar deze checklist voor het moment dat het telt
Phishing herkennen lukt het best als je de checklist bij de hand hebt op het moment dat je hem nodig hebt, niet achteraf. Druk hem af en leg hem naast je computer, sla hem op als achtergrond op je telefoon, of zet hem in een gedeeld document met je team. De seconden die je neemt om te controleren, zijn precies de seconden die een aanvaller wil stelen.
Modern phishing is niet meer herkenbaar aan spelfouten of een scheef logo. AI produceert teksten die overtuigender zijn dan wat veel echte medewerkers schrijven, en een deepfake-stem klinkt dichter bij de waarheid dan de meeste mensen verwachten. Aanvallers hebben wel een zwak punt: ze zijn afhankelijk van haast en paniek aan jouw kant. Neem de tijd, ga buiten het verdachte bericht om na of de situatie klopt, en kies zelf het kanaal waarmee je iets verifieert. Dat is geen ingewikkeld advies, maar het werkt.
