Phishing blijft één van de succesvolste manieren om inloggegevens en bankdata te bemachtigen. Nepmails zijn zelfs voor het getrainde oog soms moeilijk van echt te onderscheiden, toch zijn er een aantal punten waaraan je phishing kunt herkennen.

In oktober publiceert NU.nl elk weekend op zaterdag en zondag achtergrond- en tipartikelen rondom het thema cybersecurity, vanwege de European Cybersecurity Maand.

Phishing is een methode waarbij kwaadwillenden met voornamelijk nepmailtjes hengelen naar persoonlijke data, zoals inlog- en bankgegevens. Een simpele, maar doeltreffende vorm van fraude, die aan de hand van een aantal kenmerken te herkennen en te vermijden is.

1. Controleer het e-mailadres

Vaak verraden zelfs de overtuigendste phishingmails zichzelf met het e-mailadres. Let er wel op dat de meeste diensten en apps voor e-mail de volledige naam van de afzender laten zien. Daar kan de afzender invullen wat hij wil, klik daarom altijd door naar het daadwerkelijke e-mailadres.

Malafide e-mailadressen zijn vaak op twee manieren te herkennen. Het makkelijkste geval is een opvallend adres als mail@x23emm.net of belastingdienst@gmail.com. Ook wordt vaak geprobeerd een bestaand adres te imiteren.

Zo stuurt de ING bijvoorbeeld berichten via klantenservice@ing.nl. Een phishingbericht waarin de afzender zich voordoet als de ING, zal bijvoorbeeld afkomstig zijn van klantenservice@ing.mail.nl. Let op de tekst achter de @: daar staat bij het malafide e-mailadres een punt tussen. E-mail van ING komt alleen van een adres dat eindigt op @ing.nl.

Toch is het ook mogelijk dat een phishingmail van een ogenschijnlijk legitiem adres komt of zelfs van je eigen e-mailadres.

2. Klik niet op links, geef geen informatie

De criminelen achter phishingmails willen graag informatie bij mensen lospeuteren of ze laten doorklikken naar een website, vaak een nepversie van een bekende inlogpagina. Klik daarom niet zomaar op links in berichten en geef geen persoonlijke informatie via de mail. Zeker als het gaat om berichten die van bijvoorbeeld de bank, creditcardaanbieder, overheid of sociale media lijken te komen.

Banken en de overheid stoppen voor de zekerheid bijvoorbeeld geen links in hun e-mail en vragen ook niet om persoonlijke informatie. Als er een bericht is waarvoor je moet inloggen, moet je zelf naar het juiste adres gaan in je browser. Dat is veel veiliger, aangezien je dan zelf controle hebt over welk adres je bezoekt.

Wil je toch op een link klikken, controleer hem dan even. Op pc's kun je het muispijltje boven een link laten hangen om het adres te bekijken. Op smartphones en tablets werkt dat door de link even ingedrukt te houden.

Gaat het om de link die je verwacht? Gaat hij bijvoorbeeld echt naar rabobank.nl, of naar rabobank-login.com? Als het adres er verdacht uitziet, met bijvoorbeeld lange reeksen tekens, klik dan niet door.

3. Let op taalgebruik

Phishingmails zijn vaak slordig geschreven en bevatten typefouten, vertaalfouten, spatiefouten of ongewoon taalgebruik. Ook is de vormgeving van de e-mail vaak niet zo verzorgd als die van echte e-mails van bijvoorbeeld banken en de overheid.

Ook kennen instanties vaak je naam, terwijl cybercriminelen een net uitgooien. Als je naam in de aanhef staat, wekt dat ook wat meer vertrouwen dan de algemene aanhef "geachte heer/mevrouw".

Er zijn echter ook zeer overtuigende en niet van echt te onderscheiden phishingmails in omloop, waar zelfs je eigen naam boven kan staan. Ook hierbij geldt dat je naar meer dan één kenmerk moet kijken.

4. Download en open geen vreemde bestanden

Als je een bestand krijgt toegestuurd van een afzender die je niet kent, download dat dan niet zomaar. Het bestand kan malware bevatten, dat bij het openen geïnstalleerd kan worden. Open op een apparaat met Windows niet zomaar bestanden die op .exe eindigen en op de Mac geen bestanden die eindigen op .dmg. Dat zijn installatiebestanden.

Open vooral geen bestanden die eindigen op .js, .ink, .wsf, .scr of .jar. Die bestanden bevatten scripts die na het aanklikken automatisch worden uitgevoerd.

5. Controleer bij twijfel

Op de site fraudehelpdesk.nl worden alle bekende phishingmails bijgehouden. Met dat overzicht kun je controleren of een verdachte e-mail inderdaad een phishingmail is.

Als je zeker weet dat je met malware te maken hebt, gooi de mail dan weg. Ook kun je melding maken van het bericht. Vooral vaak geïmiteerde instanties als banken en de overheid hebben interesse in welke phishingmails er rondgaan.