De spamfilter-mythe, en waarom gerichte phishing telt

Veel ondernemers denken: "Ons spamfilter vangt het meeste wel op, dus we zijn redelijk veilig." Dat klopt voor massamail, maar de dreiging verschuift. Spearphishing nam in een jaar tijd met 41,1 procent toe, terwijl massale campagnes afnemen. Dat meldt KnowBe4 in het Phishing Threat Trends Report Vol. 8 van 29 oktober 2026.

Spearphishing is een phishingbericht dat is geschreven voor één specifieke persoon of organisatie, op basis van informatie die de aanvaller vooraf heeft verzameld. Zie het als het verschil tussen een flyer die door elke brievenbus gaat en een brief met jouw naam, jouw leverancier en jouw factuurnummer erin.

Het kernpunt: minder spam betekent niet minder risico. Het spamfilter vangt vooral de ongerichte berichten. Gerichte berichten komen er vaker doorheen, en juist die kosten geld.

Waarom een flyer en een persoonlijke brief niet hetzelfde zijn

Een flyer valt op door volume. Honderdduizenden mensen krijgen dezelfde tekst, dus filters leren hem snel herkennen. Een persoonlijke brief valt niet op, want hij lijkt op de mail die een collega of leverancier elke week stuurt. Er zit geen spelfout in en geen vreemde afzender die meteen opvalt.

Dat verklaart de cijfers. Mobiele scams daalden met 47,3 procent en 419-fraude met 31,3 procent. Het totale aantal phishingaanvallen steeg juist met 29,8 procent. Criminelen sturen dus niet minder, ze sturen slimmer. Van de gevaarlijke phishingmails kwam 41,3 procent door secure email gateways heen.

Hoe een gerichte aanval werkt

Eerst verkennen

Het verkennen van doelwitten steeg met 33,7 procent. Aanvallers zoeken uit wie bij jullie de betalingen doet, wie de directeur is en met welke leveranciers jullie werken. Het NCSC meldt dat een aanvaller zijn doelwit gemiddeld 72 dagen observeert voordat hij toeslaat.

Bedrijfsimitatie en BEC

Business email compromise (BEC) was goed voor 51,2 procent van de geanalyseerde phishingmails. Bedrijfsimitatie nam met 28 procent toe. HR, financiële afdelingen en directie worden het vaakst getroffen. Het bericht komt bijvoorbeeld van een "leverancier" met een nieuw rekeningnummer.

Legitieme infrastructuur en kant-en-klare toolkits

In het derde kwartaal van 2026 was de kans twee keer zo groot dat phishing afkomstig was van legitieme infrastructuur, vergeleken met het kwartaal ervoor. Phishing via commerciële toolkits groeide met 54 procent en is nu goed voor 29,2 procent van alle inkomende kwaadaardige e-mails. Aanvallen worden daardoor goedkoper en professioneler.

AI maakt het snel en overtuigend

Met generatieve AI zetten aanvallers actueel nieuws 5,4 keer sneller om in phishinglokmiddelen dan in 2022. Aanvallen die zich voordoen als AI-merken stegen tussen maart en augustus met 228 procent. Jack Chapman van KnowBe4 stelt dat klassieke adviezen, zoals het afzenderadres controleren en op het slotje letten, een basis blijven maar steeds minder effectief zijn.

Toegang stelen in plaats van wachtwoorden

Aanvallers richten zich steeds vaker op toegangsrechten, bijvoorbeeld via device-code-aanmeldingen en OAuth-toestemmingsverzoeken. Een wachtwoordreset is dan mogelijk niet genoeg om de toegang af te sluiten. Technisch gezien heeft de aanvaller dan een token of toestemming die blijft werken, ook met een nieuw wachtwoord.

Hoe zit het in Nederland?

Nederlandse organisaties ontvangen gemiddeld één phishingmail per 639 mails, tegenover één op de 733 wereldwijd, zo meldt AVROTROS Opgelicht. In 50,1 procent van de Nederlandse aanvallen worden technische trucs ingezet, tegenover 30,4 procent wereldwijd. Social engineering komt in Nederland in 19 procent van de aanvallen voor, wereldwijd in 46,8 procent. Ook de timing is voorspelbaar: 90,4 procent van de phishingberichten komt binnen van maandag tot en met vrijdag, met maandag als piek (20,6 procent).

Een hypothetisch scenario: de gewijzigde factuur

Stel dat een installatiebedrijf met 25 medewerkers maandenlang mail uitwisselt met een groothandel. Een aanvaller leest mee, of weet uit openbare bronnen genoeg. Op een maandagochtend ontvangt de financieel medewerker een mail met een correct factuurnummer en de mededeling dat het rekeningnummer is gewijzigd. De mail komt door het filter, want er zit geen link of bijlage in.

Er wordt 38.000 euro overgemaakt. Het NCSC noemt een gemiddelde schade van ongeveer 118.000 euro per BEC-incident, en de verzekeraar vergoedt meestal niets, omdat de betaling uit eigen beweging is gedaan. Het probleem zit niet bij de medewerker: er was geen tweede controlestap in het betaalproces.

Wat kun je nu doen?

1. Bevestig betalingen en gewijzigde rekeningnummers altijd via een tweede kanaal, zoals een telefoontje naar een nummer dat je al kent.

2. Controleer welke apps OAuth-toestemming hebben in je Microsoft 365- of Google-omgeving, en beperk of blokkeer device-code-aanmelding als je die niet gebruikt.

3. Reset na een incident niet alleen het wachtwoord, maar trek ook sessies en tokens in.

4. Train financiën, HR en directie specifiek, want zij zijn het vaakst het doelwit.

5. Vraag je IT-dienstverlener naar de BEC-bescherming van je omgeving. Het NCSC beschrijft in de praktische tips voor mkb'ers welke vragen je kunt stellen.

Bij Ratho zien we dat bedrijven vaak veel aandacht hebben voor het filter en weinig voor het betaalproces en de toegangsrechten. Juist daar gaat het bij gerichte aanvallen mis.