No malware, no exploit — just a convincing message and a moment of trust. In plain language: how each trick works, what it costs us, and the single control that takes the sting out of the click. Geen malware, geen exploit — alleen een overtuigend bericht en een moment van vertrouwen. In gewone taal: hoe elke truc werkt, wat het ons kost, en welke maatregel de klik onschadelijk maakt.
The message says a document is waiting, a password is expiring, or a parcel could not be delivered. The link opens a page that looks exactly like ours — same logo, same colours, a web address one letter off. The employee types their password. Kits such as Tycoon2FA relay everything to the real site in real time, MFA step included, and keep the session cookie that comes back: adversary-in-the-middle. The attacker is signed in, and the employee has no idea. Some lures need no password: a genuine Microsoft page asks for a device code, or consent phishing gets a fake app access to the mailbox.
Business impact: a stolen password or session is the starting point for almost every serious incident, from mailbox takeover to the ransomware chain. The employee cannot spot a good fake — nobody can, reliably. A control that works should not depend on the person noticing.
Het bericht meldt dat er een document klaarstaat, een wachtwoord verloopt of een pakket niet bezorgd kon worden. De link opent een pagina die er precies uitziet als de onze — hetzelfde logo, dezelfde kleuren, een webadres met één letter verschil. De medewerker typt zijn wachtwoord. Kits zoals Tycoon2FA spelen alles live door naar de echte site, de MFA-stap inbegrepen, en houden het sessiecookie dat terugkomt: adversary-in-the-middle. De aanvaller is ingelogd, en de medewerker merkt niets. Sommige lokkertjes hebben geen wachtwoord nodig: een echte Microsoft-pagina vraagt om een apparaatcode, of consent phishing geeft een nep-app toegang tot de mailbox.
Bedrijfsimpact: een gestolen wachtwoord of sessie is het startpunt van bijna elk ernstig incident, van een overgenomen mailbox tot de ransomwareketen. De medewerker kan een goede vervalsing niet herkennen — niemand kan dat betrouwbaar. Een maatregel die werkt, hoort niet af te hangen van iemand die het opmerkt.
Cloning a login page and relaying a password was already a commodity phishing-kit trick. What AI adds is the lure: personalised, error-free text written in seconds per target, pulling real names from public profiles, slipping past filters trained on generic templates.Een inlogpagina klonen en een wachtwoord doorspelen was al een standaardtruc uit phishingkits. Wat AI toevoegt is de lokzin: persoonlijke, foutloze tekst in seconden per doelwit, met echte namen uit openbare profielen, die filters omzeilt die getraind zijn op standaardteksten.
An email writing assistant plugged into an employee's own mailbox to save time can be steered off course by hidden instructions buried in an incoming message, quietly auto-forwarding a login session and handing an attacker access without a single click from the employee.Een e-mailassistent die in de mailbox van een medewerker is geplaatst om tijd te besparen, kan door verborgen instructies in een binnenkomend bericht van koers worden gebracht, en stuurt dan stilletjes een inlogsessie door, waarmee een aanvaller toegang krijgt zonder dat er geklikt wordt.
AI can flag look-alike domains and unusual sign-in patterns faster than a manual blocklist ever could, but the control that actually stops this is phishing-resistant authentication that refuses to send a credential to the wrong site, however good the fake looks.AI kan nagemaakte domeinen en vreemde inlogpatronen sneller signaleren dan een handmatige blokkeerlijst, maar wat dit echt stopt is phishingbestendige authenticatie die weigert een wachtwoord naar de verkeerde site te sturen, hoe goed de vervalsing er ook uitziet.
“We have MFA” is where most boards stop worrying. Attackers did not. With the stolen password they trigger a login, and the employee's phone buzzes: approve? They decline. It buzzes again. And again, late in the evening, until one tap makes it stop. The other route is faster still: the fake page from step 01 simply asks for the six-digit code too, and relays it to the real site while it is still valid: about thirty seconds for an app code, often minutes for a text message.
Business impact: a code that a person can read out or type in is a code a person can be tricked into handing over. Codes by text message and app prompts stop the casual attacker, not the one who has already chosen us. Passkeys and hardware keys cannot be relayed — they only answer to the genuine site — which is why they are often the most effective fix for steps 01 and 02 at once.
“Wij hebben MFA” is waar de meeste directies stoppen met zorgen maken. Aanvallers niet. Met het gestolen wachtwoord starten ze een inlog, en de telefoon van de medewerker trilt: goedkeuren? Hij weigert. Hij trilt opnieuw. En opnieuw, laat op de avond, tot één tik het laat ophouden. De andere route is nog sneller: de nagemaakte pagina uit stap 01 vraagt gewoon ook om de zescijferige code, en speelt die door naar de echte site zolang hij geldig is: zo'n dertig seconden voor een app-code, vaak minuten voor een sms.
Bedrijfsimpact: een code die een mens kan voorlezen of intypen, is een code die een mens kan worden afgetroggeld. Sms-codes en app-meldingen stoppen de toevallige aanvaller, niet degene die ons al heeft uitgekozen. Passkeys en hardwaresleutels zijn niet door te spelen — ze antwoorden alleen de echte site — en daarom zijn ze vaak de meest effectieve oplossing voor stap 01 en 02 tegelijk.
Push-bombing and real-time code relay were already scripted years before AI. What AI adds is context: a wave of AI-written follow-up messages, made to look like real IT alerts, that explain away the repeated prompts and raise the odds someone finally taps approve.Push-bombing en het live doorspelen van codes waren al jaren voor AI gescript. Wat AI toevoegt is context: een golf van AI-geschreven vervolgberichten die op echte IT-meldingen lijken, de herhaalde meldingen verklaren, en de kans vergroten dat iemand uiteindelijk toch goedkeurt.
An AI-cloned voice posing as the IT helpdesk can call the employee directly, sounding exactly like a real colleague, and calmly talk them through approving the prompt or reading out the code while it is still valid.Een met AI nagemaakte stem die zich voordoet als de IT-helpdesk kan de medewerker rechtstreeks bellen, precies klinkend als een echte collega, en hem rustig overhalen de melding goed te keuren of de code voor te lezen terwijl die nog geldig is.
AI can detect a burst of repeated push prompts and lock the account after a few, cutting off the fatigue tactic automatically, but the control that actually holds is phishing-resistant MFA, which cannot be relayed, read out, or approved by mistake.AI kan een reeks herhaalde inlogmeldingen herkennen en het account na een paar keer automatisch blokkeren, maar wat echt standhoudt is phishingbestendige MFA, die niet kan worden doorgespeeld, voorgelezen of per ongeluk goedgekeurd.
Nothing technical happens here at all. A message arrives from the CEO — or from a supplier the company has paid for years — asking for an urgent transfer, or announcing “new bank details”. It is well written, it knows the names, it arrives late on a Friday, and it discourages a phone call. Sometimes it comes from a mailbox taken over in step 01, which makes it genuinely from the right address. Finance does what Finance is asked to do.
Business impact: direct and often uninsured loss — the money is moved on within hours. Call the bank at once: a fast recall sometimes succeeds. No filter catches it, because there is nothing malicious to catch. The strongest defence is procedural: every payment instruction, and every change of bank details, is confirmed through a second channel using a number we already had. Not the number in the email. And “the CEO said urgent” never overrides that step.
Hier gebeurt technisch helemaal niets. Er komt een bericht van de CEO — of van een leverancier die het bedrijf al jaren betaalt — met een dringend betaalverzoek, of met “nieuwe bankgegevens”. Het is goed geschreven, het kent de namen, het komt laat op vrijdag, en het ontmoedigt een telefoontje. Soms komt het uit een mailbox die in stap 01 is overgenomen, waardoor het écht van het juiste adres komt. Finance doet wat Finance gevraagd wordt.
Bedrijfsimpact: direct en vaak onverzekerd verlies — het geld is binnen uren doorgesluisd. Bel meteen de bank: een snelle terugboeking lukt soms. Geen filter vangt dit, want er valt niets kwaadaardigs te vangen. De sterkste verdediging is procedureel: elke betaalinstructie, en elke wijziging van bankgegevens, wordt bevestigd via een tweede kanaal met een nummer dat we al hadden. Niet het nummer uit de e-mail. En “de CEO zei dat het dringend was” zet die stap nooit opzij.
AI voice cloning and text generation trained on a CEO's public speeches and old emails can produce an urgent payment request that matches their tone exactly, making the fake far harder to spot than the clumsy version of a few years ago.AI-stemklonen en teksten die getraind zijn op openbare speeches en oude e-mails van de CEO kunnen een dringend betaalverzoek maken dat precies de juiste toon raakt, veel moeilijker te herkennen dan de onhandige versie van een paar jaar terug.
A writing assistant trusted to triage urgent finance email can be led, through a convincing thread, to auto-draft a reply confirming new bank details, skipping the human check the message was designed to bypass in the first place.Een schrijfassistent die dringende financemail moet voorsorteren, kan door een overtuigende mailwisseling worden verleid tot het automatisch bevestigen van nieuwe bankgegevens, en slaat zo precies de menselijke controle over die het bericht probeerde te omzeilen.
AI can flag payment requests using urgent language, an unfamiliar style or a first-time bank account, prioritising them for review, but what actually holds is the mandatory call-back on a number we already had, which no fake voice or email passes.AI kan betaalverzoeken met dringende taal, een ongebruikelijke schrijfstijl of een nieuwe bankrekening markeren voor extra controle, maar wat echt standhoudt is het verplichte terugbellen op een bekend nummer, wat geen nagemaakte stem of e-mail passeert.
Everything we built to inspect email is bypassed by simply not using email. A text about a missed delivery. A phone call from “the IT helpdesk” asking the employee to read out the code that just arrived. A QR code on a poster, or inside a PDF, that the mail filter cannot follow. A ClickFix page: a fake CAPTCHA asks the employee to paste a “verification” command that installs malware. A message on a chat app from a colleague's cloned account. The device is often the employee's own phone — outside our network, outside our filters, and outside our visibility.
Business impact: the attack surface is every channel a person can be reached on, not the ones we monitor. The controls that still work here are the ones that do not depend on the channel at all: a login that refuses the wrong site, a payment procedure that insists on a call-back, and staff who know that a report is always welcome and never punished — even when they already clicked.
Alles wat we bouwden om e-mail te controleren, wordt omzeild door simpelweg geen e-mail te gebruiken. Een sms over een gemiste bezorging. Een telefoontje van “de IT-helpdesk” met het verzoek de zojuist ontvangen code voor te lezen. Een QR-code op een poster, of in een pdf, die het mailfilter niet kan volgen. Een ClickFix-pagina: een nep-CAPTCHA laat de medewerker een “verificatiecommando” plakken dat malware installeert. Een bericht in een chat-app vanaf het gekloonde account van een collega. Het apparaat is vaak de eigen telefoon van de medewerker — buiten ons netwerk, buiten onze filters, buiten ons zicht.
Bedrijfsimpact: het aanvalsoppervlak is elk kanaal waarop een mens bereikbaar is, niet alleen de kanalen die wij bewaken. De maatregelen die hier nog werken, zijn die welke niet van het kanaal afhangen: een inlog die de verkeerde site weigert, een betaalprocedure die om terugbellen vraagt, en medewerkers die weten dat melden altijd welkom is en nooit bestraft wordt — ook als ze al geklikt hebben.
AI lets attackers generate large volumes of convincing texts, calls and QR-coded lures in any language at once, each personalised with names and details scraped from public profiles, so one campaign reaches staff on every channel and every private phone simultaneously.AI laat aanvallers grote hoeveelheden overtuigende sms'jes, telefoontjes en misleidende QR-codes in elke taal tegelijk maken, elk gepersonaliseerd met namen en details van openbare profielen, zodat één campagne personeel raakt op elk kanaal en elke privételefoon tegelijk.
A cloned voice or chat persona copied from a colleague's public posts can carry on a natural back-and-forth conversation on a messaging app, walking an employee through the trick step by step in a way a scripted message never could.Een gekloonde stem of chatpersoonlijkheid, gekopieerd van de openbare berichten van een collega, kan op een chat-app een natuurlijk gesprek voeren en een medewerker stap voor stap door de truc heen praten, iets wat een vast script nooit kon.
AI can triage a reported message fast and warn everyone about the same lure the moment one person flags it, but that only works if staff actually report it, which needs a culture that welcomes every report and never punishes a click.AI kan een gemelde boodschap snel beoordelen en iedereen waarschuwen zodra één persoon meldt, maar dat werkt alleen als medewerkers ook echt melden, en dat vraagt een cultuur die elke melding verwelkomt en een klik nooit bestraft.
| Control | Takes the sting out of | In one line |
|---|---|---|
| Passkeys / hardware keys | The page (01), the code (02) | A login bound to the real website. A fake page gets nothing, a relayed code does not exist. Start with administrators and Finance. |
| Number matching | The code (02) | Until passkeys are everywhere: the sign-in screen shows a number the employee types into the authenticator app, so a random late-night tap approves nothing. Microsoft enforces this for every Authenticator push prompt. It does not stop a relay. Cap the number of prompts. |
| Call-back procedure | The request (03) | Every payment instruction and every bank-detail change is confirmed by phone, on a number we already had on file. No exceptions for urgency or seniority. |
| Four eyes on payments | The request (03) | Above a threshold, two people release a transfer. One of them is allowed to say no to the CEO. |
| Mail filtering + banners | The page (01) | Block known-bad links and attachments; mark external senders and look-alike names visibly. Lowers the volume, never to zero. |
| Browser protection | The page (01), the channels (04) | The browser and phone warn on or block known phishing sites, whatever channel delivered the link. |
| Report button | All four | One click to report, a thank-you back within the hour, and never a reprimand — including for people who already clicked. Fast reports are how we catch the campaign. |
| Simulations | All four | Run to measure how fast people report, not to shame the ones who click. Publish the report rate, not the names. |
| Fast reset | The page (01) | A reported click leads to a password reset and session sign-out within minutes, not a ticket that waits until Monday. |
| Maatregel | Haalt de angel uit | In één zin |
|---|---|---|
| Passkeys / hardwaresleutels | De pagina (01), de code (02) | Een inlog die vastzit aan de echte website. Een nagemaakte pagina krijgt niets, een door te spelen code bestaat niet. Begin bij beheerders en Finance. |
| Cijfercontrole | De code (02) | Tot passkeys overal zijn: het inlogscherm toont een getal dat de medewerker in de authenticator-app intypt, zodat een willekeurige tik 's avonds laat niets goedkeurt. Microsoft dwingt dit af voor elke pushmelding van Authenticator. Tegen doorspelen helpt het niet. Begrens het aantal meldingen. |
| Terugbelprocedure | Het verzoek (03) | Elke betaalinstructie en elke wijziging van bankgegevens wordt telefonisch bevestigd, op een nummer dat we al hadden. Geen uitzondering voor haast of rang. |
| Vier ogen op betalingen | Het verzoek (03) | Boven een grens geven twee mensen een overboeking vrij. Een van hen mag nee zeggen tegen de CEO. |
| Mailfiltering + markering | De pagina (01) | Blokkeer bekende kwaadaardige links en bijlagen; markeer externe afzenders en lookalike-namen zichtbaar. Verlaagt het volume, nooit tot nul. |
| Browserbescherming | De pagina (01), de kanalen (04) | Browser en telefoon waarschuwen bij of blokkeren bekende phishingsites, via welk kanaal de link ook binnenkwam. |
| Meldknop | Alle vier | Eén klik om te melden, binnen het uur een bedankje terug, en nooit een reprimande — ook niet voor wie al geklikt heeft. Snelle meldingen zijn hoe we de campagne vangen. |
| Oefeningen | Alle vier | Om te meten hoe snel mensen melden, niet om klikkers aan de schandpaal te nagelen. Publiceer het meldpercentage, niet de namen. |
| Snelle reset | De pagina (01) | Een gemelde klik leidt binnen minuten tot een wachtwoordreset en uitloggen van alle sessies, niet tot een ticket dat wacht tot maandag. |
Every employee with an inbox or a phone is a target, every week. Someone will click; the only question is what happens next.Elke medewerker met een mailbox of telefoon is doelwit, elke week. Iemand gaat klikken; de enige vraag is wat er dan gebeurt.
Direct, often unrecoverable payment loss; a taken-over mailbox used against customers and staff; the first step of a larger intrusion.Direct, vaak onherstelbaar betaalverlies; een overgenomen mailbox die tegen klanten en medewerkers wordt ingezet; de eerste stap van een grotere inbraak.
Clicks continue. With passkeys a stolen password or relayed code is worthless and with a call-back procedure a fake request moves no money. Malware and app consents remain.Er wordt nog steeds geklikt. Met passkeys is een gestolen wachtwoord of doorgespeelde code waardeloos en met een terugbelprocedure verplaatst een vals verzoek geen geld. Malware en app-toestemmingen blijven een risico.
The CFO owns the payment procedure, the CIO the login. HR owns the no-blame reporting culture. Nobody owns “people should know better”.De CFO is eigenaar van de betaalprocedure, de CIO van de inlog. HR van de meldcultuur zonder schuld. Niemand is eigenaar van “mensen moeten beter weten”.
Report rate within one hour of a simulation · click rate, as a trend not a verdict · % of staff and administrators on phishing-resistant MFA · % of payments and bank-detail changes verified out-of-band.Meldpercentage binnen een uur na een oefening · klikpercentage, als trend en niet als oordeel · % medewerkers en beheerders met phishingbestendige MFA · % betalingen en bankwijzigingen die via een tweede kanaal zijn geverifieerd.
“A phishing message on any channel leads to a stolen login, an approved MFA prompt or a fraudulent payment, causing direct financial loss, account takeover and a route into the network.”“Een phishingbericht via welk kanaal ook leidt tot een gestolen inlog, een goedgekeurde MFA-melding of een frauduleuze betaling, met direct financieel verlies, accountovername en een toegangsweg tot het netwerk als gevolg.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | Basic cyber hygiene and security awareness training are named among the required measures, as is multi-factor authentication. NIS2 requires management to follow training itself and approve the measures. Confirm scope with legal. | There is no NIS2 certificate. Ask how the supplier trains its staff, whether its logins are phishing-resistant, and how it verifies instructions that appear to come from you. | A large-scale account compromise or fraud can count as a significant incident if it meets the thresholds: early warning within 24 hours of becoming aware, incident notification within 72 hours, final report within one month. Confirm with legal. |
| DORA | For financial entities: an ICT security awareness programme and digital resilience training for all staff, including management, plus strong authentication for access to ICT systems. | Ask what their report says about staff phishing results and about how they authenticate a payment or change instruction from you before acting on it. | Payment fraud through compromised accounts can count as a major ICT incident if it meets the criteria: initial notification within 4 hours of classifying it (at most 24 hours after becoming aware), intermediate report within 72 hours, final report within one month. |
| SOC 2 | If you issue one: security awareness training, logical access and MFA are tested over a period (Type II). A failed simulation trend or an admin without MFA becomes an exception in print. | Read the exceptions on awareness and access first. CEO fraud at a supplier can redirect your payments too: check how they verify changed payment details. | A takeover or fraud appears in the next report as a deviation, the auditors test the response, and customers ask for a bridge letter and root-cause analysis. |
| ISAE 3402 | Assurance over outsourced processes relevant to financial reporting, with a focus on authorisation of instructions. Awareness controls are only present if the service organisation put them in scope. | Ask one question: how do they verify a changed bank account or an urgent payment instruction that arrives by email? If the answer is not in the report, ask for it in writing. | A payment made on a forged instruction is a control failure that can appear as a deviation in the next report. ISAE 3402 creates no duty to notify user auditors; ask for interim disclosure in the contract. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | Basale cyberhygiëne en bewustwordingstraining staan expliciet tussen de vereiste maatregelen, net als multifactorauthenticatie. NIS2 vraagt dat het bestuur zelf training volgt en de maatregelen goedkeurt. Bevestig de reikwijdte met legal. | Er bestaat geen NIS2-certificaat. Vraag hoe de leverancier zijn medewerkers traint, of zijn inlogs phishingbestendig zijn, en hoe hij instructies verifieert die van u lijken te komen. | Een grootschalige accountovername of fraude kan als significant incident gelden als die de drempels haalt: vroegtijdige waarschuwing binnen 24 uur na kennisname, incidentmelding binnen 72 uur, eindrapport binnen een maand. Bevestig dit met legal. |
| DORA | Voor financiële instellingen: een ICT-bewustwordingsprogramma en weerbaarheidstraining voor alle medewerkers, inclusief het bestuur, plus sterke authenticatie voor toegang tot ICT-systemen. | Vraag wat hun rapport zegt over phishingresultaten van hun medewerkers en over hoe zij een betaal- of wijzigingsinstructie van u verifiëren voordat ze die uitvoeren. | Betaalfraude via overgenomen accounts kan als ernstig ICT-incident gelden als die aan de criteria voldoet: eerste melding binnen 4 uur na classificatie (uiterlijk 24 uur na kennisname), tussenrapport binnen 72 uur, eindrapport binnen een maand. |
| SOC 2 | Als u er zelf een afgeeft: bewustwordingstraining, logische toegang en MFA worden over een periode getest (Type II). Een slechte oefentrend of een beheerder zonder MFA wordt een afwijking op papier. | Lees eerst de afwijkingen op bewustwording en toegang. CEO-fraude bij een leverancier kan ook uw betalingen omleiden: controleer hoe zij gewijzigde betaalgegevens verifiëren. | Een overname of fraude verschijnt in het volgende rapport als afwijking, de auditors testen de respons, en klanten vragen om een bridge letter en een oorzaakanalyse. |
| ISAE 3402 | Zekerheid over uitbestede processen die relevant zijn voor de financiële verslaggeving, met nadruk op autorisatie van instructies. Bewustwordingsmaatregelen staan er alleen in als de serviceorganisatie ze in scope heeft gezet. | Stel één vraag: hoe verifiëren zij een gewijzigd bankrekeningnummer of een dringende betaalinstructie die per e-mail binnenkomt? Staat het antwoord niet in het rapport, vraag het dan schriftelijk. | Een betaling op een vervalste instructie is een falende beheersmaatregel die als afwijking in het volgende rapport kan verschijnen. ISAE 3402 schept geen plicht om de auditors van klanten te informeren; vraag in het contract om tussentijdse melding. |
Checked against: Microsoft Threat Intelligence on Tycoon2FA (Mar 2026), device-code phishing (Feb 2025) and ClickFix (Aug 2025), Microsoft Learn on number matching (Feb 2026) and user consent (Aug 2026), RFC 6238 (TOTP, 30-second step), NIS2 Art. 23 and DORA reporting clocks · September 2026.
Gecontroleerd tegen: Microsoft Threat Intelligence over Tycoon2FA (mrt 2026), phishing met apparaatcodes (feb 2025) en ClickFix (aug 2025), Microsoft Learn over cijfercontrole (feb 2026) en gebruikerstoestemming (aug 2026), RFC 6238 (TOTP, stap van 30 seconden), meldtermijnen NIS2 art. 23 en DORA · september 2026.