Phishing. Four ways a person gets played. Phishing. Vier manieren waarop een mens wordt bespeeld.

The message says a document is waiting, a password is expiring, or a parcel could not be delivered. The link opens a page that looks exactly like ours — same logo, same colours, a web address one letter off. The employee types their password. The page quietly forwards them to the real site, so nothing looks wrong. The attacker now has a working login, and the employee has no idea anything happened.

Business impact: a stolen password is the starting point for almost every serious incident, from mailbox takeover to the ransomware chain. The employee cannot spot a good fake — nobody can, reliably. A control that works must not depend on the person noticing.

Het bericht meldt dat er een document klaarstaat, een wachtwoord verloopt of een pakket niet bezorgd kon worden. De link opent een pagina die er precies uitziet als de onze — hetzelfde logo, dezelfde kleuren, een webadres met één letter verschil. De medewerker typt zijn wachtwoord. De pagina stuurt hem stilletjes door naar de echte site, dus niets lijkt mis. De aanvaller heeft nu een werkende inlog, en de medewerker heeft niets gemerkt.

Bedrijfsimpact: een gestolen wachtwoord is het startpunt van bijna elk ernstig incident, van een overgenomen mailbox tot de ransomwareketen. De medewerker kan een goede vervalsing niet herkennen — niemand kan dat betrouwbaar. Een maatregel die werkt, mag niet afhangen van iemand die het opmerkt.

“We have MFA” is where most boards stop worrying. Attackers did not. With the stolen password they trigger a login, and the employee's phone buzzes: approve? They decline. It buzzes again. And again, late in the evening, until one tap makes it stop. The other route is faster still: the fake page from step 01 simply asks for the six-digit code too, and relays it to the real site within the thirty seconds it stays valid.

Business impact: a code that a person can read out or type in is a code a person can be tricked into handing over. Codes by text message and app prompts stop the casual attacker, not the one who has already chosen us. Passkeys and hardware keys cannot be relayed — they only answer to the genuine site — which is why they are the fix for steps 01 and 02 at once.

“Wij hebben MFA” is waar de meeste directies stoppen met zorgen maken. Aanvallers niet. Met het gestolen wachtwoord starten ze een inlog, en de telefoon van de medewerker trilt: goedkeuren? Hij weigert. Hij trilt opnieuw. En opnieuw, laat op de avond, tot één tik het laat ophouden. De andere route is nog sneller: de nagemaakte pagina uit stap 01 vraagt gewoon ook om de zescijferige code, en speelt die binnen de dertig seconden dat hij geldig is door naar de echte site.

Bedrijfsimpact: een code die een mens kan voorlezen of intypen, is een code die een mens kan worden afgetroggeld. Sms-codes en app-meldingen stoppen de toevallige aanvaller, niet degene die ons al heeft uitgekozen. Passkeys en hardwaresleutels zijn niet door te spelen — ze antwoorden alleen de echte site — en daarom zijn ze de oplossing voor stap 01 en 02 tegelijk.

Nothing technical happens here at all. A message arrives from the CEO — or from a supplier the company has paid for years — asking for an urgent transfer, or announcing “new bank details”. It is well written, it knows the names, it arrives late on a Friday, and it discourages a phone call. Sometimes it comes from a mailbox taken over in step 01, which makes it genuinely from the right address. Finance does what Finance is asked to do.

Business impact: direct, uninsured, unrecoverable loss — the money is moved on within hours. No filter catches it, because there is nothing malicious to catch. The only defence is procedural: every payment instruction, and every change of bank details, is confirmed through a second channel using a number we already had. Not the number in the email. And “the CEO said urgent” never overrides that step.

Hier gebeurt technisch helemaal niets. Er komt een bericht van de CEO — of van een leverancier die het bedrijf al jaren betaalt — met een dringend betaalverzoek, of met “nieuwe bankgegevens”. Het is goed geschreven, het kent de namen, het komt laat op vrijdag, en het ontmoedigt een telefoontje. Soms komt het uit een mailbox die in stap 01 is overgenomen, waardoor het écht van het juiste adres komt. Finance doet wat Finance gevraagd wordt.

Bedrijfsimpact: direct, onverzekerd, onherstelbaar verlies — het geld is binnen uren doorgesluisd. Geen filter vangt dit, want er valt niets kwaadaardigs te vangen. De enige verdediging is procedureel: elke betaalinstructie, en elke wijziging van bankgegevens, wordt bevestigd via een tweede kanaal met een nummer dat we al hadden. Niet het nummer uit de e-mail. En “de CEO zei dat het dringend was” zet die stap nooit opzij.

Everything we built to inspect email is bypassed by simply not using email. A text about a missed delivery. A phone call from “the IT helpdesk” asking the employee to read out the code that just arrived. A QR code on a poster, or inside a PDF, that the mail filter cannot follow. A message on a chat app from a colleague's cloned account. The device is often the employee's own phone — outside our network, outside our filters, and outside our visibility.

Business impact: the attack surface is every channel a person can be reached on, not the ones we monitor. The controls that still work here are the ones that do not depend on the channel at all: a login that refuses the wrong site, a payment procedure that insists on a call-back, and staff who know that a report is always welcome and never punished — even when they already clicked.

Alles wat we bouwden om e-mail te controleren, wordt omzeild door simpelweg geen e-mail te gebruiken. Een sms over een gemiste bezorging. Een telefoontje van “de IT-helpdesk” met het verzoek de zojuist ontvangen code voor te lezen. Een QR-code op een poster, of in een pdf, die het mailfilter niet kan volgen. Een bericht in een chat-app vanaf het gekloonde account van een collega. Het apparaat is vaak de eigen telefoon van de medewerker — buiten ons netwerk, buiten onze filters, buiten ons zicht.

Bedrijfsimpact: het aanvalsoppervlak is elk kanaal waarop een mens bereikbaar is, niet alleen de kanalen die wij bewaken. De maatregelen die hier nog werken, zijn die welke niet van het kanaal afhangen: een inlog die de verkeerde site weigert, een betaalprocedure die om terugbellen vraagt, en medewerkers die weten dat melden altijd welkom is en nooit bestraft wordt — ook als ze al geklikt hebben.