Een bericht dat afkomstig lijkt van je bank, werkgever of een bezorgdienst, maar in werkelijkheid is verstuurd door een oplichter: phishing is een vorm van internetfraude waarbij criminelen mensen proberen te verleiden om bijvoorbeeld op een link te klikken of persoonlijke gegevens af te geven. Ondanks de vele waarschuwingen worden mensen nog steeds slachtoffer. Volgens Jan Bullee, onderzoeker aan de Universiteit Twente, heeft dat niet alleen te maken met een gebrek aan kennis. 

‘Denk aan momenten van tijdsdruk, drukte of afleiding,’ zegt Bullee. Mensen zijn op zulke momenten extra kwetsbaar voor phishing. Ook speelt verwachting een belangrijke rol. Wie daadwerkelijk een pakketje verwacht, zal minder snel twijfelen aan mail waarin staat dat de bezorging moet worden bevestigd. Op zo’n moment kijken mensen minder kritisch naar de afzender of link. 

Daarom is alleen uitleggen wat phishing is volgens Bullee niet genoeg. Hij onderzocht samen met Marianne Junger verschillende interventies tegen social engineering.Daaruit bleek dat ongeveer een derde van de onderzochte interventies geen effect had of zelfs een negatief effect. Een training betekent dus niet automatisch dat mensen zich veiliger gaan gedragen. ‘De kernconclusie is dus: meten is weten,’ aldus Bullee.

‘Passief informatie consumeren werkt minder goed dan actief oefenen,’ zegt Bullee. Volgens hem moeten trainingen daarom vooral praktisch zijn. Mensen moeten niet alleen horen dat ze voorzichtig moeten zijn, maar daadwerkelijk oefenen met herkenbare situaties. Een belangrijke vaardigheid is bijvoorbeeld het controleren van een URL. Klopt het domein echt met de organisatie waarvan de mail afkomstig lijkt te zijn?

Ook herhaling is belangrijk. Een eenmalige e-learning betreft volgens Bullee nauwelijks. Daarnaast moet een training aansluiten bij de doelgroep en de situaties waarin iemand phishing kan tegenkomen.

Dat wordt steeds belangrijker nu phishingmails overtuigender worden door AI. Spelfouten en vreemd taalgebruik zijn daardoor minder betrouwbare signalen. Juist daarom moeten mensen leren om niet alleen naar de inhoud van een mail te kijken, maar vooral te controleren met wie ze daadwerkelijk communiceren. 

Hoe phishing er in de praktijk uitziet en wat er gebeurt wanneer iemand toch op de verkeerde link klikt, hoor je in de audioreportage van onze reporter Noah. Daarin vertelt een slachtoffer van phishing over zijn ervaringen en leg een medewerker van de KNAW uit waarom mensen in phishing trappen en of we dit kunnen voorkomen.