Phishing herkennen
Bij het adres example.com.account-check.example is account-check.example de site die de pagina werkelijk bezit. Het voorste example.com is alleen een label dat de eigenaar zelf heeft gekozen.
Een pakket-sms die de bezorger nooit stuurde
Een bekende verzonnen sms: ‘Je pakket kon niet worden bezorgd omdat het adres onvolledig is. Werk het binnen 24 uur bij’, met een korte link. Wacht je op bezorging, dan zit je duim al op de link. Dat is phishing: een bericht dat je een schadelijke bijlage laat openen, naar een nepsite lokt of persoonlijke of financiële gegevens ontfutselt. Het komt per e-mail, sms (smishing), berichtenapp en telefoon.
De signalen in dat korte bericht
CISA noemt gebruikelijke signalen; de pakket-sms heeft de meeste. Dringende of emotionele taal met dreiging als je niet meteen handelt. Vragen om persoonlijke of financiële gegevens. Een onbetrouwbare verkorte link. Een afzender of link die net niet klopt, met een verwisselde letter of extra woord. Eén oud signaal werkt niet meer: vroeger viel phishing op door slecht taalgebruik, maar volgens CISA kan het door AI nu foutloos zijn. Kijk dus naar de gevraagde handeling, niet de schrijfstijl. Een bankrekening ‘voor je veiligheid geblokkeerd’, een ongevraagde prijs of een familielid met nieuw nummer dat vandaag geld nodig heeft: allemaal laten ze je handelen vóór je nadenkt.
Een link van rechts lezen
Bekijk de hostnaam voordat je op een link tikt: het gedeelte na https:// en vóór de eerste enkele schuine streep. Lees van rechts naar links. De laatste twee delen, of drie bij adressen zoals .co.kr, noemen de organisatie die het adres beheert. Alles links daarvan is een door die organisatie gekozen label. login.example.com hoort dus bij example.com, maar example.com.account-check.example bij account-check.example. Houd op een telefoon een link ingedrukt om het volledige adres te zien zonder hem te openen. Passkeys helpen ook: ze werken simpelweg niet op een site die niet de echte is. (Alle adressen op deze pagina gebruiken gereserveerde voorbeeldnamen, zoals example.com en de uitgang .example. Geen ervan is dus een echte site.)
Controleer langs een andere route en meld dan
CISA geeft drie adviezen: herkennen, weerstaan en verwijderen. De signalen hierboven zijn de eerste stap. Weerstaan betekent niet klikken, geen bijlagen openen en niet antwoorden, ook niet via ‘afmelden’. Komt het bericht zogenaamd van een bekend bedrijf, open dan zelf de app of typ het adres en controleer daar. Belt een bekende zogenaamd, gebruik diens al bekende nummer. Meld het met ‘report spam’ of ‘report phishing’ in je mail- of berichtenapp en verwijder het daarna. In Korea biedt KISA gratis 118 voor hacking, spam en persoonsgegevensproblemen. Het menu verbindt ook door naar de politie voor telefoonphishing en smishing. Boho Nara (boho.or.kr) van KISA controleert verdachte sms-berichten.
Telefoontjes volgen hetzelfde patroon. Iemand zegt van bank, bezorgdienst, politie of openbaar ministerie te zijn, koppelt je account aan misdaad en vraagt geld over te maken, een app te installeren of een code voor te lezen. Echte instanties vragen dit niet telefonisch. Hang op, zoek zelf het officiële nummer en bel terug. Installeer nooit een app of afstandsbedieningsprogramma op verzoek van een beller.
- ‘Het bericht is goed geschreven, dus echt.’ CISA waarschuwt dat phishing in het AI-tijdperk een perfecte grammatica en spelling kan hebben. Beoordeel een bericht op wat het je laat doen: haasten, betalen, inloggen of gegevens delen.
- ‘Het adres begint met de bedrijfsnaam, dus is het de bedrijfssite.’ De eigenaar staat rechts in de hostnaam. example.com.account-check.example hoort bij account-check.example; example.com vooraan is maar een label.
- ‘Afmelden stopt de berichten.’ In een verdacht bericht is de afmeldlink gewoon nog een link. CISA adviseert niet te antwoorden en nergens op te klikken, ook niet op afmelden: meld het bericht en verwijder het.
- ‘Het kwam van een vriend, dus is het veilig.’ Een account kan overgenomen zijn en ‘nieuw nummer’ vraagt niet eens een account. Controleer via een kanaal buiten de afzender om, zoals het bekende nummer bellen.
| Phishing | Een bericht dat je misleidt tot klikken, openen of delen |
| Smishing | Phishing per sms |
| Hostnaam | Lees van rechts, tot de eerste enkele slash |
| CISA-signalen | Haast, gegevensvragen, korte links, bijna juiste adressen |
| Drie CISA-stappen | Herkennen, weerstaan, melden en verwijderen |
| KISA 118 | Gratis lijn voor hacking, spam en persoonsgegevensproblemen |
- Phishing maakt haast: dreiging, gegevensvragen, vreemde links.
- Foutloos taalgebruik is geen veiligheidsteken meer.
- Lees de hostnaam van rechts voor de echte eigenaar.
- Ga zelf naar de dienst; meld en verwijder het bericht.
- Welke host hoort bij example.com?
- login.example.com
- example.com.account-check.example
- example-com.example
- example.com.test
- Wie bezit de pagina op https://example.com.secure-pay.example/login? Typ het domein.
- Welk signaal is volgens CISA niet meer betrouwbaar voor phishing?
- Slechte spelling en grammatica
- Dringende dreigingen
- Vragen om bankgegevens
- Bijna juiste adressen
- Een sms houdt je pakket tegen en linkt naar betaling. Beste reactie?
- Zelf de app of site van de bezorger openen en controleren
- Snel betalen vóór terugsturen
- STOP antwoorden
- Naar vrienden doorsturen
- Klik je op ‘afmelden’ in een verdacht bericht?
- Nee, gewoon verwijderen
- Ja, altijd
- Alleen op een telefoon
- Alleen na antwoorden
- Een vriend vraagt dringend cadeaubonnen via een bericht. Wat doe je?
- De vriend bellen op het bekende nummer
- Kopen
- Je kaartnummer sturen
- Antwoorden of die het echt is
- Welk nummer biedt KISA in Korea voor hacking, spam en persoonsgegevensproblemen?
- Hoe bekijk je een telefoonlink zonder te openen?
- De link lang indrukken
- Tweemaal tikken
- De telefoon schudden
- Vliegtuigmodus aanzetten
- Waarom beschermt een passkey tegen nep-inlogpagina's?
- Hij werkt alleen op de bedoelde site
- Hij verbergt je e-mail
- Hij blokkeert alle links
- Hij verandert elke minuut
- Welk berichtdetail waarschuwt?
- ‘Je account wordt binnen 24 uur gesloten’
- Je naam goed gespeld
- Een bedrijfslogo
- Een datum
Bronnen van deze cursus (13)
- (checked 2026-10-17)
- Standard: NIST SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management (pages.nist.gov/800-63-4/sp800-63b.html, final 31 July 2025 per the csrc.nist.gov document history (Date Published: July 2025), checked 2026-10-17: sec. 3.1.1.2 password rules, 3.1.3.3 PSTN restricted, 3.2.5 phishing resistance, Appendix B syncable authenticators)
- Law: 개인정보 보호법 제2조 (국가법령정보센터, law.go.kr)
- Official agency guidance: CISA Secure Our World: Use Strong Passwords, Turn on MFA, Recognize and Report Phishing, Update Software, and tip sheets (cisa.gov/secure-our-world, checked 2026-10-17)
- CISA, More than a Password (cisa.gov/MFA) and fact sheet Implementing Phishing-Resistant MFA (2022)
- checked 2026-10-17
- CISA #StopRansomware Guide (checked 2026-10-17)
- CISA, Back Up Business Data and Data Backup Options (Ruggiero and Heckathorn, 2012, Carnegie Mellon University, produced for US-CERT, which CISA retired into CISA.gov on 24 February 2023; 3-2-1 rule) (checked 2026-10-17)
- KISA, 118 상담 서비스 (kisa.or.kr/118, checked 2026-10-17)
- KISA 보호나라 스미싱 확인서비스 (boho.or.kr, checked 2026-10-17)
- KISA 개인정보침해 신고센터 (privacy.kisa.or.kr, checked 2026-10-17)
- Technical documentation: MDN Web Docs, Passkeys (developer.mozilla.org/en-US/docs/Web/Security/Authentication/Passkeys, checked 2026-10-17) and autocomplete attribute (checked 2026-10-17)
- History block only (the backups story): Data Backup Options (2012) and the Peter Krogh book it credits. No product is recommended.
Geraadpleegd: 2026-10-17