E-mailscams zijn één van de meest voorkomende types van cybercriminaliteit. Volgens dit rapport uit 2021 van TrendMicro zijn maar liefst 90% van de datalekken in 2021 veroorzaakt door een phishinge-mail. Het is daarom een goede zaak om werk te maken van het beschermen van je e-mailaccounts tegen deze vormen van oplichting. Door de kenmerken van verschillende soorten e-mailscams te kennen weet je beter waarop je moet letten.
In dit artikel zullen we daarom vijf veelvoorkomende e-mailscams bespreken: phishing, whaling, spear-fishing, spoofing en de business email compromise. Ook zullen we tips en advies delen over hoe je deze scams kan herkennen, én hoe je jezelf hier het beste tegen kan beschermen.
Wat is phishing?
Phishing komt erg vaak voor. Bij dit type cyberaanval zullen hackers zich proberen voor te doen als een betrouwbare afzender. Zo willen zij mensen overhalen om geld over te maken of persoonlijke informatie prijs te geven. De gemiddelde e-mailgebruiker komt waarschijnlijk redelijk vaak phishinge-mails tegen in zijn/haar inbox. Hackers doen zich in hun e-mails bijvoorbeeld vaak voor als een webwinkel of pakketbezorgbedrijf. Ze vragen je dan om op een link te klikken om in te loggen in je account of een bestelling te betalen. Wat dan eigenlijk gebeurt, is dat je naar een frauduleuze website wordt geleid, waar de hackers vervolgens jouw wachtwoord of betaalgegevens onderscheppen.
Wat is het verschil tussen phishing en spear-fishing?
Spear-fishing is een specifiek type phishing. “Gewone” phishingaanvallen gericht zijn gericht op een veel mensen tegelijkertijd en bevatten geen specifieke informatie over jou bevatten. Spear-fishing is echter gericht op één specifieke persoon, en komt vooral voor in een zakelijke omgeving. Deze aanvallen zijn gericht op personen in een organisatie die met veel gevoelige data werken. Om een succesvolle spear-fishingaanval te doen, winnen hackers eerst informatie in over de persoon die ze willen benaderen. Dat doen ze vaak via zoekmachines of profielen op social media, waardoor de e-mails betrouwbaar overkomen. De “persoonlijke benadering” maakt het moeilijker om dit type scam te herkennen.
Wat is het verschil tussen phishing en whaling?
Ook whaling is een specifieke vorm van phishing. Net als bij spear-fishing richt een whalingaanval zich op een specifieke persoon. In het geval van whaling gaat dat echter specifiek om de “big fish”: CEO’s en andere managers aan de top van een bedrijf, en hooggeplaatste overheidsmedewerkers. Aangezien deze scams gericht zijn op personen met veel gezag, moeten hackers vaak subtielere technieken toepassen om deze e-mails geloofwaardig te doen overkomen. Dat makat ze, net als spera-fishing, lastig om te herkennen.
Hoe werkt spoofing?
Spoofing is een neefje van phishing, spear-fishing en whaling. Phishinge-mails zijn altijd afkomstig uit naam van een bedrijf of organisatie, of vanaf een persoon die niet bestaat. Maar spoofinge-mails lijken verzonden te zijn door iemand die je kent, vaak een collega of iemand anders uit je netwerk. Het kan bijvoorbeeld gaan om een e-mail die van een klant of manager lijkt te zijn. Of van een medewerker van de IT-afdeling, die “alleen” even een lijst met gevoelige informatie van je nodig hebt. Ook hier gaat het er weer om dat hackers op deze manier persoonlijke informatie en betaalgegevens proberen te achterhalen.
Hoe werkt een business email compromise?
De business email compromise is van al deze e-mailscams het lastigste te herkennen. Bij deze scam zullen cybercriminelen proberen om een medewerker van een bedrijf geld te doen overmaken naar hen. Ze doen zich bijvoorbeeld voor als een grote klant, bedrijfsadvocaat of zelfs als de CEO en geven aan dat ze snel geld nodig hebben; kan hij/zij het niet even snel overmaken? Deze e-mails bevatten geen frauduleuze links of bijlagen, maar gaan uit van het goede vertrouwen van de ontvanger. Dat maakt deze e-mails een zeer lastig om als scam te herkennen.
Hoe kun je deze e-mailscams herkennen?
Check in elk geval altijd de volgende zaken als je een e-mail ontvangt die je niet vertrouwt:
- Het e-mailadres van de afzender. Is de e-mail afkomstig van een betrouwbaar adres? Soms is dit meteen duidelijk. Scammers proberen echter vaak ook e-mails te sturen vanaf een domein dat er alleen maar betrouwbaar uit líjkt te zien. Door een kleine spellingswijziging aan te brengen, bijvoorbeeld “Linkedln” in plaats van “LinkedIn”, proberen zij mensen om de tuin te leiden. Kijk dus altijd goed of zoiets het geval is.
- Het bedrijfslogo. Op de logo’s van grote bedrijven rust meestal copyright, dus scammers kunnen deze niet direct kopiëren. Daarom gebruiken ze vaak logo’s die op het origineel lijken, maar daar net iets van verschillen. Kijk dus goed naar het logo: ziet iets er anders uit?
- De links in de e-mail. Ga met de muis over de hyperlinks in de e-mail (klik er niet op!). Ziet de URL achter de links er betrouwbaar uit? Of leidt deze naar een site waar je nog nooit van gehoord hebt?
- De informatie die wordt gevraagd. Bedrijven zullen je nooit vragen om je wachtwoord of bankgegevens aan hen door te geven via een e-mail. Mocht je wel zo’n email ontvangen, neem dan eerst contact op met het bedrijf (bijvoorbeeld via de telefoon of chat) om te verifiëren of zij deze e-mail wel echt hebben gestuurd.
Business email compromises zijn moeilijker om te spotten, omdat deze van vertrouwde personen uit je netwerk lijken te komen. Ze bevatten daarnaast geen links of bijlagen. Mocht je een e-mail ontvangen waarin iemand die je kent je vraagt om snel geld naar hen over te maken, verifieer dan eerst bij deze persoon of hij/zij deze e-mail daadwerkelijk verzonden heeft.
Hoe kan je jezelf beschermen tegen e-mailscams?
Als je een e-mail ontvangt die je niet vertrouwt, klik dan nooit op een link hierin en open eventuele bijlagen niet. Markeer de e-mail als spam en verwijder deze direct. Gaat het daarnaast om een zakelijk e-mailaccount, dan kun je dit het beste ook doorgeven aan degene die verantwoordelijk is voor veiligheid binnen jouw bedrijf.
Er zijn veel tools op de markt die een handje kunnen helpen bij de bescherming tegen e-mailscams, zowel voor je persoonlijke als voor je zakelijke e-mail. SpamExperts is een sterke spamfilter die 99.98% van de frauduleuze e-mails tegenhoudt. EasyDMARC is vooral voor de zakelijke e-mail een nuttige tool. Deze tool voorkomt dat hackers zich toegang weten te verschaffen tot jouw e-mailaccount en jouw domein gebruiken om frauduleuze e-mails te versturen.
Heb je daarnaast een eigen bedrijf of werk je als manager, dan is het belangrijk om online veiligheid een prioriteit te maken binnen je bedrijf. Zorg ervoor dat je team weet hoe ze frauduleuze e-mails kunnen herkennen en wat ze moeten doen als er een datalek optreedt. Zorg er daarnaast voor dat er binnen het bedrijf openheid bestaat over het thema veiligheid, zodat werknemers hierover vrijuit durven te spreken. Als je hier meer over wilt weten, is ons artikel over het creëren van een security-friendly culture (in het Engels) een goede start.