# Phishing en de nasleep (FAQ)

> 29 vragen over Phishing en de nasleep, in gewone taal: wat u controleert, wat NetSenX laat zien en wat een sensor niet ziet.

Source page: https://netsenx.com/nl/faq/phishing

## Wat is phishing?

Phishing is een bericht dat zich voordoet als afkomstig van iemand die u vertrouwt, zodat u op een link klikt, een bestand opent, een wachtwoord invoert of geld overmaakt. Het komt meestal per e-mail, maar ook via sms, telefoon, chat en QR-code. Het doel is meestal een van drie dingen: uw inloggegevens, een voet tussen de deur op uw computer of een betaling naar de verkeerde rekening. Phishing werkt omdat het echte context leent: een pakket dat u verwacht, een gedeeld document, een onbetaalde factuur, een bericht van de baas. Het blijft een van de meest voorkomende eerste stappen bij inbraken, en daarom bestaat de verdediging uit lagen: e-mailfiltering, meervoudige authenticatie (MFA), medewerkers die verdachte berichten snel melden en betaalregels die niet op één e-mail alleen leunen. Een netwerksensor leest uw mail niet; hij helpt later, als een klik leidt tot ongebruikelijk verkeer vanaf het apparaat.

https://netsenx.com/nl/faq/what-is-phishing

## Hoe herkent u dat een e-mail phishing is?

Let minder op spelfouten, die moderne phishing zelden heeft, en meer op wat het bericht van u vraagt. Waarschuwingssignalen: druk om nu te handelen, een verzoek om in te loggen, te betalen, bankgegevens te wijzigen of een onverwacht bestand te openen, een afzenderadres dat net iets afwijkt van het echte, een antwoordadres dat ergens anders heen gaat en een link waarvan de echte bestemming, zichtbaar als u er met de muis overheen gaat, niet past bij het bedrijf dat het zegt te zijn. Ook een bericht van een bekende collega kan phishing zijn als diens mailbox is overgenomen. Een ongewoon verzoek is dus reden om via een ander kanaal na te vragen, bijvoorbeeld met een telefoontje naar een nummer dat u al hebt. Twijfelt u, klik dan niet en meld het bericht bij IT. Een vals alarm kost een minuut; een genegeerde echte aanval kan veel meer kosten.

https://netsenx.com/nl/faq/how-to-spot-a-phishing-email

## Ik heb op een phishinglink geklikt. Wat moet ik nu doen?

Meld het meteen bij IT, ook als er niets lijkt te zijn gebeurd; snelheid is belangrijker dan schaamte. Dan, samen met IT: hebt u op de geopende pagina een wachtwoord ingevuld, wijzig het dan vanaf een ander, vertrouwd apparaat en beëindig alle actieve sessies van het account. Is er een bestand gedownload of geopend, haal de computer dan van het netwerk door de kabel los te maken of wifi uit te zetten, maar laat hem aan zodat hij onderzocht kan worden. Noteer het tijdstip, het bericht en de link, zodat IT die voor iedereen kan blokkeren en kan nagaan wie het bericht nog meer kreeg. Hebt u alleen de pagina geopend en niets ingevuld, dan is het risico kleiner, maar IT moet het apparaat toch met de eigen beveiligingstools controleren. Let de dagen daarna op onverwachte inlogverzoeken, MFA-verzoeken die u niet zelf startte en antwoorden op e-mails die u nooit stuurde.

https://netsenx.com/nl/faq/i-clicked-a-phishing-link-what-now

## Ik heb mijn werkwachtwoord op een phishingpagina ingevuld. Wat nu?

Behandel het account als gecompromitteerd en handel binnen enkele minuten. Wijzig het wachtwoord vanaf een vertrouwd apparaat, en als u hetzelfde wachtwoord ergens anders gebruikt, wijzig het daar ook. Vraag IT het account uit alle sessies af te melden en de toegangstokens in te trekken, want veel phishingkits stelen de ingelogde sessie zelf, zodat een nieuw wachtwoord alleen de aanvaller misschien niet buitensluit. IT moet daarna het aanmeldlogboek nakijken op logins vanaf onbekende plaatsen, de MFA-methoden controleren op een nieuwe telefoon of app die de aanvaller kan hebben toegevoegd, en zoeken naar nieuwe mailboxregels die mail doorsturen of verbergen. Heeft het account beheerdersrechten of toegang tot financiële systemen, verhoog dan de prioriteit. Hier gaan de identiteitsstappen voor. Netwerkmonitoring helpt daarna, door te letten op de vervolgactiviteit waartoe een gestolen login vaak leidt, zoals toegang op afstand tot interne servers.

https://netsenx.com/nl/faq/i-entered-my-work-password-on-a-phishing-page

## Een medewerker vulde zijn wachtwoord in op een phishingpagina. Wat moeten we op het netwerk controleren?

Eerst het identiteitswerk: wachtwoord resetten, sessies intrekken, het aanmeldlogboek en de MFA-methoden nakijken. Zoek daarna op het netwerk naar tekenen dat de login is gebruikt om verder te gaan. Nuttige vragen: maakte het apparaat of account van de medewerker verbinding met servers die het normaal nooit gebruikt, zoals bestandsservers, de domeincontroller of financiële systemen? Startten er sessies voor extern bureaublad of beheer op afstand vanaf een ongebruikelijke machine? Begon een apparaat regelmatige, getimede verbindingen met een onbekend extern adres, wat op een kanaal voor besturing op afstand kan wijzen? Verliet er ongewoon veel data het netwerk? In NetSenX tonen de alertgeschiedenis en de netwerkkaart deze patronen in elk abonnement: beaconing, intern scannen, laterale beweging en ongebruikelijke uitgaande datavolumes. Verschijnt daar in de dagen na de klik niets van, dan is dat geruststellend maar geen bewijs, want cloudmailboxen en SaaS-apps worden via internet bereikt en die activiteit komt nooit over uw netwerk.

https://netsenx.com/nl/faq/employee-entered-password-what-to-check-on-the-network

## Hoe maak je een computer schoon na een klik op phishing?

Een netwerktool kan geen apparaat schoonmaken; dat is de taak van uw endpointbeveiliging en bij twijfel van een herinstallatie. Een praktische volgorde: haal het apparaat van het netwerk, maar laat het aan, zodat IT zo nodig bewijs kan veiligstellen. Voer een volledige scan uit met uw EDR-tool (endpoint detection and response) of antivirus en controleer op nieuwe programma's, browserextensies, geplande taken en opstartitems. Is er iets verdachts uitgevoerd, of is het apparaat van een beheerder of iemand van financiën, dan is het veiliger het te wissen en opnieuw te installeren vanaf een bekend schone image en de bestanden uit de back-up terug te zetten, in plaats van op een opschoning te vertrouwen. Wijzig vóór het opnieuw aansluiten de wachtwoorden van de gebruiker vanaf een ander apparaat. Is het terug, houd dan een paar weken zijn netwerkgedrag in de gaten: NetSenX kan laten zien of het opnieuw regelmatige uitgaande verbindingen of ongebruikelijk verkeer begint.

https://netsenx.com/nl/faq/how-to-clean-a-device-after-a-phishing-click

## Hoe komen aanvallers na een klik op phishing van één laptop in de rest van het netwerk?

Meestal in een paar voorspelbare stappen. Het kwaadaardige bestand of de link geeft hun een kanaal voor besturing op afstand naar hun eigen server, zichtbaar als regelmatige uitgaande verbindingen. Daarna kijken ze rond: welke servers, shares en accounts er zijn, vaak door het interne netwerk te scannen of de directory te bevragen. Vervolgens verzamelen ze meer inloggegevens, uit het geheugen van de laptop, in de browser opgeslagen wachtwoorden of andere systemen, en loggen daarmee in op andere machines met gewone beheertools zoals extern bureaublad, PowerShell op afstand of bestandsshares. Van daaruit mikken ze op de domeincontroller, de back-ups en de dataopslag. Elke stap laat een spoor op het netwerk achter: nieuwe verbindingen tussen interne machines die zelden met elkaar praten, scans, beheerprotocollen vanaf een gewone laptop en data die naar ongebruikelijke plekken gaat. Op die sporen let network detection and response (NDR), en daarom hoeft een klik op phishing niet in een volledige inbraak te eindigen.

https://netsenx.com/nl/faq/how-attackers-move-from-a-phished-laptop-to-the-network

## Moeten medewerkers een phishingmail ook melden als ze niet hebben geklikt?

Ja. Een gemeld bericht laat IT dezelfde e-mail uit alle andere mailboxen verwijderen, de afzender en de link blokkeren en de collega waarschuwen die er morgen misschien wel op had geklikt. Phishing gaat meestal tegelijk naar veel mensen in hetzelfde bedrijf, dus één vroege melding kan tientallen beschermen. Maak melden makkelijk: een meldknop in het mailprogramma of één doorstuuradres, en elke keer een kort bedankje, ook bij vals alarm. Bestraf nooit een melding, zelfs niet als iemand toegeeft te hebben geklikt: angst voor schuld maakt van een herstel van vijf minuten een incident van drie weken. Meet succes aan hoeveel mensen melden en hoe snel, niet alleen aan hoe weinig er klikken. Meldingen laten IT ook zien welke lokmiddelen medewerkers bereiken, wat helpt om mailfilters en training bij te stellen.

https://netsenx.com/nl/faq/should-employees-report-phishing-they-did-not-click

## Houdt een bewustwordingstraining phishing tegen?

Ze beperkt de schade, maar houdt phishing niet in haar eentje tegen en mag niet uw enige verdediging zijn. Een goede training laat zien hoe actuele lokmiddelen eruitzien, maakt melden tot een gewoonte en maakt duidelijk dat een vroeg gemelde fout een goede uitkomst is. Korte, regelmatige sessies werken beter dan één lange jaarlijkse cursus. Phishingsimulaties kunnen helpen als ze dienen om te oefenen, niet om mensen te schande te zetten: deel resultaten als teamtrends, laat op een klik een les van twee minuten volgen in plaats van een berisping en vertel medewerkers vooraf dat er simulaties zijn. Sommigen zullen altijd klikken, want goede lokmiddelen zijn ontworpen om op gewoon werk te lijken. Combineer training daarom met maatregelen die niet van een perfect oordeel afhangen: mailfiltering, phishingbestendige meervoudige authenticatie, telefonische controle van betalingen en monitoring die merkt wanneer een gecompromitteerd apparaat zich anders gaat gedragen.

https://netsenx.com/nl/faq/does-security-awareness-training-stop-phishing

## Wat is spear phishing?

Spear phishing is phishing gericht op één persoon of een kleine groep, geschreven met details die het geloofwaardig maken: naam, functie, lopende projecten, leveranciers of collega's. Aanvallers halen die details van de bedrijfswebsite, LinkedIn, persberichten, eerdere datalekken of een mailbox die ze al beheersen. Een bericht aan de crediteurenadministratie noemt misschien een echte leverancier en een echt factuurnummer; een bericht aan een IT-beheerder lijkt op een melding van een tool die het bedrijf echt gebruikt. Is het doelwit een topbestuurder, dan spreekt men soms van whaling. Omdat zulke berichten op maat zijn, houden filters er minder tegen en herkennen medewerkers ze moeilijker. De beste verdediging zit in procedures: ongewone verzoeken via een tweede kanaal controleren, minder publiceren over interne rollen en betaalprocessen, en mensen met toegang tot geld of beheerdersrechten als eersten phishingbestendige MFA geven.

https://netsenx.com/nl/faq/what-is-spear-phishing

## Wat zijn smishing en vishing?

Het is phishing via andere kanalen. Smishing gebruikt sms-berichten, vaak over pakketten, banken, belastingteruggaven of een geblokkeerd account, met een link naar een nep-inlogpagina. Vishing gebruikt telefoongesprekken: iemand doet zich voor als IT-support, de bank, een leverancier of een leidinggevende en praat de ander om een code voor te lezen, een tool voor hulp op afstand te installeren of een betaling goed te keuren. Vishing is een gangbare weg naar binnen geworden, omdat een overtuigende beller maatregelen omzeilt die e-mail tegenhouden, bijvoorbeeld door de helpdesk te vragen het wachtwoord van een medewerker te resetten of een nieuw MFA-apparaat te registreren. Nuttige verdediging: de regel dat IT nooit telefonisch om wachtwoorden of codes vraagt, een helpdeskprocedure die vóór elke reset de identiteit controleert, en de gewoonte om terug te bellen op een bekend nummer. Een netwerksensor hoort geen gesprekken, maar toont wel de nieuwe externe diensten waarmee een apparaat daarna gaat praten.

https://netsenx.com/nl/faq/what-is-smishing-and-vishing

## Wat is phishing met een QR-code?

Phishing met een QR-code, soms quishing genoemd, verstopt de kwaadaardige link in een QR-code: in een e-mailbijlage, op een geprinte brief, op een parkeerautomaat of op een nepmededeling op kantoor. Het werkt om twee redenen. Mailfilters controleren links, maar kunnen een link in een afbeelding vaak niet lezen, en mensen scannen de code met hun telefoon, die meestal buiten de bedrijfsbeveiliging valt en alleen een kort voorbeeld van het adres toont. De pagina die opent vraagt doorgaans om een Microsoft 365- of andere werklogin, of om kaartgegevens. Behandel een QR-code die u laat inloggen als elke andere link: controleer het adres voordat u iets invult, en als een bericht aandringt om een code te scannen om uw account actief te houden of een document te lezen, vraag het dan eerst aan IT. Voor bedrijven beperkt phishingbestendige MFA de schade als een wachtwoord op een telefoon wordt ingetypt.

https://netsenx.com/nl/faq/what-is-qr-code-phishing

## Wat is business e-mail compromise (BEC)?

Business e-mail compromise is fraude waarbij criminelen via e-mail een bedrijf zover krijgen dat het hen betaalt of gevoelige gegevens afgeeft. Ze breken in op een echte mailbox, vaak na een via phishing gestolen login, of ze bootsen die na met een adres dat erop lijkt. Typische varianten: de nep-directeur die om een dringende, vertrouwelijke overboeking vraagt, de leverancier wiens bankgegevens plotseling veranderen, het verzoek om het salaris van een medewerker naar een nieuwe rekening te sturen, en de advocaat die een geheime deal begeleidt. BEC gebruikt vaak geen malware en geen link, alleen een overtuigend bericht op het juiste moment, en daarom missen technische filters er zoveel van. Het is een van de duurste vormen van cybercriminaliteit: het Internet Crime Complaint Center van de FBI meldde voor 2024 ongeveer 2,8 miljard dollar aan BEC-schade. De sterkste verdediging is een betaalproces dat vóór elke wijziging van bankgegevens of ongebruikelijke overboeking telefonische verificatie op een bekend nummer vereist.

https://netsenx.com/nl/faq/what-is-business-email-compromise

## Kan netwerkmonitoring CEO-fraude tegenhouden?

Grotendeels niet, en dat is beter vooraf te weten. Bij CEO-fraude haalt een e-mail, telefoontje of chatbericht dat van een topbestuurder lijkt te komen een medewerker over om een betaling te doen. De berichten lopen via de cloud van uw mailprovider en de betaling via internetbankieren, en allebei zien ze er op het netwerk volkomen normaal uit. Een netwerkdetectietool als NetSenX leest geen e-mailinhoud en kan een echte betaalopdracht niet van een valse onderscheiden. Wat CEO-fraude tegenhoudt, zijn procedures: de regel dat geen betaling alleen op basis van een bericht gebeurt, terugbellen op een nummer uit uw eigen administratie, dubbele goedkeuring voor overboekingen boven een vast bedrag en uitdrukkelijke toestemming voor medewerkers om elk verzoek dat dringend en geheim heet uit te stellen. In één geval helpt netwerkmonitoring wel: als de fraude begint met een gehackte mailbox en de aanvaller ook bedrijfssystemen bereikt.

https://netsenx.com/nl/faq/can-network-monitoring-stop-ceo-fraud

## Kan een phishingmail van het echte account van een collega komen?

Ja, en het is een van de effectiefste vormen, omdat elke technische controle slaagt: het adres is echt, de handtekening is echt en het bericht reageert misschien zelfs in een bestaande conversatie. Het gebeurt wanneer de mailbox van de collega is overgenomen, vaak via een eerder gestolen login, en de aanvaller hem gebruikt om nieuwe lokmiddelen naar iedereen in het adresboek te sturen, intern en naar klanten en leveranciers. De waarschuwingssignalen zitten in de inhoud, niet in de afzender: een ongewoon verzoek, een onverwacht gedeeld document, een toon die niet klopt of een bericht op een vreemd tijdstip. Vermoedt u het, reageer dan niet op de e-mail, maar neem op een andere manier contact op met de collega en meld het bij IT. IT moet het account van de afzender dan als gecompromitteerd behandelen: resetten, sessies intrekken, mailboxregels nakijken en uitzoeken wie er nog meer berichten van kreeg.

https://netsenx.com/nl/faq/can-phishing-come-from-a-colleagues-real-account

## Een leverancier vraagt ons zijn bankgegevens te wijzigen. Hoe controleren we of dat echt is?

Controleer het via een ander kanaal dan waarlangs het verzoek kwam. Bel de leverancier op een nummer dat u al in uw administratie hebt, uit het contract of een eerdere factuur, nooit op een nummer uit het nieuwe bericht, en bevestig de wijziging met iemand die u daar kent. Veel bedrijven eisen ook een tweede goedkeurder bij financiën voordat de stamgegevens van de leverancier worden gewijzigd, en markeren de eerste betaling naar de nieuwe rekening voor een extra controle. Wees extra voorzichtig als het verzoek komt met haast, een nieuwe contactpersoon, een bank in een ander land of een uitleg zoals een audit of een bankwissel. Deze fraude werkt zelfs als de e-mail echt van het adres van de leverancier komt, want diens mailbox kan zijn overgenomen. Netwerkmonitoring kan zo'n verzoek niet beoordelen; het terugbellen doet dat wel.

https://netsenx.com/nl/faq/supplier-asks-to-change-bank-details

## We hebben een valse factuur betaald. Wat moeten we nu doen?

Bel direct uw bank en vraag om de overboeking terug te halen; vraag de bank contact op te nemen met de ontvangende bank zodat die het geld kan bevriezen. Snelheid bepaalt de uitkomst: geld dat nog niet is doorgesluisd, kan in de eerste uren of dagen soms nog worden tegengehouden, daarna veel minder vaak. Doe vervolgens aangifte bij de politie, bewaar elke e-mail met volledige headers en informeer uw cyberverzekeraar als u die hebt, want veel polissen dekken dit soort fraude alleen onder specifieke voorwaarden en termijnen. Zoek uit hoe de fraudeur de details kende: een domein dat erop lijkt, uw eigen mailbox of die van de leverancier? Is een van uw accounts gebruikt, behandel het dan als incident: resetten, sessies intrekken, mailboxregels nakijken en nagaan wie er nog meer werd benaderd. Licht ten slotte de echte leverancier in, want die kan de gecompromitteerde partij zijn, en verscherp de terugbelregel voor gewijzigde bankgegevens.

https://netsenx.com/nl/faq/we-paid-a-fraudulent-invoice-what-now

## Het e-mailaccount van een leverancier is gehackt en hij heeft ons gemaild. Wat moeten we doen?

Ga ervan uit dat elk recent bericht van die leverancier vals kan zijn tot het is bevestigd. Zet betalingen aan hem kort stil en bevestig de bankgegevens telefonisch, op een nummer dat u al hebt. Waarschuw financiën en iedereen die met de leverancier te maken heeft, en vraag IT de mailboxen te doorzoeken op berichten van dat adres in de betreffende periode, vooral die met links, bijlagen of betaalinstructies, en ze te verwijderen of in quarantaine te zetten. Heeft iemand op een link geklikt of een wachtwoord ingevuld, volg dan uw stappen voor phishingincidenten. Vraag de leverancier wanneer de compromittering begon en wat hij weet, en houd een kort verslag bij: beveiliging van de toeleveringsketen is een van de risicobeheersmaatregelen die NIS2 van betrokken bedrijven verwacht. Controleer of iemand van uw team heeft geantwoord met gevoelige gegevens. Aan de netwerkkant kijkt u of de apparaten van wie die berichten opende nieuwe uitgaande verbindingen of ongebruikelijke activiteit laten zien.

https://netsenx.com/nl/faq/supplier-email-was-hacked-what-should-we-do

## Waarom kan een netwerkbeveiligingstool factuurfraude niet tegenhouden?

Omdat factuurfraude zich afspeelt in gesprekken en beslissingen, niet in netwerkverkeer. De valse factuur komt binnen als een gewone e-mail in een cloudmailbox; wie hem betaalt, gebruikt internetbankieren zoals op elke andere dag; en er hoeft nergens malware te draaien. Vanuit het netwerk gezien is alles normaal. Een tool voor network detection and response (NDR) kijkt hoe apparaten zich gedragen: welke machines met welke praten, regelmatige contacten met externe servers, intern scannen, ongebruikelijke datavolumes. Hij leest geen e-mailtekst en kan niet weten dat een rekeningnummer niet klopt. Dat is geen zwakte om te verbergen, maar een grens om rekening mee te houden. Factuurfraude wordt tegengehouden door betaalcontroles, door e-mailauthenticatie op uw eigen domein en door mensen die mogen pauzeren en terugbellen. NDR wordt pas relevant als de fraude begint met een inbraak, bijvoorbeeld een gehackte mailbox die wordt gebruikt om in andere systemen te komen.

https://netsenx.com/nl/faq/why-cant-a-network-tool-stop-invoice-fraud

## Iemand verstuurt valse facturen uit naam van ons bedrijf. Wat kunnen we doen?

Zoek eerst uit hoe het gebeurt, want de aanpak verschilt. Dragen de berichten uw eigen domein zonder via uw mailservers te lopen, dan hebt u e-mailauthenticatie nodig: SPF, DKIM en een strikt DMARC-beleid, zodat ontvangende servers de vervalsingen weigeren. Komen ze van een domein dat erop lijkt, bijvoorbeeld met één letter veranderd, dan kunt u een misbruikklacht indienen bij de registrar en de hostingprovider, en overwegen de meest voor de hand liggende varianten zelf te registreren. Komen ze uit uw echte mailbox, dan is die gecompromitteerd en hebt u een incident af te handelen: resetten, sessies intrekken, mailboxregels nakijken. Waarschuw in elk geval uw klanten via een kanaal dat ze vertrouwen dat uw bankgegevens nooit per e-mail veranderen en hoe ze dat kunnen controleren, doe aangifte en bewaar de voorbeelden met volledige headers. De financiële afdelingen van uw klanten zullen een duidelijke waarschuwing waarderen.

https://netsenx.com/nl/faq/someone-sends-fake-invoices-in-our-name

## Hoe voorkomen we dat criminelen e-mail versturen die van ons domein lijkt te komen?

Publiceer drie DNS-records waarmee ontvangende mailservers uw mail kunnen controleren. SPF somt de servers op die namens uw domein mogen versturen. DKIM voegt aan elk uitgaand bericht een cryptografische handtekening toe. DMARC vertelt ontvangers wat ze moeten doen met een bericht dat die controles niet doorstaat, en stuurt u rapporten over wie er namens u verstuurt. Begin DMARC met het beleid none, dat alleen rapporteert, en lees de rapporten een paar weken om elke legitieme afzender te vinden: uw mailprovider, nieuwsbrieftool, factuursysteem en CRM. Voeg ze toe aan SPF en DKIM, ga daarna naar quarantine en uiteindelijk naar reject. Sinds 2024 eisen Google en Yahoo DMARC van bulkverzenders, dus dit beschermt ook de bezorgbaarheid van uw mail. Het stopt exacte vervalsingen van uw domein, niet domeinen die erop lijken; daarvoor zijn monitoring en verwijderverzoeken nodig.

https://netsenx.com/nl/faq/how-to-stop-someone-spoofing-our-email-domain

## Wat is DMARC?

DMARC, kort voor Domain-based Message Authentication, Reporting and Conformance, is een gepubliceerde regel die andere mailservers vertelt hoe ze berichten moeten behandelen die van uw domein zeggen te komen. Het bouwt voort op twee oudere controles: SPF, dat aangeeft welke servers voor het domein mogen versturen, en DKIM, dat berichten ondertekent. Een bericht doorstaat DMARC als ten minste één van die controles slaagt en overeenkomt met het domein in de Van-regel, wat de lezer daadwerkelijk ziet. Het beleid kan none (alleen rapporteren), quarantine (mislukte berichten naar spam) of reject (weigeren) zijn. DMARC stuurt u ook verzamelrapporten met elke bron die namens u mail verstuurde, en vaak ziet een bedrijf dan voor het eerst al zijn vergeten afzenders. Op zichzelf houdt het phishing in het algemeen niet tegen, want aanvallers nemen gewoon een ander domein dat erop lijkt. Maar het sluit de makkelijkste deur: het exact nabootsen van uw eigen adres.

https://netsenx.com/nl/faq/what-is-dmarc

## Wat is MFA-moeheid?

MFA-moeheid, ook push bombing genoemd, is een aanval op accounts die pushmeldingen gebruiken voor meervoudige authenticatie. De aanvaller heeft het wachtwoord al, vaak via phishing of een lek, en start keer op keer inlogpogingen, zodat de telefoon van de gebruiker steeds om goedkeuring vraagt, soms midden in de nacht. Uiteindelijk tikt de persoon op goedkeuren om er vanaf te zijn, of praat een beller die zich als IT voordoet hem dat aan. Verdediging: zet pushgoedkeuringen om naar nummervergelijking, waarbij de gebruiker een getal moet intypen dat op het inlogscherm staat, wat Microsoft Authenticator inmiddels standaard toepast; beperk het aantal verzoeken per periode; laat gebruikers onverwachte verzoeken met één tik melden; en zet accounts met hoog risico over op phishingbestendige methoden zoals beveiligingssleutels of passkeys. Zeg medewerkers duidelijk dat een MFA-verzoek dat ze niet zelf startten betekent dat iemand hun wachtwoord heeft, en dat ze het moeten weigeren en IT moeten bellen.

https://netsenx.com/nl/faq/what-is-mfa-fatigue

## Kan phishing meervoudige authenticatie omzeilen?

Ja, sommige soorten MFA zijn te omzeilen, en daarom doet het type ertoe. Bij een adversary-in-the-middle-aanval zit de phishingpagina tussen u en de echte inlogpagina: ze geeft uw wachtwoord en uw eenmalige code of pushgoedkeuring in realtime door aan de echte dienst en houdt de sessiecookie die de dienst terugstuurt. Met die cookie is de aanvaller ingelogd zonder uw wachtwoord of MFA opnieuw nodig te hebben. Sms-codes, codes uit authenticator-apps en eenvoudige pushgoedkeuringen zijn hier allemaal kwetsbaar voor. Phishingbestendige MFA, dus FIDO2-beveiligingssleutels en passkeys, is dat niet, omdat de sleutel het webadres controleert en een nepsite niet antwoordt. MFA van welke soort ook is nog altijd veel beter dan geen. Praktische stappen: geef eerst beheerders en financiën passkeys of beveiligingssleutels, schakel aanmeldbeleid in dat onbekende apparaten en locaties markeert, en trek na elk phishingincident sessies in, niet alleen wachtwoorden.

https://netsenx.com/nl/faq/can-phishing-bypass-multi-factor-authentication

## Maakt een wachtwoordreset een einde aan een overgenomen mailbox?

Niet altijd. Aanvallers die een mailbox overnemen, bouwen vaak manieren in om binnen te blijven die een nieuw wachtwoord overleven. Controleer en verwijder al deze: actieve sessies en vernieuwingstokens, die uitdrukkelijk moeten worden ingetrokken; MFA-methoden die de aanvaller registreerde, zoals een nieuw telefoonnummer of een authenticator-app; mailboxregels die mail naar een extern adres doorsturen, berichten over facturen of beveiliging naar een onopvallende map verplaatsen of antwoorden verwijderen; automatisch doorsturen in de mailboxinstellingen; app-wachtwoorden en gekoppelde apps van derden met toegang tot mail; en gedelegeerde toegang aan een ander account. Kijk daarna wat er in die tijd is gedaan: verzonden berichten, gedeelde bestanden, geëxporteerde contacten. In Microsoft 365 en Google Workspace toont het auditlogboek deze wijzigingen met tijdstempel. Leg vast wat u vindt, want dat bepaalt wie gewaarschuwd moet worden en of het incident gemeld moet worden.

https://netsenx.com/nl/faq/does-a-password-reset-end-a-mailbox-takeover

## Wat zijn deepfake-telefoontjes van de directeur, en hoe beschermen we ons?

Criminelen gebruiken nu door AI gegenereerde stemmen, en soms video, om zich in een telefoon- of videogesprek voor te doen als topbestuurder en om een dringende betaling of vertrouwelijke gegevens te vragen. Een paar minuten openbaar beschikbare audio, van een congrespraatje of een podcast, kan genoeg zijn om een stem te klonen. In een veelbesproken zaak in Hongkong in 2024 maakte een medewerker ongeveer 25 miljoen dollar over na een videogesprek waarin alle andere deelnemers deepfakes waren. U kunt er niet op rekenen dat u de vervalsing herkent, want de kwaliteit blijft stijgen. Bescherm daarom het proces: geen betaling of vrijgave van gegevens op basis van alleen een gesprek, terugbellen op een nummer uit uw eigen administratie, een tweede goedkeurder voor overboekingen boven een vast bedrag en eventueel een afgesproken controlevraag voor verzoeken van de directie. Maak uitdrukkelijk duidelijk dat medewerkers mogen ophangen en terugbellen, ook als de beller precies klinkt als de directeur. Netwerkmonitoring speelt hierbij geen rol.

https://netsenx.com/nl/faq/what-are-deepfake-ceo-calls

## Wat is een nep-CAPTCHA- of ClickFix-aanval?

Het is een truc waarmee het slachtoffer zelf de opdracht van de aanvaller uitvoert. Een gecompromitteerde of nepwebsite toont iets wat lijkt op een CAPTCHA of een foutmelding, met instructies om te bewijzen dat u een mens bent of het probleem op te lossen: druk op een toetscombinatie die een opdracht- of uitvoervenster opent, plak en druk op Enter. De pagina heeft al een kwaadaardige opdracht naar het klembord gekopieerd, dus de persoon start in werkelijkheid een script dat malware downloadt, vaak een infostealer of een tool voor toegang op afstand. Omdat de gebruiker het zelf uitvoert, zien veel browser- en mailbeveiligingen nooit een bestand om te blokkeren. Beveiligingsonderzoekers, onder wie Microsoft, melden sinds 2024 een sterke toename van deze techniek. Verdediging: vertel medewerkers dat geen echte website ooit vraagt om opdrachten te plakken, beperk wie scripts mag uitvoeren op gewone werkplekken en houd endpointbeveiliging actueel. Gebeurt het toch, behandel het apparaat dan als gecompromitteerd en let op het netwerk op nieuwe regelmatige uitgaande verbindingen ervan.

https://netsenx.com/nl/faq/what-is-a-fake-captcha-clickfix-attack

## Zijn e-mailbijlagen nog steeds gevaarlijk?

Ja, al zijn de gevaarlijke soorten verschoven. Sinds 2022 blokkeert Microsoft Office standaard macro's in bestanden die van internet zijn gedownload, wat voor de meeste bedrijven de oude route van het besmette Word-document heeft afgesloten. Aanvallers zijn overgestapt op andere formaten: gecomprimeerde archieven met een wachtwoord in de berichttekst, schijfkopiebestanden, snelkoppelingsbestanden, HTML-bijlagen die bij openen een nep-inlogpagina opbouwen of een bestand downloaden, en pdf's met alleen een link of QR-code. Vuistregel voor medewerkers: een onverwachte bijlage die vraagt om inhoud in te schakelen, een wachtwoord in te voeren, een code te scannen of een ander bestand te openen is een reden om te stoppen en het na te vragen. Voor IT: blokkeer ongebruikelijke bijlagetypen op de mailgateway, laat de macroblokkade staan en zorg dat de endpointbeveiliging bestanden controleert die uit archieven worden geopend. Heeft iemand iets verdachts geopend, volg dan dezelfde stappen als na een klik op phishing.

https://netsenx.com/nl/faq/are-email-attachments-still-dangerous

## Wat ziet NetSenX nadat iemand op een phishinglink heeft geklikt?

NetSenX ziet wat het apparaat daarna op het netwerk doet, niet de e-mail of de klik zelf. Het leest geen mailinhoud en ontsleutelt geen verkeer. Wat het in elk abonnement kan tonen: een apparaat dat regelmatige, getimede verbindingen begint met een externe server die het nooit eerder gebruikte (beaconing); een apparaat dat andere machines begint te scannen; verbindingen tussen interne hosts die op laterale beweging wijzen; en ongebruikelijke hoeveelheden data die het netwerk verlaten. Waar de agent pakketten vastlegt, op Linux of via een spiegelpoort (SPAN), tonen abonnementen vanaf Starter ook TLS-vingerafdrukken, die helpen tools te herkennen die niet passen bij de gewone software van het apparaat. Alerts noemen de MITRE ATT&CK-techniek en bevatten vanaf Starter aanbevelingen voor de respons. Steelt de phishing alleen een cloudlogin die de aanvaller daarna vanaf zijn eigen computer gebruikt, dan komt niets van dat verkeer over uw netwerk, en zijn de aanmeldlogboeken van uw identiteitsprovider de plek om te kijken.

https://netsenx.com/nl/faq/what-does-netsenx-see-after-a-phishing-click

FAQ: https://netsenx.com/nl/faq