Een mail van Mondial Relay, een sms van je bank, een dringend bericht van de overheid. Phishing is alomtegenwoordig en de technieken worden steeds geraffineerder. In België ontvangt Safeonweb dagelijks bijna 26.000 meldingen van verdachte berichten. Toch slagen aanvallers er keer op keer in om door de mazen van het net te glippen. Dit artikel legt uit hoe phishing vandaag werkt, wie het meest kwetsbaar is, en wat er in België concreet tegen gedaan wordt.

Safeonweb, het meldpunt van het Centrum voor Cybersecurity België, ontving in 2025 maar liefst 10 miljoen meldingen van verdachte berichten. Daardoor werden kwaadaardige websites zo’n 200 miljoen keer vermeden.

Toch slagen aanvallers er keer op keer in om door de mazen van het net te glippen. In 2024 werd via phishing 49 miljoen euro buitgemaakt, ondanks het feit dat banken 75% van de frauduleuze overschrijvingen konden detecteren, blokkeren of terugvorderen. Eén op de acht Belgen werd al ooit slachtoffer.

Phishing begon ooit als simpele e-mails met opvallende spelfouten en onwaarschijnlijke beloftes. Die tijd is voorbij. Vandaag zijn phishingberichten vaak nauwelijks van echte communicatie te onderscheiden. Ze komen binnen als een pakjesmelding van Mondial Relay, een beveiligingswaarschuwing van je bank, een factuur van een overheidsinstantie of een dringend bericht van een collega.

Naast klassieke e-mailphishing zien we een sterke opmars van smishing (phishing via sms) en vishing, waarbij oplichters telefonisch contact opnemen en zich voordoen als medewerkers van een bank of overheid. Een nieuwere techniek is QR-code phishing: slachtoffers scannen een QR-code op een nep-document of affiche en belanden zo op een frauduleuze website. De drempel om zo’n code te scannen is laag, terwijl de URL achter de code vaak niet zichtbaar is voor het scannen.

De cijfers uit het Febelfin-onderzoek onthullen een opmerkelijk patroon: zowel jongeren als ouderen zijn kwetsbaar, maar om heel andere redenen.

• Bij jongeren tussen 16 en 30 jaar kent 23% de term phishing niet. Van diezelfde groep geeft 13% aan dat ze geneigd zouden zijn hun bankkaart op te sturen als een zogezegde bank daarom vraagt. En 20% gaf toe recent financiële gegevens online te hebben doorgegeven waarbij ze zich achteraf ongemakkelijk voelden.
• Bij ouderen liggen de risico’s anders. Zij kennen de term phishing vaker: slechts 4% heeft er nog nooit van gehoord. Maar ook zij zijn niet immuun. Bankhelpdeskfraude en beleggingsoplichting, waarbij aanvallers telefonisch vertrouwen opbouwen over meerdere gesprekken, treffen alle leeftijdsgroepen.

Eén kwetsbaarheid deelt iedereen: de reflex om te vertrouwen wat vertrouwd lijkt. Een bericht dat eruitziet als een echte melding van een pakjesdienst, een bank of een overheidsinstantie activeert zelden alarmbellen, en dat weten aanvallers.

De strijd tegen phishing in België is de voorbije jaren professioneler geworden. De Federale Gerechtelijke Politie, het Centrum voor Cybersecurity België en cyberbeveiliger Secutec ondertekenden recent een Nationaal Protocol voor Detectie en Disruptie van Phishingdreigingen. De kern van dat protocol is een tool die automatisch nieuwe websites scant op frauduleuze software. Wanneer een kwaadaardige site wordt gedetecteerd, worden gebruikers die erop klikken binnen de tien minuten automatisch doorgestuurd naar een waarschuwingspagina, een drastische verbetering ten opzichte van de vroegere verwerkingstijd van uren of soms dagen.

Het protocol bouwt voort op Phish Nemo, een project van de Federale Gerechtelijke Politie van Limburg dat in 2022 werd opgestart. Sindsdien werden 1.600 kwaadaardige sites in een vroeg stadium geblokkeerd en bleven meer dan 120.000 potentiële slachtoffers gevrijwaard.

Toch is de strijd niet gewonnen. Wie phishingcampagnes opzet via QR-codes of nep-advertenties op sociale media, omzeilt veel van de bestaande detectiemechanismen. De volgende stap is het uitbreiden van het systeem naar frauduleuze advertenties op Google en Facebook.