Spear phishing, whaling en CEO-fraude: uitleg en herkennen

Spear phishing valt minder op dan een massamail, omdat de aanvaller zich eerst verdiept in de ontvanger, vaak via openbare bronnen, datalekken of sociale media. Het bericht noemt echte namen, projecten of collega’s, en daardoor lijkt het verzoek logisch. Twijfelt u over zo’n bericht, controleer het verzoek dan via een kanaal dat u zelf kent en meld het direct bij uw meldpunt. Uw organisatie kan het oefenen, als advanced-scenario.

Wat is spear phishing: een gerichte aanval op één persoon of functie

Gewone phishing gaat in grote aantallen naar willekeurige adressen. De afzender rekent erop dat een klein deel van de ontvangers klikt. Het bericht is algemeen, zodat het bij zoveel mogelijk mensen past.

Spear phishing bestaat uit weinig berichten, zorgvuldig voorbereid. Het NCSC beschrijft het als een aanval op één specifieke persoon of functie. De aanvaller zoekt eerst uit wie die persoon is, met wie hij samenwerkt, welke systemen de organisatie gebruikt en wat er die week speelt. Het bericht sluit daarop aan. Whaling en CEO-fraude zijn twee bekende vormen.

Volgens het ENISA Threat Landscape 2025 begint 60% van de hacks in Europa met phishing. Spear phishing is de gerichte vorm daarvan.

Whaling: spear phishing op bestuurders

Whaling is spear phishing gericht op de top van een organisatie: directie, bestuurders en andere mensen met veel bevoegdheden. Wie aan de top staat, kan betalingen goedkeuren en heeft toegang tot vertrouwelijke stukken. Daarom kan één geslaagde aanval op die persoon veel schade geven.

Bestuurders zijn bovendien goed te onderzoeken. Hun naam, functie, agenda en netwerk staan vaak op de eigen website, in jaarverslagen en op sociale media. Een aanvaller kan daarmee een bericht maken dat precies past bij wat de bestuurder die week doet.

CEO-fraude: iemand doet zich voor als de directeur

Bij CEO-fraude is de directeur de ogenschijnlijke afzender. Een crimineel doet zich voor als directeur, bestuurder of manager en vraagt een medewerker om iets te doen, meestal een betaling. Het NCSC noemt CEO-fraude een vorm van business email compromise. De Fraudehelpdesk beschrijft hoe het vaak gaat: de crimineel zoekt eerst de mailadressen van de directeur en van iemand bij de financiële afdeling, en richt zich dan op die medewerker. Soms stellen de criminelen voor om een 'advocatenkantoor' te bellen dat het verzoek bevestigt; dat kantoor hoort bij de oplichters.

CEO-fraude werkt omdat het verzoek van iemand met gezag lijkt te komen. Een medewerker die de directeur nauwelijks kent, vraagt minder snel door.

Zo herkent u spear phishing, whaling en CEO-fraude

Een gericht bericht kan er verzorgd uitzien en uw naam, uw functie en echte namen van collega's bevatten. Let daarom vooral op wat er van u gevraagd wordt en hoe. De Fraudehelpdesk en het NCSC noemen deze signalen.

• Een verzoek buiten de gewone gang van zaken, zoals een betaling buiten de vaste procedure
• Haast: het verzoek moet direct worden uitgevoerd
• Geheimhouding: u mag het niet met collega's bespreken
• Nadruk op gezag: het verzoek wordt gebracht als opdracht van hogerhand
• Vleierij: u wordt persoonlijk uitgekozen voor een belangrijke taak
• Een afzenderadres dat bijna klopt, met een kleine afwijking in de domeinnaam
• Een onverwachte vraag om in te loggen, een code door te geven of een bijlage te openen

Eén signaal is genoeg om even te stoppen. Een echt verzoek blijft echt als u het eerst controleert.

Wat u doet bij een verdacht bericht

Controleer het verzoek via een kanaal dat u zelf kent. Bel de collega of directeur op het nummer dat u al had, of loop even langs. Gebruik nooit de telefoonnummers, links of adressen uit het bericht zelf. Geef inloggegevens en verificatiecodes nooit door per mail of telefoon.

Meld het bericht direct bij het vaste meldpunt van uw organisatie, meestal de IT-helpdesk. Een verdachte mail hoort altijd direct gemeld te worden bij de juiste persoon, ook als u al op een link heeft geklikt of al heeft geantwoord. Het NCSC wijst erop dat snel melden de schade beperkt. Is er al betaald, neem dan meteen contact op met uw bank en met uw IT-afdeling. Een fraudepoging kunt u ook melden bij de Fraudehelpdesk.

Hoe uw organisatie het melden regelt, legt u vast in een phishingprotocol. Lees welke afspraken daarin horen. Twijfelt u of een bericht gewone spam of phishing is, lees dan het verschil tussen spam en phishing.

Zo oefent BSM spear phishing als advanced-scenario

Bij BSM is spear phishing een advanced-scenario, een gerichte aanval op personen of afdelingen. Wij voeren het alleen uit met uw schriftelijke akkoord, en u bepaalt vooraf wie meedoet en waar de grens ligt.

Advanced past bij organisaties met een hoog gewenst veiligheidsniveau, vaak als vervolg op een volledig maatwerk phishingtest. U kunt er ook incidentbeheer en forensic readiness mee oefenen: een aanvallend team (red team) tegen uw verdedigers (blue team). Wij kunnen het scenario zo ver maken als u wilt.

• Per mail, en desgewenst per telefoon of met een remote sessie
• Met ingevulde gegevens proberen wij in te loggen; tweestapsverificatie omzeilen is ons ook gelukt
• Na een gelukte login kunnen wij proberen informatie los te halen
• Veel klanten kiezen ervoor dan te stoppen, zodat er geen echte problemen ontstaan
• Iedereen van wie wij het wachtwoord echt hebben, wijzigt het meteen als oefening
• Wachtwoorden verwijderen wij na afloop
• Een advanced-scenario krijgt een eigen rapport

Of een scenario dat op whaling of CEO-fraude lijkt bij uw organisatie past, bespreken wij met u in de intake. Neem contact op voor de mogelijkheden, of lees meer over de advanced phishingtest. Een telefonische aanval of een sms bestelt u ook los, als vishing of smishing, na een intake.

Begint u liever met de hele organisatie, dan is een phishingtest laten uitvoeren de eerste stap van onze phishing simulatie. Zo ziet een phishingtest van BSM eruit.

Bronnen

• NCSC, Aan de slag tegen phishing
• Fraudehelpdesk, CEO-fraude
• ENISA Threat Landscape 2025