Het verschil tussen spam en phishing, en wat u doet met een verdachte mail
Het verschil tussen spam en phishing zit in de bedoeling van de afzender. Spam is ongevraagde reclame. Phishing is oplichting: iemand doet zich voor als een partij die u kent, zoals uw bank, een leverancier of een collega, om wachtwoorden, gegevens of geld te stelen.
Het verschil tussen spam en phishing op een rij
| Onderdeel | Spam | Phishing |
|---|---|---|
| Wat het is | ongevraagde reclame of massamail | oplichting uit naam van een partij die u kent |
| Doel van de afzender | u iets verkopen of uw aandacht trekken | uw wachtwoord, uw gegevens of uw geld |
| De ogenschijnlijke afzender | een bedrijf of webwinkel, vaak onbekend | uw bank, een leverancier, een collega of een systeem dat u dagelijks gebruikt |
| Wat de mail van u vraagt | iets kopen of naar een aanbieding klikken | inloggen, betalen, een bijlage openen of gegevens delen |
| Ontvangers | grote aantallen adressen tegelijk | soms iedereen, soms één organisatie of één persoon (spear phishing) |
| Risico | ergernis en tijdverlies | gestolen inloggegevens, betaalfraude of ransomware |
| Wat u doet | verwijderen of als ongewenst markeren | niet klikken, niet antwoorden en direct melden bij uw IT-helpdesk |
Heeft een mail kenmerken van spam én van phishing, dan behandelt u hem als phishing. Wat u dan doet, staat hieronder stap voor stap.
Een phishingmail herkennen aan acht herkenningspunten
Een phishingmail is gemaakt om echt te lijken. Toch zit er meestal iets in dat niet klopt. Hoe beter de mail gemaakt is, hoe minder van deze punten u vindt. Ziet u er één, dan is dat al reden genoeg om de mail te melden.
Het adres past niet bij de naam
De naam van de afzender klopt, het e-mailadres erachter hoort niet bij die naam. Klik op de naam om het volledige adres te zien.
De domeinnaam lijkt op de echte
Het adres van de afzender of van de link is bijna gelijk aan dat van de echte organisatie, met één letter verschil, een extra woord of een andere extensie.
De link gaat naar een ander adres
De tekst van de link noemt iets anders dan het adres waar hij naartoe gaat. Op een computer ziet u dat adres als u de muis boven de link houdt, zonder te klikken.
Er is haast of druk
De mail vraagt u snel te handelen, bijvoorbeeld door een termijn, een dreigende blokkade of een betaling die vandaag nog moet. Haast is bedoeld om u minder goed te laten kijken.
U moet inloggen, betalen of gegevens delen
Uw bank of uw IT-afdeling vraagt u per mail niet om uw wachtwoord. Moet u ergens inloggen, ga dan zelf naar de app of het adres dat u kent.
Een bijlage of document dat u niet verwacht
Een factuur van een leverancier waar u niets bestelde, of een gedeeld document waar niemand u over vertelde. Open zo’n bijlage niet.
Het verzoek past niet bij de afzender
Een leidinggevende die via een onbekend adres om een betaling vraagt, of een leverancier die opeens een ander rekeningnummer noemt. Controleer zo’n verzoek via een telefoonnummer of adres dat u al had.
Aanhef, logo of taal wijkt af
Een algemene aanhef, een logo dat net anders is of vreemde zinnen. Een phishingmail kan foutloos geschreven zijn; let daarom vooral op de andere punten.
Bij twijfel: niet klikken, niet antwoorden en phishing direct melden
Een verdachte mail hoort altijd direct gemeld te worden bij de juiste persoon. Phishing melden doet u in de meeste organisaties bij de IT-helpdesk; in uw phishingprotocol staat bij wie en hoe. Twijfelt u of een mail spam of phishing is, volg dan deze drie stappen.
Klik niet en antwoord niet
Klik niet op links, open geen bijlagen, scan geen QR-code en vul nergens gegevens in. Antwoord ook niet: wie antwoordt, mailt met de aanvaller en kan het adres zelfs opslaan als contact.
Meld de mail direct
Meld hem bij uw IT-helpdesk of bij wie uw phishingprotocol noemt, op de manier die daar is afgesproken. Laat de mail staan tot IT ernaar heeft gekeken, en stuur hem niet door naar collega’s met de vraag of hij echt is.
Al geklikt? Meld het toch
Melden is altijd goed, ook na een klik of als u gegevens hebt ingevuld. Vertel erbij wat u deed, zodat IT weet wat er nodig is. Hoe eerder u meldt, hoe kleiner de schade.
Spam is reclame, phishing is bedrog
Spam: reclame die u niet vroeg
Spam is ongevraagde mail die naar grote aantallen adressen tegelijk gaat, meestal om iets te verkopen. Het is vervelend en kost tijd. Het spamfilter van uw organisatie houdt er veel van tegen.
Phishing: oplichting uit naam van een bekende
Phishing is een poging om u iets te laten doen waar criminelen beter van worden: inloggen op een nagemaakte pagina, een betaling doen, een bijlage openen of gegevens delen. Daarvoor doet de afzender zich voor als iemand die u vertrouwt. Met één gestolen wachtwoord komen criminelen soms verder in het netwerk van een organisatie. Volgens het ENISA Threat Landscape 2025 begint 60% van de hacks in Europa met phishing.
Ongevraagde mail met een vreemde bijlage of link is phishing
De grens tussen spam en phishing is niet altijd scherp. Een mail die op reclame lijkt, maar een bijlage bevat die u niet verwacht of een link die naar inloggen of betalen leidt, is een aanval. Behandel zo’n mail als phishing en meld hem.
Phishing komt ook per sms, telefoon en QR-code
Phishing per sms heet smishing, per telefoon vishing en via een QR-code quishing. Het doel is hetzelfde: u laten klikken, inloggen, betalen of iets vertellen. Een verdacht telefoontje of sms meldt u op dezelfde manier als een verdachte mail. Is een bericht speciaal voor één persoon of afdeling gemaakt, dan heet het spear phishing. Zo’n bericht is persoonlijker en daardoor moeilijker te herkennen.
Voorbeelden van phishing op het werk
Phishing op het werk lijkt vaak op gewone werkmail. Denk aan een melding van een systeem dat u dagelijks gebruikt, een gedeeld document dat u moet openen, een factuur van een leverancier of een betaalverzoek dat van een leidinggevende lijkt te komen. Juist omdat zulke mails normaal ogen, helpen de herkenningspunten hierboven.
Vragen over spam, phishing en melden
Ik heb een phishingmail geopend, maar nergens op geklikt. Wat nu?
Hebt u de mail alleen geopend, meld hem dan toch bij uw IT-helpdesk, net als elke andere verdachte mail.
Ik heb mijn wachtwoord ingevuld. Wat moet ik doen?
Meld het direct bij uw IT-helpdesk en zeg dat u een wachtwoord hebt ingevuld. Wijzig dat wachtwoord, ook bij andere accounts waar u hetzelfde wachtwoord gebruikt. IT kan nagaan of iemand met uw gegevens heeft ingelogd.
Hoe kan een phishingmail van een collega komen?
De naam van de afzender is in een mail eenvoudig te veranderen. Daardoor kan een mail van een collega lijken te komen, terwijl iemand anders hem stuurde. Soms is het account van een collega echt overgenomen. Vraag het de collega via een ander kanaal, bijvoorbeeld telefonisch, en meld de mail.
Waarom een phishingmail melden als ik hem al herkend heb?
Uw collega’s krijgen vaak dezelfde mail. Met uw melding kan IT hen waarschuwen en de mail tegenhouden voordat iemand klikt. Wie meldt, helpt dus de hele organisatie.
Houdt het spamfilter phishing niet vanzelf tegen?
Een spamfilter houdt veel tegen, ook een deel van de phishing. Goed gemaakte phishing komt er soms toch doorheen, omdat die lijkt op gewone werkmail. Daarom blijft uw eigen oordeel nodig.
Zo oefent uw organisatie phishing herkennen en melden, met een phishingtest van BSM
Bent u security officer of IT-manager, dan wilt u weten of uw medewerkers een phishingmail herkennen en hem bij de juiste persoon melden. Dat kunnen zij veilig oefenen, en meer dan eens. In een experiment onder 33.016 medewerkers klikte ruim 1 op de 5 op een generieke phishingmail (NCSC en Digital Trust Center, 2022).
Bij een phishingtest van BSM krijgen uw medewerkers een onschuldige phishingmail, op maat gemaakt voor uw organisatie, met herkenningspunten die passen bij het niveau dat u kiest. Wij registreren wie klikt of gegevens invult en wie terugmailt. Uw organisatie houdt bij wie de mail meldt of navraag doet. Zo ziet u ook of uw phishingprotocol werkt. Phishing per sms, telefoon of QR-code is los te bestellen als advanced-scenario, na een intake en alleen met uw schriftelijke akkoord.
Na afloop ontvangen alle medewerkers de herkenningsbrief phishing, in een opbouwende toon: waaraan de mail te herkennen was en bij wie zij een verdachte mail melden. Het doel is samen leren, niet met de vinger wijzen.
Kies waarmee uw organisatie begint: een phishingtest, het hele programma of een training
Een phishingtest
Eén oefening met een realistische phishingmail, die BSM voor u voorbereidt en uitvoert. U ontvangt een eindrapport van onze specialisten.
Phishingtest laten uitvoerenEen phishing simulatie
Het hele programma: oefenen, leren en bewust blijven. Eén tot vier keer per jaar opnieuw, of vaker, steeds met een ander scenario.
Meer over phishing simulatieEen phishing training
Onze eigen trainers leren uw medewerkers op locatie phishing herkennen en melden. De uitkomsten van uw phishingtest kunnen daarin anoniem terugkomen.
Meer over phishing trainingLaat uw medewerkers phishing herkennen en melden: plan een gratis intake
In de intake bespreken wij hoe uw organisatie nu met verdachte mail omgaat, wat er in uw phishingprotocol staat en welk scenario en niveau passen. U ontvangt daarna een offerte. Bellen kan ook: +31 (0)20 820 36 93.