Vishing: phishing via de telefoon. Zo herkent u het en dit doet u
Vishing is phishing via de telefoon: iemand belt u en doet zich voor als een collega, de IT-helpdesk, de bank of een leverancier. Het doel is dat u een wachtwoord of code doorgeeft, geld overmaakt of de beller op afstand laat meekijken op uw computer.
Zo verloopt een vishing-aanval, in vier stappen
Telefonische oplichting neemt toe. De Fraudehelpdesk kreeg in 2025 van particulieren 17.264 meldingen over helpdeskfraude, waarbij oplichters zich aan de telefoon voordoen als helpdesk van een bank of bedrijf; in 2024 waren dat er 9.492 (Fraudehelpdesk, Een terugblik op 2025). Op het werk ziet een aanval er in grote lijnen zo uit.
Informatie verzamelen
De aanvaller zoekt vooraf namen, functies en systemen op, bijvoorbeeld op de website van uw organisatie of op LinkedIn. Soms gaat er een phishingmail aan vooraf. Zo klinkt de beller als iemand die uw organisatie kent.
Een rol die u vertrouwt
De beller stelt zich voor als iemand van de IT-helpdesk, een leverancier, de bank of het management. Het nummer op uw scherm kan echt lijken, want een beller kan een ander nummer laten zien dan het zijne (spoofing).
Druk en haast
Er is een probleem dat nu opgelost moet worden: een account dat gehackt lijkt, een betaling die vastzit of een leidinggevende die wacht. Onder tijdsdruk controleert iemand minder.
Het verzoek
Dan komt de vraag waar het om ging: een wachtwoord, een code uit een sms of app, een betaling, een nieuw rekeningnummer, of software installeren zodat de beller op afstand kan meekijken.
Acht signalen dat een telefoontje vishing kan zijn
Een of meer van deze signalen is reden genoeg om het gesprek te beëindigen en het zelf na te gaan.
- U wordt onverwacht gebeld door een helpdesk, bank, leverancier of collega
- De beller heeft haast en zegt dat er direct iets misgaat als u niets doet
- De beller beroept zich op gezag, zoals de directie, de bank of een instantie
- U wordt gevraagd om een wachtwoord, een inlogcode of een code uit een sms of app
- U moet software installeren of iemand op afstand laten meekijken
- Er wordt gevraagd om een betaling of een nieuw rekeningnummer
- U mag niet terugbellen of moet het gesprek voor u houden
- Het nummer op uw scherm lijkt echt: ook een bekend nummer kan nagemaakt zijn
Wat u doet bij een verdacht telefoontje: ophangen, zelf terugbellen en melden
Een verdacht telefoontje hoort altijd direct gemeld te worden bij de juiste persoon. Wie dat is, staat in het phishingprotocol van uw organisatie; meestal is het de IT-helpdesk.
Hang op
Geef geen wachtwoord, code of betaling door, hoe overtuigend de beller ook klinkt. U mag een gesprek altijd beëindigen. Een echte collega of helpdesk begrijpt dat u het eerst wilt nagaan.
Bel zelf terug via een bekend nummer
Zoek het nummer zelf op, bijvoorbeeld op het intranet of de website van de organisatie. Gebruik niet het nummer dat de beller noemt of dat op uw scherm stond.
Meld het direct bij de IT-helpdesk
Vertel wanneer u werd gebeld, wie de beller zei te zijn en wat hij vroeg. Dan kan IT collega’s waarschuwen die misschien ook gebeld worden.
Toch iets doorgegeven: meld het alsnog
Gaf u een code of wachtwoord door, of liet u iemand meekijken, meld het dan meteen. Hoe eerder IT het weet, hoe eerder uw wachtwoord gewijzigd of uw account geblokkeerd kan worden. Melden is altijd goed, ook na een fout.
Bij uw eigen bankrekening: bel uw bank
Ging het om uw privérekening, bel dan ook direct uw bank, via het nummer op uw bankpas of op de website van de bank.
Vishing simulatie: zo testen wij telefonische phishing in uw organisatie
Wilt u weten hoe uw medewerkers reageren als iemand belt met een overtuigend verhaal? Dan oefenen wij dat met hen in een vishing simulatie. U bestelt die los als advanced-scenario, na een gratis intake. Wij benaderen medewerkers per telefoon, zoals een aanvaller dat zou doen. Het telefoontje kan volgen op een phishingmail, bijvoorbeeld om iemand over te halen tot een remote sessie waarbij wij op afstand meekijken.
Wij kunnen het zo ver laten gaan als u wilt. Alles gebeurt met uw schriftelijke akkoord en met afspraken vooraf: wie meedoet, wat wij wel en niet mogen vragen en waar de grens ligt. Wie het telefoontje meldt of navraag doet bij de helpdesk, houdt uw organisatie bij, net als bij een phishingtest per mail.
Advanced past bij organisaties met een hoog gewenst veiligheidsniveau, vaak als vervolg op volledig maatwerk. U kunt het ook inzetten om incidentbeheer te oefenen.
- Los te bestellen als advanced-scenario, na een intake
- Zo ver als u wilt, met schriftelijk akkoord en afspraken vooraf
- Te combineren met een phishingtest per mail
- Een eigen rapport over het advanced-scenario
Phishing komt ook per sms, via een QR-code en per mail
Smishing
Phishing via sms: een bericht met een link naar een nepwebsite of een nummer dat u moet bellen. Vaak gaat het daarna verder als vishing.
Wat is smishingQuishing
Phishing met een QR-code, in een mail, een brief of op een sticker. Waar de code naartoe leidt, ziet u pas na het scannen.
Wat is quishingPhishingtest per mail
Uw medewerkers krijgen een realistische, onschuldige phishingmail, op maat gemaakt. Wij richten de test in en schrijven het eindrapport.
Phishingtest laten uitvoerenPhishing training
Onze eigen trainers leren uw medewerkers verdachte berichten herkennen en melden. Telefonische phishing kan daarin aan bod komen, als vishing training voor bijvoorbeeld de servicedesk.
Meer over phishing trainingVragen over vishing
Wat is het verschil tussen vishing en phishing?
Vishing is een vorm van phishing; de v staat voor voice. Bij phishing komt de aanval meestal per mail, bij vishing per telefoon. Vaak gaan ze samen: eerst een mail, daarna een telefoontje dat de mail geloofwaardig maakt.
Kan een nummer op mijn scherm nep zijn?
Ja. Met spoofing laat een beller een ander nummer zien dan het zijne, ook dat van een bank of van uw eigen organisatie. Een bekend nummer bewijst dus niet wie er belt.
Waarom melden als ik niets heb doorgegeven?
Een aanvaller belt vaak meerdere collega’s. Met uw melding kan IT hen waarschuwen voordat iemand anders wel iets doorgeeft.
Kunnen alleen bepaalde afdelingen meedoen?
Ja. Advanced is een gerichte aanval: u kiest samen met ons welke personen of afdelingen meedoen, bijvoorbeeld de servicedesk, finance of het management.
Informeren wij de ondernemingsraad over een vishing simulatie?
Dat raden wij aan. Of de OR ook moet instemmen, verschilt per organisatie en hangt onder meer af van wat u met de uitkomsten doet. In de intake bespreken wij welke afspraken passen.
Vishing testen in uw organisatie? Neem contact op voor de mogelijkheden
In de gratis intake bespreken wij wat u wilt weten, welke medewerkers meedoen en hoe ver het scenario mag gaan. Daarna ontvangt u een offerte. Bellen kan ook: +31 (0)20 820 36 93.