Smartphone phishing

Wat is smartphone phishing?

Smartphone phishing is phishing gericht op gebruikers van smartphones en tablets.

Bij phishing proberen aanvallers iemand te misleiden om gevoelige gegevens prijs te geven of op een schadelijke link te klikken. Denk aan wachtwoorden, MFA-codes, bankgegevens, Microsoft 365-inloggegevens of toegang tot bedrijfsapplicaties.

Op smartphones gebeurt dit vaak via:

• e-mail;
• sms;
• WhatsApp;
• QR-codes;
• sociale media;
• chatapps;
• nepwebsites;
• valse Microsoft 365-inlogpagina’s.

Het Nationaal Cyber Security Centrum waarschuwt dat phishing steeds lastiger te herkennen is, onder andere doordat berichten er steeds professioneler uitzien. Slechte spelling of vreemde opmaak is dus geen betrouwbare manier meer om phishing te herkennen.

Waarom is phishing op smartphones extra gevaarlijk?

Phishing op smartphones is extra gevaarlijk omdat gebruikers vaak sneller handelen en minder goed controleren.

Op een laptop ziet iemand meestal meer details:

• volledige URL;
• afzender;
• domeinnaam;
• tabbladen;
• certificaatinformatie;
• context van het bericht.

Op een smartphone is dat lastiger.

Het scherm is kleiner. Links worden ingekort. Meldingen komen tussendoor binnen. Gebruikers reageren sneller. En zakelijke apps staan naast privéapps.

Daardoor klikken medewerkers op mobiel sneller op een link zonder goed te controleren waar deze naartoe gaat.

Waarom is smartphone phishing relevant voor het MKB?

MKB-bedrijven gebruiken steeds vaker Microsoft 365, Teams, Outlook, OneDrive, SharePoint en mobiele apps.

Medewerkers hebben daarmee via hun smartphone toegang tot:

• zakelijke e-mail;
• agenda;
• Teams-gesprekken;
• klantinformatie;
• documenten;
• MFA-apps;
• cloudbestanden;
• bedrijfsapplicaties.

Een geslaagde phishingaanval kan daardoor veel schade veroorzaken.

Denk aan:

• accountovername;
• datalekken;
• fraude;
• misbruik van mailboxen;
• verspreiding van phishing naar klanten;
• toegang tot Microsoft 365;
• reputatieschade;
• verstoring van bedrijfsprocessen.

Veelvoorkomende vormen van smartphone phishing

Phishing via e-mail

De bekendste vorm is phishing via e-mail.

Een medewerker ontvangt een bericht dat lijkt te komen van Microsoft, een leverancier, bank, pakketdienst of collega.

De mail bevat vaak een link naar een nepwebsite waar de gebruiker moet inloggen.

Smishing

Smishing is phishing via sms.

Een gebruiker ontvangt bijvoorbeeld een sms over:

• een pakket;
• bankverificatie;
• openstaande betaling;
• accountblokkade;
• gemiste bezorging;
• beveiligingswaarschuwing.

Het doel is meestal dat de gebruiker op een link klikt.

WhatsApp-phishing

Aanvallers gebruiken ook WhatsApp of andere chatapps.

Voorbeelden:

• iemand doet zich voor als collega;
• iemand vraagt om snel iets te regelen;
• er wordt druk gezet;
• er wordt gevraagd om een code of betaling;
• er wordt een link gedeeld naar een valse pagina.

QR-code phishing

QR-code phishing wordt ook wel quishing genoemd.

Een gebruiker scant een QR-code en komt terecht op een valse website.

Het NCSC waarschuwt dat QR-codes moeilijker te controleren zijn, omdat de gebruiker vooraf niet altijd ziet waar de code naartoe verwijst.

Valse Microsoft 365-inlogpagina’s

Voor bedrijven is dit een van de gevaarlijkste vormen.

Een medewerker denkt in te loggen op Microsoft 365, maar vult zijn gegevens in op een nepwebsite.

Daarna kan een aanvaller proberen toegang te krijgen tot Outlook, Teams, OneDrive of SharePoint.

Hoe herkent u smartphone phishing?

Phishing is niet altijd makkelijk te herkennen.

Toch zijn er signalen.

Onverwachte urgentie

Berichten zeggen vaak dat u direct moet handelen.

Bijvoorbeeld:

• uw account wordt geblokkeerd;
• betaling mislukt;
• pakket wordt teruggestuurd;
• beveiligingsprobleem vastgesteld;
• bevestig nu uw identiteit.

Vreemde links

Controleer de link voordat u klikt.

Op smartphones is dat lastig, maar vaak kunt u een link ingedrukt houden om de bestemming te bekijken.

Let op domeinnamen die lijken op echte namen, maar net anders zijn.

Onverwachte bijlagen

Open geen onverwachte bijlagen, zeker niet wanneer het bericht druk zet.

Verzoek om wachtwoord of code

Een betrouwbare organisatie vraagt niet zomaar via sms, WhatsApp of e-mail om uw wachtwoord of MFA-code.

Afzender klopt niet

Controleer de domeinnaam van de afzender.

Een weergavenaam kan eenvoudig worden vervalst.

Bericht past niet bij de situatie

Krijgt u een pakketmelding terwijl u niets verwacht?

Een betaalverzoek zonder context?

Een Microsoft-waarschuwing buiten de normale aanmeldflow?

Wees kritisch.

Waarom MFA niet altijd genoeg is

MFA is belangrijk, maar niet alles.

Een aanvaller kan proberen een gebruiker te misleiden om een MFA-verzoek goed te keuren.

Bijvoorbeeld wanneer de gebruiker wordt overspoeld met meldingen of denkt dat hij zelf probeert in te loggen.

Daarom is het belangrijk dat medewerkers weten:

• keur nooit onbekende aanmeldverzoeken goed;
• controleer waar de aanmelding vandaan komt;
• meld verdachte MFA-verzoeken;
• gebruik nummermatching waar mogelijk;
• gebruik Microsoft Authenticator zorgvuldig.

Smartphone phishing en Microsoft Authenticator

Microsoft Authenticator helpt accounts beter beschermen, maar gebruikers moeten begrijpen hoe de app werkt.

Belangrijke afspraken:

• keur alleen aanmeldingen goed die u zelf gestart bent;
• deel nooit verificatiecodes;
• meld onbekende verzoeken direct;
• gebruik geen sms als eerste keuze wanneer Authenticator beschikbaar is;
• wees alert bij nieuwe of onverwachte aanmeldingen.

Een medewerker die zomaar iedere melding goedkeurt, kan alsnog slachtoffer worden.

Smartphone phishing en Microsoft Intune

Microsoft Intune kan helpen om mobiele risico’s te beperken.

Voorbeelden:

• zakelijke apps beheren;
• toegang beperken op risicovolle apparaten;
• appbeleid toepassen;
• zakelijke data beschermen;
• apparaten controleren op compliance;
• toegang blokkeren wanneer een apparaat niet voldoet.

Intune voorkomt niet dat iemand een phishingbericht ontvangt, maar kan wel helpen om schade te beperken.

Smartphone phishing en BYOD

Bij BYOD gebruiken medewerkers hun eigen telefoon voor werk.

Dat maakt smartphone phishing extra relevant.

Privé en zakelijk lopen dan door elkaar.

Een medewerker kan een phishinglink ontvangen via privé-sms, WhatsApp of sociale media en daarna op hetzelfde toestel toegang hebben tot zakelijke apps.

Daarom moeten BYOD-afspraken ook phishing behandelen.

Denk aan:

• welke zakelijke apps toegestaan zijn;
• of MFA verplicht is;
• wat te doen bij verdachte links;
• hoe incidenten gemeld worden;
• welke gegevens op het toestel mogen staan;
• welke beveiliging minimaal nodig is.

Wat moet een medewerker doen bij twijfel?

Maak het simpel.

Medewerkers moeten weten:

1. Niet klikken.
2. Niet inloggen.
3. Geen codes delen.
4. Bericht bewaren.
5. Intern melden.
6. Bij twijfel IT of leidinggevende vragen.

Een duidelijke meldroute is belangrijker dan een lang beveiligingsdocument.

Wat moet u doen na een klik op een phishinglink?

Als een medewerker toch heeft geklikt, is snel handelen belangrijk.

Controleer:

• is er ingelogd?
• is er een wachtwoord ingevuld?
• is een MFA-verzoek goedgekeurd?
• zijn gegevens gedeeld?
• is er software geïnstalleerd?
• is het apparaat nog betrouwbaar?
• zijn er verdachte aanmeldingen?
• zijn er mailboxregels aangemaakt?
• is er data geopend of gedeeld?

Mogelijke acties:

• wachtwoord wijzigen;
• sessies intrekken;
• MFA-methodes controleren;
• apparaat controleren;
• verdachte aanmeldingen onderzoeken;
• mailboxregels controleren;
• incident registreren;
• datalekrisico beoordelen.

Veelgemaakte fouten bij smartphone phishing

Denken dat phishing altijd herkenbaar is

Moderne phishingberichten kunnen professioneel zijn.

Alleen trainen op e-mail

Smartphone phishing komt ook via sms, WhatsApp, QR-codes en sociale media.

Geen meldproces hebben

Medewerkers weten niet waar zij verdachte berichten moeten melden.

MFA-verzoeken zomaar goedkeuren

Dit blijft een groot risico.

Privételefoons vergeten

BYOD maakt smartphone phishing relevanter.

Geen controle na een incident

Na klikken moet worden gecontroleerd of er vervolgschade is.

Hoe beschermt u uw organisatie?

Een goede aanpak bestaat uit techniek, beleid en bewustwording.

Techniek

Gebruik:

• MFA;
• Microsoft Authenticator;
• Microsoft Intune;
• Mobile Device Management;
• appbescherming;
• spam- en phishingfilters;
• veilige browserinstellingen;
• monitoring van aanmeldingen.

Beleid

Leg vast:

• wat medewerkers mogen gebruiken;
• wat te doen bij verdachte berichten;
• hoe incidenten gemeld worden;
• hoe BYOD wordt geregeld;
• wat gebeurt bij verlies of accountmisbruik.

Bewustwording

Maak medewerkers alert op:

• onverwachte urgentie;
• valse links;
• nep-Microsoft-pagina’s;
• QR-code phishing;
• MFA-misbruik;
• verdachte WhatsApp- of sms-berichten.

Checklist: smartphone phishing voorkomen

Controleer minimaal:

• Is MFA actief voor alle gebruikers?
• Wordt Microsoft Authenticator gebruikt?
• Is nummermatching actief waar mogelijk?
• Weten medewerkers dat ze geen codes mogen delen?
• Is er een meldprocedure voor phishing?
• Wordt smartphone phishing meegenomen in awareness?
• Zijn BYOD-afspraken duidelijk?
• Worden verdachte aanmeldingen gecontroleerd?
• Zijn zakelijke apps goed beveiligd?
• Is er een procedure na klikken op een phishinglink?

Wilt u breder controleren of smartphones veilig zijn ingericht? Gebruik dan de Smartphone Security Checklist.

Download de Smartphone Security Checklist

Conclusie

Smartphone phishing is een serieus risico voor MKB-bedrijven. Medewerkers gebruiken hun telefoon dagelijks voor e-mail, Teams, MFA, documenten en zakelijke communicatie. Daardoor is de smartphone een belangrijk doelwit geworden.

Phishing is bovendien steeds moeilijker te herkennen. Berichten zien er professioneler uit, komen via meerdere kanalen binnen en spelen vaak in op haast of onzekerheid.

De beste bescherming bestaat uit een combinatie van techniek en gedrag. MFA, Microsoft Authenticator, Intune, BYOD-beleid en duidelijke meldprocedures helpen risico’s te beperken. Maar medewerkers moeten ook weten wat zij moeten doen bij twijfel.

Wie smartphone phishing serieus neemt, beschermt niet alleen apparaten, maar ook accounts, bedrijfsgegevens en klanten.

Download de Smartphone Security Checklist

Bekijk Mobiele Beveiliging