Het aanvalsoppervlak van een particulier of kleine organisatie beperkt zich niet langer tot de mailbox. Volgens Cybermalveillance.gouv.fr is het aantal hulpvragen in 2025 sterk gestegen als gevolg van datalekken met persoonsgegevens. Oplichtingstechnieken combineren tegenwoordig sms’jes, telefoontjes en bankbevestigingen in één en dezelfde reeks. Om je apparaten en online gegevens te beschermen, volstaat een lijst met algemene tips niet meer: je moet de daadwerkelijke aanvalsvectoren aanpakken.
Passkeys en multifactorauthenticatie: wat er concreet verandert voor de weerstand tegen phishing
Wachtwoorden blijven, hoe lang en complex ze ook zijn, kwetsbaar zodra een gebruiker ze op een nepwebsite invoert. Passkeys zijn gebaseerd op een paar cryptografische sleutels die aan de betreffende dienst zijn gekoppeld: de privésleutel verlaat het apparaat nooit en kan niet opnieuw worden gebruikt op een frauduleus domein. Het belangrijkste voordeel is niet het gebruiksgemak, maar dat het invoeren van gegevens op een gekloonde website geen aanvalsvector meer vormt.
De CNIL heeft op 20 maart 2025 een aanbeveling over multifactorauthenticatie aangenomen. Daarin wordt bevestigd dat tweefactorauthenticatie een minimale basis blijft, maar geen absolute garantie biedt. Iemand kan nog steeds zelf een frauduleuze transactie goedkeuren als diegene telefonisch wordt gemanipuleerd.
In artikelen voor een breed publiek wordt tweefactorauthenticatie behandeld als een vinkje dat je kunt zetten. In de praktijk raden we aan accounts te rangschikken op basis van hun belang: eerst bankrekeningen, het primaire e-mailaccount en cloudopslag, daarna sociale media. In de beveiligingsrubriek van Tech Mafia worden de activeringsmethoden per dienst uitgebreid toegelicht, met de verschillen tussen TOTP, pushmeldingen en passkeys.
Oplichting via meerdere kanalen: waarom één signaal niet meer volstaat om fraude te herkennen
Het klassieke scenario van een verdachte e-mail vol spelfouten is achterhaald. Uit de observaties over 2025 die Cybermalveillance.gouv.fr rapporteert, blijkt dat het aantal aanvallen met nepbankmedewerkers en spoofing van telefoonnummers toeneemt. Een typisch scenario bestaat uit meerdere stappen: eerst een waarschuwings-sms, gevolgd door een telefoontje vanaf een nummer dat op dat van de bank lijkt, en daarna het verzoek om iets goed te keuren in de mobiele app.
Datalekken maken deze aanvallen rechtstreeks geloofwaardiger. Als een oplichter de naam, het adres en het rekeningnummer van zijn doelwit kent, is zijn verhaal moeilijk te onderscheiden van een legitiem telefoontje. De enige betrouwbare tegenmaatregel: hang op en bel het officiële nummer van de organisatie terug. Zoek dat op een papieren rekeningafschrift of op de geverifieerde website, en gebruik nooit de link of het nummer dat je hebt ontvangen.
Concrete tips bij een verdacht verzoek
- Keur nooit een banktransactie goed op verzoek van iemand die jou benadert, ongeacht het kanaal (sms, telefoontje, chatbericht). Een echte bankmedewerker vraagt je niet om tijdens een telefoongesprek direct een overschrijving te bevestigen.
- Controleer de URL van de website waarnaar je wordt doorgestuurd voordat je inloggegevens invoert. Eén gewijzigd teken in de domeinnaam is al genoeg om een frauduleuze website te maken.
- Meld elke poging direct via het platform Cybermalveillance.gouv.fr, ook als je geen schade hebt geleden. Meldingen helpen om schadelijke domeinen sneller offline te halen.
Updates en gescheiden gebruik: het werkelijke aanvalsoppervlak van je apparaten
Een apparaat met een verouderd besturingssysteem bevat bekende kwetsbaarheden die openbaar zijn gedocumenteerd. Beveiligingsupdates zijn geen cosmetische verbeteringen: ze dichten kwetsbaarheden uit waar aanvallers soms al enkele dagen na publicatie misbruik van maken. Automatische updates inschakelen op elk apparaat blijft de doeltreffendste maatregel in verhouding tot de benodigde inspanning.
Privé- en werkgebruik gescheiden houden is meer dan alleen een aanbeveling voor goede digitale hygiëne. Een persoonlijke USB-stick aansluiten op een werkcomputer of hetzelfde e-mailadres gebruiken voor een overheidsdienst en een hobbyforum creëert verbindingen tussen omgevingen met verschillende beveiligingsniveaus. Als één omgeving wordt gecompromitteerd, krijgt de aanvaller zonder extra moeite toegang tot de andere.
Rechten en geïnstalleerde software beheren
Door apps alleen te installeren via officiële appwinkels (App Store, Google Play) of geverifieerde websites van uitgevers, verklein je het risico dat je aangepaste software uitvoert. Gebruik op een computer voor dagelijks gebruik een standaardgebruikersaccount (zonder beheerdersrechten) om de schade door malware te beperken: die kan dan geen systeembestanden wijzigen of zich diepgaand installeren.
Elke geïnstalleerde app vergroot het aanvalsoppervlak. Door ongebruikte software te verwijderen en overbodige machtigingen (toegang tot de microfoon, locatie en contacten) in te trekken, verklein je de blootstelling. Zowel op Android als op iOS kun je deze toegangsrechten binnen enkele minuten controleren via de privacyinstellingen.
Back-ups en gegevensversleuteling: het vaak vergeten vangnet
Ransomware versleutelt bestanden en eist losgeld. Zonder recente back-up moet het slachtoffer kiezen tussen betalen (zonder garantie dat de bestanden worden teruggezet) en het verlies accepteren. Met regelmatige back-ups op een medium dat niet met het netwerk is verbonden (externe schijf, offline opslag) ontneem je de aanvaller zijn drukmiddel.
Een gangbare praktische richtlijn is om minstens twee kopieën van gegevens op verschillende media te bewaren, waarvan één fysiek gescheiden is van de werkcomputer. Gesynchroniseerde clouddiensten zijn geen vervanging voor deze offline back-up: ransomware kan zich verspreiden naar gesynchroniseerde bestanden voordat de aanval wordt ontdekt.
Schijfversleuteling (BitLocker op Windows, FileVault op macOS) beschermt gegevens als het apparaat fysiek wordt gestolen. Als een laptop in de trein wordt gestolen, zijn alle bestanden toegankelijk wanneer de schijf niet is versleuteld, zelfs als de sessie met een wachtwoord is beveiligd.
Digitale veiligheid is geen stabiele toestand. Aanvalstechnieken veranderen, datalekken leveren oplichters steeds nauwkeurigere informatie op en elk nieuw verbonden apparaat vormt een mogelijk toegangspunt. De maatregelen in dit artikel vereisen geen speciaal budget of geavanceerde vaardigheden, maar moeten wel consequent worden toegepast en niet alleen bekend zijn.
