Phishing herkennen: zo lees je een link en een afzender
Phishing is een bericht dat zich voordoet als een betrouwbare afzender, zodat jij iets doet wat je anders niet zou doen: inloggen op een nagemaakte pagina, een bijlage openen, een code doorgeven of betalen. Spelfouten zijn geen goed kenmerk meer: met AI schrijven oplichters foutloos Nederlands. Kijk daarom naar drie dingen: waar de link echt heen gaat, wie de echte afzender is, en wat het bericht van je vraagt.
Lijkt de mail van WebOké te komen? Lees dan Is deze mail echt van WebOké? Phishing herkennen en de actiecode gebruiken. In de voorbeelden hieronder gebruiken we verzonnen namen die eindigen op .example.
Een link lezen
Ga met je muis over de link zonder te klikken; het echte adres verschijnt onderin het venster. Op een telefoon houd je de link ingedrukt. Alleen dat adres telt, niet de tekst op de knop.
- Zoek het stuk tussen
https://en de eerste/. Dat is de host: de server waar je heen gaat. Alles na de eerste/kiest de eigenaar van die host zelf. - Staat er een
@in dat stuk? Dan begint de host pas na de@. - Lees de host van rechts naar links. Het registreerbaar domein is de extensie plus één woord ervoor, bijvoorbeeld
mijnbank.example. Dat is de naam die iemand heeft vastgelegd, en dus de eigenaar. Alles links daarvan zijn subdomeinen, die de eigenaar zelf verzint. Let op extensies van twee delen, zoalsco.uk: bijwww.shop.voorbeeld.co.ukis het registreerbaar domeinvoorbeeld.co.uk.
| Link | Echte eigenaar | Wat is er aan de hand? |
|---|---|---|
https://inlog.mijnbank.example/klant | mijnbank.example | In orde: een subdomein van de bank zelf |
https://mijnbank.example.inlog-check.example/login | inlog-check.example | Subdomein-truc: de echte naam staat vooraan |
https://inlog.example/mijnbank.example/login | inlog.example | Pad-truc: de naam staat na de eerste / |
https://mijnbank.example@aanvaller.example/ | aanvaller.example | @-truc: alles vóór de @ telt niet |
https://rnijnbank.example/ | rnijnbank.example | Lookalike: rn lijkt op m |
https://mijnbank-veilig.example/ | mijnbank-veilig.example | Een woord erbij: een heel ander domein |
https://xn--mijnbnk-6fg.example/ | xn--mijnbnk-6fg.example | Punycode: een letter uit een ander schrift |
Een lookalike lijkt op het echte domein: letters omgedraaid, een woord of koppelteken erbij, of een letter uit een ander schrift (een Cyrillische а ziet eruit als een gewone a). Zo'n naam met vreemde tekens staat in de techniek als punycode, die begint met xn--. Bij een naam die verder gewoon Nederlands lijkt, is dat verdacht.
Verkorte links, doorstuurlinks en QR-codes
- Een verkorte link laat het doel niet zien. Vraagt een bank of leverancier je via zo'n link om in te loggen, doe het dan niet.
- Een link kan bij een echte site beginnen en je doorsturen. Kijk na een klik opnieuw naar de adresbalk voordat je iets invult.
- Een QR-code is een link die je niet kunt lezen. Laat de camera eerst het adres tonen en lees dat. Let op stickers over een echte code, bijvoorbeeld op een parkeerautomaat.
- Het slotje zegt alleen dat de verbinding versleuteld is. Nepsites hebben ook een slotje.
De afzender lezen
- De naam zegt niets. Iedereen kan als naam "Mijnbank Klantenservice", de naam van je directeur of zelfs een mailadres invullen. Klik of tik op de naam om het echte adres te zien en lees het domein daarvan net als bij een link.
- Let op het antwoordadres. Met een Reply-To gaat je antwoord naar een ander adres dan de afzender. Kijk voor je op Verzenden drukt naar wie je antwoord echt gaat, zeker als het om geld of gegevens gaat.
- Een afzender kan vervalst zijn, en een echte afzender kan gehackt zijn. In de kopregels van een mail zie je of het domein de mail echt heeft verstuurd. Maar ook een geslaagde controle bewijst alleen dat de mail van dat domein komt, niet dat dat domein te vertrouwen is. Hoe je dat leest, staat in De kopregels (headers) van een mail bekijken en lezen.
Sms, WhatsApp en telefoon
Een afzendernaam of telefoonnummer op je scherm kan vervalst zijn, ook als het bericht tussen echte berichten van je bank staat. Krijg je een appje van "een collega met een nieuw nummer" die snel iets betaald wil hebben, bel dan het oude, bekende nummer. Belt iemand namens de bank of een helpdesk en vraagt hij om een code, een betaling of toegang tot je computer op afstand? Hang op en bel zelf terug op een nummer dat je al had. Krijg je een inlogcode of melding die je niet zelf aanvroeg, keur niets goed en wijzig dat wachtwoord.
Gaat het om een factuur of een gewijzigd rekeningnummer, lees dan Nepfactuur, gewijzigd rekeningnummer of CEO-fraude herkennen.
Twijfel je? Stop, check, vraag
- Stop. Haast, schrik of een beloning is precies het moment om niet te klikken.
- Check via je eigen weg. Ga niet verder via het bericht. Typ het adres zelf in of gebruik je bladwijzer, en bel op een nummer dat je al had.
- Vraag het een collega, of de afzender via een ander kanaal.
Meld een phishingmail bij de Fraudehelpdesk: stuur hem het liefst als bijlage door naar valse-email@fraudehelpdesk.nl en zet het nagebootste bedrijf in de cc. Een sms of WhatsApp-bericht meld je via het meldformulier. Zie Valse e-mail melden.
Meer voorbeelden geeft het NCSC in Hoe herken ik een phishing e-mail?, Sms-phishing en Hoe herken ik een neptelefoontje?.