Wat is spearphishing en hoe bescherm je jezelf
Laatst bijgewerkt op 16 januari 2026
Spearphishing is geen massale spam. Het is gericht, persoonlijk en vaak verrassend geloofwaardig. Juist daarom is deze vorm van cyberaanval zo effectief.
Veel mensen denken phishing wel te herkennen. Toch gaat het bij spearphishing regelmatig mis, ook bij ervaren medewerkers. Niet omdat ze onoplettend zijn, maar omdat de aanval slim inspeelt op vertrouwen, timing en herkenning.
In dit artikel leggen we uit wat spearphishing is, hoe het werkt en welke concrete stappen je kan nemen om schade te voorkomen.
Wat spearphishing anders maakt dan gewone phishing
Bij gewone phishing wordt een grote groep tegelijk benaderd. De boodschap is algemeen en vaak slordig. Spearphishing werkt anders. De aanvaller kiest één persoon of één organisatie en past het bericht daar specifiek op aan. Namen, functies, projecten en interne termen worden bewust gebruikt om het bericht geloofwaardig te maken.
Dat maakt spearphishing gevaarlijker. Niet alleen voor individuen, maar ook voor organisaties waar één fout grote gevolgen kan hebben.
Hoe een spearphishing-aanval stap voor stap verloopt
Een spearphishing-aanval ontstaat niet toevallig. Er zit een duidelijke aanpak achter.
Eerst verzamelt de aanvaller informatie. Dat gebeurt via LinkedIn, bedrijfswebsites, eerdere datalekken of social media. Met die informatie bouwt hij een profiel van het doelwit.
Daarna wordt het bericht opgesteld. Vaak lijkt het afkomstig van een collega, leidinggevende of externe partner. De toon past bij de normale communicatie en het verzoek sluit aan bij lopende werkzaamheden.
Tot slot wordt druk opgebouwd. Er is haast, vertrouwelijkheid of een probleem dat direct opgelost moet worden. Juist dat moment zorgt ervoor dat mensen handelen zonder extra controle.
De rol van psychologie bij spearphishing
Spearphishing draait om gedrag, niet om techniek.
Aanvallers maken slim gebruik van psychologische triggers zoals:
- autoriteit: een mail van een “directeur” of “IT-beheerder”
- urgentie: “dit moet vandaag nog”
- vertrouwen: herkenbare namen en context
- behulpzaamheid: de neiging om snel te reageren
Omdat deze signalen menselijk zijn, werkt spearphishing ook bij goed beveiligde organisaties.
Zo herken je een spearphishing-poging
Spearphishing is subtiel, maar niet onzichtbaar.
Let vooral op deze signalen:
- Het bericht vraagt om een actie die afwijkt van de normale werkwijze
- De afzender wil dat je iets snel en zonder overleg doet
- Links of bijlagen horen niet bij het gebruikelijke proces
- Het e-mailadres lijkt te kloppen, maar wijkt net af
- De toon voelt dwingend of ongebruikelijk persoonlijk
Twijfel je? Dan is dat op zichzelf al een signaal.
Wat je concreet kan doen om spearphishing te voorkomen
Goede beveiliging bestaat uit gedrag en techniek. Beide zijn nodig.
Stap 1: controleer altijd de afzender
Kijk niet alleen naar de naam, maar naar het volledige e-mailadres. Kleine afwijkingen vallen vaak pas op als je bewust kijkt.
Stap 2: klik niet direct op links of bijlagen
Beweeg met je muis over een link om te zien waar die naartoe gaat. Verwacht je een document niet, open het dan niet.
Stap 3: verifieer via een tweede kanaal
Bel de afzender of stuur een nieuw bericht via een bekend contactpunt. Gebruik nooit de contactgegevens uit het verdachte bericht zelf.
Stap 4: gebruik tweefactorauthenticatie
Zelfs als gegevens uitlekken, voorkomt 2FA vaak verdere schade.
Stap 5: zorg voor structurele awareness
Regelmatige training en herhaling maken het verschil. Herkenning verbetert alleen door oefening.
Wat je moet doen als je toch slachtoffer bent
Snel handelen beperkt de schade.
Neem direct deze stappen:
- Meld het incident bij IT of security
- Wijzig wachtwoorden van betrokken accounts
- Blokkeer toegang waar mogelijk
- Informeer financiële partijen als er betaalgegevens zijn gedeeld
- Leg vast wat er is gebeurd voor verdere opvolging
Wacht niet af. Hoe eerder je handelt, hoe kleiner de impact.
Waarom dit onderwerp bij Mica IT dagelijks terugkomt
Bij Mica IT zien we spearphishing in alle sectoren. Van mkb tot zorg en onderwijs. Vaak niet door technische zwakte, maar door een geloofwaardig bericht op het verkeerde moment. Juist daarom combineren we technische maatregelen met praktische begeleiding. Niet omdat mensen fouten maken, maar omdat aanvallers daar bewust op inspelen.
Even sparren over digitale weerbaarheid?
Twijfel je of jouw organisatie voldoende voorbereid is? Een korte inhoudelijke check geeft vaak al veel inzicht.
Geen verkooppraat, wel helder advies.
Veelgestelde vragen
Wat is het verschil tussen phishing en spearphishing?
Phishing is algemeen en ongericht. Spearphishing is persoonlijk en afgestemd op één doelwit. Daardoor is spearphishing moeilijker te herkennen en vaak effectiever.
Kan antivirus spearphishing volledig tegenhouden?
Nee. Techniek helpt, maar gedrag blijft doorslaggevend. Veel spearphishing-mails zijn technisch correct en glippen door filters heen.
Wie zijn meestal het doelwit van spearphishing?
Iedereen kan doelwit zijn, maar aanvallers richten zich vaak op medewerkers met toegang tot geld, systemen of gevoelige informatie.
Hoe snel moet ik handelen na een verdachte mail?
Direct. Zelfs twijfel is reden om te stoppen en te controleren. Snel melden voorkomt vaak vervolgschade.
Is spearphishing ook via sms of WhatsApp mogelijk?
Ja. Deze vorm wordt vaak smishing genoemd, maar de werkwijze en risico’s zijn vergelijkbaar.
