Phishing blijft een grote zorg voor de cyberveiligheid. In 2025 kreeg 17% van alle Nederlandse volwassenen te maken met deze vorm van cybercriminaliteit, en meer dan 90% van cyberaanvallen begon met phishing. Het lag aan de basis van een aantal aanvallen die zeer groot in het nieuws waren. Onderzoek toont aan: deze phishers werken vooral via al gebaande paden.
Het onderzoek werd uitgevoerd door Check Point Research (CPR). Ze brachten in kaart welke bedrijven door phishers als dekking werden gebruikt in hun pogingen om binnen te komen. Vier bedrijven vormden samen bijna de helft (49%) van alle geregistreerde pogingen tot phishing. Microsoft (22%), Apple (11%), Google (9%) en Amazon (7%) werden het meest gebruikt. Ook andere merknamen die in het bedrijfsleven veel gebruikt worden als LinkedIn en Dropbox kwamen voor in de top tien.
En dat is niet vreemd. Microsoft is op verschillende punten marktleider voor commerciële toepassingen. Vrijwel elk bedrijf van elk formaat gebruikt een of meer Microsoft-producten, van besturingssystemen tot hosting. Apple biedt populaire betalingsdiensten en identificatiesystemen aan. Google heeft ook veel verschillende websites, en wordt vaak ook persoonlijk gebruikt. En hoewel Amazon in Nederland relatief klein is als leverancier van fysieke goederen biedt het wel commerciële hosting diensten aan via Amazon Web Services.
Daar komt nog bij dat medewerkers veel interactie via e-mail hebben met deze merken. Inlogbevestigingen en tweefactor-authenticatie lopen vaak via e-mail. Phishers maakten hier bij de inbraak bij Odido gebruik van. De eerste inbraak vond plaats via een phishing-email die vermomd was als 2FA-authenticatie van commerciële software, in dit geval Salesforce. Via de nep-authenticatie konden de criminelen uiteindelijk inloggegevens stelen en toegang krijgen tot de klantdata van het bedrijf.
Daarnaast is routine een factor. Werknemers loggen vaak meerdere keren per dag in, en krijgen bij elke inlogpoging een e-mail. Het is dan makkelijk om de aandacht te verliezen. Een nep-mail van Microsoft tussen tien echte valt immers minder snel op. Cybercriminelen rekenen op onoplettendheid bij dit soort e-mails. Ze hoeven immers maar een keer te slagen.
Het onderzoek van PCR toont aan hoe cybercriminelen misbruik maken van het vertrouwen in grote namen, en de routine van uw werknemers. Het is daarom belangrijk om altijd kritisch te blijven, juist op momenten die routine lijken. De overheid ondersteunt bedrijven met voorlichting en praktische middelen als de phishing-filter. Maar uiteindelijk is de belangrijkste verdediging tegen phishing nog altijd de alerte medewerker.
