Hoe werkt vishing?
De aanvaller gebruikt een geloofwaardige identiteit, urgentie of autoriteit. Denk aan een leverancier, IT-helpdesk, accountant of collega die snel gegevens nodig zegt te hebben.
Het gesprek kan gericht zijn op het verzamelen van informatie, het wijzigen van gegevens, het doorverbinden naar een specifieke collega of het laten uitvoeren van een handeling. Openbare informatie en herkenbare bedrijfstaal maken het scenario overtuigender.
Wat test een vishingtest?
- Identiteitscontrole aan de telefoon
- Doorverbinden en terugbelprocedures
- Delen van persoonsgegevens of interne informatie
- Melden en vastleggen van verdachte gesprekken
Vooraf spreken we af wie ik mag bellen, welke onderwerpen zijn toegestaan en wanneer ik het gesprek beëindig. We bepalen ook hoe meldingen bij IT, privacy of security meetellen.
Wat leert het gesprek?
Een goede test laat zien of medewerkers voldoende houvast hebben aan terugbelafspraken, verificatiestappen en escalatieroutes. Ik rapporteer op functiegroep of procesniveau en laat namen achterwege.
Praktische maatregelen tegen vishing
Een vaste terugbelprocedure via een bekend nummer geeft medewerkers houvast. Het helpt ook om duidelijk vast te leggen welke informatie telefonisch mag worden gedeeld en wanneer goedkeuring van een tweede persoon nodig is. Verdachte gesprekken moeten eenvoudig gemeld kunnen worden.
Ik vertaal mijn waarnemingen naar acties voor medewerkers, servicedesk en management. Een herhaling met een ander verhaal laat zien of de nieuwe werkwijze ook onder tijdsdruk wordt toegepast.