TL;DR: Phishing met AI levert nette en persoonlijke berichten op. Controleer daarom het verzoek, de afzender en het gebruikte kanaal. Met een security awareness platform oefen je dit gedrag en maak je snelle meldingen zichtbaar.
KPN publiceerde op 19 augustus 2026 een uitleg over phishing met AI. Volgens KPN schrijven criminelen met AI sneller overtuigende berichten.
Zulke berichten bevatten vaak minder taalfouten en meer persoonlijke details. Het NCSC ziet dezelfde ontwikkeling bij e-mails en nagemaakte inlogpagina’s.
Wat is phishing met AI?
Bij phishing met AI gebruikt een crimineel kunstmatige intelligentie tijdens een aanval. Vaak gaat het om generatieve AI. Deze techniek maakt tekst, beeld of geluid op basis van een opdracht.
De basis van phishing blijft gelijk. Een aanvaller probeert iemand te laten klikken, betalen, inloggen of informatie delen.
Phishing met AI versnelt vooral de voorbereiding en uitvoering. De crimineel kan sneller teksten schrijven, vertalen en aanpassen aan een ontvanger.
Europol meldt dat criminelen met AI ook een bekende schrijfstijl of vormgeving kunnen namaken. Persoonlijke gegevens geven zo’n bericht extra geloofwaardigheid.
Hoe AI een phishingbericht verandert
Oudere phishingmails vielen vaak op door slechte vertalingen. KPN schrijft dat phishing met AI deze herkenbare fouten minder vaak laat terugkomen.
Een aanvaller kan dezelfde boodschap snel voor meerdere functies aanpassen. Finance krijgt een verzoek over een factuur. HR ontvangt een bericht over een sollicitant.
Het NCSC waarschuwt ook voor geloofwaardige inlogpagina’s. AI kan helpen bij nette tekst, passende afbeeldingen en een herkenbare opmaak.
| Wat AI kan verbeteren | Wat de ontvanger merkt | Veilige controle |
|---|---|---|
| Taal | Een nette mail zonder opvallende fouten | Controleer het verzoek en het afzenderdomein |
| Persoonlijke context | Een naam, functie of recente gebeurtenis klopt | Bevestig het verzoek via een bekend kanaal |
| Schrijfstijl | De toon lijkt op die van een collega | Bel de collega via een opgeslagen nummer |
| Opmaak | Logo, kleuren en knoppen ogen vertrouwd | Open zelf de officiële app of website |
| Schaal | Verschillende teams krijgen een passend verhaal | Meld het bericht zodat security anderen kan waarschuwen |
Waarom taalfouten minder houvast geven
Bij phishing met AI blijft een spelfout een mogelijk signaal. Een foutloze tekst zegt alleen weinig over de echte afzender.
Het NCSC adviseert daarom vooral naar de inhoud te kijken. Veel aanvallen bevatten tijdsdruk, een duidelijke opdracht of dreigende gevolgen.
Denk aan een account dat vandaag verloopt. Een andere mail meldt een betaling die binnen een uur goedkeuring nodig heeft.
De veilige reactie blijft rustig en controleerbaar. Open een eigen startpunt en gebruik contactgegevens uit jouw eigen systeem.
Hoe persoonlijke informatie in het bericht komt
KPN noemt sociale media en gegevens uit datalekken als mogelijke bronnen. Een aanvaller zoekt bijvoorbeeld een functie, werkgever of hobby.
Een bedrijfswebsite bevat vaak namen en verantwoordelijkheden. Vacatures vertellen welke systemen of leveranciers een team gebruikt.
Bij phishing met AI kan een aanvaller deze losse gegevens verwerken tot een passend verhaal. Daardoor sluit de boodschap aan op het werk van de ontvanger.
Lees meer over dit proces in onze uitleg over gepersonaliseerde phishing met openbare gegevens.
Voorbeelden van phishing met AI op het werk
De volgende voorbeelden laten zien hoe dezelfde techniek bij verschillende teams past. Het gaat om oefensituaties, zonder claim over één specifieke aanval.
Een aangepaste factuur voor finance
Een medewerker ontvangt een nette mail over gewijzigde bankgegevens. De tekst noemt een echte leverancier en een lopend project.
Finance controleert zo’n wijziging via de vaste leveranciersprocedure. De medewerker gebruikt het bekende telefoonnummer uit het eigen systeem.
Een sollicitatiebestand voor HR
Een bericht verwijst naar een openstaande vacature en noemt de juiste functietitel. De afzender vraagt HR om een document te openen.
HR controleert eerst het sollicitatieportaal. Een onverwachte bijlage gaat naar IT of security voor onderzoek.
Een accountmelding voor alle medewerkers
Een mail lijkt afkomstig van Microsoft 365 of een interne helpdesk. De ontvanger moet via een knop het wachtwoord bevestigen.
De medewerker opent zelf het bekende portaal. Daar controleert die persoon of dezelfde melding klaarstaat.
Een betaalverzoek van een leidinggevende
Europol beschrijft hoe AI bekende personen kan nabootsen. Tekst, stem of beeld kan daardoor vertrouwd overkomen.
Een organisatie gebruikt voor betalingen altijd de afgesproken controle. Een tweede collega bevestigt het bedrag en de ontvanger.
Controleer een onverwacht verzoek in vijf stappen
1. Lees de gevraagde handeling
Zoek eerst uit wat de afzender van je wil. Extra haast, geheimhouding of een onverwachte wijziging vraagt om controle.
2. Open het volledige afzenderadres
Kijk voorbij de zichtbare naam. Controleer het hoofddomein en let op kleine verschillen in de spelling.
3. Gebruik een eigen startpunt
Open de officiële app via jouw vaste bladwijzer. Je kunt het bekende adres ook zelf in de browser typen.
4. Bevestig gevoelige verzoeken
Bel de afzender via een opgeslagen nummer. Volg bij betalingen en accountwijzigingen altijd de interne procedure.
5. Meld het verdachte bericht
Stuur de mail naar het vaste meldpunt. Een snelle melding helpt het securityteam om andere ontvangers te waarschuwen.
Leg duidelijk uit hoe medewerkers phishing melden. Gebruik bij voorkeur een knop in de mailomgeving.
Welke maatregelen helpen tegen phishing met AI?
Het NCSC combineert maatregelen voor techniek, processen en medewerkers. Elke laag verkleint de kans op schade tijdens een phishingaanval.
Maak gevoelige processen controleerbaar
Leg vast hoe medewerkers bankgegevens, betaalopdrachten en accountwijzigingen bevestigen. Gebruik bekende contactgegevens en laat een tweede persoon meekijken.
Zo hangt veiligheid minder af van de kwaliteit van één bericht. De afgesproken werkwijze bepaalt welke actie volgt.
Beveilig e-mail en accounts
E-mailfilters houden een deel van de schadelijke berichten tegen. Bescherm accounts ook met unieke wachtwoorden en meervoudige verificatie.
Meervoudige verificatie vraagt naast een wachtwoord om een extra bewijs. Denk aan een beveiligingssleutel of code uit een app.
Maak melden eenvoudig
Geef medewerkers één vaste meldroute. Bevestig na de beoordeling kort wat er met hun melding gebeurde.
Meet hoeveel medewerkers melden en hoe snel de eerste melding binnenkomt. Die cijfers tonen of het proces tijdens een oefening werkt.
Oefen met herkenbare werksituaties
Laat teams oefenen met verzoeken die bij hun werk passen. Finance ziet andere risico’s dan HR, klantenservice of het management.
Wissel ook tussen e-mail, sms, telefoongesprekken en gedeelde documenten. Onze uitleg over moderne phishing buiten de inbox geeft meer voorbeelden.
Phishing met AI opnemen in awareness-training
Een training over phishing met AI begint met herkenbare keuzes. Laat medewerkers een verzoek controleren en via het juiste kanaal melden.
Bespreek na de oefening welke signalen bruikbaar waren. Een logo of nette tekst bewijst de herkomst van een bericht niet.
Geef meteen korte uitleg na een klik of melding. De deelnemer herinnert zich dan nog waarom het bericht overtuigend leek.
Gebruik de resultaten voor een volgende oefening. Kies een ander proces wanneer een team het eerste scenario goed herkent.
| Doel van de oefening | Wat je meet | Passende opvolging |
|---|---|---|
| Een onverwachte link controleren | Klikken en openen via een eigen startpunt | Korte uitleg over domeinen en officiële portalen |
| Een betaalverzoek bevestigen | Gebruik van de interne controleprocedure | Controle door een tweede collega |
| Een verdachte mail melden | Meldpercentage en tijd tot de eerste melding | Snelle terugkoppeling aan de melder |
| Een nagebootste collega herkennen | Controle via een tweede communicatiekanaal | Uitleg over tekst, stem en beeld uit AI |
Wat doe je na een klik bij phishing met AI?
Meld het incident direct bij IT of security. Vertel welk bericht je opende en welke handelingen je uitvoerde.
Heb je een wachtwoord ingevuld? Wijzig het via de officiële app of website vanaf een veilig apparaat.
Trek onbekende sessies en gekoppelde apps in. Controleer ook of de aanvaller nieuwe regels in jouw mailbox maakte.
Bij een betaalverzoek neemt finance meteen contact op met de bank. Het incidentteam volgt daarna de afgesproken procedure.
Bewaar het originele bericht voor onderzoek. De technische gegevens helpen bij het blokkeren van afzenders, links en vergelijkbare berichten.
Bronnen
- KPN, "Slimmer phishing door AI", 19 augustus 2026.
- NCSC, "Aan de slag tegen phishing", geraadpleegd op 29 augustus 2026.
- Europol, "Social engineering: when trust is exploited", 26 januari 2026.
Wil je phishing met AI veilig oefenen binnen jouw organisatie? Plan een demo van Phishwise en bespreek een passend scenario.