TL;DR: Moderne phishing draait niet meer alleen om verdachte bijlagen of nep-loginpagina’s. Aanvallers misbruiken steeds vaker vertrouwde cloudplatformen, OAuth-toestemmingen, MFA-processen en identity flows. Daardoor moeten organisaties niet alleen technische controles inrichten, maar ook testen of medewerkers moderne aanvalspatronen herkennen, melden en ervan leren. Realistische phishing simulaties, gerichte training en duidelijke rapportage maken die menselijke laag meetbaar.
Phishing is voor veel organisaties een bekend risico. Toch is het onderwerp minder voorspelbaar geworden dan vroeger. Waar phishing ooit vooral bestond uit een verdachte e-mail met een bijlage of een link naar een nepportaal, zien we nu steeds vaker aanvallen die gebruikmaken van legitieme cloudfuncties en vertrouwde authenticatiestromen.
Dat verandert de manier waarop organisaties naar phishing moeten kijken. De vraag is niet meer alleen: kan onze mailgateway deze e-mail blokkeren? De belangrijkere vraag is: herkennen medewerkers en securityteams wat er gebeurt als een phishingpoging toch door de eerste verdedigingslaag heen komt?
Precies daar wordt security awareness praktischer. Een moderne phishing simulatie test niet alleen of iemand een spelfout ziet. Een goede simulatie laat zien of medewerkers verdachte verzoeken rond Microsoft 365, gedeelde documenten, MFA, accountcontrole of cloudapplicaties op tijd herkennen en melden.
Waarom phishing steeds meer een identity-risico wordt
Veel moderne phishingaanvallen proberen niet direct malware te installeren. Ze proberen toegang te krijgen tot accounts, sessies, tokens of toestemmingen. Daarmee verschuift phishing van een puur e-mailprobleem naar een identity-security probleem.
Aanvallers weten dat medewerkers gewend zijn aan cloudmeldingen. Een link naar een gedeeld document voelt normaal. Een waarschuwing over een Microsoft-account voelt herkenbaar. Een verzoek om een code in te voeren lijkt op een gewone beveiligingsstap. Juist die herkenbaarheid maakt moderne phishing gevaarlijk.
Bekende voorbeelden zijn:
- OAuth abuse en consent phishing: een gebruiker geeft onbedoeld rechten aan een kwaadaardige of misbruikte applicatie.
- Device-code phishing: een aanvaller laat een gebruiker een code invoeren waarmee toegang tot een cloudaccount wordt verkregen.
- MFA-manipulatie: een aanvaller probeert druk te zetten rond goedkeuringen, prompts of herstelprocessen.
- Cloudapplicatie-misbruik: aanvallers gebruiken vertrouwde platformen voor nepdocumenten, formulieren of uitnodigingen.
- Token- en sessiemisbruik: toegang wordt niet alleen gezocht via wachtwoorden, maar via bestaande sessies of verleende rechten.
- Mailboxmanipulatie: na toegang worden inbox rules of forwarding gebruikt om signalen te verbergen of informatie door te sturen.
Het lastige is dat deze aanvallen vaak geen klassieke kwetsbaarheid misbruiken. Ze maken gebruik van functies die op zichzelf legitiem zijn. Daarom zijn ze moeilijker te herkennen met alleen spamfilters, signatures of generieke awareness-tips.
Alleen preventie is niet genoeg
Preventieve security blijft belangrijk. Goede e-mailbeveiliging, phishing-resistant MFA, Conditional Access, beleid rond OAuth-consent en veilige configuratie van cloudomgevingen zijn allemaal nodig. Maar geen enkele preventieve laag is perfect.
Een realistische verdedigingsstrategie gaat daarom uit van twee vragen:
- Hoe verkleinen we de kans dat phishing medewerkers bereikt?
- Hoe snel herkennen we het als een poging toch effect heeft?
Die tweede vraag wordt vaak onderschat. Als een medewerker een verdachte link opent, een app toestemming geeft of een nepverzoek volgt, is het belangrijk dat de organisatie daarna snel signalen ziet. Denk aan afwijkende loginpatronen, verdachte OAuth-grants, vreemde mailboxregels of ongebruikelijke toegang tot bestanden.
Securityteams gebruiken daarvoor onder meer identity logs, audit logs, endpointinformatie en SIEM-correlatie. Maar daarnaast blijft de menselijke laag belangrijk. Medewerkers zijn vaak de eerste die merken dat een verzoek vreemd voelt. Dan moet melden makkelijk, vertrouwd en geoefend zijn.
Wat betekent dit voor phishing simulaties?
Veel phishingtests blijven hangen in oude scenario’s: een generieke pakketmelding, een slechte factuurmail of een nep-loginpagina met duidelijke taalfouten. Dat kan nuttig zijn voor basisawareness, maar het bereidt medewerkers onvoldoende voor op moderne aanvalspatronen.
Een phishing simulatie moet meegroeien met de werkelijkheid. Dat betekent niet dat elke simulatie extreem technisch hoeft te zijn. Het betekent wel dat scenario’s moeten aansluiten op de dagelijkse werkomgeving van medewerkers.
Voor veel organisaties zijn dit herkenbare scenario’s:
| Modern aanvalsthema | Voorbeeld van simulatie | Wat u wilt meten |
|---|---|---|
| Microsoft 365-accountcontrole | Een bericht over verdachte activiteit of een verlopen sessie | Herkennen medewerkers druk, domeinafwijkingen en onlogische loginverzoeken? |
| Gedeelde documenten | Een uitnodiging voor een contract, HR-document of projectbestand | Controleren medewerkers afzender, context en linkbestemming? |
| MFA of verificatie | Een verzoek om accountverificatie of extra beveiligingscontrole | Snappen medewerkers wanneer een verificatieverzoek verdacht is? |
| Cloudapplicaties | Een melding uit een bekend SaaS-platform of externe tool | Wordt vertrouwd ogende cloudcommunicatie kritisch beoordeeld? |
| Multi-step scenario’s | Eerst een normaal bericht, daarna een vervolgmail met urgentie | Blijven medewerkers alert wanneer vertrouwen stapsgewijs wordt opgebouwd? |
Dit soort scenario’s maakt een simulatie relevanter. U test niet alleen of medewerkers “phishing” als concept kennen, maar of zij in hun eigen werkcontext veilig handelen.
Meet meer dan alleen klikken
De klikratio is zichtbaar en makkelijk te begrijpen. Toch zegt die op zichzelf te weinig. Een organisatie kan een lage klikratio hebben, maar alsnog weinig meldingen ontvangen. Of medewerkers klikken minder, maar herkennen verdachte toestemmingsverzoeken of cloudmeldingen nog steeds niet goed.
Voor moderne phishing zijn bredere gedragsmetingen belangrijker:
- Meldratio: hoeveel medewerkers melden een verdachte e-mail of melding correct?
- Tijd tot melden: hoe snel komt een mogelijke dreiging bij IT of security terecht?
- Herhaalgedrag: blijven dezelfde medewerkers of teams risicovol gedrag vertonen?
- Scenariorespons: welke aanvalsthema’s worden goed herkend en welke niet?
- Trainingsopvolging: ronden medewerkers gerichte training af na een risicovol moment?
- Trend over tijd: verbetert de organisatie na meerdere simulaties en interventies?
Die metingen maken security awareness bestuurbaar. Niet als afrekening op individuen, maar als stuurinformatie voor IT, security, compliance, HR en management.
Training moet aansluiten op het scenario
Een medewerker die klikt op een nep-pakketmelding heeft andere uitleg nodig dan iemand die een verdacht Microsoft 365-verzoek volgt. Daarom werkt generieke training beperkt. De opvolging moet passen bij het gedrag dat u net heeft gemeten.
Bij moderne phishing betekent dat bijvoorbeeld:
- uitleg over het controleren van domeinen en loginpagina’s;
- herkennen van verdachte MFA- of verificatieverzoeken;
- kritisch omgaan met gedeelde documenten en cloudlinks;
- weten wanneer een OAuth-toestemmingsscherm verdacht is;
- begrijpen waarom snel melden belangrijker is dan stil corrigeren.
Met gerichte phishing awareness training verandert een fout moment in een leermoment. Dat is ook commercieel relevant voor organisaties: ze kopen dan niet alleen een test, maar een verbetercyclus.
Waar Phishwise in die aanpak past
Phishwise is geen vervanging voor uw e-mailbeveiliging, identity provider of SIEM. Die technische lagen blijven nodig. De waarde van Phishwise zit in de menselijke laag: realistische scenario’s uitvoeren, gedrag meten, medewerkers trainen en resultaten inzichtelijk maken.
Daarmee helpt Phishwise organisaties om vragen te beantwoorden zoals:
- welke afdelingen herkennen moderne phishing goed en waar zit extra risico;
- welke scenario’s leiden tot klikken, melden of twijfel;
- of medewerkers verdachte berichten daadwerkelijk melden;
- of training na een incidentmoment leidt tot beter gedrag;
- hoe de weerbaarheid zich over meerdere campagnes ontwikkelt.
Dat maakt phishing simulaties bruikbaar voor meer dan awareness alleen. Ze leveren input voor managementrapportage, compliancegesprekken, risicoanalyses en verbeterplannen.
Een praktische aanpak in 5 stappen
1. Begin met een realistische nulmeting
Start met scenario’s die passen bij uw organisatie. Denk aan Microsoft 365, HR, finance, documentdeling, leverancierscommunicatie of interne IT-meldingen. Zo meet u gedrag dat lijkt op de echte werkomgeving.
2. Segmenteer doelgroepen
Finance, HR, management, IT en algemene medewerkers zien andere aanvalspatronen. Door doelgroepen te segmenteren, worden simulaties relevanter en worden resultaten beter bruikbaar.
3. Maak melden onderdeel van de test
Niet klikken is waardevol, maar snel melden is minstens zo belangrijk. Een goede simulatie meet daarom niet alleen fout gedrag, maar ook correct gedrag.
4. Koppel training aan gedrag
Wie op een bepaald scenario reageert, krijgt gerichte uitleg over dat specifieke risico. Zo voorkomt u dat training algemeen blijft en weinig blijft hangen.
5. Rapporteer op verbetering
Laat management niet alleen losse percentages zien, maar trends: welke teams verbeteren, welke scenario’s blijven lastig en welke opvolging werkt. Daarmee wordt awareness onderdeel van risicosturing.
Moderne phishing vraagt om moderne simulaties
Phishing is niet verdwenen door betere e-mailfilters en MFA. Het is verschoven. Aanvallers gebruiken vertrouwde platformen, identity flows en cloudprocessen om geloofwaardig over te komen. Daarom moeten organisaties hun awarenessaanpak ook verschuiven.
De kern blijft eenvoudig: medewerkers moeten verdachte situaties herkennen, veilig handelen en snel melden. Maar de scenario’s waarmee u dat oefent, moeten passen bij de aanvallen van nu.
Wilt u weten hoe uw organisatie moderne phishing realistischer kan testen en meetbaar kan verbeteren? Bekijk hoe phishing simulaties, phishing test software en het security awareness platform van Phishwise samenkomen. Of neem contact op om te sparren over een aanpak die past bij uw organisatie.