Zo herken je een phishingmail of nepwebsite

Phishing kan op allerlei manieren plaatsvinden: per mail, sms, websitelinkjes of zelfs door je te bellen. Criminelen hopen dat jij denkt te praten met een officiële organisatie, aan wie je argeloos allerlei privé-informatie overhandigt. Je denkt dan bijvoorbeeld in te loggen bij je bank, terwijl je wachtwoord in werkelijkheid naar een louche figuur wordt gestuurd.

Zulke phishingberichten zijn soms haast niet van echt te onderscheiden, maar er zijn een paar manieren om ze toch te herkennen.

Bij e-mails kun je vaak naar de afzender kijken om te zien of het een phishingbericht is. Daar staat vaak een gek e-mailadres op een domein dat eigenlijk niet van de organisatie is. Een crimineel die zich voordoet als Marktplaats zal bijvoorbeeld e-mailen vanaf info@ma-rkt-plaats.nl, in plaats van het officiële Marktplaats-adres.

Let echter goed op: criminelen hebben allerlei trucs bedacht om het nepadres toch officieel te laten lijken. De kleine letter l en hoofdletter I worden bijvoorbeeld geruild, waardoor bijvoorbeeld ‘Google’ ineens ‘GoogIe’ wordt.

Een groot bedrijf zal je zelden vragen bijvoorbeeld je wachtwoord of andere privégegevens terug te sturen in een e-mail. Daarnaast is het verstandig achterdochtig te zijn met linkjes in e-mails, vooral als de gelinkte site je vervolgens vraagt privédata in te vullen.

Krijg je e-mail om bijvoorbeeld een wachtwoord te resetten? Neem het zekere voor het onzekere: start je webbrowser op en vul zelf het adres van de site in kwestie in, en log daar vervolgens in. Is het resetverzoek legitiem, dan krijg je daar ook de vraag te zien.

Een phishingsite is vaak te identificeren aan zijn domeinnaam: deze wijkt af van de werkelijke website waar je denkt te zijn. Je kunt de legitimiteit van een websiteadres controleren door in de browserbalk op het slotje te drukken. Je krijgt dan het certificaat te zien, waarop staat of de website officieel is vastgelegd bij een organisatie.

Vertrouw overigens niet blind op dat slotje. Heb je twijfels over een website, ga dan met de hand naar het officiële domein dat je wél kent.

Er zijn ook nog een paar universele hints die erop duiden dat je met phishing te maken hebt. De pagina’s en mails staan bijvoorbeeld soms vol met spelfouten en andere onzorgvuldigheden. Al is een goed geschreven tekst geen garantie van een officieel bericht: ook phishers leren om steeds beter te schrijven.

Criminelen sturen phishingmails vaak met duizenden tegelijkertijd, wat betekent dat ze geen persoonlijke aanhef hebben. Daarnaast proberen ze je bijna altijd naar de website van de crimineel te sturen.

Bovenstaande tips helpen je om phishing te herkennen, maar ze zijn geen alomvattend hulpmiddel. De criminelen in kwestie vinden steeds weer nieuwe manieren om deze herkenningspunten te omzeilen en je zo alsnog te misleiden.

Daarom is het vooral belangrijk om één regel te volgen: wees voorzichtig. Bij twijfel kun je altijd contact opnemen met de organisatie die wordt nagedaan, om te checken of het bericht in de haak is. Een beetje gedoe, maar zo voorkom je bijvoorbeeld wel dat geld van je rekening wordt weggesluisd.