Wat is smishing? Zo werkt phishing via sms en zo houd je het tegen

Smishing is phishing via sms. In plaats van een e-mail stuurt de aanvaller een sms of een bericht via een chat-app, in de hoop dat je op een link tikt, je inloggegevens prijsgeeft of een betaling goedkeurt. De naam is een samentrekking van sms en phishing, en afgezien van het kanaal is de truc precies hetzelfde: iemand doet zich voor als iemand die je vertrouwt en rekent erop dat je handelt voordat je nadenkt.

Het is juist het kanaal dat het gevaarlijk maakt. Er komt een sms binnen op het toestel dat je tientallen keren per dag checkt, meestal terwijl je met iets anders bezig bent. Hieronder bekijken we waarom de telefoon zo’n vruchtbare bodem is, hoe je een smishing-poging kunt herkennen, wat je moet doen als je al op de link hebt getikt, en hoe organisaties hun mensen hierop voorbereiden.

Waarom een sms zo goed werkt als lokaas

E-mail is al dertig jaar lang omringd door een hele reeks beveiligingsmaatregelen. Spamfilters, linkscanners, waarschuwingsbanners die aangeven dat een bericht van buiten de organisatie komt: tegen de tijd dat een phishing-mail je inbox bereikt, heeft die al verschillende controleposten gepasseerd. Een sms komt daar bijna helemaal niet doorheen en belandt in dezelfde chat als je tandarts en je bezorger.

Er is ook een psychologische kant aan. Schermen zijn klein, dus de afzender is een nummer en de link is zo ingekort dat je hem niet meer herkent. Mensen lezen berichten terwijl ze staan, in de rij of tussen twee vergaderingen door, en ze antwoorden snel, want daar is sms’en nu eenmaal voor bedoeld. Aanvallers maken gebruik van diezelfde snelheid met een variant op bellen die ‘vishing’ heet, en steeds vaker combineren ze die twee: een sms’je dat een telefoontje aankondigt, of een telefoontje waarin je wordt gevraagd je berichten te checken.

Tot slot: op je telefoon staan al die waardevolle codes. Een eenmalige code om in te loggen, een bevestiging van je bank, een goedkeuringsmelding: als een aanvaller je zover krijgt dat je zo’n code hardop voorleest of op een valse pagina intypt, wordt die tweede beveiligingsfactor – die je juist had moeten beschermen – juist de weg naar binnen.

Zo herken je een smishingbericht

De meeste smishing-berichten volgen een klein aantal patronen. Als je die eenmaal hebt gezien, kun je ze bijna niet meer missen, en dat is precies waarom het beter werkt om mensen die patronen te leren herkennen dan ze over afzonderlijke oplichtingstrucs te informeren.

• Onverwachte spoed. Een pakketje kan niet worden bezorgd, een rekening wordt gesloten, een boete vervalt vandaag. Het bericht wil dat je meteen in actie komt, nog voordat je de details kunt controleren.
• Een link die niet bij de afzender past. Echte organisaties gebruiken hun eigen domein. Verkorte links, domeinen die er bijna hetzelfde uitzien maar met een extra woord, of een adres dat eindigt op een onbekende landcode: dat zijn allemaal redenen om op je hoede te zijn.
• Een verzoek om iets wat geen enkel bedrijf via sms zou vragen. Inloggegevens, een volledig kaartnummer of de eenmalige code die je net hebt ontvangen. Een bank zal je nooit vragen om die gegevens door te geven, en je IT-afdeling ook niet.
• Een klein bedrag om iets groters mogelijk te maken. Een paar euro douanekosten voor een pakketje, een klein bedrag om een bezorging te verzetten. Het bedrag is met opzet laag gehouden, omdat het onschuldig genoeg lijkt om het maar gewoon achter de rug te hebben.
• Een nummer in plaats van een naam, of een naam die net niet helemaal klopt. Berichten van een willekeurig mobiel nummer dat beweert van een bedrijf te zijn, of een bekende merknaam met een rare spelling of vreemde spatiëring.
• Een QR-code in het bericht of op de gelinkte pagina. Dit komt overeen met ‘quishing’, waarbij de schadelijke bestemming in de code verborgen zit, zodat geen enkel filter deze kan herkennen.
• Een nieuwe collega of een manager die haast heeft. De klassieker is een bericht dat zogenaamd afkomstig is van een directeur op een nieuw nummer, waarin wordt gevraagd om cadeaubonnen, een snelle overschrijving of een gunst die geheim moet blijven.

Een handige regel voor teams: het verzoek zelf is het signaal, niet de afzender. Elk bericht waarin om inloggegevens, codes of betalingen wordt gevraagd, moet je controleren via een kanaal dat je zelf kiest, zelfs als de afzender er betrouwbaar uitziet. Meer voorbeelden van dit patroon vind je in ons overzicht van soorten phishingaanvallen.

Wat je doet als je al geklikt hebt

Op een link klikken is niet het einde van de wereld, en als je het zo ziet, is dat precies wat ervoor zorgt dat mensen hun mond houden. Het gaat erom wat er de komende minuten gebeurt.

1. Vul verder niets in. Als een pagina vraagt om een gebruikersnaam, een code of kaartgegevens, sluit die dan. Een link op zich is veel minder schadelijk dan een formulier dat je hebt ingevuld.
2. Verander het wachtwoord als je er een hebt ingevoerd. Doe dat vanaf een apparaat dat je vertrouwt, en pas het ook aan op alle andere plekken waar je het hebt hergebruikt. Dat hergebruik is meestal het echte probleem.
3. Controleer je tweefactorauthenticatie. Als je een inlogverzoek hebt goedgekeurd of een eenmalige code hebt doorgegeven, kan iemand op dit moment toegang hebben tot je account. Meld je af bij alle sessies en controleer of er nieuwe apparaten of doorstuurregels zijn.
4. Meld het meteen intern. Je IT- of beveiligingsteam kan het domein blokkeren, collega’s waarschuwen die hetzelfde bericht hebben gekregen en controleren of er iets is verdwenen. Snel melden is het allerbelangrijkste wat een medewerker kan doen.
5. Bewaar het bericht. Een screenshot met de afzender en de link helpt enorm om te achterhalen hoe groot de campagne is. Verwijder het pas nadat je het hebt doorgestuurd.

Let eens op wat er in die lijst ontbreekt: schuld. Organisaties waar een verkeerde klik tot een ongemakkelijk gesprek leidt, zijn organisaties waar de volgende persoon zwijgt, en juist die stilte zorgt ervoor dat één klik uitgroeit tot een incident.

Zo verkleinen organisaties het risico

Technische maatregelen helpen wel, maar ze bieden minder bescherming dan bij e-mail. Mobiele providers filteren een deel van de ergste campagnes eruit, en MFA met een hardwaresleutel of een app-verificatie die aan de site is gekoppeld, maakt een gestolen code grotendeels waardeloos. Verder draait het bij de beveiliging vooral om mensen.

De praktische aanpak is om herkennen en melden een gewoonte te maken in plaats van een beleidsregel. Korte, terugkerende oefeningen werken hier beter dan één jaarlijkse sessie, omdat de trucs elke paar maanden veranderen. Een phishing simulatie laat zien waar je echt staat in plaats van waar je denkt te staan, en geeft mensen een veilige plek om fout te zitten. Spreek één duidelijke meldroute af, maak er één handeling van, en bedank de mensen die hem gebruiken, ook degenen die iets onschuldigs blijken te hebben doorgestuurd.

Hoe Guardey je team helpt smishing te herkennen

De security awareness training van Guardey zet wekelijkse challenges van zo'n drie minuten voor je collega's klaar, met content die de dreigingen volgt die echt rondgaan. Smishing, valse bezorgberichten en codes die via chat worden gevraagd zijn precies het soort scenario dat in die challenges voorbijkomt, en gamification met leaderboards en streaks zorgt dat mensen ook na de eerste week terugkomen.

Omdat medewerkers trainen via de mobiele app voor iOS en Android, oefenen ze op hetzelfde apparaat waarop deze berichten binnenkomen, waardoor de les heel concreet wordt. Geïntegreerde phishing-simulaties laten zien of herkenning ook echt tot actie leidt, en dankzij rapportages die direct klaar zijn voor audits, wordt dit allemaal bewijsmateriaal voor kaders zoals NIS2 en ISO 27001. Het opzetten duurt maar een paar minuten, en meer dan 500 organisaties werken op deze manier, waaronder het Europees Parlement.

Veelgestelde vragen over smishing

Wat is het verschil tussen phishing, smishing en vishing?

Het doel is hetzelfde, alleen het kanaal verschilt. Phishing gebeurt via e-mail, smishing via sms of chatberichten, en vishing via een telefoontje. Aanvallers combineren deze vaak in één campagne, want een bericht dat via een telefoontje wordt bevestigd, komt geloofwaardiger over dan elk van deze methoden afzonderlijk.

Kun je gehackt worden door simpelweg een sms te openen?

Het openen van een bericht is op zich bijna nooit genoeg. Het risico begint pas als je op de link tikt en vervolgens iets invoert op de pagina die daarna verschijnt, of als je een app installeert die je wordt aangeboden. Daarom is het advies om het bij de link te laten en niet in paniek te raken omdat je het bericht hebt gelezen.

Moeten werknemers een smishing-bericht op hun privételefoon melden?

Ja, als het op wat voor manier dan ook met het werk te maken heeft: een bericht waarin wordt beweerd dat het van een collega, een leverancier of de IT-afdeling komt, hoort in de meldingswachtrij, ongeacht op welk apparaat het is binnengekomen. Maak duidelijk dat het bij het melden om het bericht zelf gaat, en niet om het doorzoeken van iemands privételefoon, anders zullen mensen aarzelen.

Biedt MFA bescherming tegen smishing?

Het helpt wel, maar niet alle methoden zijn even veilig. Een code die via sms wordt verstuurd, kan net zo makkelijk via phishing worden gestolen als een wachtwoord, want de aanvaller hoeft er alleen maar om te vragen. Methoden die aan de legitieme site zijn gekoppeld, zoals een hardwaresleutel of een verzoek via een app, zijn op deze manier een stuk moeilijker te misbruiken.

Smishing werkt omdat het mensen in hun drukke dagelijkse leven overvalt. Dat betekent dat de verdediging niet ligt in een slimmer filter, maar in een moment van aarzeling op het juiste moment. Teams die die pauze inprenten en die het melden makkelijk en zonder schuldgevoel maken, veranderen de telefoon van het zwakste kanaal in een kanaal waar een vreemd bericht binnen enkele minuten wordt gesignaleerd.