De 10-punten checklist
- Werkelijk e-mailadres: klik op de naam van de afzender. Klopt het domein exact met de organisatie?
- Links: hover over elke link. Gaat de werkelijke URL naar het juiste domein?
- Urgentie: wordt je gedwongen om snel te handelen? Dat is een alarmsignaal.
- Bijlagen: verwachtte je deze bijlage? Zo nee: niet openen.
- Aanhef: word je bij naam aangesproken of generiek ("Geachte klant")?
- Verzoek: wordt om een wachtwoord, pincode of betaling gevraagd? Altijd verdacht.
- Domeinspelling: is het domein correct gespeld, of een subtiele variant?
- Branding: ziet het logo, kleur of lettertype er anders uit dan normaal?
- Context: is dit een vervolg op communicatie die je niet herkent?
- Twijfel: bel terug via een nummer dat je zelf opzoekt. Nooit via het nummer in de mail.
Wat te doen als je een phishingmail ontvangen hebt
- Niet klikken, niet antwoorden, niet bijlagen openen.
- Markeer het bericht als phishing in je mailprogramma.
- Meld het bij de Fraudehelpdesk via fraudehelpdesk.nl.
- Stuur eventueel een waarschuwing naar de echte organisatie die wordt nagebootst.
- Als je al geklikt hebt: wijzig direct je wachtwoorden en schakel tweestapsverificatie in.
Automatische bescherming
De checklist helpt je bij het handmatig beoordelen van verdachte berichten. Maar het is beter als de meeste phishingberichten je medewerkers nooit bereiken. Spamwacht analyseert metadata van inkomende berichten en plaatst verdachte berichten in quarantaine voordat ze in de inbox verschijnen. Geen MX-wijziging, koppelen via IMAP in twee minuten.
Veelgestelde vragen
Hoe herken ik een phishingmail in 2026?
Let op het werkelijke e-mailadres (klik op de naam om het adres te zien), afwijkende links (hover om de werkelijke URL te zien), urgente taal, onverwachte bijlagen en verzoeken om inloggegevens of betalingen. Spelfouten zijn door AI geen betrouwbaar herkenningsteken meer.
Wat doe ik als ik een phishingmail ontvangen heb maar niet erop geklikt heb?
Markeer het bericht als spam/phishing in je mailprogramma. Stuur het eventueel door naar de vermeende afzender (via een apart bericht, niet reply) zodat zij weten dat criminelen hun naam misbruiken. Verwijder daarna het bericht.
Werkt de checklist ook voor WhatsApp en SMS phishing (smishing)?
De meeste punten gelden ook voor sms en WhatsApp: controleer de afzender, vertrouw geen onverwachte links, bel het bedrijf terug via een zelfopgezocht nummer. Berichten via IMAP-mailboxen worden door Spamwacht gefilterd; sms en WhatsApp vallen daar buiten.