Nederlander kwetsbaar voor phishing door vertrouwen in merken

Maar liefst 70 procent van de Nederlanders ontving in het afgelopen jaar zo’n nepmail, blijkt uit een onderzoek van Mimecast onder 1.000 Nederlandse consumenten.

De criminelen doen zich voor als een bekend bedrijf om vertrouwen te wekken. Hierbij maken ze in veel gevallen gebruik van een vervalst (‘gespooft’) e-mailadres, zodat de ontvanger geen argwaan krijgt. Met name banken worden vaak geïmiteerd. 36 procent van de Nederlanders ontving in het afgelopen jaar een phishingmail uit naam van een bank. Ook de merken van webwinkels (22%) en bezorgdiensten (20%) worden relatief vaak misbruikt voor phishingaanvallen.

In andere branches liggen de percentages lager. Toch gaat het in elke sector om grote aantallen consumenten. Van nutsbedrijven (13%), verzekeraars (12%), zorginstanties (9%) en lokale overheden (10%) tot streamingdiensten (15%), reisorganisaties (12%) en nieuwsmedia (10%): vrijwel alle organisaties lopen het risico dat ze worden geïmiteerd voor criminele doeleinden.

De aanvallers passen verschillende trucs toe om consumenten te misleiden. Zo ontving 50% van de respondenten een phishingmail over een gewonnen prijs. Ook geldbedragen (33%) en spectaculaire aanbiedingen (27%) worden vaak als lokkertje gebruikt. Een phishingmail kan ook een waarschuwing bevatten dat iemand direct zijn account moet controleren (30%), dat die persoon geen toegang meer heeft tot het account (25%), dat iemand probeert in te loggen op het account (23%) of dat er een probleem is met een bestelling (19%). 

Reputatieschade en omzetverlies

Het vertrouwen dat Nederlanders in merken hebben, maakt hen extra kwetsbaar voor phishing. Zo opent ruim een derde van de consumenten zonder te aarzelen e-mails die afkomstig zijn van vertrouwde merken. Bijna een kwart klikt zelfs zonder twijfel op de link in een e-mail van hun favoriete merk, zo wijst het onderzoek uit. Mede hierom is het interessant voor cybercriminelen om bekende merken en bedrijven na te bootsen in hun phishingmails.

Een ruime meerderheid (61%) van de Nederlandse consumenten verwacht dat bedrijven hun klanten beschermen tegen phishingmails uit hun naam. Als dit niet afdoende gebeurt en er bijvoorbeeld geld of informatie wordt gestolen, krijgt het merkvertrouwen een deuk. En dat vertaalt zich mogelijk naar misgelopen omzet. Ongeveer de helft van de consumenten geeft geen geld meer uit aan een merk na een geslaagde phishingaanval waarbij dat merk werd misbruikt. 

DMARC-adoptie verloopt traag

Een belangrijk wapen in de strijd tegen phishing is DMARC (Domain-based Messaging Authentication, Reporting and Conformance). Dit e-mailprotocol geeft bedrijven inzage in misbruik van hun e-maildomeinen en stelt hen in staat gespoofte e-mails te blokkeren. Via DMARC kan zo’n nepmail bijvoorbeeld automatisch worden geweigerd. Niet voor niets adviseert het Nationaal Cyber Security Centrum (NCSC) Nederlandse organisaties om DMARC te implementeren. 

Uit eerder onderzoek van Mimecast blijkt echter dat slechts een klein deel (19%) van de Nederlandse organisaties DMARC heeft geïmplementeerd. Daarmee heeft ons land een achterstand op andere ontwikkelde economieën. Het verschil met het Verenigd Koninkrijk (21%) is nog gering, maar Duitsland (30%) en de Verenigde Staten (33%) scoren beduidend beter. Wel is 31 procent van de Nederlandse organisaties bezig met de DMARC-implementatie. 

“Elk bedrijf heeft een morele plicht om zijn klanten te beschermen tegen phishingaanvallen”, vindt Sander Hofman, securityexpert bij Mimecast. “Maar het is ook een zakelijke afweging. De consument houdt bedrijven verantwoordelijk voor phishingmails uit hun naam. In het ergste geval lopen klanten weg omdat een bedrijf hier niets tegen doet. En dat is zonde, want een relatief eenvoudige maatregel als DMARC is zeer effectief tegen misbruik van e-maildomeinen.”

Foto door Mikhail Nilov via Pexels