blog

Cyberaanvallen op het mkb zo herkent uw team de duurste dreigingen

Geschreven door Joël van Houten | Sep 25, 2025 10:00:00 PM

De grootste kwetsbaarheid in uw bedrijfsbeveiliging is geen softwarelek of een onbeveiligde server. Het is de menselijke factor. Meer dan 90% van alle succesvolle cyberaanvallen begint met een menselijke handeling. Een onoplettende klik, een te snelle betaling, of het delen van informatie uit vertrouwen.

Cybercriminelen weten dit. Ze richten zich niet meer op complexe technische hacks, maar op psychologische manipulatie. Ze breken niet meer in; ze loggen gewoon in met gestolen gegevens. Voor het Nederlandse mkb is deze realiteit kostbaar. Maar wat als uw medewerkers geen zwakke schakel zijn, maar juist uw meest alerte verdedigingslinie?

In deze gids gaan we voorbij de standaardtips. We duiken diep in de meest voorkomende en kostbare aanvallen die specifiek op mkb-medewerkers zijn gericht: Business Email Compromise (BEC) en CEO-fraude. U leert de subtiele signalen herkennen en ontdekt hoe u een cultuur van alertheid creëert die uw bedrijf echt weerbaar maakt.

Impact op het mkb: de verborgen kosten van menselijke kwetsbaarheid

De cijfers liegen er niet om. De dreiging voor het Nederlandse mkb is reëel en de impact is enorm. Volgens ABN AMRO werd in 2024 maar liefst één op de vier mkb-bedrijven slachtoffer van een cyberaanval. De financiële gevolgen zijn vaak desastreus, met een gemiddelde schade van €270.000 per incident.

Het meest zorgwekkende is dat 83% van de mkb-bedrijven niet is voorbereid op het financiële herstel na zo’n aanval. Dit komt omdat aanvallen zoals CEO-fraude vaak niet gedekt worden door een standaardverzekering en banken de schade niet vergoeden; de betaling is immers zelf uitgevoerd. Het is een harde les die veel ondernemers te laat leren. Deze aanvallen zijn geen verre dreiging meer, maar een wekelijks risico. 70% van de Europese bedrijven heeft in de afgelopen 12 maanden te maken gehad met een Business Email Compromise (BEC)-aanval.

Business Email Compromise (BEC): de geraffineerde e-mail valsspeler ontmaskeren

Business Email Compromise is een van de meest lucratieve aanvalsvormen en is verantwoordelijk voor meer dan de helft van alle social engineering incidenten. De tactiek is bedrieglijk eenvoudig: een aanvaller doet zich via e-mail voor als een vertrouwd contact—een leverancier, een collega of een klant—met als doel de ontvanger te verleiden tot een betaling of het delen van gevoelige informatie.

Deze aanvallen zijn niet de slordige spam-mails van vroeger. Ze zijn hyper-gepersonaliseerd en vaak het resultaat van eerdere datalekken. De aanvaller kent uw naam, functie en soms zelfs de context van recente projecten.

Herken de vlaggen

Let op deze subtiele signalen om een BEC-poging te herkennen:

  • De subtiele afzender: De naam van de afzender klopt, maar het e-mailadres wijkt net iets af. Denk aan leverancier@bedrijff.nl in plaats van leverancier@bedrijf.nl. Of een kleine toevoeging zoals info.bedrijf@gmail.com. Controleer altijd het volledige e-mailadres, niet alleen de weergavenaam.
  • De onverwachte urgentie: Er wordt plotselinge druk uitgeoefend. Een factuur moet “vandaag nog” betaald worden om problemen te voorkomen, of een bankrekeningnummer is “per direct” gewijzigd. Dit soort druk is ontworpen om u te laten handelen zonder na te denken.
  • De verhulde vraag: Het gaat niet altijd direct om geld. Soms vragen criminelen om personeelslijsten, contactgegevens van klanten of andere interne informatie die ze kunnen gebruiken voor een latere, grotere aanval.
  • AI-gegenereerde perfectie: Vroeger waren spelfouten een duidelijke rode vlag. Dankzij AI zijn moderne phishingmails vaak foutloos en perfect geformuleerd. Een e-mail die té perfect is of een ongebruikelijke, formele toon heeft, kan juist een signaal zijn.

CEO-fraude: wanneer de baas plotseling om geld vraagt

CEO-fraude is een specifieke en zeer gevaarlijke vorm van BEC. Hierbij doet de aanvaller zich voor als de directeur of een andere hooggeplaatste manager. Deze aanval speelt direct in op de hiërarchie en het vertrouwen binnen een organisatie.

De psychologische druk is hier maximaal. Een verzoek van “de baas” weiger je niet zomaar. De gemiddelde schade van €270.000 per geslaagde aanval bewijst hoe effectief deze methode is.

Herken de psychologische triggers en tactieken

Aanvallers gebruiken een voorspelbaar script. Leer het herkennen:

  • De “directe” lijn: De directeur mailt u rechtstreeks, vaak buiten de normale communicatielijnen om. “Ik ben in een meeting, kun je dit even snel voor me regelen?” Dit isoleert u van collega’s die u zouden kunnen waarschuwen.
  • De “geheime” transactie: Het verzoek wordt omgeven door geheimhouding. “Dit is vertrouwelijk, het gaat om een overname. Bespreek dit met niemand.” Dit voorkomt dat u het verzoek verifieert bij de financiële afdeling of andere managers.
  • De deepfake dreiging: De nieuwste tactiek is het gebruik van AI om de stem van de CEO na te bootsen in een kort telefoongesprek of voicemail. Let op onnatuurlijke pauzes, een monotone stem of een vreemde intonatie. Als het dringend klinkt maar de emotie ontbreekt, wees dan extra alert.

De gouden regel bij CEO-fraude: verifieer altijd via een ander, bij u bekend kanaal. Beantwoord de e-mail niet. Bel de directeur op zijn of haar bekende mobiele nummer, stuur een bericht via Teams, of loop even langs het kantoor. Een legitiem verzoek kan wachten op verificatie.

Social engineering: meer dan alleen phishing

Hoewel e-mail het meest gebruikte kanaal is, zetten criminelen steeds vaker meerdere kanalen in. Een aanval kan beginnen met een connectieverzoek op LinkedIn, gevolgd door een schijnbaar onschuldige e-mail en afgesloten met een “dringend” WhatsApp-bericht. Dit wordt een multichannel attack genoemd. Andere veelvoorkomende tactieken zijn:

  • Vishing (Voice Phishing): Telefonische oplichting waarbij iemand zich voordoet als een medewerker van de bank, de IT-afdeling of zelfs Microsoft. Ze proberen u inloggegevens te ontfutselen of u te overtuigen om software te installeren. Vraag altijd of u kunt terugbellen op een officieel, bij u bekend nummer.
  • Smishing (SMS Phishing): Valse sms-berichten met een link naar een frauduleuze inlogpagina, bijvoorbeeld om een “pakketje te volgen” of een “openstaande rekening” te betalen.
  • Pretexting: De aanvaller creëert een geloofwaardig verhaal (een pretext) om u te manipuleren. Bijvoorbeeld, ze doen zich voor als een nieuwe medewerker die hulp nodig heeft met toegang tot bepaalde systemen.

Jouw rol als mkb-medewerker: de cruciale schakel in cyberveiligheid

Technologie kan veel tegenhouden, maar een alerte medewerker is vaak de laatste en meest effectieve verdedigingslinie. Het creëren van een veilige meldcultuur is hierin essentieel. Medewerkers moeten zich veilig voelen om een vermoeden te melden, zonder angst voor negatieve gevolgen. Elke melding—ook als het loos alarm blijkt—is een waardevolle oefening voor de hele organisatie.

Praktisch stappenplan bij een verdacht verzoek

  1. Pauzeer. Handel niet direct, hoe dringend het verzoek ook lijkt. Neem even afstand.
  2. Controleer. Verifieer de afzender en de inhoud. Klopt het e-mailadres exact? Is dit een normaal verzoek?
  3. Verifieer. Gebruik een ander, vertrouwd communicatiekanaal om te controleren of het verzoek legitiem is. Bel de persoon op een bekend nummer.
  4. Meld. Rapporteer het verdachte bericht direct aan de IT-verantwoordelijke of uw leidinggevende, zelfs als u er niet bent ingetrapt. Zo kunnen anderen gewaarschuwd worden.

Veelgestelde vragen

We zijn te klein om een doelwit te zijn, toch?

Dit is een gevaarlijke misvatting. Criminelen gebruiken geautomatiseerde tools om duizenden bedrijven tegelijk aan te vallen. Ze zoeken niet naar grote namen, maar naar kwetsbare systemen en onoplettende medewerkers. De statistiek dat 70% van de Europese bedrijven de afgelopen 12 maanden te maken heeft gehad met een Business Email Compromise (BEC)-aanval bewijst dat.

Is een technische oplossing zoals een spamfilter niet genoeg?

Een spamfilter is een essentiële eerste barrière, maar geavanceerde social engineering-aanvallen zijn ontworpen om deze te omzeilen. Ze bevatten vaak geen schadelijke links of bijlagen, maar manipuleren de ontvanger met tekst alleen. Ze spelen in op menselijk vertrouwen, iets wat een filter niet kan detecteren. Daarom is de combinatie van technologie en menselijke alertheid cruciaal.

Hoe creëer ik een veilige meldcultuur zonder dat het een heksenjacht wordt?

Focus op het positieve. Beloon en erken medewerkers die een verdacht bericht melden. Behandel elke melding als een leermoment voor de hele organisatie, niet als een fout van een individu. Zorg voor een laagdrempelig en duidelijk meldpunt, zodat medewerkers precies weten waar ze terechtkunnen.

Mijn medewerkers zijn te druk voor uitgebreide training. Wat is de eerste stap?

De eerste en meest effectieve stap is bewustwording creëren van de specifieke dreigingen die in dit artikel worden beschreven. Bespreek BEC en CEO-fraude tijdens een teamoverleg. Deel de checklists en maak duidelijke afspraken over het verifiëren van betaalverzoeken. Dit kost weinig tijd en verhoogt de alertheid direct.

Van kwetsbaarheid naar weerbaarheid

Het beveiligen van uw bedrijf is geen eenmalige actie, maar een doorlopend proces. Technologie biedt de basis, maar een goed geïnformeerd en alert team vormt de kern van uw verdediging. Door te investeren in de kennis van uw medewerkers, transformeert u de grootste kwetsbaarheid in uw sterkste troef.

Bent u klaar om de volgende stap te zetten? Attic Security helpt het mkb om de Microsoft 365-omgeving te beveiligen met praktische en betaalbare oplossingen.

Begin met het beschermen van de voordeur. Onze Gratis Inlogbescherming waarschuwt gebruikers direct wanneer ze op een frauduleuze Microsoft 365 inlogpagina terechtkomen. Voor continue monitoring en het automatisch verhelpen van beveiligingsrisico’s, biedt Attic Fixer de geautomatiseerde zekerheid die uw team verdient. Zo bouwt u een verdediging die net zo slim is als de aanvallers.