--- id: CP-002 slug: spear-phishing-gerichte-e-mails-osint lang: nl title: "Spearphishing: gerichte phishing" description: Spearphishing is een e-mail die is afgestemd op u en uw bedrijf met openbare informatie. Zo herkent u hem. canonical_url: https://startbrain.io/cyberpedia/nl/articles/spear-phishing-gerichte-e-mails-osint/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/spear-phishing-gerichte-e-mails-osint.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, “Spearphishing: gerichte phishing”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/spear-phishing-gerichte-e-mails-osint/ (CC BY 4.0)" wing: 1 theme: detect_phishing reflex: cr-002 schema: G1 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/spear-phishing-gerichte-e-mails-osint/ fr: https://startbrain.io/cyberpedia/fr/articles/spear-phishing-harponnage-cible-osint/ en: https://startbrain.io/cyberpedia/en/articles/spear-phishing-osint-targeted-emails/ de: https://startbrain.io/cyberpedia/de/articles/spear-phishing-gezielte-e-mails-osint/ es: https://startbrain.io/cyberpedia/es/articles/spear-phishing-correos-dirigidos-osint/ it: https://startbrain.io/cyberpedia/it/articles/spear-phishing-email-mirate-osint/ sources: - "n": 1 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" - "n": 2 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 3 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 4 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 5 title: "Phishing: Spearphishing Attachment, Sub-technique T1566.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/001/ accessed: "2026-11-03" - "n": 6 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 7 title: "Phishing: Spearphishing via Service, Sub-technique T1566.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/003/ accessed: "2026-11-03" - "n": 8 title: APT28, IRON TWILIGHT, SNAKEMACKEREL, Swallowtail, Group 74, Sednit, Sofacy, Pawn Storm, Fancy Bear, STRONTIUM, Tsar Team, Threat Group-4127, TG-4127, Forest Blizzard, FROZENLAKE, GruesomeLarch, Group G0007 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G0007/ accessed: "2026-11-03" - "n": 9 title: NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-278a published: "2023-10-05" accessed: "2026-11-03" - "n": 10 title: SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a published: "2024-02-26" accessed: "2026-11-03" --- # Spearphishing: gerichte phishing Spearphishing is een valstrik-e-mail die is gericht aan een specifieke persoon, een specifiek bedrijf of een specifieke sector, en dus niet willekeurig naar miljoenen mailboxen wordt gestuurd [1][2]. De aanvaller gebruikt wat hij over u of uw bedrijf weet om zijn bericht overtuigender en geloofwaardiger te maken [2]. Zo'n bericht kan uw functie, een bestaande leverancier of een collega noemen. Het lijkt dus niet op de massamails die u hebt leren herkennen. ## In 30 seconden - Waar het gebeurt: in de zakelijke mailbox, maar ook via sociale netwerken [1][2]. - Wat de aanvaller wil: meestal schadelijke code laten uitvoeren op uw computer [1], of een wachtwoord, gegevens of een betaling bemachtigen [2]. - De reflex: bevestig elk ongebruikelijk verzoek (betaling, wachtwoord, bestand) via een ander kanaal dan e-mail, bijvoorbeeld telefonisch of in een gesprek van persoon tot persoon [2]. - Als het al gebeurd is: waarschuw meteen de bevoegde personen in de organisatie, ook na een klik. Een medewerker die verwijten vreest, meldt later [2]. ## Directe vragen ### Wat onderscheidt spearphishing van gewone phishing? De gerichtheid. MITRE beschrijft spearphishing als een variant waarbij een specifieke persoon, een specifiek bedrijf of een specifieke sector wordt aangevallen, in tegenstelling tot ongerichte campagnes met kwaadaardige spam [1]. Het Britse NCSC preciseert dat de aanvaller informatie over medewerkers of het bedrijf gebruikt [2]. ### Hoe kent de aanvaller mij? Hij leest wat openbaar is. Volgens het NCSC gebruikt hij informatie die vrij beschikbaar is op de website van het bedrijf en op sociale netwerken (de "digitale voetafdruk") om zijn berichten overtuigender te maken [2]. Het NCSC voegt eraan toe dat partners, onderaannemers en leveranciers online ook informatie over een organisatie kunnen prijsgeven [2]. ### Waarom is het moeilijker te herkennen? De gebruikelijke kenmerken van phishing zijn een algemene aanhef zoals "Dear Valued Customer", een ondertekening zonder contactgegevens, spelfouten of een inconsistente opmaak [3]. Een bericht dat voor u is geschreven, kan dat allemaal vermijden. Het NCSC schrijft dat het lastig is om alle phishingmails te herkennen en dat spearphishingaanvallen nog moeilijker te ontdekken zijn [2]. ### Zijn leidinggevenden het eerste doelwit? Zij vormen een aparte doelgroep. Het NCSC noemt "whaling" een vorm van spearphishing die gericht is op een "big phish", bijvoorbeeld een bestuurslid met toegang tot waardevolle bezittingen [2]. Ook noemt het onder de interessante profielen de personen die toegang mogen hebben tot gevoelige informatie, geld mogen beheren of de IT-systemen beheren [2]. ### Wat doe ik als ik heb geklikt of geantwoord? CISA adviseert de situatie te melden aan de bevoegde personen in de organisatie, onder wie de netwerkbeheerders, die kunnen letten op ongebruikelijke activiteit. Ook moeten prijsgegeven wachtwoorden meteen worden gewijzigd, evenals die van andere accounts als daar hetzelfde wachtwoord werd gebruikt [3]. ## In de huid van de aanvaller MITRE rekent deze fase tot verkenning: phishing om informatie te verkrijgen probeert inloggegevens of andere bruikbare gegevens los te krijgen, en niet om schadelijke code uit te voeren [4]. De aanvaller kan ook rechtstreeks communiceren via e-mail of chat, door zich voor te doen als een bron die een reden heeft om te vragen, of door meerdere berichten te sturen die dringend lijken [4]. MITRE noemt voorbeelden van groepen. Kimsuky stuurde op maat gemaakte e-mails om informatie over zijn slachtoffers te verzamelen, onder meer contactlijsten waarmee andere doelwitten werden opgespoord [4]. ZIRCONIUM richtte zich met e-mails om inloggegevens te onderscheppen op medewerkers van een presidentiële campagne [4]. Scattered Spider combineerde phishing van inloggegevens met social engineering om eenmalige codes (OTP) te bemachtigen [4]. Het NCSC beschrijft wat de aanvaller in de interne werking kan misbruiken: als werkwijzen bekend zijn (bijvoorbeeld hoe betalingen worden gedaan), kan hij die nabootsen om een wachtwoord of een ongeoorloofde betaling los te krijgen [2]. ## Wat u op het scherm ziet De hier aangehaalde bronnen beschrijven meerdere vormen. Bij een bijlage voegt de aanvaller een bestand aan de e-mail toe en rekent hij er doorgaans op dat de gebruiker het uitvoert, terwijl hij zich voordoet als een vertrouwde bron [5]. De groep APT28 stuurde e-mails met schadelijke Microsoft Office- en RAR-bijlagen [8]. Bij een link omzeilt hij de verdediging die bijlagen controleert [6]. Links kunnen onschuldig lijken maar een legitieme site nabootsen met speciale tekens (een aanval die "IDN homograph" heet), of hun adres verbergen door gebruik te maken van eigenaardigheden in de syntaxis van URL's [6]. Een link kan ook om een OAuth 2.0-autorisatie vragen: als de gebruiker die geeft, krijgt een schadelijke toepassing toegangsrechten tot het account en kan die namens de gebruiker handelen [6]. Via een externe dienst komt het bericht buiten de bedrijfsmailbox binnen: sociale netwerken, persoonlijke webmail. MITRE merkt op dat deze diensten vaker een minder strikt beveiligingsbeleid hebben dan een bedrijf [7]. De aanvaller maakt valse accounts aan en biedt bijvoorbeeld een baan aan [7]. Dat geeft hem een aannemelijke reden om vragen te stellen over de gebruikte software [7]. Hij kan ook het vertrouwen van het doelwit winnen en vervolgens een bestand sturen naar de persoonlijke mailbox die het doelwit op zijn werkcomputer raadpleegt [7]. Dat bestand omzeilt dan beperkingen van het zakelijke account [7]. Andere varianten: de aanvaller voegt zich in een bestaande discussiedraad ("thread hijacking") [1], of het bericht nodigt uit om een nummer te bellen waar het slachtoffer wordt begeleid naar een schadelijke URL, schadelijke software of een tool voor beheer op afstand [1]. CISA wijst ook op afzenderadressen die lijken op die van een bekend bedrijf doordat enkele tekens zijn gewijzigd of weggelaten, en op links waarvan de getoonde tekst bij aanwijzen niet overeenkomt met de bestemming [3]. Geneutraliseerde illustratie, zonder echte link: ```text Van: [voornaam van een bekende collega of leverancier] Onderwerp: [noemt een echt project van uw afdeling] Tekst: [verzoek om een document na te lezen; parafrase] Link: hxxps://inloggen-bedrijf[.]invalid/[nagemaakte inlogpagina] ``` ## Onder de motorkap Afzender vervalsen: de aanvaller kan de identiteit van de afzender vervalsen om zowel de ontvanger als de automatische beveiligingstools te misleiden [1]. De genoemde tegenmaatregelen zijn SPF (geldigheid van het domein van de afzender), DKIM (integriteit van het bericht) en DMARC, waarmee de organisatie die controles kan afdwingen [1]. Het NCSC voegt eraan toe dat DMARC voorkomt dat phishers het domein van een organisatie vervalsen en dat legitieme e-mails van die organisatie vaker in de inbox terechtkomen [2]. Lookalike-domein: de bronnen noemen adressen die dicht bij het origineel liggen (gewijzigde of weggelaten tekens) [3] en speciale tekens die een legitieme site nabootsen [6]. Een adres dat op het eerste gezicht klopt, hoeft dus niet te kloppen. Oogsten: de valse pagina dient om inloggegevens te verzamelen, de bijlage of de link om code te installeren [1][4]. Tijdens een test kwam een beoordelingsteam van CISA en de NSA via phishing binnen op een eindgebruikersaccount met beheerdersrechten en compromitteerde het in minder dan één werkdag een domein [9]. Tweestapsverificatie omzeilen: in een andere test kende het team de inloggegevens van een gebruiker, maar blokkeerde multifactorauthenticatie de aanmeldingen. Het deed zich voor als de IT-helpdesk en kreeg de code telefonisch [9]. Sommige vormen van multifactorauthenticatie zijn kwetsbaar voor phishing en voor "push bombing" [9]. ## Incidentanalyses ### 2016: het Democratic National Committee APT28 zou in 2016 de campagne van Hillary Clinton, het Democratic National Committee (DNC) en het Democratic Congressional Campaign Committee (DCCC) hebben gecompromitteerd, in een poging de Amerikaanse presidentsverkiezingen te beïnvloeden [8]. Volgens MITRE gebruikte de groep inloggegevens die waren buitgemaakt via een spearphishing-e-mail om in te loggen op het netwerk van het DCCC, en gebruikte hij die toegang vervolgens om het netwerk van het DNC te compromitteren [8]. ### Februari 2024: de cloudtoegang van APT29 Een advies dat op 26 februari 2024 is gepubliceerd door het Britse NCSC en zijn partners beschrijft de methoden van de groep APT29, die naar beoordeling vrijwel zeker deel uitmaakt van de Russische SVR [10]. Het advies gaat niet over spearphishing zelf, maar over de volgende stap, wanneer een wachtwoord al bekend is: het beschrijft het omzeilen van multifactorauthenticatie via "MFA bombing" of "MFA fatigue", waarbij de actor herhaaldelijk verzoeken stuurt tot het slachtoffer instemt [10]. Het beveelt aan de duur van sessies te beperken en alleen geautoriseerde apparaten te laten registreren [10]. ## Bronnen 1. MITRE ATT&CK, “Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/ (geraadpleegd op 3 november 2026) 2. NCSC (Royaume-Uni), “Phishing attacks: defending your organisation”, 5 februari 2018. https://www.ncsc.gov.uk/guidance/phishing (geraadpleegd op 3 november 2026) 3. CISA, “Avoiding Social Engineering and Phishing Attacks | CISA”, 1 februari 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (geraadpleegd op 3 november 2026) 4. MITRE ATT&CK, “Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/ (geraadpleegd op 3 november 2026) 5. MITRE ATT&CK, “Phishing: Spearphishing Attachment, Sub-technique T1566.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/001/ (geraadpleegd op 3 november 2026) 6. MITRE ATT&CK, “Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/002/ (geraadpleegd op 3 november 2026) 7. MITRE ATT&CK, “Phishing: Spearphishing via Service, Sub-technique T1566.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/003/ (geraadpleegd op 3 november 2026) 8. MITRE ATT&CK, “APT28, IRON TWILIGHT, SNAKEMACKEREL, Swallowtail, Group 74, Sednit, Sofacy, Pawn Storm, Fancy Bear, STRONTIUM, Tsar Team, Threat Group-4127, TG-4127, Forest Blizzard, FROZENLAKE, GruesomeLarch, Group G0007 | MITRE ATT&CK®”. https://attack.mitre.org/groups/G0007/ (geraadpleegd op 3 november 2026) 9. CISA, “NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations | CISA”, 5 oktober 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-278a (geraadpleegd op 3 november 2026) 10. CISA, “SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA”, 26 februari 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/spear-phishing-gerichte-e-mails-osint/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.