Cyberpediadoor Brain
NLDEENESFRIT

Spearphishing: gerichte phishing

Spearphishing is een e-mail die is afgestemd op u en uw bedrijf met openbare informatie. Zo herkent u hem.

In 30 seconden

Waar het gebeurt
In de zakelijke mailbox, maar ook via sociale netwerken12.
Wat de aanvaller wil
Meestal schadelijke code laten uitvoeren op uw computer1, of een wachtwoord, gegevens of een betaling bemachtigen2.
De reflex
Bevestig elk ongebruikelijk verzoek (betaling, wachtwoord, bestand) via een ander kanaal dan e-mail, bijvoorbeeld telefonisch of in een gesprek van persoon tot persoon2.
Als het al gebeurd is
Waarschuw meteen de bevoegde personen in de organisatie, ook na een klik. Een medewerker die verwijten vreest, meldt later2.

Waar gaat het over

Spearphishing is een valstrik-e-mail die is gericht aan een specifieke persoon, een specifiek bedrijf of een specifieke sector, en dus niet willekeurig naar miljoenen mailboxen wordt gestuurd12. De aanvaller gebruikt wat hij over u of uw bedrijf weet om zijn bericht overtuigender en geloofwaardiger te maken2.

Zo'n bericht kan uw functie, een bestaande leverancier of een collega noemen. Het lijkt dus niet op de massamails die u hebt leren herkennen.

Directe vragen

Wat onderscheidt spearphishing van gewone phishing?

De gerichtheid. MITRE beschrijft spearphishing als een variant waarbij een specifieke persoon, een specifiek bedrijf of een specifieke sector wordt aangevallen, in tegenstelling tot ongerichte campagnes met kwaadaardige spam1. Het Britse NCSC preciseert dat de aanvaller informatie over medewerkers of het bedrijf gebruikt2.

Hoe kent de aanvaller mij?

Hij leest wat openbaar is. Volgens het NCSC gebruikt hij informatie die vrij beschikbaar is op de website van het bedrijf en op sociale netwerken (de "digitale voetafdruk") om zijn berichten overtuigender te maken2. Het NCSC voegt eraan toe dat partners, onderaannemers en leveranciers online ook informatie over een organisatie kunnen prijsgeven2.

Waarom is het moeilijker te herkennen?

De gebruikelijke kenmerken van phishing zijn een algemene aanhef zoals "Dear Valued Customer", een ondertekening zonder contactgegevens, spelfouten of een inconsistente opmaak3. Een bericht dat voor u is geschreven, kan dat allemaal vermijden. Het NCSC schrijft dat het lastig is om alle phishingmails te herkennen en dat spearphishingaanvallen nog moeilijker te ontdekken zijn2.

Zijn leidinggevenden het eerste doelwit?

Zij vormen een aparte doelgroep. Het NCSC noemt "whaling" een vorm van spearphishing die gericht is op een "big phish", bijvoorbeeld een bestuurslid met toegang tot waardevolle bezittingen2. Ook noemt het onder de interessante profielen de personen die toegang mogen hebben tot gevoelige informatie, geld mogen beheren of de IT-systemen beheren2.

Wat doe ik als ik heb geklikt of geantwoord?

CISA adviseert de situatie te melden aan de bevoegde personen in de organisatie, onder wie de netwerkbeheerders, die kunnen letten op ongebruikelijke activiteit. Ook moeten prijsgegeven wachtwoorden meteen worden gewijzigd, evenals die van andere accounts als daar hetzelfde wachtwoord werd gebruikt3.

1In de huid van de aanvaller1 min

MITRE rekent deze fase tot verkenning: phishing om informatie te verkrijgen probeert inloggegevens of andere bruikbare gegevens los te krijgen, en niet om schadelijke code uit te voeren4. De aanvaller kan ook rechtstreeks communiceren via e-mail of chat, door zich voor te doen als een bron die een reden heeft om te vragen, of door meerdere berichten te sturen die dringend lijken4.

MITRE noemt voorbeelden van groepen. Kimsuky stuurde op maat gemaakte e-mails om informatie over zijn slachtoffers te verzamelen, onder meer contactlijsten waarmee andere doelwitten werden opgespoord4. ZIRCONIUM richtte zich met e-mails om inloggegevens te onderscheppen op medewerkers van een presidentiële campagne4. Scattered Spider combineerde phishing van inloggegevens met social engineering om eenmalige codes (OTP) te bemachtigen4.

Het NCSC beschrijft wat de aanvaller in de interne werking kan misbruiken: als werkwijzen bekend zijn (bijvoorbeeld hoe betalingen worden gedaan), kan hij die nabootsen om een wachtwoord of een ongeoorloofde betaling los te krijgen2.

2Wat u op het scherm ziet2 min

De hier aangehaalde bronnen beschrijven meerdere vormen.

Bij een bijlage voegt de aanvaller een bestand aan de e-mail toe en rekent hij er doorgaans op dat de gebruiker het uitvoert, terwijl hij zich voordoet als een vertrouwde bron5. De groep APT28 stuurde e-mails met schadelijke Microsoft Office- en RAR-bijlagen8.

Bij een link omzeilt hij de verdediging die bijlagen controleert6. Links kunnen onschuldig lijken maar een legitieme site nabootsen met speciale tekens (een aanval die "IDN homograph" heet), of hun adres verbergen door gebruik te maken van eigenaardigheden in de syntaxis van URL's6. Een link kan ook om een OAuth 2.0-autorisatie vragen: als de gebruiker die geeft, krijgt een schadelijke toepassing toegangsrechten tot het account en kan die namens de gebruiker handelen6.

Via een externe dienst komt het bericht buiten de bedrijfsmailbox binnen: sociale netwerken, persoonlijke webmail. MITRE merkt op dat deze diensten vaker een minder strikt beveiligingsbeleid hebben dan een bedrijf7. De aanvaller maakt valse accounts aan en biedt bijvoorbeeld een baan aan7. Dat geeft hem een aannemelijke reden om vragen te stellen over de gebruikte software7. Hij kan ook het vertrouwen van het doelwit winnen en vervolgens een bestand sturen naar de persoonlijke mailbox die het doelwit op zijn werkcomputer raadpleegt7. Dat bestand omzeilt dan beperkingen van het zakelijke account7.

Andere varianten: de aanvaller voegt zich in een bestaande discussiedraad ("thread hijacking")1, of het bericht nodigt uit om een nummer te bellen waar het slachtoffer wordt begeleid naar een schadelijke URL, schadelijke software of een tool voor beheer op afstand1. CISA wijst ook op afzenderadressen die lijken op die van een bekend bedrijf doordat enkele tekens zijn gewijzigd of weggelaten, en op links waarvan de getoonde tekst bij aanwijzen niet overeenkomt met de bestemming3.

Geneutraliseerde illustratie, zonder echte link:

Fragment
Van: [voornaam van een bekende collega of leverancier] <naam@bedrijf-voorbeeld[.]invalid>
Onderwerp: [noemt een echt project van uw afdeling]
Tekst: [verzoek om een document na te lezen; parafrase]
Link: hxxps://inloggen-bedrijf[.]invalid/[nagemaakte inlogpagina]
3Onder de motorkapIT-teams1 min

Afzender vervalsen: de aanvaller kan de identiteit van de afzender vervalsen om zowel de ontvanger als de automatische beveiligingstools te misleiden1. De genoemde tegenmaatregelen zijn SPF (geldigheid van het domein van de afzender), DKIM (integriteit van het bericht) en DMARC, waarmee de organisatie die controles kan afdwingen1. Het NCSC voegt eraan toe dat DMARC voorkomt dat phishers het domein van een organisatie vervalsen en dat legitieme e-mails van die organisatie vaker in de inbox terechtkomen2.

Lookalike-domein: de bronnen noemen adressen die dicht bij het origineel liggen (gewijzigde of weggelaten tekens)3 en speciale tekens die een legitieme site nabootsen6. Een adres dat op het eerste gezicht klopt, hoeft dus niet te kloppen.

Oogsten: de valse pagina dient om inloggegevens te verzamelen, de bijlage of de link om code te installeren14. Tijdens een test kwam een beoordelingsteam van CISA en de NSA via phishing binnen op een eindgebruikersaccount met beheerdersrechten en compromitteerde het in minder dan één werkdag een domein9.

Tweestapsverificatie omzeilen: in een andere test kende het team de inloggegevens van een gebruiker, maar blokkeerde multifactorauthenticatie de aanmeldingen. Het deed zich voor als de IT-helpdesk en kreeg de code telefonisch9. Sommige vormen van multifactorauthenticatie zijn kwetsbaar voor phishing en voor "push bombing"9.

4IncidentanalysesEchte gevallen1 min

2016: het Democratic National Committee

APT28 zou in 2016 de campagne van Hillary Clinton, het Democratic National Committee (DNC) en het Democratic Congressional Campaign Committee (DCCC) hebben gecompromitteerd, in een poging de Amerikaanse presidentsverkiezingen te beïnvloeden8. Volgens MITRE gebruikte de groep inloggegevens die waren buitgemaakt via een spearphishing-e-mail om in te loggen op het netwerk van het DCCC, en gebruikte hij die toegang vervolgens om het netwerk van het DNC te compromitteren8.

Februari 2024: de cloudtoegang van APT29

Een advies dat op 26 februari 2024 is gepubliceerd door het Britse NCSC en zijn partners beschrijft de methoden van de groep APT29, die naar beoordeling vrijwel zeker deel uitmaakt van de Russische SVR10. Het advies gaat niet over spearphishing zelf, maar over de volgende stap, wanneer een wachtwoord al bekend is: het beschrijft het omzeilen van multifactorauthenticatie via "MFA bombing" of "MFA fatigue", waarbij de actor herhaaldelijk verzoeken stuurt tot het slachtoffer instemt10. Het beveelt aan de duur van sessies te beperken en alleen geautoriseerde apparaten te laten registreren10.

Fiche

Identificatie
CP-002
Vleugel
1. Aanvallen en technieken
Brain-competentie
Phishing herkennen (detect_phishing)
Brain-reflex
cr-002
Schema
G1 · Aanvalsketen (Kill Chain)
Talen
de, en, es, fr, it, nl
Bronnen
10 bronnen gecontroleerd op 3 november 2026
Bronnen10 bronnen
  1. MITRE ATT&CK, “Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/ (geraadpleegd op 3 november 2026)
  2. NCSC (Royaume-Uni), “Phishing attacks: defending your organisation”, 5 februari 2018. https://www.ncsc.gov.uk/guidance/phishing (geraadpleegd op 3 november 2026)
  3. CISA, “Avoiding Social Engineering and Phishing Attacks | CISA”, 1 februari 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (geraadpleegd op 3 november 2026)
  4. MITRE ATT&CK, “Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/ (geraadpleegd op 3 november 2026)
  5. MITRE ATT&CK, “Phishing: Spearphishing Attachment, Sub-technique T1566.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/001/ (geraadpleegd op 3 november 2026)
  6. MITRE ATT&CK, “Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/002/ (geraadpleegd op 3 november 2026)
  7. MITRE ATT&CK, “Phishing: Spearphishing via Service, Sub-technique T1566.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/003/ (geraadpleegd op 3 november 2026)
  8. MITRE ATT&CK, “APT28, IRON TWILIGHT, SNAKEMACKEREL, Swallowtail, Group 74, Sednit, Sofacy, Pawn Storm, Fancy Bear, STRONTIUM, Tsar Team, Threat Group-4127, TG-4127, Forest Blizzard, FROZENLAKE, GruesomeLarch, Group G0007 | MITRE ATT&CK®”. https://attack.mitre.org/groups/G0007/ (geraadpleegd op 3 november 2026)
  9. CISA, “NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations | CISA”, 5 oktober 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-278a (geraadpleegd op 3 november 2026)
  10. CISA, “SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA”, 26 februari 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (geraadpleegd op 3 november 2026)

Dit artikel citeren

Brain, “Spearphishing: gerichte phishing”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/spear-phishing-gerichte-e-mails-osint/

BibTeX 
@misc{brain_cp002_nl_2026,
  author = {Brain},
  title = {Spearphishing: gerichte phishing},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/nl/articles/spear-phishing-gerichte-e-mails-osint/},
  note = {CC BY 4.0}
}
Licentie CC BY 4.0