--- id: CP-008 slug: vishing-telefoonfraude-nepnummer-misleiding lang: nl title: Vishing, oplichting per telefoon description: "Een nep-helpdesk of een nepbankmedewerker belt u en uw scherm toont een bekend nummer: zo herkent u vishing en weet u wat u doet." canonical_url: https://startbrain.io/cyberpedia/nl/articles/vishing-telefoonfraude-nepnummer-misleiding/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/vishing-telefoonfraude-nepnummer-misleiding.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “Vishing, oplichting per telefoon”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/vishing-telefoonfraude-nepnummer-misleiding/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-019 schema: G1 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/vishing-telefoonfraude-nepnummer-misleiding/ fr: https://startbrain.io/cyberpedia/fr/articles/vishing-arnaque-telephonique-usurpation/ en: https://startbrain.io/cyberpedia/en/articles/vishing-voice-phishing-call-spoofing/ de: https://startbrain.io/cyberpedia/de/articles/vishing-telefonbetrug-anrufer-taeuschung/ es: https://startbrain.io/cyberpedia/es/articles/vishing-estafa-telefonica-suplantacion/ it: https://startbrain.io/cyberpedia/it/articles/vishing-truffa-telefonica-spoofing/ sources: - "n": 1 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: "Phishing for Information: Spearphishing Voice, Sub-technique T1598.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/004/ accessed: "2026-11-03" - "n": 3 title: "Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/004/ accessed: "2026-11-03" - "n": 4 title: Scattered Spider | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a published: "2023-11-16" accessed: "2026-11-03" - "n": 5 title: Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G1015/ accessed: "2026-11-03" - "n": 6 title: Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction | Microsoft Security Blog publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ published: "2023-10-25" accessed: "2026-11-03" - "n": 7 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 8 title: Remote Access Tools, Technique T1219 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1219/ accessed: "2026-11-03" --- # Vishing, oplichting per telefoon Vishing (voice phishing) is phishing via de stem. De aanvaller belt en geeft zich uit voor een vertrouwd persoon om informatie of een handeling van het slachtoffer los te krijgen. CISA beschrijft het als de social-engineeringaanpak die op spraakcommunicatie steunt [1]. Voor een medewerker is het typische scenario een telefoontje van iemand die zich voordoet als echt it-personeel [3]. ## In 30 seconden - Waar het gebeurt: per telefoon, soms met tegelijk een sms, bij medewerkers en bij de it-helpdesk [4]. - Wat de aanvaller wil: een wachtwoord, een authenticatiecode, of de installatie van een hulpmiddel waarmee hij de computer kan overnemen [3][4]. - De reflex: controleer de identiteit van de beller bij de organisatie die hij zegt te vertegenwoordigen [1]. - Als het al gebeurd is: waarschuw meteen de verantwoordelijken van de organisatie, onder wie de netwerkbeheerders, en wijzig de wachtwoorden die u hebt prijsgegeven [1]. ## Directe vragen ### Bewijst het nummer op het scherm wie er belt? Nee. Fraudeurs kunnen hun nummer vervalsen en zich daarbij voordoen als een vertrouwde partij, zoals een zakenpartner of de technische ondersteuning [2]. CISA stelt dat internettelefonie (VoIP) het eenvoudig maakt de identiteit van de beller te vervalsen, en dat dit misbruik maakt van misplaatst vertrouwen in de beveiliging van telefoondiensten [1]. ### Wie doet de aanvaller na? De hier aangehaalde bronnen noemen een zakenpartner, een medewerker van de technische ondersteuning [2], echt it-personeel [3] en in sommige gevallen een medewerker die de helpdesk belt in plaats van de echte accounthouder [4]. Microsoft beschrijft ook aanvallers die zich voordoen als pas aangenomen medewerkers [6]. ### Wat probeert hij te bereiken? Volgens MITRE kan hij het slachtoffer ertoe brengen een kwaadaardig adres te openen, malware te downloaden of hulpmiddelen voor beheer op afstand te installeren die de aanvaller daarna kan gebruiken [3]. Hij kan ook proberen inloggegevens voor multifactorauthenticatie te bemachtigen, of authenticatieverzoeken laten goedkeuren [3]. Een van de groepen die CISA beschrijft, wist medewerkers te overtuigen hun eenmalig wachtwoord (OTP), een authenticatiecode, door te geven [4]. ### Moet u op uw hoede zijn voor telefoontjes na een bericht? Ja. Een phishingbericht kan vragen een nummer terug te bellen: MITRE spreekt van "callback phishing" en zegt dat de aanvaller dan probeert gevoelige informatie te verzamelen [2]. ### Wat doet u bij een verdacht telefoontje? CISA raadt aan op te passen voor ongevraagde telefoontjes van mensen die vragen stellen over medewerkers of interne informatie, en de identiteit van de beller rechtstreeks te controleren bij de organisatie die hij zegt te vertegenwoordigen [1]. Ze voegt toe geen persoonlijke gegevens of gegevens over de organisatie te geven, tenzij u zeker weet dat de persoon er recht op heeft [1]. ## In de huid van de aanvaller Hij begint met informatie verzamelen. In het advies van CISA over de groep Scattered Spider zoekt de aanvaller eerst op zakelijke sites welke functie de beoogde persoon in het bedrijf heeft [4]. Daarna verzamelt hij gebruikersnamen, wachtwoorden en persoonsgegevens [4]. Zijn telefoontjes, vaak meerdere achter elkaar, dienen eerst om de procedure voor het opnieuw instellen van wachtwoorden te leren kennen en daarna om informatie over de beoogde medewerker te verzamelen [4]. Die telefoontjes steunen op persoonsgegevens uit sociale media, open bronnen, commerciële inlichtingentools en gelekte databases [4]. Microsoft beschrijft dezelfde werkwijze: de actor bestudeert de organisatie, bootst de toon en het woordgebruik van de nagebootste persoon na en weet genoeg persoonlijke informatie om een beheerder over te halen een wachtwoord of een authenticatiemethode opnieuw in te stellen [6]. Deze actor richt zich doorgaans op technische beheerders, zoals medewerkers van support en helpdesk [6]. De aanvaller hoeft niet zelf te bellen. Volgens MITRE kunnen de gesprekken worden gevoerd door de aanvaller, door callcenters die voor de gelegenheid zijn ingehuurd, of worden geautomatiseerd met vooraf opgenomen oproepen [2]. In zeldzame gevallen zag Microsoft aanvallers overgaan tot intimidatie, met een huisadres, namen van familieleden en fysieke bedreigingen [6]. ## Wat u op het scherm ziet U ziet een nummer dat bekend lijkt, of een naam die u meent te herkennen. Urgentie of paniek hoort bij het scenario: MITRE merkt op dat de aanvaller zich voordoet als een vertrouwde bron en een gevoel van urgentie creëert [3]. Wat volgt, verschilt. Een beller kan u om een eenmalige authenticatiecode (OTP) vragen [4]. Hij kan u ook vragen een authenticatiemelding op uw telefoon goed te keuren: CISA beschrijft meldingen die herhaaldelijk worden verstuurd tot de medewerker op "Accepteren" tikt (MFA-vermoeidheid) [4]. Soms leidt hij u naar een nep-inlogportaal of vraagt hij u een hulpmiddel voor overname op afstand te starten [5][4]. De sms kan een link bevatten naar een nepportaal dat de authenticatie van het bedrijf nabootst [6]. ## Onder de motorkap Hulpmiddelen voor overname op afstand zijn legitieme software. Microsoft merkt op dat hulpmiddelen voor beheer op afstand, door de beschreven actor misbruikt, een normaal gebruik hebben en dat het gebruik ervan in de omgeving moet worden bewaakt [6]. MITRE noemt voorbeelden zoals AnyDesk [8]. MITRE preciseert dat deze hulpmiddelen na een inbraak kunnen worden geïnstalleerd en gebruikt om een interactieve sessie met extern bureaublad op te zetten [8]. Een ander mechanisme is het kapen van het nummer zelf. CISA meldt dat Scattered Spider telefoonproviders heeft overtuigd het nummer van een gebruiker over te zetten naar een simkaart in zijn bezit (SIM swap), wat controle geeft over de telefoon en over authenticatieverzoeken [4]. Microsoft beschrijft ook het instellen van doorschakeling op het nummer van een medewerker, gevolgd door een wachtwoordreset via selfservice [6]. Aan de verdedigingskant stelt MITRE voor de gespreksgegevens van zakelijke toestellen te bewaken en te vergelijken met gebeurtenissen na het gesprek, zoals de installatie van een hulpmiddel voor beheer op afstand [3]. CISA vraagt waar mogelijk om phishingbestendige multifactorauthenticatie voor alle diensten, en om de training tegen vishing voort te zetten [4]. ## Incidentanalyses ### Scattered Spider, van juni tot december 2022 MITRE koppelt aan de campagne C0027, van juni tot december 2022, telefoontjes en sms'jes waarin de aanvaller zich voordeed als it-personeel [5]. De slachtoffers werden naar een site voor het verzamelen van inloggegevens geleid of aangezet commerciële hulpmiddelen voor beheer op afstand te starten [5]. Eenmaal binnen zocht de groep in de documentatieruimtes van de slachtoffers naar instructies van de support en naar handleidingen voor aanmelding bij VPN en multifactorauthenticatie [5]. ### Octo Tempest, 2022 en 2023 Microsoft beschrijft in zijn bericht van 25 oktober 2023 een groep die begin 2022 voor het eerst werd gezien en zich eerst richtte op mobiele operators en uitbestedingsbedrijven om nummeroverdrachten uit te lokken [6]. In 2022 verkocht de groep SIM swaps door aan andere criminelen en nam ze accounts van vermogende personen over om hun cryptovaluta te stelen [6]. Microsoft merkt op dat de groep ook de helpdesk van een organisatie belde om een wachtwoord te laten resetten of een authenticatiefactor te laten toevoegen [6]. ### Update van het CISA-advies, juli 2025 Advies AA23-320A, gepubliceerd op 16 november 2023, is op 29 juli 2025 bijgewerkt met geavanceerdere social-engineeringtechnieken [4]. Een ervan is zich voordoen als medewerker om van de support gevoelige informatie, een wachtwoordreset en de overdracht van multifactorauthenticatie naar een door de aanvaller beheerd toestel te krijgen [4]. ## Wat u doet Controleer de identiteit van de beller rechtstreeks bij de organisatie die hij zegt te vertegenwoordigen [1]. Bij een verzoek per e-mail raadt CISA aan niet de contactgegevens te gebruiken van een site die met het verzoek samenhangt, maar die uit eerdere communicatie op te zoeken [1]. Het NCSC adviseert een belangrijk verzoek per e-mail via een tweede communicatiemiddel te controleren, zoals een telefoontje of een bevestiging in persoon [7]. CISA beschrijft een groep die eenmalige wachtwoorden van medewerkers heeft gekregen [4]. Hebt u al toegegeven, meld dat dan zonder uitstel aan de verantwoordelijken van de organisatie: zij kunnen ongebruikelijke activiteit in de gaten houden [1]. ## Bronnen 1. CISA, “Avoiding Social Engineering and Phishing Attacks | CISA”, 1 februari 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (geraadpleegd op 3 november 2026) 2. MITRE ATT&CK, “Phishing for Information: Spearphishing Voice, Sub-technique T1598.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/004/ (geraadpleegd op 3 november 2026) 3. MITRE ATT&CK, “Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/004/ (geraadpleegd op 3 november 2026) 4. CISA, “Scattered Spider | CISA”, 16 november 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (geraadpleegd op 3 november 2026) 5. MITRE ATT&CK, “Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK®”. https://attack.mitre.org/groups/G1015/ (geraadpleegd op 3 november 2026) 6. Microsoft, “Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction | Microsoft Security Blog”, 25 oktober 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (geraadpleegd op 3 november 2026) 7. NCSC (Royaume-Uni), “Phishing attacks: defending your organisation”, 5 februari 2018. https://www.ncsc.gov.uk/guidance/phishing (geraadpleegd op 3 november 2026) 8. MITRE ATT&CK, “Remote Access Tools, Technique T1219 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1219/ (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/vishing-telefoonfraude-nepnummer-misleiding/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.