Cyberpediadoor Brain
NLDEENESFRIT

Vishing, oplichting per telefoon

Een nep-helpdesk of een nepbankmedewerker belt u en uw scherm toont een bekend nummer: zo herkent u vishing en weet u wat u doet.

In 30 seconden

Waar het gebeurt
Per telefoon, soms met tegelijk een sms, bij medewerkers en bij de it-helpdesk4.
Wat de aanvaller wil
Een wachtwoord, een authenticatiecode, of de installatie van een hulpmiddel waarmee hij de computer kan overnemen34.
De reflex
Controleer de identiteit van de beller bij de organisatie die hij zegt te vertegenwoordigen1.
Als het al gebeurd is
Waarschuw meteen de verantwoordelijken van de organisatie, onder wie de netwerkbeheerders, en wijzig de wachtwoorden die u hebt prijsgegeven1.

Waar gaat het over

Vishing (voice phishing) is phishing via de stem. De aanvaller belt en geeft zich uit voor een vertrouwd persoon om informatie of een handeling van het slachtoffer los te krijgen. CISA beschrijft het als de social-engineeringaanpak die op spraakcommunicatie steunt1.

Voor een medewerker is het typische scenario een telefoontje van iemand die zich voordoet als echt it-personeel3.

Directe vragen

Bewijst het nummer op het scherm wie er belt?

Nee. Fraudeurs kunnen hun nummer vervalsen en zich daarbij voordoen als een vertrouwde partij, zoals een zakenpartner of de technische ondersteuning2. CISA stelt dat internettelefonie (VoIP) het eenvoudig maakt de identiteit van de beller te vervalsen, en dat dit misbruik maakt van misplaatst vertrouwen in de beveiliging van telefoondiensten1.

Wie doet de aanvaller na?

De hier aangehaalde bronnen noemen een zakenpartner, een medewerker van de technische ondersteuning2, echt it-personeel3 en in sommige gevallen een medewerker die de helpdesk belt in plaats van de echte accounthouder4. Microsoft beschrijft ook aanvallers die zich voordoen als pas aangenomen medewerkers6.

Wat probeert hij te bereiken?

Volgens MITRE kan hij het slachtoffer ertoe brengen een kwaadaardig adres te openen, malware te downloaden of hulpmiddelen voor beheer op afstand te installeren die de aanvaller daarna kan gebruiken3. Hij kan ook proberen inloggegevens voor multifactorauthenticatie te bemachtigen, of authenticatieverzoeken laten goedkeuren3. Een van de groepen die CISA beschrijft, wist medewerkers te overtuigen hun eenmalig wachtwoord (OTP), een authenticatiecode, door te geven4.

Moet u op uw hoede zijn voor telefoontjes na een bericht?

Ja. Een phishingbericht kan vragen een nummer terug te bellen: MITRE spreekt van "callback phishing" en zegt dat de aanvaller dan probeert gevoelige informatie te verzamelen2.

Wat doet u bij een verdacht telefoontje?

CISA raadt aan op te passen voor ongevraagde telefoontjes van mensen die vragen stellen over medewerkers of interne informatie, en de identiteit van de beller rechtstreeks te controleren bij de organisatie die hij zegt te vertegenwoordigen1. Ze voegt toe geen persoonlijke gegevens of gegevens over de organisatie te geven, tenzij u zeker weet dat de persoon er recht op heeft1.

1In de huid van de aanvaller1 min

Hij begint met informatie verzamelen. In het advies van CISA over de groep Scattered Spider zoekt de aanvaller eerst op zakelijke sites welke functie de beoogde persoon in het bedrijf heeft4. Daarna verzamelt hij gebruikersnamen, wachtwoorden en persoonsgegevens4. Zijn telefoontjes, vaak meerdere achter elkaar, dienen eerst om de procedure voor het opnieuw instellen van wachtwoorden te leren kennen en daarna om informatie over de beoogde medewerker te verzamelen4. Die telefoontjes steunen op persoonsgegevens uit sociale media, open bronnen, commerciële inlichtingentools en gelekte databases4.

Microsoft beschrijft dezelfde werkwijze: de actor bestudeert de organisatie, bootst de toon en het woordgebruik van de nagebootste persoon na en weet genoeg persoonlijke informatie om een beheerder over te halen een wachtwoord of een authenticatiemethode opnieuw in te stellen6. Deze actor richt zich doorgaans op technische beheerders, zoals medewerkers van support en helpdesk6.

De aanvaller hoeft niet zelf te bellen. Volgens MITRE kunnen de gesprekken worden gevoerd door de aanvaller, door callcenters die voor de gelegenheid zijn ingehuurd, of worden geautomatiseerd met vooraf opgenomen oproepen2. In zeldzame gevallen zag Microsoft aanvallers overgaan tot intimidatie, met een huisadres, namen van familieleden en fysieke bedreigingen6.

2Wat u op het scherm ziet1 min

U ziet een nummer dat bekend lijkt, of een naam die u meent te herkennen. Urgentie of paniek hoort bij het scenario: MITRE merkt op dat de aanvaller zich voordoet als een vertrouwde bron en een gevoel van urgentie creëert3.

Wat volgt, verschilt. Een beller kan u om een eenmalige authenticatiecode (OTP) vragen4. Hij kan u ook vragen een authenticatiemelding op uw telefoon goed te keuren: CISA beschrijft meldingen die herhaaldelijk worden verstuurd tot de medewerker op "Accepteren" tikt (MFA-vermoeidheid)4. Soms leidt hij u naar een nep-inlogportaal of vraagt hij u een hulpmiddel voor overname op afstand te starten54. De sms kan een link bevatten naar een nepportaal dat de authenticatie van het bedrijf nabootst6.

3Onder de motorkapIT-teams1 min

Hulpmiddelen voor overname op afstand zijn legitieme software. Microsoft merkt op dat hulpmiddelen voor beheer op afstand, door de beschreven actor misbruikt, een normaal gebruik hebben en dat het gebruik ervan in de omgeving moet worden bewaakt6. MITRE noemt voorbeelden zoals AnyDesk8. MITRE preciseert dat deze hulpmiddelen na een inbraak kunnen worden geïnstalleerd en gebruikt om een interactieve sessie met extern bureaublad op te zetten8.

Een ander mechanisme is het kapen van het nummer zelf. CISA meldt dat Scattered Spider telefoonproviders heeft overtuigd het nummer van een gebruiker over te zetten naar een simkaart in zijn bezit (SIM swap), wat controle geeft over de telefoon en over authenticatieverzoeken4. Microsoft beschrijft ook het instellen van doorschakeling op het nummer van een medewerker, gevolgd door een wachtwoordreset via selfservice6.

Aan de verdedigingskant stelt MITRE voor de gespreksgegevens van zakelijke toestellen te bewaken en te vergelijken met gebeurtenissen na het gesprek, zoals de installatie van een hulpmiddel voor beheer op afstand3. CISA vraagt waar mogelijk om phishingbestendige multifactorauthenticatie voor alle diensten, en om de training tegen vishing voort te zetten4.

4IncidentanalysesEchte gevallen1 min

Scattered Spider, van juni tot december 2022

MITRE koppelt aan de campagne C0027, van juni tot december 2022, telefoontjes en sms'jes waarin de aanvaller zich voordeed als it-personeel5. De slachtoffers werden naar een site voor het verzamelen van inloggegevens geleid of aangezet commerciële hulpmiddelen voor beheer op afstand te starten5. Eenmaal binnen zocht de groep in de documentatieruimtes van de slachtoffers naar instructies van de support en naar handleidingen voor aanmelding bij VPN en multifactorauthenticatie5.

Octo Tempest, 2022 en 2023

Microsoft beschrijft in zijn bericht van 25 oktober 2023 een groep die begin 2022 voor het eerst werd gezien en zich eerst richtte op mobiele operators en uitbestedingsbedrijven om nummeroverdrachten uit te lokken6. In 2022 verkocht de groep SIM swaps door aan andere criminelen en nam ze accounts van vermogende personen over om hun cryptovaluta te stelen6. Microsoft merkt op dat de groep ook de helpdesk van een organisatie belde om een wachtwoord te laten resetten of een authenticatiefactor te laten toevoegen6.

Update van het CISA-advies, juli 2025

Advies AA23-320A, gepubliceerd op 16 november 2023, is op 29 juli 2025 bijgewerkt met geavanceerdere social-engineeringtechnieken4. Een ervan is zich voordoen als medewerker om van de support gevoelige informatie, een wachtwoordreset en de overdracht van multifactorauthenticatie naar een door de aanvaller beheerd toestel te krijgen4.

5Wat u doet1 min

Controleer de identiteit van de beller rechtstreeks bij de organisatie die hij zegt te vertegenwoordigen1. Bij een verzoek per e-mail raadt CISA aan niet de contactgegevens te gebruiken van een site die met het verzoek samenhangt, maar die uit eerdere communicatie op te zoeken1. Het NCSC adviseert een belangrijk verzoek per e-mail via een tweede communicatiemiddel te controleren, zoals een telefoontje of een bevestiging in persoon7.

CISA beschrijft een groep die eenmalige wachtwoorden van medewerkers heeft gekregen4. Hebt u al toegegeven, meld dat dan zonder uitstel aan de verantwoordelijken van de organisatie: zij kunnen ongebruikelijke activiteit in de gaten houden1.

Fiche

Identificatie
CP-008
Vleugel
1. Aanvallen en technieken
Brain-competentie
Phishing herkennen (detect_phishing)
Brain-reflex
cr-019
Schema
G1 · Aanvalsketen (Kill Chain)
Talen
de, en, es, fr, it, nl
Bronnen
8 bronnen gecontroleerd op 3 november 2026
Bronnen8 bronnen
  1. CISA, “Avoiding Social Engineering and Phishing Attacks | CISA”, 1 februari 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (geraadpleegd op 3 november 2026)
  2. MITRE ATT&CK, “Phishing for Information: Spearphishing Voice, Sub-technique T1598.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/004/ (geraadpleegd op 3 november 2026)
  3. MITRE ATT&CK, “Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/004/ (geraadpleegd op 3 november 2026)
  4. CISA, “Scattered Spider | CISA”, 16 november 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (geraadpleegd op 3 november 2026)
  5. MITRE ATT&CK, “Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK®”. https://attack.mitre.org/groups/G1015/ (geraadpleegd op 3 november 2026)
  6. Microsoft, “Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction | Microsoft Security Blog”, 25 oktober 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (geraadpleegd op 3 november 2026)
  7. NCSC (Royaume-Uni), “Phishing attacks: defending your organisation”, 5 februari 2018. https://www.ncsc.gov.uk/guidance/phishing (geraadpleegd op 3 november 2026)
  8. MITRE ATT&CK, “Remote Access Tools, Technique T1219 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1219/ (geraadpleegd op 3 november 2026)

Dit artikel citeren

Brain, “Vishing, oplichting per telefoon”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/vishing-telefoonfraude-nepnummer-misleiding/

BibTeX 
@misc{brain_cp008_nl_2026,
  author = {Brain},
  title = {Vishing, oplichting per telefoon},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/nl/articles/vishing-telefoonfraude-nepnummer-misleiding/},
  note = {CC BY 4.0}
}
Licentie CC BY 4.0