--- id: "phishing-020" title: "Interne phishing: Wat te doen als de mail van een collega komt?" description: "Verdachte e-mail ontvangen van een legitiem collega-adres? Ontdek de cruciale reflexen bij een gecompromitteerd account en interne phishingaanvallen." canonical: https://startbrain.io/nl/cybersecurity/interne-phishing-gehackt-account-collega-aanpak/ slug: "interne-phishing-gehackt-account-collega-aanpak" date: "2026-09-24" category: "phishing" product: "superphisher" lang: nl author: "Brain Security · R&D Cyber & Menselijke Factor" frameworks: "NCSC-NL · NIS 2 · DORA · NEN 7510 · AVG · ISO 27001" --- # Interne phishing: Wat te doen wanneer de kwaadaardige mail uit de echte inbox van een collega komt? Het scenario bezorgt elke CISO of securityverantwoordelijke klamme handen. Op een ochtend ontvangen tientallen medewerkers een bericht met een inloglink of een urgente bijlage. Het adres van de afzender bevat geen enkele typfout, de domeinnaam komt exact overeen met die van de eigen organisatie, en de SPF-, DKIM- en DMARC-controles staan allemaal op groen. De reden is simpel: de aanval komt niet rechtstreeks van buitenaf, maar wordt verstuurd vanuit de legitieme mailbox van een collega van wie de inloggegevens zijn gestolen. Wanneer een aanvaller binnendringt in een Microsoft 365- of Google Workspace-omgeving, probeert hij zelden direct data te exfiltreren. Zijn eerste reflex is vaak om zich zijwaarts door het netwerk te bewegen (lateral movement) door misbruik te maken van het inherente vertrouwen in interne communicatie. Tegen dit type dreiging schieten traditionele perimeterbeveiligingen tekort. Detectie leunt dan volledig op menselijke alertheid en het direct toepassen van methodische reflexen. --- ## Hoe reageer je wanneer een verdachte e-mail afkomstig is van het legitieme adres van een interne collega? > **Kort samengevat: Antwoord nooit rechtstreeks op het bericht om de echtheid te controleren. Neem direct contact op met de vermoedelijke afzender via een apart extern kanaal (telefonisch of via directe chat) en meld het incident onmiddellijk bij het security- of IT-team om het gecompromitteerde account te isoleren.** De eerste impuls van een potentieel slachtoffer is vaak op "Beantwoorden" klikken met de vraag: "Heb jij mij dit document echt gestuurd?". Dat is een kritieke fout. Als het account van de collega door een aanvaller wordt beheerd, heeft deze immers toegang tot de inbox en zal deze zelf bevestigend antwoorden, vaak binnen enkele seconden, om eventuele twijfels weg te nemen. Vaak heeft de aanvaller zelfs onzichtbare inboxregels ingesteld om jouw vragen te verbergen. Om de aanvalsketen direct te doorbreken, is een tweeledige actie noodzakelijk: - **Verificatie via een ander kanaal (Out-of-Band):** Benader de collega via een onafhankelijke route. Bel het rechtstreekse zakelijke telefoonnummer of loop even langs het bureau als jullie op dezelfde locatie werken. - **Onmiddellijke melding bij security:** Gebruik de phishing-meldknop in de mailclient of stuur het bericht als bijlage (.eml- of .msg-formaat) door naar het centrale securityteam, zodat de technische e-mailheaders intact blijven voor analyse. --- ## Welke signalen verraden een interne accountovername ondanks een legitiem e-mailadres? > **Kort samengevat: De detectie steunt op gedragsmatige analyse van het bericht: een plotselinge stijlbreuk, ongebruikelijke urgentie, een verwijzing naar een onverwacht extern gedeeld document of een generieke reactie die zonder context in een bestaande e-mailthread wordt geplaatst.** Interne spoofing en account takeover draaien om misbruik van vertrouwen, maar aanvallers laten vrijwel altijd contextuele sporen na. Een cybercrimineel die een sessie heeft overgenomen, kent de relationele geschiedenis, de bedrijfscultuur en de schrijfstijl van het slachtoffer zelden tot in detail. Verschillende subtiele signalen moeten direct alarmbellen doen rinkelen: - **Stijlbreuk met het gebruikelijke taalgebruik:** Een collega met wie je dagelijks informeel schakelt, gebruikt opeens een opvallend formele aanspreekvorm, stijve formuleringen of zinnen die overduidelijk door een vertaalmachine zijn gehaald. - **Ongegronde tijdsdruk en emotionele manipulatie:** Het bericht hamert op een urgente onbetaalde factuur, een dreigende blokkade van IT-toegang of een vertrouwelijkheidsovereenkomst die binnen het uur getekend moet worden. - **Abnormaal verzoek om inloggegevens:** De link verwijst naar een inlogscherm dat opnieuw om je wachtwoord vraagt om een zogenaamd SharePoint-, OneDrive- of Google Drive-document te openen. - **Kaping van e-mailthreads (Thread Hijacking):** De aanvaller reageert op een oud bericht van weken geleden en voegt een kwaadaardige link toe, zonder logische aansluiting op het werkelijke verloop van het eerdere gesprek. --- ## Waarom vormt interne phishing de ideale katalysator voor laterale verspreiding? Phishing van account naar account is een van de meest effectieve escalatiemethoden binnen een organisatie. Zodra een initiële account valt (vaak via session cookie theft na een adversary-in-the-middle aanval), krijgt de aanvaller direct toegang tot het volledige adresboek en de interne structuur. Hierdoor kan de aanvaller strategische doelwitten identificeren: de financiële administratie, HR of systeembeheerders. Binnen enkele minuten kan een gerichte valstrik worden opgezet voor personen met uitgebreide rechten. Omdat het bericht afkomstig is van een legitieme interne afzender, ligt de waakzaamheid bij medewerkers aanzienlijk lager dan bij mails van onbekende partijen. Om dit risico doeltreffend te beheersen, moeten organisaties verder kijken dan puur theoretische voorlichting. Praktische training met realistische scenario's is onmisbaar. Met onze simulator [Super Phisher](/nl/catalogus/super-phisher/), die samen met onze specialisten op maat wordt uitgerold, stel je medewerkers bloot aan geloofwaardige social engineering-scenario's. Zo boots je interne doorklikmechanismen na en slijp je de juiste reflexen in voordat een echte inbreuk plaatsvindt. --- ## Welke noodprocedure moet IT direct starten na een interne phishingmelding? Zodra een melding van interne phishing binnenkomt, telt elke minuut om het incident in te dammen en kettingreacties binnen de IT-infrastructuur te voorkomen: - **Direct intrekken van actieve sessies:** Het IT- of SOC-team moet het wachtwoord van het getroffen account direct resetten en alle actieve sessies en authenticatietokens op alle apparaten geforceerd beëindigen. - **Controle op verborgen inboxregels:** Aanvallers stellen vrijwel altijd regels in om hun sporen te wissen (zoals automatisch doorsturen of direct verwijderen van binnenkomende mails met trefwoorden als "security", "phishing" of "wachtwoord"). Deze regels moeten grondig worden geïnspecteerd en opgeschoond. - **Centrale verwijdering van de verstuurde mail:** Via beheerhulpmiddelen binnen de tenant (zoals de search and purge-functies in Microsoft 365 of Google Workspace) moet het kwaadaardige bericht direct uit alle interne mailboxen worden verwijderd voordat andere ontvangers erop klikken. - **Verificatie van inloglogs en audit trails:** Door analyse van IP-adressen, geografische locaties en afwijkende browser signatures kan het exacte tijdstip van de inbreuk worden vastgesteld en de omvang van eventueel ingezien data worden bepaald. Het beschermen van je organisatie tegen interne kettingaanvallen vereist een naadloze afstemming tussen technische mailbeveiliging en menselijke reflexen. Wil je een gericht trainingsprogramma opzetten dat aansluit op jouw operationele risico's, [neem dan contact met ons op](/nl/afspraak/) voor een strategisch gesprek met de experts van Brain Security. ### Operational Review Checklist: Interne phishing: Wat te doen als de mail van een collega komt? | Ref. | Operational Control Point | Expected Outcome & Verification | | --- | --- | --- | | **CTRL-01** | Verificatie via een ander kanaal (Out-of-Band) | Benader de collega via een onafhankelijke route. Bel het rechtstreekse zakelijke telefoonnummer of loop even langs het bureau als jullie op dezelfde… | | **CTRL-02** | Stijlbreuk met het gebruikelijke taalgebruik | Een collega met wie je dagelijks informeel schakelt, gebruikt opeens een opvallend formele aanspreekvorm, stijve formuleringen of zinnen die… | | **CTRL-03** | Direct intrekken van actieve sessies | Het IT- of SOC-team moet het wachtwoord van het getroffen account direct resetten en alle actieve sessies en authenticatietokens op alle apparaten… | | **CTRL-04** | Onmiddellijke melding bij security | Gebruik de phishing-meldknop in de mailclient of stuur het bericht als bijlage (.eml- of .msg-formaat) door naar het centrale securityteam, zodat de… | | **CTRL-05** | Ongegronde tijdsdruk en emotionele manipulatie | Het bericht hamert op een urgente onbetaalde factuur, een dreigende blokkade van IT-toegang of een vertrouwelijkheidsovereenkomst die binnen het uur… | --- ## Verder lezen: gerelateerde artikelen en oplossingen van Brain Security ### Aanvullende artikelen over dit thema - **[Thuiswerk, trein, hotel: 6 mobiele cybersecurity valkuilen voor organisaties](/nl/cybersecurity/mobiele-cybersecurity-thuiswerk-onderweg-risicos/)** (Phishing & Social Engineering) : Ontdek de beste gewoontes voor mobiele cybersecurity: openbare wifi, shoulder surfing en VPN om hybride medewerkers effectief te beschermen. - **[Infostealers: Waarom zakelijke wachtwoorden in onbeheerde browsers een risico vormen](/nl/cybersecurity/infostealers-wachtwoorden-onbeheerde-browsers-risico/)** (Phishing & Social Engineering) : Ontdek hoe infostealers inloggegevens en sessiecookies stelen uit onbeheerde browsers om ongezien binnen te dringen in uw bedrijfsnetwerk. - **[Scareware en valse browsermeldingen: Leer medewerkers online valstrikken herkennen](/nl/cybersecurity/scareware-valse-browsermeldingen-herkennen-tips/)** (Phishing & Social Engineering) : Blokkeer scareware en valse virusmeldingen. Ontdek ClickFix technieken en leer medewerkers hun browser dagelijks effectief te beveiligen. - **[Cyberveiligheid voor HR en Recruitment: Detecteer Kwaadaardige CV's en AI-Spooksollicitanten](/nl/cybersecurity/cyberveiligheid-hr-recruitment-kwaadaardige-cv-deepfake-sollicitanten/)** (Sectoren & Functies) : Ontdek hoe u uw HR-teams beschermt tegen besmette cv's, schadelijke portfolio's en deepfake video-sollicitanten tijdens online interviews. ### Oplossingen van Brain Security op de website ontdekken - **Bijbehorende oplossing : [Super Phisher](/nl/catalogus/super-phisher/)** : De phishingsimulator die uw teams traint op echte aanvallen, van de valse e-mail tot de geprepareerde QR-code, in een beheerst kader dat nooit een wachtwoord opvangt. - **[Gebruikssituaties per doelstelling en sector bekijken](/nl/gebruikssituaties/)** - **[Onze formats voor cyber- en AI-bewustwording vergelijken](/nl/vergelijking/)** - **[De volledige interactieve catalogus van Brain Security bekijken](/nl/catalogus/)** - **[Bespreek uw behoeften met ons team (demo en opzet)](/nl/afspraak/)** --- - https://startbrain.io/nl/cybersecurity/interne-phishing-gehackt-account-collega-aanpak/ - [Français](https://startbrain.io/fr/cybersecurite/phishing-interne-boite-mail-collegue-piratee/) - [Deutsch](https://startbrain.io/de/cybersecurity/internes-phishing-gekapertes-mitarbeiterkonto-reaktion/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/internal-phishing-compromised-colleague-email-response/) - [English (US)](https://startbrain.io/en-us/cybersecurity/internal-phishing-compromised-colleague-email-response/) - [Español](https://startbrain.io/es/cyberseguridad/phishing-interno-cuenta-correo-comprometida-empleado/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/phishing-interno-email-compromessa-collega-cosa-fare/) - [Português](https://startbrain.io/pt/ciberseguranca/phishing-interno-email-conta-colega-seguranca/) - [日本語](https://startbrain.io/ja/cybersecurity/internal-phishing-compromised-account-ciso-response/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/wewnetrzny-phishing-przejete-konto-pracownika-reakcja/) - [Svenska](https://startbrain.io/sv/cybersakerhet/internt-natfiske-kapat-konto-atgarder-ciso/) - [Dansk](https://startbrain.io/da/cybersikkerhed/intern-phishing-angreb-kompromitteret-mailkonto/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/sisainen-kalastelu-kollegan-sahkoposti-tilimurto-ciso/) - [Norsk](https://startbrain.io/no/cybersikkerhet/internt-phishing-kompromittert-konto-tiltak/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/internal-phishing-compromised-account-incident-response/) - [llms.txt](https://startbrain.io/llms.txt)