--- id: "phishing-019" title: "Waarom de HR-afdeling het favoriete doelwit is voor phishing (en wat u kunt doen)" description: "Ontdek hoe u recruiters beschermt tegen HR-phishing en schadelijke nep-cv's met realistische trainingssimulaties voor uw organisatie." canonical: https://startbrain.io/nl/cybersecurity/waarom-hr-favoriete-doelwit-phishing-aanpak/ slug: "waarom-hr-favoriete-doelwit-phishing-aanpak" date: "2026-09-25" category: "phishing" product: "superphisher" lang: nl author: "Brain Security · R&D Cyber & Menselijke Factor" frameworks: "NCSC-NL · NIS 2 · DORA · NEN 7510 · AVG · ISO 27001" --- # Waarom de HR-afdeling het favoriete doelwit is voor phishing (en wat u kunt doen) Binnen de meeste afdelingen van een organisatie geldt een universele basisregel voor informatiebeveiliging: open nooit een onverwachte bijlage van een onbekende afzender. Voor een recruiter of HR-medewerker is deze instructie in de dagelijkse praktijk echter volstrekt onuitvoerbaar. Hun kernactiviteit bestaat immers uit extern contact, het verwerken van open sollicitaties en het continu beoordelen van tientallen onbekende profielen. Deze operationele paradox maakt HR-teams tot een prioritair doelwit voor cybercriminelen. Aanvallers maken doelgericht misbruik van de hoge werkdruk, de natuurlijke nieuwsgierigheid van recruiters en de angst om toptalent mis te lopen om zo het bedrijfsnetwerk binnen te dringen. Voor een CISO of securitymanager vereist het beveiligen van dit toegangspunt een gerichte combinatie van techniek en mensgerichte weerbaarheid, zonder het wervingsproces te blokkeren. --- ## Hoe richten cybercriminelen zich specifiek op recruiters en HR-teams? > **In het kort: Cybercriminelen misbruiken de professionele taak van HR door ransomware of infostealers te verstoppen in geloofwaardige sollicitaties. Ze spelen in op actuele vacatures op platforms zoals LinkedIn of Indeed en sturen besmette cv's, verborgen macro's of links naar kwaadaardige online portfolio's.** De dreiging bestaat al lang niet meer uit overduidelijke berichten vol opvallende taalfouten. Aanvallen op HR-afdelingen zijn tegenwoordig voorbeelden van uiterst verfijnde spear phishing. De aanvaller zoekt een actieve vacature van uw organisatie, gebruikt de toon van een enthousiaste kandidaat en stemt het bericht exact af op de functietitel. De meest voorkomende aanvalsvectoren sluiten naadloos aan op vertrouwde werkprocessen: - **Het PDF-bestand met dubbele extensie:** Het document oogt ongevaarlijk met een naam als `CV_Senior_Developer.pdf.exe` of een snelkoppelingsbestand (`.lnk`). In een standaard Windows-configuratie blijft de laatste extensie verborgen, waardoor de recruiter zonder argwaan dubbelklikt. - **Office-documenten met macro's:** Een Word- of Excel-bestand dat zogenaamd een compleet competentieoverzicht of een salarisindicatie bevat. Het bestand toont een wazige melding met het verzoek om op "Inhoud inschakelen" te klikken, waarmee direct kwaadaardige code wordt geactiveerd. - **Cloud-portfolio's:** Bij creatieve functies sturen aanvallers links naar nagemaakte pagina's op platforms zoals Behance, Notion of Canva. Deze pagina's dwingen het downloaden af van een met een wachtwoord beveiligd `.zip`-bestand om automatische e-mailscans te omzeilen. - **Vervalste administratieve verzoeken:** Criminelen richten zich ook op de salarisadministratie door zich voor te doen als een uitkeringsinstantie, belastingdienst of een collega die met spoed een nieuw bankrekeningnummer (IBAN) doorgeeft. --- ## Waarom technische e-mailbeveiliging tekortschiet bij HR-phishing en kwaadaardige cv's > **In het kort: E-mailfilters hebben moeite om deze gerichte aanvallen te stoppen, omdat de berichten afkomstig zijn van legitieme maildiensten en voldoen aan authenticatienormen. Wachtwoordbeveiligde archieven en vertrouwde clouddiensten maken automatische sandbox- en antivirusanalyses tijdelijk vleugellam.** Aanvallers begrijpen de werking van Secure Email Gateways (SEG) tot in detail. Ze weten dat recruiters regelmatig e-mails ontvangen vanaf publieke domeinen zoals Gmail, Outlook of ProtonMail. Deze berichten beschikken vaak over correcte SPF- en DKIM-records, waardoor klassieke anti-spoofingfilters geen alarm slaan. ### De methode van het beveiligde zip-bestand Door het wachtwoord direct in de e-mailtekst te vermelden (bijvoorbeeld: "Het wachtwoord voor mijn portfolio is sollicitant2024"), zorgt de aanvaller ervoor dat de automatische sandbox van de mailserver het bestand niet kan uitpakken en controleren. De recruiter typt het wachtwoord routinematig in om de sollicitatie te bekijken, waarmee de payload rechtstreeks op het eindpunt wordt uitgevoerd. ### Misbruik van behulpzaamheid en vertrouwen Een HR-professional is getraind om open, empathisch en servicegericht te communiceren. Het afwijzen van een kandidaat of het negeren van een bericht botst met deze instelling. Cybercriminelen benutten deze welwillendheid door kunstmatige urgentie te creëren (zoals een last-minute stageaanvraag of een deadline voor een visumaanvraag), waardoor twijfel over afwijkende details snel naar de achtergrond verdwijnt. --- ## Hoe bouwt u een effectieve verdediging voor HR zonder recruitment te vertragen? Om cyberrisico's in te perken zonder de instroom van talent te belemmeren, moeten organisaties technische maatregelen combineren met realistische training. ### Onmisbare technische maatregelen - **Bestandsextensies zichtbaar maken:** Forceer via GPO of MDM dat alle bekende bestandsextensies altijd zichtbaar zijn, zodat verdachte dubbele extensies direct opvallen. - **Externe macro's standaard blokkeren:** Schakel de uitvoering van macro's in Office-pakketten uit voor alle bestanden die van het internet zijn gedownload. - **Geïsoleerde weergave van bijlagen:** Gebruik Remote Browser Isolation (RBI) of verplicht het gebruik van een Applicant Tracking System (ATS) dat binnenkomende bestanden automatisch omzet naar statische previews zonder uitvoerbare code. ### Train teams in praktijksituaties met Brain Security Een statisch beleidsdocument verandert het gedrag van een recruiter met een volle inbox niet. Om veilige gewoontes structureel te verankeren, moet training nauw aansluiten op herkenbare scenario's uit het dagelijkse werk. Hier biedt [Super Phisher](/nl/catalogus/super-phisher/) uitkomst, onze simulator voor phishingcampagnes die wordt uitgerold in samenwerking met het team van Brain Security. Met Super Phisher ontwerpt u hypergerichte scenario's die aansluiten op actuele HR-cycli: realistische open sollicitaties, gesimuleerde besmette cv's, valse verzoeken rondom secundaire arbeidsvoorwaarden of nagemaakte uitnodigingen voor videovergaderingen. Het doel is niet om medewerkers te betrappen of te bestraffen, maar om hen in een veilige omgeving te laten ervaren hoe moderne aanvallen werken en hun kritische blik te versterken. --- ## Van kwetsbaar doelwit naar alerte security-radar De wervingsafdeling vormt vaak het eerste externe contactpunt van een organisatie: zij moeten daarom een integraal onderdeel zijn van uw verdedigingslinie. Zodra recruiters de tactieken achter gerichte spear phishing begrijpen, veranderen zij van een potentieel risico in een alerte waarnemer die verdachte campagnes herkent en meldt nog voordat de rest van het netwerk gevaar loopt. Wilt u inzicht krijgen in de weerbaarheid van uw teams tegen geavanceerde social engineering? [Bespreek uw uitdagingen met ons team](/nl/afspraak/) om een gericht trainingsprogramma op te zetten dat aansluit op uw operationele praktijk. ### Maturity Self-Assessment Grid: Waarom de HR-afdeling het favoriete doelwit is voor phishing (en wat u kunt doen) | Assessed Domain | Target Practice Defined in Guide | Related Chapter | Priority | | --- | --- | --- | --- | | **Het PDF-bestand met dubbele extensie** | Het document oogt ongevaarlijk met een naam als CV_Senior_Developer.pdf.exe of een snelkoppelingsbestand ( .lnk ). In een standaard… | Hoe richten cybercriminelen zich specifiek op recruiters en… | P1 · Critical | | **Bestandsextensies zichtbaar maken** | Forceer via GPO of MDM dat alle bekende bestandsextensies altijd zichtbaar zijn, zodat verdachte dubbele extensies direct opvallen. | Hoe bouwt u een effectieve verdediging voor HR zonder… | P1 · High | | **Office-documenten met macro's** | Een Word- of Excel-bestand dat zogenaamd een compleet competentieoverzicht of een salarisindicatie bevat. Het bestand toont een wazige melding met… | Hoe richten cybercriminelen zich specifiek op recruiters en… | P2 · Core | | **Externe macro's standaard blokkeren** | Schakel de uitvoering van macro's in Office-pakketten uit voor alle bestanden die van het internet zijn gedownload. | Hoe bouwt u een effectieve verdediging voor HR zonder… | P2 · Ongoing | --- ## Verder lezen: gerelateerde artikelen en oplossingen van Brain Security ### Aanvullende artikelen over dit thema - **[Interne phishing: Wat te doen als de mail van een collega komt?](/nl/cybersecurity/interne-phishing-gehackt-account-collega-aanpak/)** (Phishing & Social Engineering) : Verdachte e-mail ontvangen van een legitiem collega-adres? Ontdek de cruciale reflexen bij een gecompromitteerd account en interne phishingaanvallen. - **[Thuiswerk, trein, hotel: 6 mobiele cybersecurity valkuilen voor organisaties](/nl/cybersecurity/mobiele-cybersecurity-thuiswerk-onderweg-risicos/)** (Phishing & Social Engineering) : Ontdek de beste gewoontes voor mobiele cybersecurity: openbare wifi, shoulder surfing en VPN om hybride medewerkers effectief te beschermen. - **[Frequentie van phishingsimulaties: het juiste ritme voor uw organisatie](/nl/cybersecurity/frequentie-phishing-simulaties-training-organisatie/)** (Phishing & Social Engineering) : Welke frequentie kiest u voor phishingsimulaties? Ontdek het ideale ritme om waakzaamheid te trainen zonder medewerkers te overbelasten. - **[Advocatenkantoren en consultancy: Beroepsgeheim beschermen tegen gerichte cyberaanvallen](/nl/cybersecurity/advocaten-consultancy-beroepsgeheim-beschermen-phishing/)** (Sectoren & Functies) : Ontdek waarom advocatenkantoren en consultants doelwit zijn van cybercriminelen en hoe u uw teams wapent tegen spear-phishing en datalekken. ### Oplossingen van Brain Security op de website ontdekken - **Bijbehorende oplossing : [Super Phisher](/nl/catalogus/super-phisher/)** : De phishingsimulator die uw teams traint op echte aanvallen, van de valse e-mail tot de geprepareerde QR-code, in een beheerst kader dat nooit een wachtwoord opvangt. - **[Gebruikssituaties per doelstelling en sector bekijken](/nl/gebruikssituaties/)** - **[Onze formats voor cyber- en AI-bewustwording vergelijken](/nl/vergelijking/)** - **[De volledige interactieve catalogus van Brain Security bekijken](/nl/catalogus/)** - **[Bespreek uw behoeften met ons team (demo en opzet)](/nl/afspraak/)** --- - https://startbrain.io/nl/cybersecurity/waarom-hr-favoriete-doelwit-phishing-aanpak/ - [Français](https://startbrain.io/fr/cybersecurite/phishing-cible-ressources-humaines-cv-pieges/) - [Deutsch](https://startbrain.io/de/cybersecurity/warum-hr-abteilungen-ziel-fuer-phishing-sind/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/why-hr-departments-are-phishing-targets/) - [English (US)](https://startbrain.io/en-us/cybersecurity/why-hr-departments-target-phishing/) - [Español](https://startbrain.io/es/cyberseguridad/phishing-recursos-humanos-cv-malicioso-seguridad/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/phishing-risorse-umane-falsi-cv-protezione/) - [Português](https://startbrain.io/pt/ciberseguranca/phishing-recursos-humanos-cv-malicioso-seguranca/) - [日本語](https://startbrain.io/ja/cybersecurity/hr-recruitment-phishing-prevention-ciso-guide/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/dlaczego-dzial-hr-jest-celem-phishingu-ochrona/) - [Svenska](https://startbrain.io/sv/cybersakerhet/natfiske-hr-avdelning-skydda-rekryterare-cv/) - [Dansk](https://startbrain.io/da/cybersikkerhed/hr-phishing-sikkerhed-candidat-cv-angreb/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/miksi-hr-rekrytointi-tietojenkalastelu-valheelliset-ansioluettelot/) - [Norsk](https://startbrain.io/no/cybersikkerhet/hr-avdeling-phishing-angrep-falske-cv-sikkerhet/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/why-hr-is-targeted-by-phishing/) - [llms.txt](https://startbrain.io/llms.txt)