AI verandert het phishinglandschap in sneltempo

AI verlaagt de drempel voor cybercriminelen enorm. Waar aanvallers vroeger tijd nodig hadden om geloofwaardige phishingcampagnes op te zetten, kunnen generatieve AI-tools vandaag bijna alles automatiseren, zoals:

• het schrijven van phishingmails;
• het verzamelen van bedrijfsinformatie;
• het analyseren van doelwitten;
• het aanpassen van communicatie aan specifieke doelgroepen.

Daardoor zien we twee duidelijke evoluties. Enerzijds stijgt het aantal phishingaanvallen sterk. Het wordt eenvoudiger om op grote schaal campagnes uit te sturen, vaak met verschillende varianten per doelgroep of functie.

Anderzijds stijgt ook de kwaliteit. Moderne phishingmails bevatten nog zelden de typische fouten waar medewerkers vroeger op leerden letten. Veel berichten zijn professioneel opgesteld, gebruiken correcte bedrijfscontext en sluiten perfect aan bij dagelijkse communicatie. Dat maakt phishing vandaag veel gevaarlijker dan enkele jaren geleden.

Nieuwe aanvalsvormen in het tijdperk van AI

AI heeft phishing niet vervangen, maar bestaande technieken wel aanzienlijk versterkt. Cybercriminelen combineren klassieke social engineering met nieuwe AI-tools om communicatie overtuigender, persoonlijker en moeilijker te herkennen te maken.

Sommige aanvalsvormen bestonden al langer, maar krijgen dankzij AI een nieuwe dimensie. Andere technieken zijn pas recent op grote schaal opgekomen. We overlopen enkele van de opvallendste evoluties waar bedrijven vandaag rekening mee moeten houden.

Deepfakes: wanneer video niet langer vanzelf betrouwbaar is

Video voelt voor veel mensen nog altijd betrouwbaar aan. Net daarom zijn deepfakes zo krachtig. Met deepfake-technologie kunnen cybercriminelen gezichten en mimiek realistisch nabootsen. Wat vroeger ingewikkelde technologie was, wordt vandaag steeds toegankelijker dankzij AI-tools.

Stel je voor dat een leidinggevende tijdens een videocall vraagt om dringend een document te delen of een betaling goed te keuren. Veel medewerkers zullen minder snel twijfelen wanneer ze een vertrouwd gezicht zien. En precies daar zit het gevaar: mensen vertrouwen visuele communicatie vaak instinctief. Cybercriminelen spelen daar slim op in.

Voice cloning en vishing worden overtuigender

Ook telefonische phishing evolueert snel. Bij vishing proberen aanvallers slachtoffers telefonisch te overtuigen om gevoelige informatie te delen of bepaalde acties uit te voeren. AI maakt deze techniek vandaag veel geloofwaardiger dankzij voice cloning.

Met slechts enkele korte audiofragmenten kunnen stemmen met AI verrassend accuraat nagebootst worden. Een medewerker krijgt bijvoorbeeld een telefoontje van iemand die klinkt als een collega of leidinggevende. Er wordt gevraagd om snel een MFA-code door te geven, een betaling uit te voeren of toegang te verlenen tot een systeem.

Omdat de stem vertrouwd klinkt, verdwijnt een stuk van de natuurlijke achterdocht. Zeker in stressvolle situaties of op drukke werkdagen kan dat bijzonder gevaarlijk zijn.

Hypergepersonaliseerde phishing maakt misbruik van context

Phishing wordt steeds persoonlijker. AI-tools kunnen publieke informatie verzamelen via:

• LinkedIn
• bedrijfswebsites
• social media
• persberichten
• openbare databronnen

Op basis daarvan genereren ze berichten die verrassend relevant aanvoelen. In plaats van een algemene phishingmail ontvangt een medewerker plots een bericht dat verwijst naar een echte klant, een recent project of een interne vergadering. Cybercriminelen hoeven vandaag geen technische experts meer te zijn om geloofwaardige social engineering toe te passen. AI helpt hen om vertrouwen na te bootsen.

QR-phishing of quishing: scannen zonder nadenken

QR-codes zijn ondertussen volledig ingeburgerd geraakt. We gebruiken ze voor betalingen, vergaderingen, parkeerapps, wifi-toegang en logistieke processen. Cybercriminelen maken daar handig gebruik van. Bij quishing leidt een QR-code gebruikers naar een frauduleuze website of valse loginpagina. Vaak gebeurt dat via smartphones, waar gebruikers minder snel controleren naar welke URL ze precies worden gestuurd.

Een QR-code op een factuur, affiche of mail lijkt op het eerste gezicht onschuldig. Toch kan één scan voldoende zijn om inloggegevens buit te maken of malware te installeren. Omdat QR-codes visueel vertrouwen uitstralen, staan veel mensen er minder kritisch tegenover dan bij een gewone link in een mail.

Conversation hijacking: phishing midden in een echte conversatie

Bij conversation hijacking krijgt een aanvaller toegang tot een mailbox en analyseert AI bestaande mailconversaties. Daarna stuurt de aanvaller een antwoord binnen een lopende mailthread. Dat kan gaan over facturen, contracten, leveringen of projectopvolging.

Omdat de context klopt en de communicatie deel uitmaakt van een bestaande conversatie, hebben medewerkers vaak minder argwaan. De mail lijkt immers voort te bouwen op eerdere communicatie. Dat maakt deze vorm van phishing bijzonder moeilijk te herkennen.

Phishing verschuift naar Teams en chatplatformen

Ook samenwerkingstools zoals Microsoft Teams en Slack worden steeds vaker gebruikt voor phishingaanvallen. Mensen behandelen chatberichten doorgaans sneller en informeler dan e-mails. Een kort berichtje met “Kan je dit even nakijken?” voelt vaak onschuldig.

AI helpt cybercriminelen om precies dat soort geloofwaardige, informele communicatie te genereren. Een nepbestand, een frauduleuze loginlink of een valse goedkeuringsvraag kan daardoor veel sneller vertrouwd aanvoelen. En net omdat medewerkers voortdurend meldingen en berichten verwerken, is de kans groter dat iemand impulsief reageert.

Indirect prompt injection: AI-assistenten als nieuw doelwit

Naarmate AI-assistenten zoals Microsoft Copilot steeds vaker deel uitmaken van dagelijkse workflows, ontstaan ook nieuwe aanvalstechnieken. Een voorbeeld is indirect prompt injection. Daarbij proberen aanvallers niet rechtstreeks een medewerker te misleiden, maar wel de AI-assistent die hem ondersteunt.

Stel dat een medewerker een document ontvangt en aan zijn AI-assistent vraagt om de inhoud samen te vatten of de belangrijkste actiepunten te formuleren. Wanneer een aanvaller verborgen instructies in dat document heeft verwerkt, bestaat het risico dat de AI deze mee interpreteert.

De medewerker ziet die instructies niet, maar de AI mogelijk wel. In bepaalde gevallen kan dat ertoe leiden dat de AI foutieve aanbevelingen geeft, een verdachte link als betrouwbaar beschouwt of belangrijke waarschuwingen negeert.

Technologie alleen zal het probleem niet oplossen

Veel organisaties investeren terecht in beveiligingstechnologie zoals:

• mailfiltering
• firewalls
• multifactor authenticatie (MFA)
• endpoint security
• monitoring en detectie

Dat blijft absoluut noodzakelijk. Toch volstaat technologie alleen niet meer. Moderne phishing richt zich namelijk niet uitsluitend op systemen, maar vooral op mensen.

En mensen blijven een belangrijk doelwit omdat cybercriminelen weten dat vertrouwen, tijdsdruk en routine vaak sterker zijn dan technische controles. Daarom wordt security awareness training steeds belangrijker.

Van medewerkers opnieuw een sterke verdedigingslaag maken

Bij VanRoey zien we dat organisaties het meeste resultaat boeken wanneer security awareness een doorlopend proces wordt in plaats van een eenmalige oefening. Met platformen zoals KnowBe4 en Phished helpen we organisaties onder meer met:

• gerichte security awareness-trainingen;
• realistische phishing-simulaties;
• continue sensibilisering;
• duidelijke rapportering en opvolging.

Zo wordt zichtbaar waar de grootste risico’s zitten en welke teams of gebruikers extra ondersteuning nodig hebben. KnowBe4 biedt uitgebreide trainingsmogelijkheden en is wereldwijd een gevestigde naam binnen security awareness, terwijl Phished zich onderscheidt met een gebruiksvriendelijke, Belgische aanpak en slimme automatisering.

Het doel is niet om medewerkers te betrappen, maar om hen stap voor stap sterker te maken in het herkennen van moderne dreigingen. Want uiteindelijk blijft één reflex cruciaal: even stilstaan voordat je klikt, scant, deelt of goedkeurt.

Wil je weten hoe weerbaar jouw organisatie vandaag staat tegenover moderne phishingtechnieken? Onze cybersecurity experten bekijken graag samen welke aanpak het best past bij jouw organisatie. Vraag gerust een vrijblijvend gesprek of demo van het platform aan. Zo krijg je meteen zicht op de mogelijkheden én hoe je medewerkers op een praktische manier sterker maakt tegen phishing en social engineering.