Phishing Herkennen en Voorkomen: Complete Gids voor 2026

Phishing is in 2026 nog steeds de nummer één cyberdreiging voor particulieren en bedrijven in Nederland. Volgens de Fraudehelpdesk werden vorig jaar honderdduizenden Nederlanders slachtoffer van phishing, met een gemiddelde schade van honderden tot duizenden euro's per geval. Deze gids leert je precies hoe je phishing herkent, wat je moet doen als je een verdacht bericht ontvangt, en hoe je je effectief beschermt.

Wat is phishing precies?

Phishing is een vorm van online oplichting waarbij criminelen zich voordoen als een betrouwbare organisatie (zoals je bank, de Belastingdienst, PostNL of DigiD) om je persoonlijke gegevens, inloggegevens of geld te stelen. De term komt van het Engelse "fishing" — criminelen "vissen" naar jouw gegevens met een aantrekkelijk lokaas.

Phishing gebeurt via meerdere kanalen:

• E-mail phishing — de klassieke variant met valse berichten
• Smishing — phishing via SMS-berichten
• Vishing — telefonische oplichting (voice phishing)
• Spear phishing — gerichte aanvallen op specifieke personen
• Quishing — phishing via QR-codes (sterk in opkomst in 2026)

Hoe herken je phishing? 10 duidelijke signalen

De meeste phishingberichten hebben herkenbare kenmerken. Hoe meer signalen je herkent, hoe groter de kans dat het om phishing gaat.

1. Urgentie en dreigende taal

"Uw account wordt binnen 24 uur geblokkeerd!" of "Directe actie vereist!" — criminelen willen dat je niet nadenkt maar direct handelt. Legitieme organisaties geven je altijd redelijke tijd om te reageren.

2. Onbekende of vreemde afzender

Controleer het volledige e-mailadres, niet alleen de naam. Een bericht van "ING Bank" met afzenderadres service@ing-security-nl.info is nep. Officiële berichten komen van officiële domeinen.

3. Verkeerde aanhef

"Beste klant" of "Geachte gebruiker" in plaats van je naam is verdacht. Je bank kent je naam. Let op: geavanceerde phishing gebruikt tegenwoordig wél je echte naam dankzij datalekken.

4. Taal- en spelfouten

Vreemde zinsconstructies, ontbrekende letters of onnatuurlijk Nederlands wijzen op automatische vertalingen. Let wel: AI-gegenereerde phishing in 2026 heeft steeds minder fouten.

5. Verdachte links

Beweeg je muis over een link (zonder te klikken) om de echte URL te zien. ing.nl.secure-login.com is NIET ing.nl — het is een subdomein van secure-login.com.

6. Onverwachte bijlagen

Vooral .zip, .exe, .scr of Office-bestanden met macro's zijn gevaarlijk. Open nooit bijlagen die je niet verwacht.

7. Verzoek om persoonlijke gegevens

Banken, overheden en betrouwbare bedrijven vragen NOOIT per e-mail of SMS om je pincode, wachtwoord, TAN-code, BSN of volledige creditcardgegevens.

8. Te mooi om waar te zijn

Onverwachte erfenissen, loterijwinsten, terugbetalingen van de Belastingdienst zonder aanleiding — als het te mooi klinkt om waar te zijn, is het dat meestal ook.

9. Verdachte QR-codes

Quishing is booming in 2026. Scan geen QR-codes van ongevraagde brieven, parkeerpalen die er vreemd uitzien, of e-mails. Controleer altijd de URL vóór je op de link tikt.

10. Inconsistente branding

Onscherpe logo's, verkeerde kleuren, of een lay-out die net iets afwijkt van wat je gewend bent — dit zijn subtiele maar duidelijke signalen.

Types phishing vergeleken

Type	Kanaal	Doel	Risiconiveau
E-mail phishing	E-mail	Inloggegevens, financiële data	Hoog
Smishing	SMS/WhatsApp	Kliks op malafide links	Zeer hoog
Vishing	Telefoon	Directe geldoverboeking	Zeer hoog
Spear phishing	Gepersonaliseerd	Bedrijfsdata, CEO-fraude	Kritiek
Quishing	QR-codes	Mobiele apparaten infecteren	Hoog en groeiend
Whaling	Gericht op leidinggevenden	Grote transacties	Kritiek

Meest voorkomende phishing-scenario's in Nederland

De valse PostNL-melding

"Uw pakket kon niet worden bezorgd. Betaal €1,95 verzendkosten om opnieuw te bezorgen." Het bedrag lijkt klein en onschuldig, maar je geeft je creditcardgegevens weg. PostNL vraagt nooit om nabetaling via SMS-links.

Bank-phishing (ING, ABN AMRO, Rabobank)

"Er is verdachte activiteit op uw rekening. Log in om te verifiëren." Banken sturen je bij echte problemen naar hun app of vragen je zelf in te loggen via de officiële website — nooit via een link in een e-mail.

Belastingdienst-fraude

"U heeft recht op een teruggave van €456,78. Vul uw bankgegevens in." De Belastingdienst communiceert bijna altijd via de brievenbus of MijnOverheid, niet via losse e-mails met links.

DigiD-phishing

Berichten die vragen je DigiD-gegevens "opnieuw te bevestigen". DigiD vraagt nooit via mail om je gebruikersnaam en wachtwoord.

WhatsApp-hulpvraag (nep-familielid)

"Hoi mam, dit is mijn nieuwe nummer. Kun je snel een rekening voor mij betalen?" Bel altijd naar het oude nummer of check persoonlijk voordat je geld overmaakt.

Wat te doen als je op een phishing-link hebt geklikt?

Blijf kalm en volg deze stappen direct:

1. Verbreek de internetverbinding — als je een bijlage hebt geopend of gegevens hebt ingevuld, zet je apparaat direct offline (WiFi uit, mobiele data uit).
2. Wijzig direct je wachtwoorden — begin met het account waar de phishing over ging, gevolgd door je e-mail en andere belangrijke accounts.
3. Activeer tweestapsverificatie — overal waar mogelijk, bij voorkeur via authenticator-app in plaats van SMS.
4. Neem contact op met je bank — als je financiële gegevens hebt ingevuld, bel direct 24/7 het fraudenummer van je bank.
5. Scan je apparaat — voer een volledige virusscan uit met bijgewerkte beveiligingssoftware.
6. Meld het incident — bij de Fraudehelpdesk (0900-8555) en indien nodig bij de politie.
7. Controleer op verdachte activiteit — bekijk je bankafschriften, e-mailmap "verzonden" en inloggeschiedenis van accounts.
8. Waarschuw contacten — als je e-mailaccount is gecompromitteerd, kunnen criminelen phishing naar jouw contacten sturen.

Als je merkt dat je apparaat vreemd gedrag vertoont na een klik, lees dan deze gids over de 10 waarschuwingssignalen dat je telefoon gehackt is.

Hoe voorkom je phishing? Praktische bescherming

Technische maatregelen

• Gebruik een wachtwoordmanager — deze vult wachtwoorden alleen in op de echte URL, waardoor phishing-sites automatisch worden gedetecteerd.
• Activeer tweestapsverificatie (2FA) — bij voorkeur met een authenticator-app zoals Authy of Google Authenticator, niet met SMS.
• Houd software up-to-date — besturingssysteem, browser en apps krijgen regelmatig beveiligingspatches.
• Gebruik een moderne browser — Firefox, Brave en Chrome hebben ingebouwde phishing-detectie die je waarschuwt bij bekende malafide sites.
• Installeer een spamfilter — moderne e-mailproviders vangen 99% van phishing automatisch af.
• Overweeg encrypted DNS — services zoals NextDNS of Cloudflare 1.1.1.1 blokkeren bekende phishing-domeinen op netwerkniveau.

Gedragsmatige maatregelen

• Klik nooit op links in ongevraagde berichten — ga zelf naar de website via je bookmark of typ het adres handmatig in.
• Verifieer via een tweede kanaal — bij twijfel bel je de organisatie via het nummer op hun officiële website (nooit een nummer uit de verdachte mail).
• Deel minder persoonlijke informatie online — hoe minder criminelen over je weten, hoe moeilijker gerichte phishing wordt.
• Wees extra voorzichtig op openbaar WiFi — lees onze gids over veilig gebruik van openbaar WiFi.

Veilig links delen en controleren

Wanneer je zelf links deelt met anderen (bijvoorbeeld in nieuwsbrieven of berichten), maak dan gebruik van een betrouwbare URL-shortener zoals Lunyb. Lunyb voegt transparantie toe: ontvangers zien een duidelijke voorbeeldpagina en de dienst controleert doel-URL's op bekende malafide domeinen. Dit vergroot vertrouwen en verlaagt het risico dat legitieme berichten voor phishing worden aangezien.

Phishing melden: waar en hoe?

Meldingen helpen andere Nederlanders beschermen en versterken opsporingsonderzoeken:

1. Fraudehelpdesk — valse-email@fraudehelpdesk.nl of via het meldformulier op fraudehelpdesk.nl
2. Je bank — banken hebben eigen adressen zoals valse-email@ing.nl of valse-email@abnamro.nl
3. Politie — bij financiële schade doe je aangifte via politie.nl of het lokale bureau
4. Autoriteit Persoonsgegevens (AP) — bij grootschalige datalekken die persoonsgegevens raken
5. Direct verwijderen — na melding: verwijder het bericht en markeer als spam

Phishing en de AVG: wat zijn je rechten?

Als je slachtoffer wordt van phishing, komen mogelijk je persoonsgegevens in verkeerde handen terecht. Onder de AVG heb je specifieke rechten en verplichtingen:

• Recht op informatie — bedrijven moeten je binnen 72 uur informeren als jouw gegevens bij een datalek betrokken zijn.
• Recht op verwijdering — je kunt bedrijven vragen jouw data te verwijderen, wat het risico op toekomstige gerichte phishing verlaagt.
• Meldplicht datalekken — als jouw gegevens misbruikt worden voor phishing bij anderen, kan dat een meldingsplicht opleveren.

Meer over je rechten lees je in onze gids AVG uitgelegd in gewone taal. Je kunt ook actief het aantal plaatsen verkleinen waar jouw data circuleert door je gegevens bij gegevensmakelaars te laten verwijderen.

Phishing in 2026: nieuwe trends

AI-gegenereerde phishing

Grote taalmodellen produceren perfect Nederlands en personaliseren berichten op basis van openbaar beschikbare data. Spelfouten als indicator werken steeds minder goed.

Deepfake-vishing

Criminelen klonen stemmen van familieleden of collega's. Spreek binnen je gezin een geheim codewoord af voor noodgevallen.

Browser-in-the-browser aanvallen

Nep-inlogvensters die eruitzien als een echt pop-up window van bijvoorbeeld Google of Microsoft. Controleer altijd de echte URL bovenaan je browser.

Meer bescherming via privacy

Hoe minder over jou publiek beschikbaar is, hoe moeilijker gerichte phishing wordt. Bekijk onze complete gids voor online privacy voor concrete stappen.

Checklist: ben ik goed beschermd tegen phishing?

• ☐ Ik gebruik een wachtwoordmanager met unieke wachtwoorden per site
• ☐ Tweestapsverificatie staat aan op al mijn belangrijke accounts
• ☐ Mijn besturingssysteem en apps zijn up-to-date
• ☐ Ik controleer altijd de afzender en URL vóór ik klik
• ☐ Ik heb een authenticator-app in plaats van SMS-2FA
• ☐ Ik weet welk nummer ik moet bellen bij fraude (mijn bank)
• ☐ Ik heb een codewoord met familie afgesproken voor noodsituaties
• ☐ Ik meld phishing bij de Fraudehelpdesk

Veelgestelde vragen (FAQ)

Wat is het verschil tussen phishing en smishing?

Phishing is de overkoepelende term voor online oplichting waarbij criminelen zich voordoen als een betrouwbare partij. Smishing is specifiek phishing via SMS of berichten-apps zoals WhatsApp. De techniek is hetzelfde, alleen het kanaal verschilt. Smishing is in 2026 vaak effectiever omdat mensen SMS-berichten minder wantrouwen dan e-mail.

Kan mijn bank mij het geld terugbetalen na phishing?

Dat hangt af van de omstandigheden. Als je zelf actief gegevens hebt ingevoerd op een phishingsite of geld hebt overgemaakt, beoordeelt de bank of er sprake was van "grove nalatigheid". Recente uitspraken van Kifid en de rechter tonen dat banken bij geraffineerde phishing steeds vaker (deels) moeten vergoeden. Meld het incident direct — hoe sneller, hoe groter de kans op vergoeding.

Hoe herken ik een phishing-QR-code (quishing)?

Wees voorzichtig met QR-codes op openbare plekken (parkeermeters, restaurants, brieven) die er nieuw of geplakt uitzien. Controleer na het scannen altijd eerst de URL in de voorbeeldweergave van je camera vóór je op de link tikt. Officiële domeinen hebben duidelijke, herkenbare namen. Vermijd het scannen van QR-codes uit ongevraagde e-mails helemaal.

Zijn phishingfilters van Gmail en Outlook voldoende?

Spamfilters van grote providers vangen 95-99% van massaal verzonden phishing af, maar gerichte spear-phishing en nieuwe technieken glippen er soms doorheen. Vertrouw dus niet blind op je spamfilter — blijf zelf controleren op de signalen die in dit artikel staan beschreven. Combineer technische bescherming met gedragsmatige alertheid voor de beste resultaten.

Wat moet ik doen als een familielid slachtoffer werd van phishing?

Help direct met de acht stappen uit dit artikel: verbreek de internetverbinding, wijzig wachtwoorden, activeer 2FA, en bel de bank. Doe daarna samen aangifte bij de politie en meld het bij de Fraudehelpdesk. Bied vooral emotionele steun — slachtoffers voelen zich vaak beschaamd, terwijl moderne phishing zo geraffineerd is dat iedereen slachtoffer kan worden. Overweeg samen een privacycheck te doen om toekomstige risico's te beperken.