Een medewerker ziet pas na het klikken dat de inlogpagina nét niet klopt. Of een factuurmail blijkt afkomstig van een vervalst afzenderadres. Op dat moment telt snelheid, maar vooral ook rust. Een phishing incident melden als bedrijf voorkomt dat een losse fout uitgroeit tot toegang tot systemen, financiële schade of een datalek.
Phishing is geen probleem dat alleen de ICT-afdeling aangaat. Een account kan toegang geven tot e-mail, bestanden, financiële processen of patiëntgegevens. Zeker voor mondzorgpraktijken en organisaties die met privacygevoelige gegevens werken, moet daarom voor iedereen duidelijk zijn: wie meldt wat, bij wie en welke eerste handelingen zijn veilig?
Phishingincident melden als bedrijf: begin intern
Een verdachte e-mail zonder klik of bijlage-openen is nog geen beveiligingsincident met schade. Toch moet een medewerker die mail meteen intern melden. Zo kan de organisatie controleren of meer collega’s dezelfde aanval hebben ontvangen en de e-mail uit andere postvakken laten verwijderen.
Is er geklikt, zijn inloggegevens ingevuld, een bijlage geopend of geld overgemaakt? Behandel de situatie dan als een incident. De medewerker meldt dit direct bij de aangewezen contactpersoon, servicedesk of ICT-partner. Wachten uit schaamte is begrijpelijk, maar kost kostbare tijd. Het doel is niet om iemand een fout aan te rekenen, maar om de schade te beperken.
Geef bij de melding zo concreet mogelijk door wat er is gebeurd: het tijdstip, het gebruikte apparaat, het e-mailadres of de website, wat er precies is aangeklikt en of er gegevens zijn ingevoerd. Maak waar mogelijk een schermafbeelding. Verwijder de e-mail niet voordat de ICT-verantwoordelijke heeft aangegeven dat dit kan. De technische gegevens in het bericht helpen bij het onderzoek.
Stuur de phishingmail ook niet zomaar door naar collega’s. Daarmee kan een schadelijke link opnieuw worden geopend. Gebruik liever de meldknop in de e-mailomgeving of stuur de informatie volgens de interne procedure door.
De eerste maatregelen verschillen per situatie
Niet iedere phishingpoging vraagt om dezelfde actie. Dat hangt af van wat er is gebeurd en welke toegang de aanvaller mogelijk heeft gekregen.
Alleen een verdachte e-mail ontvangen
Heeft niemand geklikt of gegevens ingevuld? Laat de e-mail beoordelen en verwijder hem daarna. De beheerder kan zoeken naar vergelijkbare berichten in de organisatie en controleren of de afzender moet worden geblokkeerd. Informeer collega’s kort en feitelijk, vooral wanneer dezelfde mail breed is verspreid.
Inloggegevens ingevuld
Bij ingevoerde gebruikersnaam en wachtwoord moet het wachtwoord direct worden gewijzigd via een betrouwbaar apparaat en de normale inlogpagina. De ICT-beheerder controleert vervolgens de inloggeschiedenis, actieve sessies, ingestelde doorstuurregels en herstelgegevens van het account.
Dat laatste is essentieel. Criminelen die toegang krijgen tot een mailbox stellen soms een verborgen regel in die e-mails met woorden als ‘factuur’ of ‘betaling’ doorstuurt. Ook kunnen zij zich voordoen als de medewerker om betalingsinformatie te onderscheppen. Als multifactorauthenticatie is ingesteld, is de kans op misbruik kleiner, maar onderzoek blijft nodig.
Bijlage geopend of programma geïnstalleerd
Wanneer een bestand is geopend en er twijfel bestaat over de veiligheid, moet het apparaat zo snel mogelijk van het netwerk worden geïsoleerd. Trek de netwerkkabel eruit of schakel wifi uit. Zet de computer niet zonder overleg uit, want daardoor kunnen relevante sporen verloren gaan.
Laat de ICT-partner het apparaat onderzoeken. Die kan kijken naar schadelijke processen, ongebruikelijke netwerkverbindingen, versleutelde bestanden en eventuele verspreiding naar andere systemen. Bij een vermoeden van ransomware is snel isoleren vaak het verschil tussen een beperkt incident en uitval van de hele organisatie.
Geld overgemaakt of betaalgegevens gedeeld
Neem direct contact op met de bank via het bekende telefoonnummer. Geef aan dat er vermoedelijk sprake is van fraude en vraag welke mogelijkheden er zijn om de betaling te stoppen of terug te halen. Informeer ook de financiële administratie en leg alle communicatie vast.
Bij factuurfraude is extra controle nodig. Bel de leverancier of relatie via een al bekend nummer, niet via de gegevens in de verdachte e-mail. Een wijziging van een rekeningnummer hoort nooit alleen op basis van e-mail te worden verwerkt.
Wie moet u buiten de organisatie informeren?
Een phishingmail hoeft niet automatisch extern te worden gemeld. Externe melding is wel aan de orde wanneer er sprake is van fraude, een mogelijk datalek of een aanval die anderen kan raken.
Zijn persoonsgegevens mogelijk ingezien, gekopieerd of ontoegankelijk gemaakt? Dan moet de organisatie beoordelen of dit een datalek is. Onder persoonsgegevens vallen niet alleen namen en e-mailadressen, maar bijvoorbeeld ook personeelsgegevens, klantdossiers en patiëntinformatie. Voor een tandarts- of orthodontiepraktijk zijn medische gegevens extra gevoelig.
Niet elk datalek hoeft bij de Autoriteit Persoonsgegevens te worden gemeld. De vraag is of het lek waarschijnlijk een risico oplevert voor de rechten en vrijheden van betrokken personen. Is dat het geval, dan geldt doorgaans een meldtermijn van 72 uur nadat de organisatie het lek heeft ontdekt. Bij een hoog risico moeten de betrokken personen vaak ook zelf worden geïnformeerd. Wacht niet tot het technische onderzoek volledig is afgerond: verzamel wat bekend is, leg beslissingen vast en vul de beoordeling later aan.
Bij een strafbaar feit, zoals oplichting, identiteitsfraude of afpersing, kan aangifte bij de politie passend zijn. Bij financieel verlies of een cyberverzekering moet ook de verzekeraar snel worden ingelicht. Verzekeraars stellen vaak voorwaarden aan de manier waarop een incident wordt afgehandeld. Zelf onderhandelen met afpersers of herstelwerk laten uitvoeren zonder afstemming kan die dekking beïnvloeden.
Zorg dat melden eenvoudig en veilig voelt
De beste meldprocedure is niet het dikste protocol, maar een afspraak die iedereen kent en gebruikt. Medewerkers moeten weten waar zij een melding doen, wat zij moeten bewaren en dat snel melden altijd wordt gewaardeerd. Een organisatie die alleen waarschuwt voor fouten, krijgt meldingen te laat.
Maak daarom één duidelijk meldpunt bekend, bijvoorbeeld een intern nummer, servicedeskadres of de vaste ICT-contactpersoon. Leg ook vast wie de regie pakt wanneer die persoon afwezig is. Bij TéGéTèl zien we dat korte lijnen hierbij veel verschil maken: medewerkers hoeven niet zelf te bepalen hoe ernstig een aanval is, maar krijgen snel iemand aan de lijn die de juiste stappen coördineert.
Oefen daarnaast met realistische voorbeelden. Een korte phishingtraining helpt, maar is geen garantie. Aanvallen worden geloofwaardiger en kunnen aansluiten op actuele leveranciers, vacatures of facturen. Technische maatregelen blijven dus nodig: multifactorauthenticatie, veilige e-mailfilters, actuele updates, beperkte toegangsrechten en betrouwbare back-ups die regelmatig worden getest.
Ook daarbij geldt: techniek moet passen bij de praktijk. Een kleine organisatie heeft vaak geen eigen securityteam, maar wel behoefte aan heldere afspraken over monitoring, incidentrespons en bereikbaarheid. Een mondzorgpraktijk kan bijvoorbeeld niet lang zonder planning, patiëntdossier of telefonie. De herstelprioriteiten moeten daarom vooraf bekend zijn, niet pas tijdens een storing.
Leg het incident vast en verbeter gericht
Na het acute herstel is het werk niet klaar. Leg vast wat er is gebeurd, welke accounts en apparaten zijn geraakt, welke gegevens mogelijk betrokken waren en welke maatregelen zijn genomen. Dit dossier is nodig voor de privacybeoordeling, communicatie en eventuele verzekeringsclaim. Het helpt ook om bij een volgend incident sneller te handelen.
Bespreek daarna zonder schuldvraag waar de beveiliging of werkwijze beter kan. Misschien ontbrak multifactorauthenticatie bij een belangrijk account. Misschien konden medewerkers een verzoek tot betaling niet eenvoudig controleren. Of misschien was onduidelijk wie buiten kantooruren bereikbaar is. Kies verbeterpunten die het werk veiliger maken zonder medewerkers onnodig te belasten.
Wie een phishingincident snel en open meldt, beschermt niet alleen één mailbox of werkplek. Die melding geeft uw organisatie de kans om grip te houden op systemen, gegevens en de dagelijkse dienstverlening. Zorg daarom dat de eerste stap voor iedere medewerker glashelder is: twijfel? Meteen melden.