Spear phishing versus phishing: de belangrijkste verschillen uitgelegd

In deze gids analyseren we spear phishing- versus phishing-e-mails. We bespreken de fundamentele verschillen tussen deze aanvalsmethodes, delen preventiestrategieën en leggen uit hoe bedrijven zich kunnen beveiligen.

Uw gebruikersgegevens zijn een goudmijn aan gegevens. Elke bedreiger kan hier misbruik van maken. Google ontvangt dagelijks ongeveer 100 miljoen e-mails, waarvan meer dan 48% spam is. Meer dan een vijfde van deze e-mails komt uit Rusland. Millennials en Gen-Z-internetgebruikers hebben in 2024 te maken met de gevolgen van verschillende phishingpraktijken. De meeste phishingaanvallen worden uitgevoerd via e-mails, maar sommige nemen de vorm aan van kwaadaardige websites.

Dagelijks worden er 16,5 e-mails per 100 internetgebruikers gelekt en er zijn gevallen bekend van gehackte databases die op het dark web worden verkocht. Cybercriminelen kunnen deze databases verkopen, online veilen of gebruiken om aanvullende gegevens te verzamelen voor het uitvoeren van meer geavanceerde phishing-aanvallen. Bedrijven moeten cyberbeveiliging serieus nemen, vooral in sterk gereguleerde sectoren zoals de financiële sector, de juridische sector, e-commerce en andere domeinen.

Vanaf 2024 zijn de meest voorkomende domeinnamen .com, .org, .top, .net en .eu. Een enkel datalek kan een organisatie meer dan 10 miljoen records kosten, wat resulteert in een duizelingwekkend financieel verlies van 4,88 miljoen dollar of meer! Phishing richt zich op de massa, maar spear-phishing stelt profielen van slachtoffers op en richt zich selectief op hen.

U kunt zich niet tegen deze bedreigingen verdedigen als u zich er niet bewust van bent. U moet begrijpen hoe ze werken.

In deze gids bespreken we het verschil tussen spear-phishing en phishing en belichten we de risico's, preventiestrategieën, voorbeelden en meer.

Wat is phishing?

Phishing is een klassieke e-mailaanval die generiek van aard is. De beste manier om uit te leggen hoe phishing werkt, is door het te zien als een e-mail die naar iedereen wordt gestuurd. Deze e-mail is niet gericht op een specifieke persoon, maar op alle leden van de organisatie.

Stel je bijvoorbeeld voor dat een bedrijf deze week een evenement organiseert. Al je teamgenoten kijken uit naar een aankondigingsmail. Je wacht op de data, tijden en andere details van het evenement. De aanvaller kan zich voordoen als een bedrijf en een valse e-mail versturen vanaf een vals domein om iedereen te misleiden. Ze kunnen worden gevraagd om op links in de e-mail te klikken om hun aanwezigheid te bevestigen. Niemand zal iets vermoeden.

Een typische phishing-e-mail kan kwaadaardige bijlagen, valse inlogpagina's, webformulieren en andere elementen bevatten. Sommige e-mails wekken een gevoel van urgentie op en vereisen een onmiddellijke reactie, terwijl andere de gebruiker vragen om snel gevoelige gegevens te delen.

Wat is spear phishing?

Spear phishing is zeer specifiek en de aanvaller weet veel details over u. Spear phishing is niet gericht op algemene leden van de organisatie; de aanvaller zal het slachtoffer gedurende enkele maanden profileren en bestuderen. Ze zullen zeer gepersonaliseerde e-mails opstellen en details toevoegen die de feiten die ze in deze e-mails presenteren, controleren. Zo raakt het slachtoffer ervan overtuigd dat de e-mails afkomstig zijn van echte bronnen en gaat het uiteindelijk op de e-mails in.

Wat maakt spear phishing zo eng? Het maakt gebruik van algemene menselijke eigenschappen, zoals de bereidheid om behulpzaam te zijn. Spear phishing-e-mails kunnen een positieve toon hebben of de lezer aanmoedigen om op een bepaalde manier te handelen die hem of haar op de een of andere manier ten goede komt. Het kan de nieuwsgierigheid van lezers wekken om aanvullende bronnen te verkennen. De aanvalsmethoden zijn sluw, omdat lezers door verschillende lagen van verfijning worden geleid. Het belangrijkste doel van spear phishing is om slachtoffers gevoelige gegevens te laten delen nadat aanvallers hen het vertrouwen hebben gegeven dat ze buitenstaanders zijn. Spear phishing is dus geen gewone e-mail; je kunt het niet zomaar herkennen. Deze e-mails zijn zeer goed gemaakt en je ziet ze niet aankomen.

Risico's van spear phishing versus phishing

Dit zijn de risico's van phishing versus spear phishing:

Risico's van phishing

Organisaties zijn kwetsbaar voor de volgende risico's bij phishingaanvallen:

• Oplichters kunnen creditcardgegevens stelen en deze gebruiken om af te rekenen bij POS-terminals
• Echte e-mails van uw eigen bedrijf kunnen in de inbox van de aanvaller terechtkomen
• Organisaties kunnen betrokken raken bij financiële fraude
• Aanvallers kunnen burgerservicenummers kapen en deze gebruiken om frauduleuze accounts te openen. Ze kunnen ongeoorloofde toegang krijgen tot unieke bank-, overheids- en gezondheidszorgdiensten.
• Phishing-e-mails kunnen ransomware naar ontvangers sturen. Zodra ze deze bijlagen openen en installeren, worden ze het slachtoffer van ransomware-aanvallen.
• Personen die phishingcampagnes lanceren, kunnen spyware of keyloggers insluiten om de activiteiten van slachtoffers op systemen te volgen. Ze kunnen in de loop van de tijd aanvullende gegevens stelen en mogelijk schade veroorzaken die leidt tot het ruïneren van de reputatie van een bedrijf of het vertrouwen van klanten.

Risico's van spear phishing

Spear phishing-aanvallen zijn goed opgezet, geavanceerd en hebben een detailniveau dat verder gaat dan traditionele phishing-aanvallen. Aanvallers doen van tevoren hun huiswerk en weten precies hoe ze slachtoffers kunnen misleiden. Dit zijn de meest voorkomende risico's:

• Spear phishing-e-mails zijn niet alleen gericht op werknemers van bedrijven. Ze kunnen ook gericht zijn op uw vrienden, collega's en medewerk(st)ers. Deze e-mails lijken afkomstig te zijn van betrouwbare bronnen, zodat slachtoffers niets vermoeden.
• Spear phishing-e-mails kunnen incentives bieden voor het vrijgeven van gevoelige gegevens. Ze vragen om wachtwoorden, bankgegevens, creditcardnummers en andere financiële gegevens. Deze e-mails kunnen ook angst inboezemen. Een klassieke spear phishing-e-mail kan bijvoorbeeld zeggen dat u geen toegang meer heeft tot uw account, tenzij u deze gegevens deelt en ze onmiddellijk ontgrendelt.
• Bedrijven kunnen hun bedrijfsgeheimen kwijtraken als ze niet voorzichtig zijn met spear phishing-aanvallen. Ze kunnen ook hun bedrijfsvoering in gevaar brengen, langdurige downtime ervaren en te maken krijgen met operationele stilstand. Een gemiddelde spear phishing-aanval kan kritieke gegevens vergrendelen, bestanden beschadigen of zelfs hardware vernietigen.
• Uw klanten en collega's kunnen uw beveiligingspraktijken in twijfel trekken zodra u het slachtoffer wordt van een spear phishing-aanval. Dat komt omdat deze aanvallen niet regelmatig voorkomen, maar onvoorspelbaar en zeer persoonlijk zijn. De schade die dit toebrengt aan de reputatie van een bedrijf is enorm en kan een directe invloed hebben op uw omzetgroei en toekomstige zakelijke kansen. Als u het vertrouwen van uw klanten eenmaal kwijt bent, kan het jaren of zelfs decennia duren om dat weer op te bouwen.
• Spear phishing is eng omdat uw aanvallers u zeer goed onderzoeken. Ze kunnen informatie gebruiken over uw functietitel, relaties op het werk, hobby's en andere eigenaardigheden in uw levensstijl. Slachtoffers kunnen soms niet raden dat de afzender een aanvaller is. Ze worden het slachtoffer van spear phishing-praktijken, die uiteindelijk uitmonden in regelrechte financiële diefstal of bedrijfsspionage.
• Spear phishing-aanvallen kunnen ertoe leiden dat bedrijven niet meer aan de regelgeving voldoen en worden geconfronteerd met boetes wegens niet-naleving. Ze kunnen ook te maken krijgen met juridische problemen omdat ze niet adequaat omgaan met gevoelige consumentengegevens, wat kan leiden tot boetes en dure rechtszaken.

Spear phishing versus phishing: Voorbeelden

Spear phishing komt meestal voor als een Business Email Compromise (BEC)-aanval. Je verwacht het het minst. De aanvaller doet zich voor als een bekende leverancier, persoon of vertrouwd lid van een organisatie. Phishing is algemener en wordt naar groepen of grote groepen mensen gestuurd. Bekijk deze voorbeelden van spear phishing en phishing-e-mails:

Phishingtactiek 1: de bulkaanval

U ontvangt een e-mail die afkomstig lijkt te zijn van uw bank, waarin staat dat er een probleem is met uw rekening en dat u “uw identiteit moet verifiëren.” De e-mail bevat een link naar een site die lijkt op de inlogpagina van uw bank, maar in werkelijkheid is het een valse site die is ontworpen om uw inloggegevens te stelen.

Hoe het werkt:

• De e-mail wordt naar duizenden mensen tegelijk gestuurd.
• Uw berichten zijn algemeen, zonder persoonlijke gegevens.
• De aanvaller vertrouwt op volume, in de hoop dat iemand erin trapt.
• Er wordt geen specifieke kennis over u of uw baan gebruikt, het is gewoon een typische zwendel.

Spear phishing-tactiek 1: gerichte aanval op leidinggevenden

U bent de CFO van een prestigieus cyberbeveiligingsbedrijf. De aanvaller heeft toegang tot de website van uw bedrijf en heeft uw LinkedIn-profiel bekeken. Op een dag ontvangt u een e-mail waarin u wordt gevraagd een belangrijk cybersecurityrapport te bekijken. Deze e-mail bevat een link die, wanneer u erop klikt, uw apparaat infecteert met malware.

Hoe het werkt:

• De aanvaller heeft onderzoek gedaan naar u en uw bedrijf.
• De e-mail is zeer persoonlijk en vermeldt specifieke functies, namen en details over uw bedrijf.
• Het bericht lijkt authentiek omdat het afkomstig is van uw CEO.
• U zult het minder snel in twijfel trekken omdat het er legitiem uitziet, waardoor de kans op succes groter is.

Phishingtactiek 2: de valse abonnementsdienst:

U ontvangt een e-mail die afkomstig lijkt te zijn van een bekende online streamingdienst. Er staat in dat uw abonnement is opgeschort vanwege betalingsproblemen. U wordt gevraagd om uw factuurgegevens bij te werken via de bijgevoegde link om de toegang te herstellen.

Hoe het werkt:

• Er wordt een e-mail naar een breed publiek gestuurd met behulp van een generiek e-mailsjabloon.
• De URL ziet er verdacht uit, maar bevat veelgebruikte woorden zoals "account" of "update".
• Het is een snelle, weinig inspannende aanval, waarbij wordt vertrouwd op de hoop dat iemand zonder na te denken zal klikken.

Spear phishing-tactiek 2: oplichting met betalingen aan leveranciers

Deze spear phishing-poging is gericht op de CFO van een bedrijf. De aanvaller heeft informatie verkregen over een lopende zakelijke relatie met een externe leverancier, die online openbaar beschikbaar is. In een e-mail die afkomstig lijkt te zijn van de financiële afdeling van de leverancier, wordt gevraagd om een dringende overschrijving naar een nieuw rekeningnummer.

Hoe het werkt:

• De e-mail is gepersonaliseerd met leveranciersspecifieke gegevens, zoals factuurnummers en eerdere betalingsgeschiedenis. De aanvaller gebruikt openbare gegevens om het verzoek legitiem te laten lijken.
• De CFO wordt misleid om de betaling goed te keuren, omdat hij denkt dat het om een routinehandeling gaat; het geld wordt overgemaakt naar een door de aanvaller gecontroleerde rekening, wat financiële verliezen veroorzaakt.

Phishingtactiek 3:  Valse vacatures

Er komt een phishing-e-mail in uw inbox terecht, waarin u een geweldige nieuwe baan wordt beloofd. Er wordt gevraagd om persoonlijke gegevens en een kopie van uw cv om de sollicitatie in behandeling te nemen. Zodra u deze gegevens heeft ingediend, worden ze gebruikt om toegang te krijgen tot andere rekeningen of om identiteitsfraude te plegen.

Hoe het werkt:

• Er wordt een e-mail naar een groot aantal mensen gestuurd. Deze is ontworpen om werkzoekenden aan te spreken met een vals bedrijfslogo of een gerenommeerde naam.
• Er is geen echt onderzoek gedaan naar de ontvangers. Het is gewoon een massale aanval.

Spear phishing-tactiek 4: simulatie van een interne dreiging

Een aanvaller doet zich voor als een interne medewerker en stuurt een e-mail naar de IT-beheerder van een financiële instelling. In de e-mail wordt gesproken over een dringende wachtwoordwijziging en wordt om toegang tot het interne systeem van het bedrijf gevraagd. De e-mail lijkt legitiem omdat deze een standaard intern proces nabootst met links naar het IT-systeem en werknemersinformatie.

Hoe het werkt:

• Het richt zich expliciet op de IT-beheerder door interne bedrijfsworkflows te bestuderen.
• Het is opgesteld in de interne bedrijfstaal, waardoor het lijkt alsof het afkomstig is van een betrouwbare bron.

Phishingtactiek 4: gratis software downloaden

U ontvangt een e-mail die zogenaamd afkomstig is van een softwarebedrijf dat een "gratis upgrade" aanbiedt naar de nieuwste versie van een populaire tool die u gebruikt. Er is een downloadlink bijgevoegd. Deze bevat malware die automatisch wordt geactiveerd wanneer u erop klikt.

Hoe het werkt:

• Het is een eenvoudige, geautomatiseerde aanval die naar veel gebruikers tegelijk wordt gestuurd.
• Het aanbod lijkt te mooi om te laten liggen, waardoor mensen eerder geneigd zijn om erop te klikken.
• Er wordt geen gepersonaliseerde informatie gebruikt.

Spear phishing-tactiek 4: het compromitteren van cloudaccounts

Een aanvaller stuurt een e-mail naar de cloudbeheerder van een bedrijf en doet zich voor als het ondersteuningsteam van de cloudprovider. In de e-mail wordt gesproken over recente clouddiensten waarmee het bedrijf te maken heeft gehad. Er wordt gevraagd om onmiddellijke verificatie van gebruikersgegevens. U klikt waarschijnlijk op de link en reageert als cloudbeheerder. U twijfelt niet, omdat de problemen die in de e-mail worden genoemd, ook daadwerkelijk spelen.

Hoe u wordt gehackt:

• De e-mail bevat nauwkeurige details over de cloudomgeving en de provider.
• Verzoeken om inloggegevens voelen urgent aan; ze zetten de beheerder ertoe aan snel en zonder aarzelen te handelen.
• Het kaapt en verkrijgt toegang tot de kritieke cloudbronnen en gevoelige gegevens van uw bedrijf.

Phishing en spear phishing: in één oogopslag

Spear phishing en phishing verschillen in de manier waarop ze slachtoffers benaderen om informatie te stelen. Hieronder vindt u een overzicht van de overeenkomsten en verschillen:

1. Doelgroep

Een phishing-e-mail is gericht op het hele bedrijf. Deze is niet gedetailleerd of gericht. Spear phishing is gedetailleerder en vereist een grondige kennis van het slachtoffer. Bij phishing is de aanval gericht op iedereen. Spear phishing is echter beperkt tot een specifieke persoon.

2. Inhoud en inspanning

Phishing-e-mails vergen weinig inspanning en kunnen grammaticale fouten bevatten. Er kunnen spelfouten en ontbrekende leestekens in staan en u ziet duidelijke tekenen van slecht gepresenteerde informatie. Deze e-mails zijn duidelijk herkenbaar.

Maar spear phishing is anders. Het maken van een spear phishing-e-mail kost weken of maanden van het profileren van het slachtoffer. Algemene informatie is niet voldoende. Er is meer inspanning voor nodig en daarom wordt er grondig onderzoek gedaan. De aanvaller zal zijn slachtoffer heel goed kennen voordat hij deze e-mails opstelt.

3. Social engineering-tactieken

De manier waarop aanvallers je profiel opstellen bij een spear phishing-aanval versus een phishing-aanval zal ook verschillen. Voor phishing-e-mails verzamelen ze algemene informatie over uw bedrijf. Maar bij spear phishing zullen ze proberen alles over u te weten te komen.

Phishing-koppen zijn ook erg algemeen, zoals: “Uw account is opgeschort,” “We beëindigen uw diensten binnenkort" of "Gefeliciteerd! Klik hier om uw prijs te claimen!". Ze hopen angst, urgentie of hebzucht op te wekken en een emotionele reactie of actie van de ontvanger uit te lokken. Bij spear phishing zal de aanvaller proberen uw waakzaamheid te verminderen en u een ontspannen of zelfverzekerd gevoel te geven. Ze winnen langzaam uw vertrouwen en breken uiteindelijk in uw systemen in nadat ze in fasen voldoende informatie hebben verzameld.

Spear phishing versus phishing: belangrijkste verschillen

Hieronder volgen de belangrijkste verschillen tussen phishing en spear phishing.

Kenmerk	Spear phishing	Phishing
Doel	Om ongeoorloofde toegang te krijgen tot gevoelige informatie, vaak voor financieel of politiek gewin.	Om inloggegevens en persoonlijke gegevens te stelen of malware te installeren.
Slachtoffer	Zeer specifieke personen of groepen, zoals leidinggevenden of specifieke afdelingen.	Willekeurige personen of een breed, algemeen publiek.
Aanvalstechniek	Ze personaliseren e-mails of berichten die afkomstig lijken te zijn van geverifieerde bronnen. De aanvaller kan een geverifieerd account kapen en deze bedreigingen lanceren.	Algemene e-mails of berichten die naar een breed publiek worden gestuurd, vaak met het verzoek om dringende actie. Meestal komen ze in uw spam-inbox terecht.
Veelgebruikte strategieën	Het zich voordoen als een persoonlijke collega of het misbruiken van recente interne communicatie kan gepaard gaan met gegevens van sociale media en informatie uit andere bronnen.	Het massaal verspreiden van valse websites of e-mails die bekende bedrijven of instellingen nabootsen. Hierbij worden veelgebruikte tactieken toegepast, zoals valse accountverificatie, gratis prijzen en loterijen.

Conclusie

De beste manier om spear phishing en phishing te bestrijden, is door alert te zijn op het detailniveau ervan. Neem geen berichten voor lief; bekijk de inhoud zorgvuldig voordat u erop klikt of erop reageert. Train uw medewerkers en teamleden om alert te zijn op deze bedreigingen. U kunt periodiek phishing- en spear phishing-tests uitvoeren om ze te beoordelen.

"

FAQs

Wat is het doel van phishingaanvallen?

Phishingaanvallen zijn bedoeld om slachtoffers ertoe aan te zetten persoonlijke informatie te delen of hen ertoe te brengen schadelijke inhoud te downloaden.

Hoe kan ik mezelf beschermen tegen spear phishing?

Schakel meervoudige authenticatie in, klik niet op verdachte links en blijf waakzaam. Train uzelf en uw team ook om veelvoorkomende tekenen van phishing te herkennen.

Hoe kunt u een spear phishing-e-mail herkennen?

Spear phishing-e-mails zijn meestal persoonlijk aan u gericht en kunnen verwijzen naar details zoals uw functie of werkplek.

Wat moet ik doen als ik een phishing-e-mail ontvang?

Klik niet op links. Meld de e-mail aan uw IT-team of gebruik beschikbare tools om deze als phishing te markeren.​