AI is niet alleen beter in het herkennen van oplichting, maar ook in het uitvoeren ervan. In een experiment van Bright bleek AI-model Claude menselijke oplichters te verslaan in het winnen van het vertrouwen van potentiële slachtoffers. Voor ondernemers betekent dit dat de klassieke signalen van phishing niet langer toereikend zijn.

Wat er aan de hand is

Bright voerde een experiment uit waarin AI-model Claude het opnam tegen menselijke oplichters. De uitkomst was opmerkelijk: Claude won overtuigend. Maar niet door oplichters te ontmaskeren. De AI nam het juist binnen hun eigen vakgebied tegen hen op en bleek effectiever in het opbouwen van vertrouwen bij slachtoffers. Volgens Bright is dat zorgelijk, omdat het aantoont dat AI-gestuurde oplichting een nieuwe fase ingaat. Waar phishing voorheen vaak te herkennen was aan taal- of denkfouten, kan AI nu overtuigende, persoonlijke gesprekken voeren die moeilijk van echt te onderscheiden zijn.

Wat dit betekent

Voor het MKB betekent dit dat de dreiging verschuift. De klassieke phishingmail met slechte grammatica en een vreemde afzender maakt plaats voor gerichte, geloofwaardige communicatie. Een AI kan zich voordoen als je boekhouder, je leverancier of een nieuwe medewerker en op basis van openbare informatie een gesprek voeren dat klopt. De impact is groot: waar je medewerkers eerder getraind werden op het herkennen van fouten, moeten ze nu leren omgaan met communicatie die geen fouten bevat. De kans dat iemand trapt in een goed uitgevoerde AI-phishingpoging is aanzienlijk groter dan bij de traditionele variant.

Hoe je dit kunt toepassen

Als je een team aanstuurt dat regelmatig betalingsverzoeken verwerkt, is het verstandig om het gesprek over dit experiment aan te gaan. Leg uit dat de oude signalen niet meer werken en introduceer een vaste controle: bel altijd terug naar een bekend nummer voordat je een betalingsopdracht uitvoert die per mail binnenkomt. Een mogelijkheid is om af te spreken dat verzoeken tot wijziging van betaalgegevens nooit per e-mail worden afgehandeld.

Als je klantgegevens of bedrijfsinformatie op je website deelt, overweeg dan dat oplichters die informatie kunnen gebruiken om zich geloofwaardig voor te doen. Een aanvaller die weet met welke leverancier je werkt en wanneer je facturen betaalt, kan een gesprek voeren dat naadloos aansluit. Je zou kunnen afspreken dat vertrouwelijke informatie nooit via publieke kanalen wordt gedeeld en dat medewerkers alert zijn op verzoeken die net iets te veel details bevatten.

Als je gebruikmaakt van AI-tools in je bedrijf, is het goed om je te realiseren dat dezelfde technologie ook tegen je gebruikt kan worden. Het experiment van Bright laat zien dat AI niet alleen productief is, maar ook overtuigend kan manipuleren. Een optie is om medewerkers te trainen op het herkennen van gesprekken die te soepel verlopen. Vraag je af: zou mijn echte contactpersoon op deze manier reageren op onverwachte vragen?

Als je verantwoordelijk bent voor de beveiliging van je bedrijfsnetwerk, overweeg dan om naast technische filters ook gedragsregels op te stellen. Technische oplossingen kunnen AI-gegenereerde berichten niet altijd onderscheiden van echte communicatie. Je zou kunnen afspreken dat gevoelige handelingen altijd een tweede verificatiestap vereisen, zoals een telefonische bevestiging of een persoonlijk gesprek. De praktische toepassing hangt af van jouw situatie, maar het principe is universeel: vertrouw niet op de inhoud van een bericht, maar op de verificatie ervan.

Bron: Bright