AI maakt phishingmails niet alleen overtuigender, maar ook vele malen goedkoper en sneller te produceren. Voor criminelen is het een kwestie van volume: hoe meer mails, hoe groter de kans dat er eentje in een onbeschermde inbox belandt. Voor jou als ondernemer betekent dit dat de klassieke herkenningspunten – spelfouten, rare zinsconstructies, verdachte afzenders – niet meer volstaan. Je medewerkers hebben nieuwe vaardigheden nodig om AI-gegenereerde scams te onderscheiden van echte berichten.

Wat er aan de hand is

Sinds de lancering van ChatGPT in 2022 gebruiken criminelen AI om phishingmails te schrijven, deepfake-video’s te maken en malware aan te passen zodat die moeilijker te detecteren is. Volgens Interpol maken scamcentra in Zuidoost-Azië massaal gebruik van goedkope AI-tools om steeds meer potentiële slachtoffers te bereiken en snel uit te wijken naar nieuwe locaties. De Verenigde Arabische Emiraten claimden onlangs een reeks AI-gesteunde aanvallen op vitale sectoren te hebben verijdeld. Het probleem is niet alleen de kwaliteit van de aanvallen, maar vooral de schaal. Omdat AI in staat is om enorme hoeveelheden berichten te genereren, hoeven die niet eens heel overtuigend te zijn. Het gaat om kansberekening: een klein percentage slachtoffers is genoeg voor een rendabele operatie. Daarnaast waarschuwt AI-bedrijf Anthropic dat zijn model Mythos duizenden kritieke kwetsbaarheden vond, waaronder in elk groot besturingssysteem en elke webbrowser. Het bedrijf stelt de release van het model uit uit voorzorg.

Wat dit betekent

Voor het MKB is de impact concreet. Waar phishing vroeger te herkennen was aan foutjes in taal of opmaak, produceert AI nu vlekkeloze, persoonlijke berichten die nauwelijks van echt te onderscheiden zijn. De drempel voor criminelen is lager geworden: je hebt geen technische kennis meer nodig om een overtuigende aanval op te zetten. Dit betekent dat de verdediging niet langer alleen bij de IT-afdeling ligt, maar bij iedereen die een mailbox opent. Omdat de aanvallen in hoog tempo worden gegenereerd, is de kans groot dat jouw bedrijf vroeg of laat een geraffineerde phishingmail ontvangt. De vraag is niet óf, maar wanneer. En of je team dan weet wat te doen.

Hoe je dit kunt toepassen

Als je een team van vijf tot vijftig medewerkers aanstuurt, overweeg dan om een maandelijkse ‘phishing-simulatie’ in te voeren. Je kunt daarvoor gebruikmaken van bestaande tools die nep-phishingmails versturen en bijhouden wie erop klikt. Bespreek de resultaten zonder beschuldigingen: het doel is leren, niet afstraffen. Laat medewerkers zien welke signalen ze hadden kunnen opmerken, zoals een afwijkend e-mailadres of een onverwachte bijlage.

Als je verantwoordelijk bent voor de bedrijfscommunicatie, zou je een korte checklist kunnen opstellen die iedereen doorloopt bij twijfel. Denk aan: klopt het e-mailadres van de afzender exact? Vraagt de mail om onmiddellijke actie, zoals betaling of inloggen? Bevat de mail een link die je niet zelf hebt opgevraagd? Deze simpele vragen vangen nog steeds een groot deel van de aanvallen, ook de AI-gegenereerde.

Als je in de financiële administratie werkt, is het verstandig om een extra controle in te bouwen bij betalingsverzoeken die per mail binnenkomen. Bel de afzender op een bekend telefoonnummer om het verzoek te verifiëren. Criminelen gebruiken AI om facturen na te maken die er precies uitzien als die van je vaste leverancier, maar met een ander rekeningnummer.

Als je een webshop runt, let dan op verdachte bestellingen of klantvragen die om persoonlijke gegevens vragen. AI kan ook worden ingezet om nepklantaccounts aan te maken en zo toegang te krijgen tot je systemen. Train je klantenservice om bij twijfel altijd via een apart kanaal te verifiëren.

Als je een klein team hebt zonder IT-afdeling, overweeg dan om een externe security-awareness training in te kopen. Veel aanbieders hebben modules specifiek gericht op AI-gerelateerde dreigingen. De investering is laag, maar de schade van een geslaagde phishingaanval kan oplopen tot tienduizenden euro’s.

Bron: Technologyreview