Phishing simulatie: wat je meet en wat niet
Een phishing simulatie is een testmail die lijkt op een echte aanval, verstuurd naar de eigen medewerkers. De uitkomst laat zien hoe mensen reageren onder werkdruk, niet wat zij weten. Dat onderscheid bepaalt hoe je de resultaten leest: iemand die klikt heeft de theorie meestal prima door, en had het op dat moment druk.
De aanleiding is concreet. Volgens de Autoriteit Persoonsgegevens verdrievoudigde het aantal datalekken door accountovernames bijna, van 607 in 2024 naar 1.742 in 2025, en die overnames beginnen vrijwel altijd bij phishing.
Drie cijfers die ertoe doen
Klikratio: hoeveel mensen de link openden. Nuttig als startpunt, verder beperkt bruikbaar. Invoerratio: hoeveel mensen daadwerkelijk inloggegevens invulden. Dit cijfer voorspelt de echte schade. Meldratio: hoeveel mensen de mail meldden bij de helpdesk, en hoe snel de eerste melding binnenkwam. Dat laatste is het cijfer waar je op stuurt, want bij een echte aanval bepaalt de eerste melding hoe snel je kunt ingrijpen.
Een organisatie waar 15 procent klikt en binnen vier minuten de eerste melding binnenkomt, staat er sterker voor dan een organisatie waar 5 procent klikt en niemand iets zegt.
Hoe je een campagne inricht
Meet voordat je traint, met een scenario van gemiddelde moeilijkheid. Zonder startpunt kun je later niet laten zien of er iets is veranderd.
Een simulatie raakt personeelsgegevens. Spreek vooraf af dat resultaten niet herleidbaar naar personen worden gedeeld met leidinggevenden, en betrek de ondernemingsraad bij de opzet.
Een pakketmelding is iets anders dan een mail die lijkt te komen van de eigen financiële administratie. Bouw op in realisme, in plaats van steeds dezelfde test te herhalen.
Een meldknop in de mailclient verhoogt de meldratio meer dan welke training ook. Zorg dat er iemand reageert op meldingen, anders stopt het melden binnen enkele weken.
Korte uitleg op het moment zelf werkt beter dan een jaarlijkse sessie. Houd de toon neutraal, want mensen die zich betrapt voelen melden de volgende keer minder snel.
QR-codes in bijlagen, herhaalde pushmeldingen om multifactorauthenticatie af te dwingen en telefoongesprekken met gekloonde stemmen. Test wat aanvallers nu daadwerkelijk gebruiken.
Techniek doet het zware werk
Phishingbestendige inlog
Passkeys en beveiligingssleutels volgens FIDO2 zijn gebonden aan het domein en werken niet op een nagemaakte inlogpagina. Daarmee wordt een klik minder erg dan een gestolen wachtwoord.
SPF, DKIM en DMARC
Met een DMARC-beleid op reject voorkom je dat aanvallers mails versturen die van je eigen domein lijken te komen. Controleer ook de domeinen die je niet voor e-mail gebruikt.
Wettelijke context
De Cyberbeveiligingswet noemt basispraktijken voor cyberhygiëne en opleiding als onderdeel van de zorgplicht. Bewaar deelnamecijfers en campagneresultaten als bewijs.
Meldpad naar detectie
Koppel meldingen van medewerkers aan je monitoring. Een gemelde mail die nergens terechtkomt, levert geen enkele verbetering op.
Meet hoe snel de eerste melding binnenkomt. Dat cijfer zegt meer over weerbaarheid dan het aantal klikken.
Van klikcijfer naar sneller melden
Securiguide legt uit hoe je een simulatie opzet, welke cijfers iets betekenen en welke afspraken je met OR en HR maakt. Zoek je een uitvoerder voor campagnes of training, dan staan die partijen in het bedrijvenoverzicht.
Waarom een jaarlijkse test weinig oplevert
Een test per jaar meet vooral toeval. Wie op dat ene moment gehaast was, komt in de cijfers. Een ritme van vier tot zes campagnes per jaar geeft een lijn die je kunt volgen.
Een laag klikpercentage betekent niet dat het veilig is. Was het scenario te doorzichtig, dan meet je de kwaliteit van de testmail en niet de weerbaarheid van je organisatie.
Namen noemen werkt averechts. Zodra medewerkers verwachten dat een fout gevolgen heeft, daalt de meldbereidheid. Precies die bereidheid heb je nodig op de dag dat het echt misgaat.
Phishing naast spoofing en social engineering
Phishing is één vorm binnen een bredere aanpak waarbij aanvallers vertrouwen misbruiken. Bij spoofing wordt een afzender, telefoonnummer of website nagebootst. Bij CEO-fraude komt de druk van iemand met gezag, vaak buiten kantooruren. Een overzicht van de varianten staat in elf soorten spoofing-aanvallen.
Wil je ook de technische kant toetsen, dan hoort social engineering vaak bij het bredere onderzoek van een penetratietest. De uitkomst van beide sporen samen geeft een vollediger beeld dan elk apart.
Een simulatie werkt het best als onderdeel van een breder programma. Hoe je dat opzet en waar de prijs van afhangt staat op de pagina over security awareness training.