Een verdachte mail bewaren voor onderzoek zonder verspreiden

Een verdachte mail bevat vaak een link of bijlage die bedoeld is om te worden aangeklikt. Stuur je die door naar een brede mailinglijst, dan zet je dat risico bij tientallen mensen tegelijk op het bureau. Sommigen lezen de waarschuwing, anderen zien alleen een bericht van een collega en klikken toch.

Er zijn nog andere nadelen. Een doorgestuurde kopie kan opmaak of afzenderinformatie verliezen die voor onderzoek juist nuttig is. De mail belandt in meerdere postvakken, waardoor je later niet meer weet welke versie de originele is. En een brede verspreiding maakt het lastiger om te achterhalen wie de mail al geopend heeft.

Het principe is dus eenvoudig: één meldpunt, één bewaarde kopie, en een gerichte waarschuwing zonder actieve link. Het inhoudelijke onderzoek van de mail zelf laat je over aan de persoon of de dienst die jullie intern hebben aangeduid, zoals de IT-verantwoordelijke of een externe beheerder.

De beste momenten om dit te regelen zijn de rustige. Schrijf op één pagina op wat medewerkers doen als ze een verdachte mail krijgen, en deel die pagina op een plek die iedereen kent.

1. Aanspreekpunt: wie neemt meldingen aan, en wie is de vervanger bij afwezigheid?
2. Meldwijze: via welk kanaal geef je het bericht door? Kies er één, bijvoorbeeld een speciaal intern adres of een functie van je mailprogramma. Welke meldfunctie je mailomgeving aanbiedt, controleer je bij je beheerder, want dat verschilt per systeem.
3. Wat niet te doen: niet op links klikken, geen bijlage openen, niet antwoorden, niet doorsturen naar collega's.
4. Wat te doen als er toch geklikt is: meteen het aanspreekpunt verwittigen, zodat accounts kunnen worden nagekeken.

Houd de afspraken kort en concreet. Een lang beleidsdocument wordt niet gelezen op het moment dat een mail verdacht oogt. Dit is een praktische interne werkafspraak en geen juridisch of wettelijk advies.

Als een medewerker iets verdachts opmerkt, volgt die deze stappen. Het doel is dat het bericht bewaard blijft zonder dat iemand ermee in contact komt.

1. Stop. Klik niet op links, open geen bijlage en beantwoord de mail niet.
2. Laat de mail staan waar hij staat. Verplaats of verwijder hem nog niet; het aanspreekpunt wil hem eventueel in zijn oorspronkelijke vorm zien.
3. Meld via het afgesproken kanaal. Gebruik de afgesproken meldfunctie of geef de mail door als bijlage in een nieuw bericht aan het meldpunt, zodat de oorspronkelijke opmaak en afzenderinformatie behouden blijven. Plak geen link in een gewone chat of groepsmail.
4. Noteer context. Schrijf kort op wanneer de mail binnenkwam, naar welk adres hij ging en of je al iets hebt aangeklikt.
5. Wacht op de reactie van het aanspreekpunt voordat je de mail verwijdert.

Het aanspreekpunt bewaart de mail op een afgeschermde plek, zonder de links te openen. Wil je een link toch bekijken, doe dat dan niet door erop te klikken, maar laat een bevoegde persoon dit veilig onderzoeken. Welke omgeving daarvoor geschikt is, hangt af van je IT-situatie en bepaal je met je beheerder.

Niet elke verdachte mail vraagt dezelfde reactie. Gebruik deze beslismatrix als startpunt en pas ze aan aan je organisatie.

Voor de beveiliging van accounts kun je terugvallen op de uitleg van Google over tweestapsverificatie aanzetten. Daarin staat dat tweestapsverificatie een extra beveiligingslaag toevoegt voor het geval een wachtwoord wordt gestolen. Controleer in je eigen omgeving of dit past bij je account, want bij werk- of schoolaccounts kan de beheerder bepalen wat mogelijk is.

Een fictief scenario ter illustratie, zonder echte organisatie of bewezen uitkomst. Invoer: een medewerker op de boekhouding ontvangt een mail die beweert van een leverancier te komen en vraagt om een gewijzigd rekeningnummer te bevestigen via een link. De medewerker klikt niet. Verwachte technische en praktische controles:

1. De medewerker laat de mail ongemoeid en meldt hem via het afgesproken kanaal, met de mail als bijlage in een nieuw bericht.
2. Het aanspreekpunt bewaart de kopie op een afgeschermde plek en vergelijkt de afzender en de technische afzenderinformatie met eerdere echte berichten van die leverancier. Een gelijkende afzendernaam bewijst niet dat de mail echt is, omdat die vervalst kan zijn.
3. Het aanspreekpunt neemt contact op met de leverancier via een gekend telefoonnummer, niet via de gegevens in de verdachte mail.
4. Het aanspreekpunt controleert of andere collega's dezelfde mail kregen en stuurt zo nodig een korte waarschuwing zonder link of bijlage.
5. Pas daarna beslist het aanspreekpunt of de mail wordt verwijderd.

Voor dit voorbeeld worden bewust geen aantallen, termijnen of afloop aangenomen. Het toont enkel in welke volgorde je handelt.

Een meldpad dat niet is getest, werkt vaak niet wanneer het moet. Laat het aanspreekpunt één keer per jaar, of na een wijziging in je mailsysteem, een onschuldige proefmelding doen en kijk of alles bij de juiste persoon aankomt. Controleer of de vervanger weet wat te doen en of de afspraken nog op de gedeelde plek staan.

Voor wie zelf een website beheert: de beveiligingsgids van MDN over webbeveiliging geeft als kernpraktijken onder meer sterke authenticatie (passkeys of eenmalige wachtwoorden in plaats van alleen wachtwoorden) en goede operationele beveiligingsgewoonten. Phishing wordt in het gebruikte fragment niet specifiek behandeld. Dat is achtergrond voor wie meer wil leren, geen vervanging van een beoordeling door een beveiligingsspecialist.

Wil je ook nakijken wat bezoekers en klanten publiek op je website zien, bijvoorbeeld welke contactgegevens en vertrouwenssignalen zichtbaar zijn, dan kun je de publieke signalen bekijken via Marketing Scan. Die scan voert niet alle hierboven genoemde controles uit en vervangt geen intern onderzoek van een verdachte mail.