Phishingtraining voor je team: alert in 1 uur per kwartaal

Het klassieke advies luidde jarenlang: let op kromme zinnen en rare aanhef, dan herken je phishing wel. Dat advies is dood. Volgens Safeonweb gebruikt ruim 80% van de phishingcampagnes AI-gegenereerde inhoud in foutloos Nederlands. De valse mail van vandaag is beleefd, correct gespeld en verwijst naar een echte context, zoals een pakje dat je effectief verwacht of een factuur die qua timing klopt.

De schaal is er ook naar. Safeonweb ontving in 2025 bijna 10 miljoen meldingen van verdachte berichten, goed voor 40.815 geblokkeerde kwaadaardige domeinen. Wie denkt dat zijn kmo te klein is om doelwit te zijn, onderschat hoe geautomatiseerd dit werkt: criminelen mikken niet op jou persoonlijk, ze mikken op iedereen tegelijk.

Training moet dus niet leren om spelfouten te spotten, maar om te twijfelen bij de juiste signalen: onverwachte verzoeken, tijdsdruk, afwijkende afzenderadressen en vragen rond geld of logingegevens.

Werkt zoiets echt, of is het een verplicht nummertje? De cijfers zijn verrassend duidelijk. Uit het benchmarkonderzoek van KnowBe4 bij miljoenen werknemers blijkt dat gemiddeld 33,1% van de ongetrainde medewerkers in een phishingsimulatie trapt. Eén op drie dus, voor er ook maar iets van opleiding is gebeurd.

Na drie maanden regelmatige training en oefenmails daalt dat cijfer al met ongeveer 40%. En wie het een jaar volhoudt, ziet het foutpercentage met 86% zakken, tot 4,1%. Dat is geen marginale verbetering, dat is een andere organisatie.

Van 33,1% naar 4,1% foute kliks op een jaar tijd: geen enkele andere veiligheidsinvestering levert zoveel op voor zo weinig geld.

De les voor een kmo: het effect zit niet in één spectaculaire opleidingsdag, maar in herhaling. Kort en regelmatig klopt vaak beter dan lang en eenmalig, en dat is precies wat een uurtje per kwartaal doet.

Zo vul je dat ene uur in, vier keer per jaar, zonder externe trainer:

1. Tien minuten: een recent voorbeeld. Toon een echte phishingmail die iemand van het team ontving, of een actueel voorbeeld van Safeonweb. Bespreek wat eraan opvalt en wat net niet.
2. Vijftien minuten: één thema uitdiepen. Elk kwartaal een ander onderwerp: valse facturen, nepberichten van de zaakvoerder, misleidende logins, fraude via sms en WhatsApp.
3. Vijftien minuten: de meldroutine oefenen. Wat doe je bij twijfel? Niet klikken, niet antwoorden, doorsturen naar verdacht@safeonweb.be en intern melden. Spreek af bij wie.
4. Tien minuten: de geldregel herhalen. Elke wijziging van een rekeningnummer of elk dringend betaalverzoek wordt telefonisch bevestigd via een nummer dat je zelf opzoekt. Altijd, zonder uitzondering.
5. Tien minuten: vragen en verhalen. Laat mensen vertellen wat ze zelf ontvingen. Wie bijna klikte en het durft te zeggen, verdient een compliment, geen verwijt.

Zet die vier momenten nu meteen in de agenda, bijvoorbeeld telkens de eerste dinsdag van het kwartaal. Wat niet gepland staat, gebeurt niet.

Je hoeft geen presentaties te bouwen. Het Centrum voor Cybersecurity België stelt via Safeonweb en Safeonweb@work gratis Nederlandstalig sensibiliseringsmateriaal ter beschikking: affiches, e-mails, video's en korte tests die je zonder aanpassing kunt gebruiken. Dat materiaal wordt actueel gehouden en sluit aan bij wat er in België effectief circuleert.

Diezelfde bron toont ook waarom melden loont: dankzij al die doorgestuurde berichten kon het Belgische antiphishingschild in 2025 kwaadaardige links 200 miljoen keer blokkeren. Elk bericht dat jouw team doorstuurt, beschermt dus ook je klanten en leveranciers.

Wil je toch een stap verder gaan, dan kun je bij commerciële aanbieders phishingsimulaties afnemen: nepmails die je zelf naar je team stuurt om te meten wie klikt. Voor een klein team is dat geen must. De combinatie van gratis materiaal, een vast kwartaaluur en een duidelijke meldroutine vangt al het grootste risico op.

Twee dingen doen phishingtraining mislukken. De eerste is een afrekencultuur. Wie geklikt heeft en dat verzwijgt uit schrik voor een uitbrander, is gevaarlijker dan wie klikt en het meteen meldt. Maak dus glashelder dat melden altijd goed is, ook na een foute klik. De snelheid van je reactie bepaalt de schade, niet de klik zelf.

De tweede valkuil is verslappen. Eén sessie geven en denken dat het geregeld is, werkt niet: de grootste winst in de KnowBe4-cijfers zit net tussen maand drie en maand twaalf. Meet daarom iets simpels: het aantal interne meldingen van verdachte berichten per kwartaal. Stijgt dat aantal, dan werkt je training, want mensen zien en melden meer. Een team dat nooit iets meldt, is geen veilig team, het is een blind team.

Hou het licht: een verdacht bericht van de week kort bespreken bij de koffie doet soms meer dan een formele sessie.

Een getraind team is de binnenkant van je digitale vertrouwen. De buitenkant, dat zijn je website, je domein en je e-mailinstellingen: de dingen die klanten en oplichters als eerste zien. Wil je weten hoe die buitenkant er vandaag voorstaat? Doe de gratis marketing scan en ontdek in enkele minuten waar jouw zaak online punten laat liggen.