Een phishingcampagne zonder klik: de grens van bewustwordingstraining

De AIVD, de MIVD, de NSA en de FBI zetten op 23 juli samen met een reeks andere diensten hun naam onder een advies dat het woord "phishingcampagne" in de titel draagt. Een paar alinea's verder leggen diezelfde diensten uit waarom dat woord hier wringt. Anders dan bij traditionele phishingcampagnes, die een gebruiker overhalen tot een handeling zoals klikken op een link of het openen van een bestand, hoeft een gebruiker hier alleen het kwaadaardige bericht te bekijken in een kwetsbare versie van de webmail. Geen link. Geen bijlage. Geen nagemaakte inlogpagina. Geen enkel moment waarop oplettendheid iets had kunnen uitmaken.

Dat is ongemakkelijk, want bij veel bedrijven is "let op verdachte mails" niet één maatregel tegen mailrisico. Het is dé maatregel. Er is een jaarlijkse e-learning, elk kwartaal een simulatie, en een klikpercentage dat langzaam de goede kant op beweegt. Mijn stelling is dat die hele constructie iets anders is dan een beveiligingslaag. Bewustwordingstraining is een controle op precies één aanvalspad: het pad waarop een mens iets gevraagd wordt. Loopt een aanval daar niet langs, dan staat je zichtbaarste maatregel er domweg niet in, hoe groen het dashboard ook kleurt.

Het pad zonder mens is het grootste geworden

Een view-based exploit gaat af op het moment dat software inhoud verwerkt, niet op het moment dat een mens een beslissing neemt. Bekijken is genoeg: het renderen van een bericht in je webmail, het uitlezen van een document, het samenvatten van een postvak door een AI-assistent. Er is geen klik, geen goedkeuring en dus ook geen seconde waarin oplettendheid het verschil maakt.

Dat is geen randgeval meer. Verizon meet in de 2026-editie van het Data Breach Investigations Report dat 31 procent van de inbraken begint bij een softwarekwetsbaarheid, waarmee die gestolen wachtwoorden voorbijgaat als grootste manier om binnen te komen. Mandiant komt vanuit een heel ander gezichtspunt op hetzelfde uit, na meer dan 500.000 uur incidentonderzoek in 2025: exploits waren met 32 procent voor het zesde jaar op rij de meest voorkomende initiële infectievector, tegenover 6 procent voor e-mailphishing.

Zes procent. Dat is de omvang van het kanaal waar praktisch je hele bewustwordingsprogramma op gericht staat.

En het gaat niet over één ongelukkig product. Dezelfde vorm dook deze maand op bij drie actief misbruikte lekken in on-premises SharePoint-servers, waarvan er naar schatting nog duizenden ongepatcht draaien. Hij zit ook in de laag die veel bedrijven net hebben aangezet: CVE-2025-32711, beter bekend als EchoLeak, is een AI-commando-injectie in Microsoft 365 Copilot waarmee een aanvaller zonder enige gebruikersinteractie informatie kan laten uitlekken. Een onderzoeker liet eind juli zien hoe een AI-worm zichzelf via Microsoft 365 Copilot door Word-documenten verspreidt, waarna Microsoft mitigaties trof.

Draai je Microsoft 365, dan raakt het Zimbra-lek je inderdaad niet. Dat klopt, en het is precies het soort geruststelling waar je niets aan hebt. De vraag is niet welk product er deze keer stuk was, maar hoeveel software in jouw bedrijf inmiddels namens jou inhoud opent, uitpakt en interpreteert voordat jij er ook maar naar kijkt. Dat aantal groeit elk kwartaal, en bij elke uitbreiding krimpt het deel van je risico waar een mens nog tussen zit.

Wat je meet als je een klikpercentage meet

De tweede helft van mijn bezwaar is minder populair: ook op het pad waar de training wél in staat, presteert ze zwakker dan het dashboard suggereert. Onderzoekers van UC San Diego volgden acht maanden lang 19.500 medewerkers van UC San Diego Health door tien phishingsimulaties. Bij de verplichte jaarlijkse training vonden ze geen aantoonbaar verband tussen het afronden ervan en de kans dat iemand alsnog op een phishinglink klikte; de training die direct na een misser wordt getoond, verlaagde het klikken met ongeveer 2 procent. Driekwart van de medewerkers keek korter dan een minuut naar dat lesmateriaal.

Dat is niet niets, en ik lees het ook niet als "training is zinloos". Ik lees het als een prijskaartje. Je koopt een klein, meetbaar effect op één pad, en je krijgt er een gevoel van dekking bij dat over álle paden gaat. Die tweede helft is gratis meegeleverd en klopt niet. Een groen klikpercentage zegt letterlijk niets over de vraag of een bericht dat niemand aanklikt jouw postvak van de afgelopen negentig dagen kan wegsluizen.

Zo ontstaat het gat dat ik in de praktijk het vaakst zie. Niet omdat iemand een domme keuze maakte, maar omdat de enige maatregel die zichtbaar rapporteert ook de maatregel werd waaraan het hele onderwerp werd opgehangen.

De deuren die zonder mens opengaan

Sneller bijwerken is het voor de hand liggende antwoord, en dat argument is al gemaakt: de aanname dat een lek blijft liggen tot een gepland onderhoudsmoment houdt geen stand meer. Interessanter is wat er overblijft als je niet meteen kunt bijwerken, want dat is de situatie waarin de meeste bedrijven zich bevinden. Daar zit een verschuiving die naar elke mailomgeving overdraagbaar is, of je nu zelf host of niet.

Kijk naar wat het Zimbra-lek na binnenkomst dóet. Het maakt een applicatiewachtwoord aan en zet IMAP-toegang aan, waarmee tweefactorauthenticatie wordt omzeild. Niet het lek is het interessante deel, maar de deur die het gebruikt. Applicatiewachtwoorden en oude mailprotocollen bestaan juist omdat ze de moderne inlogflow overslaan, en dus ook je tweede factor.

Diezelfde deur gaat ook zonder exploit open. Een aan Rusland gelieerde groep haalde in 2025 doelwitten over een applicatiewachtwoord van zestien tekens aan te maken en op te sturen, waarna de aanvallers er een mailclient mee opzetten en zo blijvende toegang tot het account kregen. Twee totaal verschillende aanvallen, één identieke uitgang. Dat is precies het criterium waarop ik een maatregel beoordeel: op hoeveel aanvalspaden staat hij? Een bewustwordingstraining staat op één. Het intrekken van applicatiewachtwoorden die niemand heeft aangevraagd staat op allebei.

Voor wie op Microsoft 365 zit is dat werk deels al gedaan, en dat is leerzaam. Basic authentication is inmiddels in alle Exchange Online-tenants uitgeschakeld, wat meteen het gebruik van applicatiewachtwoorden blokkeert bij apps zonder tweestapsverificatie. Eén uitzondering staat nog open: Microsoft kondigde in januari 2026 aan dat SMTP AUTH met basic authentication pas eind december 2026 standaard uitgaat voor bestaande tenants, waarna beheerders hem nog mogen aanzetten. Draai je iets anders, een eigen Zimbra, Zoho, Google Workspace of een oude Exchange op eigen ijzer, dan heeft niemand die deur voor je dichtgedaan.

De tweede knop is de laag die het bericht rendert. Het Zimbra-lek werkt in de klassieke webmailinterface; wie tijdelijk een andere mailclient gebruikt of de toegang tot die interface beperkt, staat niet meer in het pad van de exploit, ook zonder patch. Dat is een ongemakkelijk soort maatregel, want hij kost gemak en hij lost niets structureel op. Het is ook de enige knop die je vandaag zelf kunt omzetten. Hetzelfde geldt voor de nieuwe automatische lagen: elke assistent die je postvak of documenten uit zichzelf leest, verdient de vraag of hij daar echt bij hoeft te kunnen. Die vraag is verwant aan die van een AI-browser die namens jou handelt en daarmee een aanvalsoppervlak wordt dat losstaat van de gebruiker.

Om eerlijk te zijn: de mens is niet weg, hij is verhuisd

De sterkste tegenwerping komt uit precies hetzelfde rapport dat ik hierboven aanhaal. Telefonische phishing steeg in 2025 naar 11 procent van de onderzochte infectievectoren en werd daarmee de tweede grootste, bijna twee keer zo groot als e-mailphishing. Iemand belt je helpdesk, klinkt overtuigd en praat zich naar een wachtwoordreset. Daar helpt geen enkele patch en geen enkele protocolinstelling. Wie uit dit stuk leest dat je kunt bezuinigen op de menselijke laag om server-hygiëne te betalen, leest het verkeerd. Het aanvalsoppervlak bij mensen krimpt niet, het verplaatst zich naar kanalen waar helemaal geen leverancier is die iets kan dichten.

Alleen wint die tegenwerping mijn punt niet, ze scherpt het aan. Wat zo'n telefoontje tegenhoudt is namelijk óók geen herkenningstraining. Het is een procesregel: bevestig elk gevoelig verzoek via een tweede, vooraf bekende weg, een terugbelnummer dat je al kende in plaats van het nummer uit het bericht. Die regel werkt omdat hij niet afhangt van hoe scherp iemand is op vrijdagmiddag om kwart voor vijf. Ook binnen het menselijke pad is bewustwording dus de zwakste van de beschikbare maatregelen, niet de eerste.

En daaronder blijft de harde grens staan. Procesontwerp beschermt het moment waarop iemand iets gevraagd wordt. Bij een view-based exploit wordt er niemand iets gevraagd. Er is geen verzoek, geen beslissing en geen tweede weg om iets langs te leggen. Op dat pad staat noch je training, noch je goedkeuringsregel. Dat is geen mening, dat is een lege rij in de tabel.

Dekking in plaats van geruststelling

De vraag die ik bedrijven zou aanraden is niet "hoe maak ik mijn mensen scherper", en ook niet "welke tool koop ik erbij". Het is deze: schrijf de manieren op waarop iemand bij jouw mail kan komen, en zet naast elke manier de maatregel die daar daadwerkelijk in staat. Een gestolen wachtwoord: MFA, mits die niet te omzeilen is met een kwaadaardige OAuth-toestemming die na een wachtwoordreset gewoon blijft bestaan. Een vals verzoek: je procesregel. Een bericht dat alleen bekeken hoeft te worden: hier staat bij de meeste bedrijven niets.

Die lege regel is het hele punt. De diensten noemden hun advies een phishingcampagne omdat dat nu eenmaal het beschikbare woord is, en dat woord stuurt je naar de verkeerde verdediging. Beveiliging die standhoudt wordt niet afgerekend op hoe geruststellend ze voelt of hoe netjes ze rapporteert, maar op hoeveel van je werkelijke aanvalspaden ze bedekt. Zolang je alleen meet wat je mensen doen, meet je het stukje dat aanvallers als eerste hebben verlaten.