Vishing, of voice phishing, is een type phishingaanval dat via de telefoon of een spraakbericht wordt uitgevoerd – dit kan een spraakbericht, een videogesprek of een telefoongesprek zijn. Het wordt gebruikt tegen bedrijven en individuen om gegevens en geld te stelen, of om verdere oplichting uit te voeren.

De stem van een persoon is niet langer betrouwbaar. En met AI-stemklonen kunnen aanvallers zich gemakkelijk voordoen als een familielid of een goede vriend, waarbij ze vertrouwd genoeg klinken om geen enkele achterdocht te wekken.

AI-stemklonen maakt het belangrijker dan ooit voor bedrijven om hun verdediging tegen vishing-oplichting te versterken. Een overtuigende nepstem kan worden gebruikt om zich voordoen als leidinggevenden, werknemers, leveranciers of klanten, wat het risico verhoogt op frauduleuze betalingen, diefstal van inloggegevens, accountovername, datalekken en verstoring van interne bedrijfsactiviteiten.

Omdat deze aanvallen misbruik kunnen maken van normale bedrijfsprocessen en vertrouwde relaties, hebben organisaties verificatieprocedures nodig die er niet van afhangen of een beller vertrouwd of overtuigend klinkt.

Wat is vishing?

Vishing is een vorm van phishing die via de telefoon of spraakberichten wordt uitgevoerd. Oplichters doen zich voor als vertrouwde personen of organisaties, zoals banken, werkgevers, overheidsinstanties of familieleden, om slachtoffers te misleiden zodat ze gevoelige informatie delen, geld overmaken of een andere actie ondernemen.

De naam komt van “voice” + “phishing”. Het is nauw verwant aan smishing, dat SMS- of tekstberichten gebruikt in plaats van spraakoproepen om soortgelijke oplichting uit te voeren.

Tegenwoordig kan vishing ook gebruikmaken van AI-stemklonen, waarmee oplichters de stem van een echt persoon kunnen imiteren en het gesprek overtuigender kunnen laten klinken.

Hoe werkt vishing?

Vishing werkt meestal door een combinatie van identiteitsfraude, social engineering en urgentie. Het vertrouwt op de druk van een live gesprek om iemand aan te zetten tot handelen voordat diegene de tijd heeft om een verzoek te verifiëren. Een beller kan zich voordoen als iemand van IT en vragen om inloggegevens te bevestigen, zich voordoen als een bankmedewerker die een verdachte transactie controleert, of zich voordoen als een leidinggevende die dringend een betaling goedgekeurd moet hebben.

In tegenstelling tot phishing-e-mails is er mogelijk geen verdachte koppeling, bijlage of onbekend e-mailadres van de afzender om te controleren. De beller kan rustig, overtuigend of zelfs vertrouwd klinken, vooral als er sprake is van AI-stemklonen.

Het doel is meestal om het slachtoffer over te halen inloggegevens of eenmalige codes te onthullen, een overboeking goed te keuren, de toegang tot het account te resetten of een normaal beveiligingsproces te omzeilen. In een zakelijke omgeving kan dat betekenen dat financieel personeel wordt misleid om een betaling te autoriseren, dat iemand zich voordoet als IT-ondersteuning om inloggegevens te verzamelen, of dat een werknemer wordt overtuigd om een aanvaller toegang te geven tot een bedrijfsaccount.

AI maakt vishing moeilijker te detecteren

Traditionele vishing-oplichting verraadde zichzelf vaak door slechte scripts, duidelijke bedreigingen, rumoerige callcenters of bellers die gewoon niet overtuigend klonken. Sommige doen dat nog steeds. Maar bedrijven kunnen stemkwaliteit, zelfverzekerdheid of vertrouwdheid niet langer beschouwen als betrouwbare tekenen dat een gesprek echt is.

AI-stemklonen maakt het mogelijk om echte mensen nauwkeurig genoeg te imiteren om geloofwaardige verzoeken te maken. Aanvallers kunnen een gekloonde stem combineren met het spoofen van nummerweergave en persoonlijke gegevens verzameld via LinkedIn, bedrijfswebsites, openbare interviews, sociale media of eerdere datalekken.

Dat maakt vertrouwde stemmen bijzonder riskant als vertrouwenssignaal. Mensen beoordelen bellers van nature op toon, zelfverzekerdheid, aarzeling of op de vraag of de stem klinkt als die van iemand die ze kennen. AI kan veel van die signalen reproduceren, waardoor een nagemaakte leidinggevende, collega, leverancier of IT-medewerker rustig, haastig, gezaghebbend of bezorgd klinkt.

In 2025 waarschuwde de FBI(nieuw venster) dat kwaadwillenden smishing en door AI gegenereerde spraakberichten gebruikten om zich voor te doen als hoge Amerikaanse functionarissen, vertrouwen op te bouwen en toegang te proberen te krijgen tot persoonlijke accounts.

Voor bedrijven hebben aanvallers geen perfecte imitatie nodig. Ze hebben alleen een gesprek nodig dat overtuigend genoeg is om een actie uit te lokken, zoals het goedkeuren van een betaling, het delen van een verificatiecode, het resetten van een wachtwoord of het wijzigen van de accounttoegang.

Daarom moeten gevoelige verzoeken worden geverifieerd via een ander vertrouwd kanaal, zelfs wanneer de beller precies klinkt als iemand die de werknemer kent.

Veelvoorkomende vishing-voorbeelden gericht op bedrijven

Vishing werkt het beste wanneer het verzoek aannemelijk voelt. Aanvallers kiezen vaak scenario’s die passen bij normale bedrijfsroutines en voegen er vervolgens urgentie aan toe. Hier zijn veelvoorkomende vishing-voorbeelden:

Identiteitsfraude van IT-ondersteuning

Een veelvoorkomend scenario is identiteitsfraude van IT-ondersteuning. Een werknemer ontvangt een gesprek van iemand die beweert van de helpdesk van het bedrijf, de softwareleverancier of het beveiligingsteam te zijn. De beller kan zeggen dat er een inlogprobleem is, een dringende update, verdachte activiteit of een migratie waarvoor de werknemer inloggegevens moet bevestigen of een eenmalige code moet voorlezen.

Identiteitsfraude van de financiële afdeling

Identiteitsfraude van de financiële afdeling is een ander patroon met een hoog risico. Een beller doet zich voor als de CEO, CFO, een leidinggevende of een vertrouwde leverancier die vraagt om een betaling snel te verwerken. De druk kan worden geframed als vertrouwelijk, tijdsgevoelig of gekoppeld aan een deal, factuur, belastingprobleem of leveranciersprobleem.

Fraudegesprekken uit naam van de bank

Oproepen over bankfraude komen ook vaak voor. De beller beweert van de bank van het bedrijf te zijn en waarschuwt voor verdachte transacties. De werknemer wordt gevraagd om gegevens te bevestigen, een beveiligingsstap goed te keuren, geld over te maken of informatie te verstrekken waarmee de aanvaller later toegang tot het account kan krijgen.

Identiteitsfraude van overheidsinstanties

Identiteitsfraude van overheidsinstanties kan ook bedrijven treffen. Oproepen met betrekking tot His Majesty’s Revenue and Customs (HMRC), de Britse belastingdienst, komen vaak genoeg voor dat de HMRC een speciale route biedt om verdachte telefoongesprekken te melden(nieuw venster). Een beller kan belastingdeadlines, btw, salarisadministratie, boetes, terugbetalingen of onderzoeken noemen om urgentie te creëren.

Identiteitsfraude van leveranciers en klanten

Er zijn ook gesprekken waarbij de identiteit van leveranciers en klanten wordt aangenomen. Een crimineel kan zich voordoen als een leverancier die betalingsgegevens wijzigt, een klant die toegang tot een portaal vraagt, of een partner die om een documentkoppeling vraagt. Het gesprek vraagt mogelijk niet meteen om geld. Het kan er alleen op gericht zijn informatie te verzamelen voor een latere aanval.

Het verband met inloggegevens

Vishing eindigt vaak bij inloggegevens, zelfs als het begint als een gesprek. Een aanvaller kan rechtstreeks om een wachtwoord vragen, maar veel vishing-pogingen zijn subtieler. De beller kan een werknemer vragen om een gebruikersnaam te bevestigen, een verificatiecode voor te lezen, een melding voor twee-factor-authenticatie (2FA) goed te keuren of aan te melden op een nepportaal terwijl de beller aan de lijn blijft.

Zodra inloggegevens zijn gelekt, hangt de schade af van wat die inloggegevens kunnen ontgrendelen. Een hergebruikt wachtwoord kan de aanvaller bijvoorbeeld toegang geven tot meer dan één dienst. Gedeelde inloggegevens kunnen het moeilijker maken om te weten wie het account heeft gebruikt, en het ontbreken van een 2FA-vereiste kan een wachtwoord als enige barrière overlaten. Een account met te veel rechten kan één succesvol gesprek omzetten in bredere toegang.

Een goede hygiëne qua inloggegevens is een essentieel onderdeel van het voorkomen van vishing-aanvallen. Unieke wachtwoorden voor elke dienst beperken hoe ver een gestolen wachtwoord kan komen. Een zakelijke wachtwoordbeheerder vermindert de noodzaak voor werknemers om wachtwoorden te onthouden of te hergebruiken, en een ingebouwde wachtwoordgenerator⁠ maakt het veel gemakkelijker om sterke, unieke wachtwoorden te maken voor elk account. Veilig delen houdt inloggegevens buiten telefoongesprekken, chats en documenten. 2FA voegt nog een barrière toe wanneer een wachtwoord in gevaar is gebracht.

Waarom gelekte gegevens vishing overtuigender maken

Een vishing-gesprek is overtuigender wanneer de aanvaller al iets weet over het bedrijf. Die informatie kan afkomstig zijn uit openbare bronnen: functietitels, leveranciers, leidinggevenden, bedrijfsstructuur, persberichten, berichten op sociale media, conferentievideo’s, podcasts of profielen van werknemers.

Het kan ook afkomstig zijn van gelekte of gestolen gegevens, waaronder e-mailadressen, telefoonnummers, accountgegevens, gelekte inloggegevens of interne documenten.

Onze Data Breach Observatory⁠ toont aan hoe gelekte gegevens risico’s kunnen opleveren die verder gaan dan de oorspronkelijke schending. Een crimineel heeft alleen een telefoonnummer, een functietitel, een leveranciersnaam en een oud wachtwoord nodig om geloofwaardig over te komen.

Werknemers kunnen gegevens elders hebben hergebruikt, leveranciers kunnen in gevaar zijn gebracht, of aanvallers kunnen meerdere openbare en gelekte bronnen combineren om een geloofwaardig verhaal op te bouwen. In de praktijk moeten bedrijven gelekte gegevens behandelen als brandstof voor toekomstige oplichting. Hoe meer een aanvaller weet, hoe minder het gesprek willekeurig klinkt.

Hoe u een verdacht gesprek kunt verifiëren

Als u achterdochtig bent, beëindig dan het gesprek en verifieer zelf of het verzoek echt was. Vishing is ervan afhankelijk dat u aan de lijn blijft en moedigt u aan om nu te antwoorden en nu te handelen. Verificatie werkt alleen wanneer de werknemer kan onderbreken, die druk achter zich kan laten en terug kan keren via een kanaal dat het bedrijf al vertrouwt.

Voor elk verzoek met betrekking tot inloggegevens, betalingen, 2FA-codes, toegang op afstand, bankgegevens, accountherstel of wijzigingen van machtigingen, beëindigt u het gesprek en controleert u het verzoek afzonderlijk. Dat kan betekenen dat u de persoon terugbelt via het telefoonboek van het bedrijf, contact opneemt met de bank via het nummer op de officiële website, een interne IT-ticket opent of de leveranciersgegevens controleert die al in de administratie van het bedrijf zijn opgeslagen.

Het terugbelnummer mag nooit afkomstig zijn van de beller. Nummerweergave is ook niet voldoende, omdat nummers kunnen worden gespooft. Het gaat erom terug te keren naar een vertrouwde bron, in plaats van een gesprek voort te zetten dat de aanvaller mogelijk controleert.

Legitieme leidinggevenden, leveranciers, banken en IT-teams moeten verificatie verwachten voor gevoelige verzoeken. Een beller die agressief wordt, geheimhouding eist of een terugbelverzoek weigert, geeft de werknemer een reden om te stoppen, niet een reden om sneller te handelen.

Bouw vishing-bewustzijn op rond tactieken, niet rond scripts

Bewustwordingstraining voor vishing moet mensen niet alleen leren een lijst met oplichtingszinnen te herkennen. Scripts veranderen snel. De manipulatiepatronen zijn stabieler.

Werknemers moeten leren de tactieken achter het gesprek te herkennen, niet alleen het script. Ze hebben ook eigen tactieken nodig om op terug te vallen als ze het niet zeker weten:

  • Als een beller hen een gehaast of angstpig gevoel geeft, of het gevoel geeft dat ze verantwoordelijk zijn om iets onmiddellijk op te lossen, is dat een tactiek, geen bewijs van urgentie. Een beller kan beweren een leidinggevende, een onderzoeker van bankfraude, een belastingdienst, een leverancier of een lid van het beveiligingsteam te zijn. Het verhaal kan veranderen, maar de druk ziet er vaak vergelijkbaar uit: handel nu, houd dit vertrouwelijk, vertrouw op mijn gezag en omzeil de gebruikelijke controles.
  • Training moet ook AI-stemklonen omvatten. De boodschap moet duidelijk zijn zonder paniek te zaaien: een vertrouwde stem is niet voldoende om een riskante actie te autoriseren. Werknemers moet worden geleerd dat ze het recht hebben om te onderbreken. Als een beller vraagt om een betaling, inloggegevens, een code, een toegangswijziging of een dringende tijdelijke oplossing, is de veilige reactie om het gesprek te stoppen, een paar minuten te vragen en het verzoek te verifiëren via een bekend nummer of een ander vertrouwd kanaal.
  • Een veilige zin, terugbelregel of geschreven goedkeuringsworkflow is betrouwbaarder dan proberen te beoordelen of iemand “vreemd” klinkt. Geen enkel legitiem dringend verzoek mag mislukken vanwege een korte vertraging die wordt gebruikt voor verificatie.

Wat u moet doen na een vermoedelijk vishing-gesprek

Een vermoedelijke poging tot telefonische phishing moet snel worden gemeld, zelfs wanneer er geen geld is verzonden en er geen wachtwoord is gedeeld. Bijna-incidenten zijn nuttig omdat ze tonen op welke werknemers, leveranciers of processen aanvallers zich mogelijk richten.

De eerste stap is het vastleggen van de gegevens:

  • Tijdstip van het gesprek
  • Weergegeven nummer
  • Beweerde identiteit van de beller
  • Gevraagde actie
  • Genoemde namen
  • Betrokken systemen
  • Of er informatie is gedeeld.

Zorg ervoor dat er geen contact meer wordt opgenomen met het nummer dat door de beller is opgegeven.

Als inloggegevens, eenmalige codes, betalingsgegevens of toegang op afstand zijn gedeeld, behandel dit dan als dringend:

  • Reset getroffen wachtwoorden
  • Trek sessies in waar mogelijk
  • Controleer accountactiviteit
  • Dwing 2FA af
  • Controleer of hetzelfde wachtwoord ergens anders is gebruikt.

Hoe Proton Pass for Business het risico op diefstal van inloggegevens helpt verminderen

Vishing is een menselijke aanval, maar de schade hangt vaak af van de controle op inloggegevens, zoals wachtwoorden, gedeelde toegang en accountbeveiliging. Een zakelijke wachtwoordbeheerder zoals Proton Pass for Business helpt teams het risico te verminderen dat één succesvol gesprek leidt tot bredere toegang.

Werknemers kunnen via de ingebouwde wachtwoordgenerator⁠ van Proton Pass sterke, unieke wachtwoorden genereren voor elke dienst, deze opslaan in versleutelde kluizen, automatisch aanvullen gebruiken, inloggegevens veilig delen, passkeys beheren en ingebouwde tweestapsverificatie gebruiken.

Dit is waardevol voor vishing-bescherming, want zelfs als een aanvaller uw wachtwoord achterhaalt tijdens een gesprek, kan deze nog steeds niet in het account komen zonder de tweede factor. Proton Pass bevat ook Pass Monitor met Dark Web Monitoring, wat u waarschuwt als uw e-mailadres voorkomt in een bekend datalek, zodat u weet wanneer inloggegevens mogelijk al in gevaar zijn gebracht.

Proton Pass geeft bedrijven ook een veiligere standaard voor dagelijkse toegang. Wanneer werknemers een goedgekeurde manier hebben om inloggegevens op te slaan en te delen, zou een beller die hen vraagt een wachtwoord voor te lezen of toegang via chat te verzenden, onmiddellijk ongebruikelijk moeten aanvoelen.

Maak telefonische verzoeken standaard verifieerbaar

Vishing werkt omdat de stem onmiddellijk en persoonlijk voelt. Een beller kan zelfverzekerd, vertrouwd, behulpzaam of gezaghebbend klinken. AI-stemklonen maakt dat vertrouwen nog minder betrouwbaar. Bedrijven hebben een gewoonte van verificatie nodig die niet afhangt van hoe overtuigend de beller klinkt.

De belangrijkste regels zijn eenvoudig: deel geen inloggegevens tijdens een gesprek, keur ongebruikelijke betalingen niet goed op basis van alleen een telefonisch verzoek, en vertrouw nummerweergave niet als bewijs van identiteit. Hang op, verifieer via een bekend kanaal en documenteer alles wat verdacht is.

Voor kmo’s kan het proces eenvoudig blijven. Gevoelige verzoeken moeten een terugbelregel hebben, betalingen en toegangswijzigingen moeten bevestiging via een ander kanaal vereisen, en werknemers moeten op de hoogte zijn van de gezags- en urgentietactieken die vishing overtuigend maken. Inloggegevens moeten ook in een zakelijke wachtwoordbeheerder blijven, waar wachtwoorden uniek zijn, veilig worden gedeeld en gemakkelijker te roteren zijn als een gesprek leidt tot lekken.

Voice phishing zal blijven evolueren, vooral omdat AI identiteitsfraude goedkoper en overtuigender maakt. De verdediging is om elk gevoelig verzoek verifieerbaar te maken voordat iemand handelt.

Bescherm uw zakelijke inloggegevens tegen voice phishing met een zakelijke wachtwoordbeheerder⁠.