Phishing simulatie laten uitvoeren: wat kun je verwachten?
Meer dan 90% van alle cyberaanvallen begint met een phishing-mail. Toch zijn phishing-simulaties bij veel organisaties nog geen standaard onderdeel van hun securityprogramma. Hoe werkt zo’n simulatie, wat levert het op en waar moet je op letten?
Wat is een phishing simulatie?
Bij een phishing simulatie verstuurt een beveiligingsspecialist nep-phishing mails naar medewerkers van uw organisatie — zonder dat zij dit van tevoren weten. De mails zien er realistisch uit: ze imiteren bekende merken, interne systemen of leveranciers. Klikken medewerkers op een link of voeren ze gegevens in? Dan wordt dat geregistreerd en gerapporteerd — zonder dat er echte schade optreedt.
Wat wordt er getest?
- Klikgedrag — hoeveel procent van medewerkers klikt op de phishing-link
- Data-invoer — hoeveel medewerkers voeren inloggegevens in op een nep-loginpagina
- Meldgedrag — hoeveel medewerkers rapporteren de verdachte mail aan IT of security
- Afdeling- en rolspecifieke kwetsbaarheid — zijn finance, HR of management kwetsbaarder?
Hoe ziet een phishing simulatie er in de praktijk uit?
- Intake en doelbepaling — We bespreken het doel: bewustwording, risicometing of compliance. We bepalen de scope (alle medewerkers, specifieke afdelingen) en het type phishing-scenario.
- Scenario-ontwikkeling — We bouwen realistische phishing-mails op maat: huisstijl van uw IT-afdeling, een nep-IT-helpdeskaanvraag, een valse factuurmelding of een gespoofte CEO-mail.
- Uitvoering — Mails worden verstuurd in een periode van enkele dagen tot twee weken, op verschillende tijdstippen.
- Meting en registratie — Elke klik, elke ingevulde pagina en elke melding wordt geregistreerd.
- Rapportage — U ontvangt een rapport met klikpercentages per afdeling, meest kwetsbare scenario’s en concrete aanbevelingen voor training en technische maatregelen.
Wat zijn realistische klikpercentages?
Zonder voorbereiding klikken gemiddeld 25–40% van medewerkers op een overtuigende phishing-mail. Na een goede awareness-training daalt dit naar 5–15%. Bij geavanceerde spear-phishing (gepersonaliseerde aanvallen) liggen klikpercentages hoger, ook bij getrainde medewerkers.
Verschil met een gewone phishing-test
Een simulatie is gecontroleerd, veilig en gericht op leren — er is geen echte schade mogelijk. Een echte phishing-aanval van criminelen heeft uiteraard wel reële gevolgen. De simulatie geeft u een eerlijk beeld van uw kwetsbaarheid vóórdat aanvallers dit uitbuiten.
Wat levert het op?
- Inzicht in uw werkelijke menselijke kwetsbaarheid
- Concrete input voor security awareness-training
- Voldoet aan de bewustwordingseisen van NIS2, ISO 27001 en BIO
- Meetbare verbetering mogelijk bij herhaling (voor/na-vergelijking)
FAQ
Mogen medewerkers niet boos worden?
Dit is een veelgestelde vraag. De simulatie is bedoeld om te leren, niet om te bestraffen. Communiceer dit vooraf duidelijk naar management — en zorg dat na de simulatie goede uitleg en training volgt, niet een beschuldigende mededeling.
Moet de OR instemmen?
In Nederland heeft de OR instemmingsrecht bij het invoeren van systemen die medewerkers monitoren. Een phishing simulatie valt in een grijs gebied — bespreek dit vooraf met uw juridisch adviseur of HR-afdeling.
Hoe vaak moet je een phishing simulatie uitvoeren?
Minimaal jaarlijks, bij voorkeur twee tot vier keer per jaar voor blijvend effect. Eenmalige simulaties leiden tot tijdelijke bewustwording die snel wegebt.
Phishing simulatie aanvragen · Meer over onze phishing-diensten
