Medewerker klikt op een phishinglink: dit doe je het eerste uur

Iemand op kantoor komt naar je toe. Rood hoofd. “Ik denk dat ik net op iets verkeerds heb geklikt.” Een mail die eruitzag als een gedeeld document van een collega, een inlogscherm dat precies op dat van Microsoft leek, en toen pas het gevoel dat er iets niet klopte.

Het eerlijke antwoord op wat je dan moet doen: reset direct het wachtwoord, verbreek alle actieve sessies van dat account en controleer of er doorstuurregels in de mailbox zijn aangemaakt. In die volgorde, binnen het uur. Klikken op een link is op zichzelf zelden het probleem. Het probleem ontstaat als er daarna inloggegevens zijn ingevuld, want dan zit iemand anders vanaf dat moment in jouw mailbox.

Hieronder staat het stappenplan dat wij bij klanten aanhouden, hoe je controleert of er echt iets is gebeurd, en wanneer het een datalek wordt dat je moet melden.

Het eerste uur: acht stappen op volgorde

Ga niet eerst uitzoeken hoe erg het is. Sluit eerst de deur, kijk daarna rond. Deze volgorde kost ongeveer twintig minuten in Microsoft 365.

1. Blijf rustig en zeg dat tegen de medewerker. Wie bang is voor gedoe, meldt de volgende keer niets. Dat is duurder dan de aanval zelf.
2. Reset het wachtwoord van het betrokken account. Doe dit vanuit het beheerdersaccount, niet vanaf de laptop van de medewerker.
3. Verbreek alle actieve sessies. Een wachtwoordreset alleen is niet genoeg: een gestolen sessietoken blijft anders geldig. In Microsoft 365 doe je dat via de gebruikerskaart met “sessies intrekken”.
4. Controleer de doorstuurregels van de mailbox. Dit is de stap die het vaakst wordt overgeslagen en die er het meest toe doet. Zie de volgende paragraaf.
5. Bekijk de verzonden items en de map met verwijderde items. Is er in jouw naam gemaild naar klanten of naar de boekhouding?
6. Controleer de aanmeldingslogboeken. Zijn er logins vanaf een onbekend land of een onbekend IP-adres, en zijn die geslaagd?
7. Zet multi-factor authenticatie aan als dat nog niet stond. Voor iedereen, niet alleen voor deze medewerker.
8. Waarschuw je collega’s. Dezelfde mail ligt vrijwel zeker in meerdere postvakken.

Ging het om een link zonder inlogscherm, bijvoorbeeld een bijlage of een download, dan verschuift het zwaartepunt naar het apparaat: laptop loskoppelen van het netwerk en laten scannen. In de praktijk is de mailbox veel vaker het doelwit dan de laptop.

Waarom die doorstuurregel het echte probleem is

Wie eenmaal in een zakelijke mailbox zit, verandert daar meestal niets zichtbaars aan. Wat hij wel doet: een regel aanmaken die alle binnenkomende mail met woorden als “factuur”, “IBAN” of “betaling” automatisch doorstuurt naar een extern adres en meteen in een map wegzet. De medewerker merkt niets. Weken later gaat er een factuur de deur uit met een gewijzigd rekeningnummer.

Dat is het patroon waar Nederlandse MKB-bedrijven daadwerkelijk geld op verliezen. Niet versleutelde bestanden en een losgeldbrief, maar een betaling van een paar duizend euro naar de verkeerde rekening. En omdat je die betaling zelf hebt goedgekeurd, is de kans op terugboeken klein.

Daarom: kijk altijd bij de regels in de mailbox, ook als de medewerker zegt dat hij “alleen even had geklikt en toen het scherm heeft weggeklikt”. Controleer het bij twijfel ook een week later nog een keer.

Wanneer is dit een datalek en moet je het melden?

Zodra iemand toegang heeft gehad tot persoonsgegevens in die mailbox, is er sprake van een datalek. En in een zakelijke mailbox zitten vrijwel altijd persoonsgegevens: klantnamen, adressen, telefoonnummers, soms cv’s of ziekmeldingen.

De hoofdregel: een datalek meld je binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens, tenzij het risico voor de betrokkenen verwaarloosbaar is. Die afweging leg je vast, ook als je besluit niet te melden. Dat vastleggen is verplicht en het is precies waar het in de praktijk misgaat.

Praktisch betekent dit: schrijf op wat er gebeurd is, wanneer je het ontdekte, welke stappen je hebt gezet en op welk tijdstip. Een simpel document met datum en tijd is genoeg. Zonder dat document heb je achteraf niets.

Sinds 15 augustus 2026 telt aantoonbaarheid dubbel

Op 15 augustus 2026 is de Cyberbeveiligingswet in werking getreden, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Ongeveer 8.000 organisaties in achttien sectoren vallen er rechtstreeks onder, zonder overgangsperiode.

De meeste MKB-bedrijven vallen er niet zelf onder. Maar wie levert aan een ziekenhuis, een netbeheerder, een vervoerder of de overheid, krijgt de eisen via het contract doorgeschoven. En dan gaat de vraag niet over of je aan beveiliging doet, maar over of je het kunt laten zien. Een incidentlog met tijdstippen, een maandelijks trainingsrapport en een overzicht van je toegangsregels zijn dan bewijsstukken. Meer daarover staat in ons artikel over de Cyberbeveiligingswet en het MKB.

Wat een klik je kost, en wat voorkomen kost

Reken het eens door voor een bedrijf van acht medewerkers. Eén geslaagde factuurfraude komt in de praktijk al snel neer op een paar duizend euro, plus de uren die je kwijt bent aan uitzoeken, klanten informeren en je administratie corrigeren. Het herstellen van vertrouwen bij een klant die naar het verkeerde rekeningnummer heeft overgemaakt staat op geen enkele factuur, maar kost het meest.

Daar tegenover: security awareness training kost 2,00 euro per medewerker per maand, exclusief btw. Voor acht mensen is dat 16 euro per maand, oftewel 192 euro per jaar. Het percentage medewerkers dat op een neplink klikt halveert in de praktijk meestal binnen drie maanden. Een zakelijke wachtwoordmanager komt daar vanaf 3,75 euro per gebruiker per maand bij en zorgt dat één gestolen wachtwoord niet meteen de sleutel tot alles is.

Wij verdienen aan beide diensten, dus wees kritisch op dit advies. Maar de nuchtere rekensom is dat 192 euro per jaar aan training zich terugverdient op het moment dat het één keer níet misgaat. En multi-factor authenticatie, de maatregel die de meeste aanvallen tegenhoudt, zit in elk Microsoft 365-pakket en kost je niets extra. Zet die vandaag aan.

Zo voorkom je de volgende keer

Na het opruimen komt het saaie deel, en dat is het deel dat werkt. Drie dingen, in deze volgorde.

• Multi-factor authenticatie verplicht voor iedereen. Zonder uitzonderingen voor de directie, want juist die accounts zijn het doelwit.
• Wachtwoorden uit WhatsApp en Excel. Zolang het wachtwoord van de webshop in een groepsapp staat, is de rest cosmetica.
• Doorlopende training in plaats van één sessie per jaar. Korte maandmodules met af en toe een oefen-phishingmail werken beter dan een middag met een spreker. Hoe dat er in de praktijk uitziet lees je in phishing voorkomen in het MKB.

Wil je weten wat de hele set aan maatregelen kost, dan hebben we dat uitgerekend in ons artikel over e-mailbeveiliging voor het MKB.

PC Patrol doet dit sinds 2010 en heeft ruim 855 domeinen in beheer. Zit je middenin zo’n uur en weet je niet wat je moet doen, bel dan gewoon. Op werkdagen tussen 9 en 17 uur krijg je via telefoon, WhatsApp of mail een mens aan de lijn dat weet hoe jouw omgeving in elkaar zit. Geen ticketnummer, geen script.

Veelgestelde vragen over klikken op een phishinglink