Phishingaanvallen blijven effectief

Dat blijkt uit het nieuwste onderzoek van cybersecuritybedrijf KnowBe4 over phishing-simulaties in het derde kwartaal van 2025. Bijna 90% van de meest aangeklikte e-mails bevatte een intern onderwerp, terwijl in bijna de helft van de gevallen naar HR werd verwezen. De geloofwaardigheid van de berichten nam toe wanneer de naam van het bedrijf van de ontvanger in de onderwerpregel stond. De meest aangeklikte onderwerpen waren:

• ‘Google: Document shared with you – [bedrijfsnaam] IT Help Desk Info’ (13,2%)
• ‘MS Teams: Strategic Planning’ (12,5%)
• ‘Possible Typo’ (10,2%)
• ‘HR: vacation’ (9,7%)

Naast interne afzenders bleken ook bekende merken een effectief middel om gebruikers te misleiden. Bijna 70% van de landingspagina’s waar slachtoffers terechtkwamen, bevatte logo’s of visuele elementen van bekende bedrijven. Microsoft werd het meest nagebootst, gevolgd door LinkedIn, X (voorheen Twitter), Okta en Amazon.

Echte phishingaanvallen volgen hetzelfde patroon

De trends uit de simulaties komen overeen met daadwerkelijke phishingaanvallen. Uit een analyse van de tien meest gemelde aanvallen – gemeld via de Phish Alert Button – bleek dat ook hier interne of merkgerelateerde thema’s dominant waren. De top drie bestond uit:

• Microsoft: Reserve Your Attendance
• IT: Copilot AI License Activation
• FedEx: Reschedule Your Delivery

Klikgedrag en veelgebruikte methodes

Van de 20 meest aangeklikte hyperlinks in de simulaties had 81,8% een intern thema, terwijl 65,5% gebruikmaakte van domeinspoofing. Bij bijlagen waren PDF’s het meest populair (56,1%), gevolgd door Word-documenten (24,5%) en HTML-bestanden (19,3%). Ook QR-codes bleken effectief: zeven van de tien meest gescande codes verwezen naar HR-gerelateerde onderwerpen.

“Wanneer een bericht routineus lijkt – bijvoorbeeld afkomstig van HR of IT – zijn gebruikers minder geneigd om het in twijfel te trekken,” zegt Erich Kron, CISO-adviseur bij KnowBe4. “Het feit dat deze trend kwartaal na kwartaal aanhoudt, laat zien dat dit niet alleen gaat om het misleiden van gebruikers, maar om het begrijpen van menselijk gedrag. Precies daarom richt het platform van KnowBe4 zich op zowel training als gedragsverandering om duurzame weerbaarheid op te bouwen.”

Meer informatie is beschikbaar in Q3 2025 KnowBe4 Simulated Phishing Roundup.