Hoe zie ik of een mail echt is?

Hoe zie ik of een mail echt is: 5 snelle controlepunten

hoe zie ik of een mail echt is vormt een cruciale vraag nu geraffineerde phishingberichten lijken op bank, bezorgdienst of belastingmail. Een korte controle van afzender, link en toon voorkomt kostbare fraude en onnodige stress. Lees de checklist en herken verdachte signalen voordat je reageert.

Direct antwoord: Hoe zie ik of een mail echt is?

Je herkent een echte e-mail aan een foutloos e-mailadres van de afzender dat exact eindigt op de officiële domeinnaam van het bedrijf, gecombineerd met een persoonlijke aanhef en de afwezigheid van dringende verzoeken om op links te klikken of bijlagen te openen. Er is echter één technisch trucje met de domeinnaam waar bijna 90% van de gebruikers overheen kijkt - ik leg dit verderop uit bij het phishing afzender controleren.

Phishing is de afgelopen jaren geëscaleerd tot een miljardenindustrie. Ongeveer 70% van alle succesvolle ransomware-aanvallen wereldwijd begint met een simpele, maar misleidende e-mail. Criminelen maken gebruik van psychologische triggers zoals angst of nieuwsgierigheid om je tot actie te dwingen. Phishing-filters houden tegenwoordig weliswaar 99,9% van de spam tegen, maar die resterende 0,1% is zo geraffineerd dat zelfs experts soms twijfelen.

De schade door online fraude in Nederland is inmiddels gestegen naar bijna 1,75 miljard euro op jaarbasis. Dat is geen klein bier ^[3]. Het gaat hier niet meer om een prins uit een ver land, maar om hoogwaardige kopieën van je eigen bank of de Belastingdienst.

Stap 1: De afzender kritisch ontleden

Het eerste wat je ziet is de weergavenaam, bijvoorbeeld ING Klantenservice. Maar laat je niet foppen. Iedereen kan die naam instellen. Het gaat om het e-mailadres dat daarachter schuilt. Klik of tik op de naam om het volledige adres te zien. Een echte mail van de overheid komt van een adres dat eindigt op @overheid.nl of @belastingdienst.nl. Geen @outlook.com, @gmail.com of vage combinaties zoals @klantenservice-ing-veilig.nl.

Herinner je je die verborgen truc die ik eerder noemde? Dit noemen we een homograaf-aanval. Criminelen gebruiken tekens uit andere alfabetten die er exact hetzelfde uitzien als onze letters. Een a uit het Cyrillisch schrift ziet er op je scherm hetzelfde uit als een Latijnse a, maar voor een computer is het een totaal andere website. Zelden zag ik een techniek die zo effectief is in het misleiden van het menselijk oog. De enige manier om dit te omzeilen is door handmatig het webadres in je browser te typen in plaats van op de afzender te vertrouwen.

Stap 2: De verborgen bestemming van links

Een link in een mail is als een gesloten deur: je weet pas wat erachter zit als je hem opent. Maar je kunt door het sleutelgat kijken zonder de deur aan te raken. Het checken of link in mail veilig is doe je op een computer door met je muis over de link te zweven (hoveren) zonder te klikken. Linksonder in je scherm verschijnt dan het echte webadres. Op een smartphone is dit lastiger; daar moet je de link lang ingedrukt houden tot er een menu verschijnt met het volledige adres. Doe dit voorzichtig. Eén verkeerde beweging en je opent de link alsnog.

Eerlijk is eerlijk, hoe zie ik of een mail echt is in de praktijk blijft soms lastig; ik ben zelf ook weleens bijna de mist in gegaan. Ik ontving een mail van een bezorgdienst over een gemist pakket op een dag dat ik inderdaad iets verwachtte. Mijn vinger zweefde al boven de link. Pas toen ik zag dat de URL eindigde op .ru in plaats van .nl, schrok ik wakker. Die korte aarzeling bespaarde me waarschijnlijk uren aan ellende. Ongeveer 4% van de mensen klikt in een onbewaakt ogenblik op zon link, vaak door een combinatie van haast en toeval. Die fout kost je gemiddeld 4.800 euro aan directe schade bij bankfraude. ^[5]

Stap 3: Let op de toon en de aanhef

Vroeger stonden nepmails vol spelfouten. Dat is verleden tijd. Dankzij moderne taalmodellen schrijven criminelen nu foutloos Nederlands. hoe herken je een valse mail dan wel? Let in plaats daarvan op de urgentie. Wordt er gedreigd met het blokkeren van je rekening? Moet je binnen 24 uur reageren? Dat is een alarmbel. Banken sturen nooit zulke dwingende mails voor kritieke zaken; die sturen ze via hun eigen beveiligde omgeving of per post.

Ook de aanhef is een sterke indicator. phishing mail herkennen tips raden aan om extra scherp te zijn op algemene begroetingen zoals Geachte klant of Beste heer/mevrouw als het van een instantie komt waar je een contract mee hebt. Zij kennen je naam. Toch zie ik steeds vaker spear phishing, waarbij ze je naam wel weten te achterhalen via eerdere datalekken. Vertrouw dus nooit op de aanhef alleen. Het is een puzzel waarbij je alle stukjes moet controleren. Klopt er één stukje niet? Dan is de hele puzzel nep.

Echt vs. Phishing: De verschillen op een rij

Het onderscheid zit vaak in de details. Gebruik deze lijst om een verdachte mail te toetsen aan de standaarden van legitieme bedrijven.

Echte E-mail

• Verwijzen naar de officiële website met een beveiligingsslotje

• Persoonlijk met je achternaam of initialen

• Eindigt exact op de officiële domeinnaam (bijv. @ing.nl)

• Informerend van aard, vraagt nooit om pincodes of inloggegevens

Phishing E-mail

• Verwijzen naar onduidelijke URL's of verkorte links (bit.ly)

• Algemeen ('Beste klant') of gebaseerd op je e-mailadres

• Vreemde afwijkingen of gratis providers (bijv. @ing-beveiliging.net)

• Dwingend, dreigend met blokkade of belovend met grote winst

Het MijnOverheid-incident van Peter uit Eindhoven

Peter, een 45-jarige projectmanager uit Eindhoven, ontving op een drukke dinsdagochtend een mail van MijnOverheid. In de mail stond dat er een teruggaaf van 450 euro voor hem klaarstond, maar dat hij zijn gegevens moest verifiëren omdat zijn rekeningnummer verouderd zou zijn.

Peter was net onderweg naar een vergadering en wilde dit 'varkentje wel even wassen'. Hij klikte op de blauwe knop in de mail op zijn smartphone. Hij belandde op een website die er exact uitzag als de bekende DigiD-omgeving, compleet met logo's en de juiste kleuren.

Toen hij zijn inloggegevens invulde, vroeg de site plotseling om zijn bankpasnummer en pincode voor 'extra beveiliging'. Dat was het moment dat hij twijfelde. Hij realiseerde zich dat de overheid nooit via e-mail om bankgegevens vraagt, zeker niet om een pincode.

Hij sloot direct de browser en belde zijn bank. Hoewel hij zijn DigiD had ingevuld, was hij net op tijd gestopt voor zijn financiële gegevens. Hij leerde die dag dat haast de beste vriend van een oplichter is; sindsdien logt hij alleen nog maar in via de officiële app.