Phishing: wat één klik echt kost voor een Belgische kmo

Op een maandagochtend ontvangt een medewerker een « dringende » e-mail: een onbetaalde factuur, een pakje dat wacht, een wachtwoord dat verloopt. Hij klikt, geeft zijn inloggegevens in op een pagina die sprekend lijkt op die van Microsoft 365 — en het kwaad is geschied. Voor een Belgische kmo kan zo'n handeling van enkele seconden uitmonden in weken van ontwrichting. Hier leest u wat één klik echt kost, en vooral hoe u dat vermijdt.

Een dreiging die niet afneemt

De cijfers van het Centrum voor Cybersecurity België (CCB) spreken voor zich: in het eerste kwartaal van 2026 werden meer dan 3,6 miljoen phishingmeldingen ontvangen, goed voor gemiddeld meer dan 40 000 per dag — een stijging van meer dan 50% ten opzichte van het dagelijkse gemiddelde van 2025. Het CCB vermoedt bovendien dat de werkelijkheid hoger ligt, omdat niet iedereen verdachte berichten meldt. Ook kmo's blijven niet gespaard: aanvallers mikken minder op één specifiek bedrijf dan op een menselijke zwakke plek, die overal aanwezig is.

Wat één enkele klik kan veroorzaken

Een geslaagde phishingmail opent zelden maar één deur. Afhankelijk van het scenario kan ze leiden tot:

• diefstal van inloggegevens: de aanvaller krijgt toegang tot de mailbox, de cloud of de bedrijfstools van een medewerker;
• betalingsfraude: valse facturen of valse wijzigingen van bankgegevens, verstuurd vanuit een echte mailbox naar uw klanten of leveranciers;
• ransomware: een besmet bestand versleutelt uw gegevens en blokkeert de activiteit tot herstel;
• een lek van persoonsgegevens, met een meldingsplicht aan de Gegevensbeschermingsautoriteit binnen 72 uur in het kader van de AVG.

Wereldwijd schat de studie « Cost of a Data Breach 2025 » van IBM de gemiddelde kost van een datalek op 4,44 miljoen dollar, en rangschikt ze phishing onder de belangrijkste toegangswegen voor inbraken. Dat gemiddelde betreft vooral grote organisaties en ligt ver boven wat een kmo zal ondergaan — maar het geeft de grootteorde van een slecht beheerd incident aan.

De echte kost voor een kmo

Het bedrag van een eventueel losgeld of een omgeleide betaling is slechts het zichtbare deel. De echte kost bestaat ook uit:

• stilgelegde activiteit: onbruikbare werkposten, geblokkeerde facturatie, teams die wachten;
• hersteltijd: analyse, wijziging van alle wachtwoorden, herstel van back-ups;
• geschaad vertrouwen: een klant van wie de gegevens gelekt zijn, een leverancier naar wie een valse factuur gestuurd werd;
• wettelijke en contractuele verplichtingen: AVG-melding, maar ook cybersecurity-eisen opgelegd door klanten die onder NIS2 vallen.

Voor een kleine structuur zonder interne IT-dienst volstaan enkele dagen stilstand om zwaar door te wegen op het boekjaar.

Waarom techniek alleen niet volstaat

Spamfilters, multifactorauthenticatie en geïsoleerde back-ups zijn onmisbaar: ze verminderen sterk het aantal berichten dat uw teams bereikt en beperken de schade wanneer er toch één doorheen glipt. Maar phishingberichten worden elk jaar verzorgder, persoonlijker en geloofwaardiger. Geen enkele filter houdt alles tegen — en het is een mens, geen software, die uiteindelijk beslist om te klikken.

Sensibiliseren is de meest rendabele investering

Een opgeleid team dat zich op zijn gemak voelt om een twijfel te melden, blijft de beste verdediging. Concreet:

• organiseer een phishingsimulatie: een onschuldig nepbericht meet het echte klikpercentage, zonder sancties, en laat toe de sensibilisering gericht in te zetten;
• train in korte, regelmatige sessies in plaats van één grote jaarlijkse opleiding die snel vergeten is;
• installeer eenvoudige reflexen: het echte adres van de afzender controleren, wantrouwig zijn bij haast en druk, nooit een wachtwoord invoeren na een klik op een link, en elk ongewoon betalingsverzoek via een tweede kanaal bevestigen (bijvoorbeeld met een telefoontje);
• maak van melden een reflex zonder schaamte: hoe sneller het IT-team verwittigd wordt, hoe beperkter de schade. Verdachte berichten kunt u ook doorsturen naar suspect@safeonweb.be, het platform van het CCB.

Bij Gigaweb begeleiden wij kmo's bij hun IT-beveiliging en hun volledige infrastructuur: filtering van e-mails, multifactorauthenticatie, back-ups en sensibilisering van de teams, zodat een ongelukkige klik een incident zonder gevolgen blijft.