Social engineering aanvallen in Nederland nemen snel toe. Een phishingmail die exact lijkt op een bericht van de bank. Een telefoontje van een ‘IT-collega’ die om een wachtwoord vraagt. Een nepfactuur van een ‘leverancier’ met gewijzigde rekeninggegevens. Dit zijn geen uitzonderingen meer, maar dagelijkse realiteit voor Nederlandse organisaties. Social engineering — het manipuleren van mensen in plaats van systemen — is uitgegroeid tot de meest gebruikte methode om bedrijven binnen te dringen. Voor crisismanagement en beveiligingsverantwoordelijken is de vraag niet meer óf een aanval plaatsvindt, maar wanneer, en hoe goed de organisatie daarop is voorbereid.
Wat is social engineering precies?
Social engineering is de verzamelnaam voor technieken waarbij aanvallers mensen manipuleren om vertrouwelijke informatie prijs te geven, geld over te maken of toegang te verlenen tot systemen. In tegenstelling tot technische hacks richt social engineering zich niet op kwetsbaarheden in software, maar op menselijk gedrag: vertrouwen, tijdsdruk, autoriteit en angst. Aanvallers doen zich voor als collega’s, leidinggevenden, IT-support of externe partijen om hun doel te bereiken. Omdat de zwakke schakel de mens is, en niet de firewall, zijn deze aanvallen vaak moeilijker te detecteren met technische middelen alleen.
De actuele dreiging in Nederland 2025/2026
De cijfers laten een duidelijke trend zien. De Fraudehelpdesk ontving in 2025 meer dan 480.000 meldingen van phishing, een stijging van 28 procent ten opzichte van 2024. Nederlandse e-mailproviders onderschepten dagelijks meer dan 12 miljoen phishingmails. De totale financiele schade door phishing in Nederland wordt geschat op 178 miljoen euro in 2025, opgebouwd uit directe diefstal via internetbankieren (55 miljoen euro), diefstal van inloggegevens met vervolgschade (78 miljoen euro) en zakelijke e-mailfraude (44 miljoen euro). CEO-fraude en Business Email Compromise (BEC) veroorzaakten daarbovenop naar schatting 97 miljoen euro schade. Voor het mkb is social engineering inmiddels de meest voorkomende manier waarop aanvallers voor het eerst toegang krijgen tot bedrijfsnetwerken: goed voor 38 procent van de incidenten, ruim voor ransomware (24 procent) en BEC (16 procent).
Veelvoorkomende vormen van social engineering
Social engineering kent veel verschijningsvormen, en de technieken ontwikkelen zich voortdurend. Phishing via e-mail blijft de meest gebruikte vorm, gevolgd door smishing (phishing via sms), dat in 2025 met 54 procent toenam. Vishing, social engineering via telefoongesprekken, groeide tussen de eerste en tweede helft van 2024 zelfs met 442 procent — vaak gericht op medewerkers van financiele afdelingen of helpdesks. Bij pretexting verzint de aanvaller een geloofwaardig scenario, bijvoorbeeld een audit of een dringende IT-storing, om vertrouwen te winnen. Baiting lokt slachtoffers met een aantrekkelijk aanbod, zoals een gratis download of een verloren USB-stick. CEO-fraude en BEC richten zich specifiek op medewerkers met betalingsbevoegdheid, vaak via een vervalste of gecompromitteerde e-mail van een leidinggevende. Tailgating, ten slotte, is de fysieke variant: iemand loopt zonder toegangspas mee een gebouw binnen door zich voor te doen als bezoeker of bezorger.
Waarom vooral het mkb kwetsbaar is
Onderzoek laat zien dat kleine bedrijven ruim drie keer vaker doelwit zijn van social engineering-aanvallen dan grote organisaties. Dit lijkt tegenintuitief, maar heeft een duidelijke verklaring: kleinere organisaties hebben vaak geen dedicated security-team, minder formele verificatieprocedures en platte hierarchieen waarin een verzoek van de ‘directeur’ zelden wordt tegengesproken. Aanvallers weten dit en zien het mkb als een aantrekkelijk doelwit met relatief lage instapdrempel en potentieel hoge opbrengst, zeker bij bedrijven die als toeleverancier toegang hebben tot grotere ketens.
AI en de nieuwe generatie aanvallen
Kunstmatige intelligentie verandert social engineering fundamenteel. Meer dan een derde van de social-engineeringincidenten in 2025 betrof AI-gerelateerde methoden, zoals SEO-poisoning of nepprompts die gebruikers naar kwaadaardige sites lokken. Europol waarschuwt daarnaast voor het gebruik van deepfake-audio en -video bij CEO-fraude: een stem die vrijwel niet van de echte leidinggevende te onderscheiden is, tijdens een telefoontje waarin een spoedbetaling wordt gevraagd. Ook geautomatiseerde, sterk gepersonaliseerde phishingcampagnes op basis van AI maken het voor medewerkers steeds moeilijker om een aanval te herkennen aan taalfouten of een onpersoonlijke toon — het klassieke controlemiddel valt daarmee grotendeels weg.
Effectieve maatregelen tegen social engineering
Technische maatregelen zoals e-mailfiltering, multi-factor-authenticatie en DMARC/SPF/DKIM-configuratie verminderen het aantal aanvallen dat medewerkers bereikt, maar zijn geen garantie. De belangrijkste verdedigingslinie blijft de mens zelf. Effectieve organisaties investeren in doorlopende, realistische bewustwordingstraining, inclusief gesimuleerde phishing- en vishing-oefeningen, in plaats van een jaarlijkse e-learning. Net zo belangrijk zijn heldere verificatieprotocollen voor betalingen en gevoelige verzoeken: een tweede, onafhankelijke bevestiging via een ander kanaal voordat geld wordt overgemaakt of toegang wordt verleend, ongeacht de schijnbare urgentie of autoriteit van de afzender. Een duidelijk meldproces, waarbij medewerkers zonder schaamte een verdachte e-mail of telefoontje kunnen melden, zorgt dat pogingen vroeg worden gesignaleerd. Tot slot hoort een geoefend incident-responsplan bij de basis: wie wordt gewaarschuwd, welke stappen worden gezet, en hoe wordt de schade beperkt zodra een aanval raak is.
Conclusie: lessen voor crisismanagement
Social engineering is geen incident dat je met een enkele technische maatregel oplost, maar een continu risico dat inspeelt op menselijk gedrag. Voor crisismanagement betekent dit dat voorbereiding verder moet gaan dan IT-beleid alleen: het vereist trainingen, verificatieprotocollen, een cultuur waarin melden vanzelfsprekend is, en een geoefend draaiboek voor het moment dat een aanval toch slaagt. Organisaties die deze basis op orde hebben, beperken niet alleen de kans op een geslaagde aanval, maar ook de schade en hersteltijd wanneer het toch misgaat.