Voorbeelden van social engineering: 15 aanvallen en hoe je ze kunt stoppen

Social engineering is, volgens het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA), een aanval waarbij "Een aanvaller gebruikt menselijke interactie (sociale vaardigheden) om informatie over een organisatie of haar computersystemen te verkrijgen of te compromitteren."Het werkt omdat het zich richt op mensen, niet op software. Het Data Breach Investigations Report 2026 van Verizon concludeerde dat... Bij 62% van de inbreuken speelde de menselijke factor een rol., een stijging ten opzichte van 60% het jaar ervoor.

Hieronder vind je 15 voorbeelden van social engineering, verdeeld over 3 sets van 5. Elk voorbeeld bevat een waarschuwingssignaal en een actie die je kunt ondernemen om de aanval te stoppen. Set 1 behandelt phishing, set 2 pretexting en impersonatie, en set 3 fysieke aanvallen en lokacties. Elke set eindigt met een Onze keuze, het voorbeeld dat we als eerste zouden trainen, met een korte toelichting van één regel.

Alle onderstaande voorbeelden van bedrijven, personen en berichten zijn fictief.

Set 1: De phishingfamilie

1. E-mailphishing. Een bericht dat eruitziet alsof het van een bank, een leverancier of uw eigen IT-team komt, vraagt ​​u om op een link te klikken en in te loggen. CISA zegt dat phishingaanvallen gebruikmaken van e-mail of kwaadwillende websites om Persoonlijke informatie verzamelen door zich voor te doen als een betrouwbare organisatie.. Rode vlag: een afzenderadres dat een echt bedrijf nabootst, een algemene begroeting zoals "Geachte klant", of een link waarvan het adres niet overeenkomt met de tekst wanneer je er met de muis overheen gaat. Stop: Klik niet. Ga zelf naar de website door het adres in te typen, of meld het bericht.
2. Spear phishing. Dezelfde truc, maar dan gericht op één persoon. De afzender gebruikt jouw naam, de naam van je manager en een project waar je daadwerkelijk aan werkt, die vervolgens uit openbare gegevens kunnen worden afgeleid. Rode vlag: Een verzoek dat opvallend specifiek maar toch ongebruikelijk is, zoals "stuur me het Atlas-contract vandaag nog". Stop: Vraag de afzender via een ander kanaal, bijvoorbeeld door te bellen naar een nummer dat je al hebt.
3. Smerend. Phishing via sms. CISA beschrijft smishing Het gaat om social engineering waarbij sms-berichten worden misbruikt met links, nummers of adressen die, wanneer erop getikt wordt, een browser openen of een telefoongesprek starten. Rode vlag: Een bericht met de tekst "pakket in afwachting" of "account geblokkeerd" met een korte link. Stop: Verwijder het en open zelf de echte app of website.
4. Vingen. Phishing via de stem. CISA waarschuwt. visen Het maakt gebruik van spraakoproepen en de beller-ID kan worden vervalst, dus een oproep met een bekende naam bewijst niets. Rode vlag: Een beller die druk uitoefent en om een ​​code of wachtwoord vraagt. Stop: Hang op en bel terug naar het nummer dat op een afschrift of de website van het bedrijf staat vermeld.
5. QR-code phishing. Een QR-code verbergt het adres waarnaar deze verwijst. De FBI heeft gewaarschuwd voor... ongevraagde pakketten met een QR-code die de ontvanger om persoonlijke en financiële informatie vraagt ​​of software installeert die gegevens steelt. Rode vlag: Een onverwachte code, zonder afzenderinformatie. Stop: Scan geen QR-codes van onbekende herkomst.

Onze keuze: voorbeeld 4, vishing. Verizon ontdekte dat in phishing-simulaties de gemiddelde klikfrequentie in Mobielgerichte communicatiemiddelen zoals spraak- en tekstberichten waren 40% hoger. dan via e-mail. Mensen hebben sneller geleerd e-mail te wantrouwen dan een telefoongesprek.

Set 2: Voorwendsels en imitatie

Verizon definieert pretexting als een aanvalstactiek waarbij Een vertrouwensrelatie wordt opgebouwd door middel van verzonnen scenario's. Het doel is om gebruikers te verleiden tot acties die de organisatie in gevaar brengen, vaak via de telefoon, maar ook via e-mail of sms. Deze vormde 6% van alle datalekken in het rapport van 2026, tegenover 16% voor phishing.

6. CEO-fraude en compromittering van zakelijke e-mailaccounts. Het Internet Crime Complaint Center (IC3) van de FBI definieert zakelijke e-mailcompromis (BEC) Het is een vorm van oplichting die zich richt op bedrijven en via gecompromitteerde e-mailaccounts en andere communicatiemiddelen ongeautoriseerde geldoverboekingen veroorzaakt. In 2025 registreerde IC3 24,768 klachten over BEC en ongeveer 3.05 miljard dollar aan gemelde verliezen. Rode vlag: Een dringend verzoek van een hoge leidinggevende om te betalen of cadeaubonnen te kopen, met de waarschuwing: "Vertel het aan niemand." Stop: Bevestig elk betalingsverzoek telefonisch of persoonlijk.
7. Nep-IT-ondersteuning. Iemand beweert van de helpdesk te zijn en heeft uw wachtwoord of toegang op afstand nodig "om een ​​probleem op te lossen". IC3 heeft dit ontvangen. 47,794 klachten over technische ondersteuning in 2025met gerapporteerde verliezen van meer dan 2.1 miljard dollar. Rode vlag: De IT-afdeling neemt eerst contact met u op en vraagt ​​om een ​​wachtwoord of een eenmalige code. Stop: Echte IT-teams hebben je wachtwoord niet nodig. Hang op en dien een ticket in via de gebruikelijke procedure.
8. Wijziging in de leveranciersfactuur. Een e-mail, ogenschijnlijk afkomstig van een vaste leverancier, meldt dat de bankgegevens zijn gewijzigd. De BEC-definitie van IC3 omvat oplichtingspraktijken die gericht zijn op bedrijven die met leveranciers samenwerken en regelmatig bankoverschrijvingen uitvoeren. Rode vlag: Nieuwe bankgegevens met een betalingstermijn. Stop: Neem contact op met de leverancier via het nummer dat al bij ons bekend is, voordat u iets wijzigt.
9. Neprecruiter. Een zogenaamde "recruiter" benadert een medewerker met een functie die op een promotie lijkt, en vraagt ​​vervolgens om persoonlijke documenten of een testopdracht die gedownload moet worden. IC3 ontving 24,688 klachten over oplichting bij sollicitaties in 2025.. Rode vlag: een aanbod waar je niet op hebt gesolliciteerd, met snel opeenvolgende stappen. Stop: Controleer of de recruiter bekend is via de carrièrepagina van het bedrijf zelf, en installeer nooit software voor een sollicitatiegesprek.
10. Deepfake-stem. Een gekloonde stem die klinkt als die van je directeur vraagt ​​om een ​​dringende betaling. IC3 zegt Stemklonen kan worden gebruikt om een ​​bankoverschrijving aan te vragen. en dat bedrijven in 2025 verliezen van meer dan 30 miljoen dollar hebben geleden als gevolg van BEC-fraude waarbij AI betrokken was. Rode vlag: Een spraakbericht of telefoontje dat je aanspoort tot actie voordat je het kunt controleren. Stop: Spreek een codewoord of terugbelregel af voor betalingen, dus een overtuigende stem is niet genoeg.

Onze keuze: voorbeeld 6, CEO-fraude en BEC. Dit is het duurste voorbeeld, zelfs duurder dan oplichting via technische ondersteuning volgens de cijfers van IC3 voor 2025, en de stopzetting is goedkoop: één telefoontje naar een bekend nummer en er wordt geen geld overgemaakt.

Set 3: Fysieke aanvallen en lokken

Deze aanvallen vereisen geen toetsenbord. Ze zijn belangrijk omdat een onbekende in het gebouw toegang kan krijgen tot wat een firewall beschermt.

11. Achterop rijden. Iemand volgt je door een beveiligde deur "omdat hij zijn handen vol heeft". Rode vlag: Een persoon zonder badge die ontspannen en vriendelijk is. Stop: Vraag hen beleefd om zelf hun badge te laten afgeven, of begeleid hen naar de receptie.
12. Lokken met USB-sticks. Een usb-stick met het opschrift "Salarisherziening 2027" wordt achtergelaten op de parkeerplaats of in de lobby. Rode vlag: elke verwijderbare schijf die u niet hebt gekocht. Stop: Sluit nooit een gevonden apparaat aan. Geef het aan de IT-afdeling, die het veilig kan controleren.
13. Meeliften over je schouder. Iemand leest je scherm mee of kijkt toe hoe je een pincode invoert in de trein of aan een flexwerkplek. Rode vlag: Iemand die te dichtbij staat of zijn telefoon op je scherm richt. Stop: Gebruik een privacyfilter, vergrendel je scherm wanneer je even weggaat en ga met je rug naar een muur zitten.
14. Vuilnisbakken doorzoeken. Geprinte e-mails, organigrammen en vergaderingsnotulen die in een gewone prullenbak worden gegooid, geven een aanvaller namen, telefoonnummers en projecttitels voor het volgende telefoontje. Rode vlag: Papier met namen of nummers in een open bak. Stop: Gebruik een papierversnipperaar of een afsluitbare bak en zorg ervoor dat je bureau altijd opgeruimd is.
15. Valse levering. Een koerier in een jas met bedrijfslogo vraagt ​​of hij langs de receptie mag, of om een ​​pakketje in de serverruimte achter te laten. Rode vlag: Een levering die niemand heeft besteld, of een levering die niet bij de receptie kan worden afgeleverd. Stop: Neem het pakket in ontvangst bij de receptie en overleg met de persoon wiens naam op het etiket staat over onverwachte pakketten.

Onze keuze: voorbeeld 11, tailgating. Het vereist geen vaardigheid en kost niets, en goede manieren zijn de sleutel tot succes. Geef medewerkers een beleefd draaiboek, zodat het normaal en niet onbeleefd aanvoelt om iemand ter verantwoording te roepen.

Hoe stop je ze alle 15?

De 15 voorbeelden hebben één ding gemeen: ze zetten je aan tot snel en alleen handelen. Drie gewoonten doorbreken dat.

1. Verifieer via een tweede kanaal. Als een verzoek geld, een wachtwoord, een code of toegang betreft, bevestig het dan via een andere weg, met behulp van de contactgegevens die u al hebt. CISA adviseert dat als u twijfelt of een verzoek echt is, Controleer dit door rechtstreeks contact op te nemen met het bedrijf.en niet met de contactgegevens die in het bericht zijn vermeld.
2. Meld het. Het advies van CISA bij vermoedelijke phishing is om meld het bericht En verwijder het vervolgens. Maak van melden een kwestie van één klik, zonder dat iemand de schuld krijgt, zodat de eerste die iets opmerkt de rest waarschuwt.
3. Vertragen. CISA-lijsten dringend of emotioneel aantrekkelijk taalgebruik Dit zijn enkele veelvoorkomende signalen van phishing. CISA merkt ook op dat perfecte grammatica niet langer een garantie voor veiligheid is, aangezien sommige e-mails dankzij AI nu perfect gespeld zijn. Wanneer een bericht snelheid vereist, is dat een signaal om even te stoppen.

Training is de manier waarop gewoonten beklijven. Aangezien de menselijke factor in 62% van de gevallen een rol speelt, per Verizon's rapport voor 2026Een team dat geoefend heeft met het herkennen van deze 15 voorbeelden is een essentieel onderdeel van je verdediging. Voor een uitgebreider programma, zie onze handleiding voor training voor cyberbeveiligingsbewustzijn.

Manieren om een ​​sessie over sociale engineering te organiseren met AhaSlides

Voer de 15 voorbeelden live uit, in een ruimte of tijdens een videogesprek, waarbij de antwoorden op het scherm verschijnen terwijl mensen reageren.

1. Kies antwoord: "Echt of nep?" Laat bij elk voorbeeld een verzonnen bericht zien en vraag of het echt is. Onthul het waarschuwingssignaal en bespreek dit.
2. Woordwolk: "De meest voorkomende oplichtingsmethode". Het grootste woord geeft aan waarmee je als eerste moet oefenen.
3. Beoordelingsschaal: "Hoe zeker bent u ervan dat u een vervalsing kunt herkennen?" Vraag vóór en na de sessie om een ​​beoordeling van 1 tot 5 en vergelijk de gemiddelden.
4. Open vraag: "Een verdacht bericht dat ik heb ontvangen". Verzamel echte voorbeelden, zonder namen, en gebruik het beste voorbeeld als scenario voor de volgende ronde.

De sjabloon voor de cursus over phishing en social engineering biedt kant-en-klare dia's die u kunt aanpassen, en de sjabloon voor bewustwording van interne dreigingen is een goede aanvulling voor het hele team.

Veelgestelde vragen

Wat zijn voorbeelden van sociale manipulatie?

Phishing, pretexting, baiting en tailgating zijn de belangrijkste methoden. In dit artikel worden er 15 opgesomd, van e-mailphishing en vishing tot nep-IT-ondersteuning, USB-baiting en nep-leveringen.

Wat is de meest voorkomende vorm van social engineering?

Phishing. Volgens het rapport van Verizon uit 2026 is phishing verantwoordelijk voor 16% van alle datalekken, tegenover 6% voor pretexting. IC3 ontving in 2025 191,561 meldingen van phishing en spoofing.

Hoe voorkom je social engineering?

Verifieer verzoeken via een tweede kanaal en meld verdachte verzoeken. Voeg korte, regelmatige trainingen toe, omdat de aanvallen sneller veranderen dan een eenmalige cursus aankan.

Wat is pretexting?

Een verzonnen verhaal dat wordt gebruikt om informatie of toegang te verkrijgen. De aanvaller wekt vertrouwen door een geloofwaardig scenario te schetsen, zoals een telefoontje naar de helpdesk, en vraagt ​​vervolgens om een ​​wachtwoord, een betaling of om een ​​deur open te houden.

Waar te beginnen

Kies één oefening en voer deze uit tijdens je volgende teamvergadering. Als je maar tijd hebt voor één voorbeeld, kies dan voor vishing en vraag iedereen wat ze zouden doen bij het volgende onverwachte telefoongesprek.