Onderzoek SIDN: Ruim de helft van Nederlandse bedrijven doelwit van phishing
Ondanks erkenning gevaar phishing, ondernemen bedrijven te weinig actie
Meer dan de helft van Nederlandse bedrijven (58%) is het afgelopen jaar doelwit geweest van phishing. Toch ondernemen bedrijven weinig actie om dit gevaar in te dammen. Zo blijft de implementatie van e-mailstandaarden achter, terwijl deze het risico op phishing flink verkleinen. Het gebrek aan prioriteit vanuit het management wordt het vaakst als reden genoemd. Dit blijkt uit onderzoek dat SIDN in het kader van de cybersecuritymaand oktober heeft laten uitvoeren onder ruim 400 Nederlandse bedrijven.
Precies de helft van alle Nederlandse bedrijven heeft de afgelopen 12 maanden 1 tot 50 phishingmails ontvangen, bij 19% gaat het zelfs om 50 tot 200 e-mails. Niet vreemd dus dat bijna de helft (45%) van de Nederlandse bedrijven phishing beschouwt als een grote tot zeer grote bedreiging. Toch voelt niet iedere organisatie de urgentie om beschermingsmaatregelen te nemen.
Maatregelen
Zo heeft maar 61% van de Nederlandse bedrijven spamfilters en beveiligingssoftware geïnstalleerd, biedt 45% security-awarenesstrainingen aan medewerkers aan en voert 30% simulatie- en phishingtests uit. Toch is er ook een substantiële groep (17%) die aangeeft helemaal niks te doen.
E-mailstandaarden
Ook de bekendheid van e-mailstandaarden als SPF, DKIM, DMARC en BIMI die de risico’s op phishing verkleinen, zijn nog niet bij iedereen bekend. De standaard met de meeste bekendheid is SPF, een e-mailprotocol dat vaststelt of de verzender van een e-mail gerechtigd is te verzenden namens de vermelde afzender van het bericht – 58% is bekend met deze standaard. Andere standaarden (DKIM, DMARC en BIMI) scoren onder de 50%.
Marco Davids, research engineer bij SIDN Labs: “Het e-mailprotocol is een van de oudste internetprotocollen en van origine niet goed beveiligd. Zo is het voor hackers vrij eenvoudig om een afzenderadres te vervalsen, zodat het lijkt dat een e-mail vanuit de juiste domeinnaam wordt verzonden. Spamfilters bieden hier onvoldoende bescherming tegen, het instellen van open e-mailstandaarden wel. Een reden dat veel bedrijven dit nog niet goed hebben geregeld is dat ze het ingewikkeld of te veel werk vinden. Maar inmiddels is er in de markt geen gebrek meer aan goede expertise en kun je bouwen op de ervaring van tal van bedrijven die je voorgingen.”
Misbruik bedrijfsnaam
Phishing vormt echter niet alleen een gevaar voor de eigen organisatie, kwaadwillenden kunnen ook de bedrijfsnaam misbruiken om andere bedrijven te benaderen en te misleiden. In de afgelopen 12 maanden is van 37% van de Nederlandse bedrijven de bedrijfsnaam voor dat doeleinde misbruikt. Vooral bedrijven in de financiële dienstverlening (58%) en de zorg (52%) werden hier slachtoffer van.
Met dergelijke percentages zou je verwachten dat er beleid van kracht is om op terug te vallen zodra er een phishingpoging slaagt. Toch is dit bij 28% van alle bedrijven niet het geval, terwijl 18% wel beleid heeft opgesteld maar dit al langer dan een jaar niet geüpdatet heeft. In de zorg, een sector die bovengemiddeld vaak slachtoffer is van phishing, liggen deze percentages opvallend genoeg nog hoger: 39% heeft helemaal geen beleid, bij 29% is er sprake van verouderd beleid.
Gemeenschappelijk gevaar
Phishing wordt nog te vaak gezien als geïsoleerd risico, terwijl ook klanten en andere relaties gevaar lopen als een organisatie slachtoffer wordt van phishing. Het is opvallend dat meer dan de helft van de bedrijven in Nederland, namelijk 54%, geen enkele actie onderneemt richting externe relaties om het gevaar van phishing terug te dringen. Terwijl bewustwording, ook bij zakelijke relaties van een organisatie, de eerste stap is om het gevaar te kunnen herkennen.
Wil je meer weten? SIDN is op 14 en 15 november a.s. aanwezig op de KVK Ondernemersdagen waar wij ondernemers voorlichten over het voorkomen van phishing.
Methodologie
Het onderzoek is in opdracht van SIDN uitgevoerd door Markteffect. In de periode 15 juli t/m 27 juli 2025 zijn hiervoor 412 respondenten, werkzaam in een management- of IT-functie bij een mkb-organisatie, ondervraagd.
