Cybercriminelen verschuiven van grootschalige, ongerichte phishingcampagnes naar gerichte aanvallen op identiteiten. Spearphishing nam in een jaar tijd met 41,1 procent toe, terwijl massale fraudevormen dalen. Ook het misbruik van legitieme cloud- en AI-platforms en het omzeilen van wachtwoorden via authenticatiephishing nemen toe.
De cijfers komen uit het Phishing Threat Trends Report Vol. 8 van securitybedrijf KnowBe4. Het rapport is gebaseerd op data uit de eigen dienst Inbound Email Security, die volgens het bedrijf dagelijks 1,15 miljard signalen verwerkt. KnowBe4 meldt dat het totale aantal phishingaanvallen op jaarbasis met 29,8 procent is gestegen. Wereldwijd is gemiddeld één op de 733 binnenkomende e-mails kwaadaardig. Bij Nederlandse organisaties is dat één op de 639.
Minder massa, meer vooronderzoek
Volgens het rapport dalen ongerichte ‘spray and pray’-campagnes sterk. Oplichting gericht op mobiele apparaten nam af met 47,3 procent, voorschotfraude (ook wel 419-fraude genoemd) daalde met 31,3 procent en phishingberichten over zogenaamd gemiste meldingen namen af met 11,3 procent.
Tegelijkertijd investeren aanvallers meer in voorbereiding. Spearphishing groeide met 41,1 procent en het verkennen van potentiële doelwitten voorafgaand aan een aanval steeg met 33,7 procent. Het aantal gevallen waarin criminelen zich voordoen als een legitiem bedrijf nam toe met 28 procent.
Nederland wijkt af
In Nederland ligt de nadruk volgens KnowBe4 meer op technische methoden dan op psychologische manipulatie. Bij 50,1 procent van de Nederlandse phishingaanvallen worden technische trucs ingezet, tegenover 30,4 procent wereldwijd. Social engineering speelt hier een kleinere rol: 19 procent tegenover 46,8 procent wereldwijd. Voorschotfraude komt in Nederland relatief vaak voor. Deze vorm is goed voor 12 procent van de aanvallen, bijna drie keer zoveel als het wereldwijde gemiddelde van 4,7 procent.
Legitieme infrastructuur en AI-platforms
Het rapport stelt dat de kans dat een aanval afkomstig was van legitieme IT-infrastructuur in het derde kwartaal van 2026 twee keer zo groot was als in het tweede kwartaal. AI-platforms worden daarbij vaker als aanvalsroute gebruikt. Criminelen zetten officiële domeinen van deze platforms in om nepontwikkelomgevingen, valse inlogpagina’s en misleidende downloadpagina’s aan te bieden. Met generatieve AI en agentic tools zetten aanvallers nieuws volgens de onderzoekers 5,4 keer sneller om in phishinglokmiddelen dan in 2022.
Toolkits en authenticatiephishing
Phishing via commerciële toolkits groeide volgens KnowBe4 met 54 procent en is nu goed voor 29,2 procent van alle inkomende kwaadaardige e-mails. Drie toolkits zijn samen verantwoordelijk voor 90,2 procent daarvan.
Aanvallers omzeilen daarnaast vaker wachtwoorden via authenticatiephishing. Ze loggen met apparaatcodes in op diensten zoals Microsoft Teams en misbruiken OAuth-toestemmingen om sessies en rechten van AI-agents over te nemen.
Business Email Compromise is goed voor 51,2 procent van de phishingtypes. Van alle phishingmails komt 90,4 procent binnen op werkdagen, met een piek van 20,6 procent op maandag. HR, finance en management zijn de meest gekozen doelgroepen.
Vertrouwde signalen minder bruikbaar
Jack Chapman, SVP of Threat Intelligence bij KnowBe4, geeft aan dat klassieke adviezen zoals het controleren van het afzenderadres, het bekijken van links en letten op het slotje in de adresbalk een basis blijven, maar steeds minder effectief worden. Volgens Chapman hoeven criminelen filters niet meer te misleiden met nagemaakte domeinen als ze vertrouwde diensten kunnen misbruiken en toegangsrechten kunnen buitmaken in plaats van wachtwoorden. Hij stelt dat organisaties daarom opnieuw moeten bepalen wat ze kunnen vertrouwen en hoe ze medewerkers beschermen.
Het volledige rapport is te lezen via Phishing Threat Trends Report Vol. 8.
